Bewertungsdatenbank zu Bewertung von Fremdfirmen

Der Geltungsbereich dieses Lastenhefts umfasst alle externen Lieferanten, Dienstleister und Werkvertragsunternehmen, die im Rahmen von Werk- oder Dienstleistungen für das Unternehmen tätig werden. Jegliche Fremdfirmen, unabhängig von Gewerken, Einsatzbereichen oder Vertragsvolumen, sollen in der Datenbank erfasst und bewertet werden (es werden keine Ausnahmen oder Freigrenzen definiert – "ja, jegliche"). Dies schließt sowohl einmalig beauftragte Unternehmen als auch langfristige Rahmenvertragspartner ein.

Ausgenommen vom Geltungsbereich sind lediglich rein interne Mitarbeiter oder Arbeitnehmerüberlassungen, die anderweitig verwaltet werden. Sollte eine Fremdfirma jedoch sowohl Werkvertragsleistungen erbringen als auch Arbeitnehmerüberlassung stellen, so sind die Werkvertragsleistungen im System zu bewerten, während personalbezogene Daten getrennt behandelt werden (Stichwort Arbeitnehmerüberlassungsgesetz, falls relevant). Grundsätzlich richtet sich das System auf Firmenebene aus – die Bewertung einzelner Mitarbeiter der Fremdfirma ist nicht Ziel, sondern es geht um die Firmenbewertung als Ganzes. Gleichwohl können bestimmte Kennzahlen auf Mitarbeiterebene (z.B. Unfallhäufigkeit pro 1000 Arbeitsstunden der eingesetzten Mitarbeiter) zur Berechnung der Firmenkennzahlen herangezogen werden.

Geographisch erstreckt sich der Geltungsbereich auf alle Standorte der Auftraggeberin, einschließlich regulierter Produktionsbereiche (z.B. GMP-Bereiche) und nicht regulierter Bereiche. Das Konzept definiert fachliche und regulatorische Anforderungen aus Sicht der Auftraggeberin; es legt bewusst keine spezifische technische Implementierungsarchitektur fest, sondern definiert die Rahmenbedingungen, innerhalb derer ein Anbieter eine geeignete Lösung entwickeln muss. Insbesondere sind länderspezifische Gesetze oder Vorgaben (z.B. DGUV-Vorschriften in Deutschland für Arbeitsschutz, OSHA-Standards in den USA, Umweltauflagen etc.) zu berücksichtigen, soweit sie die Bewertung von Fremdfirmen betreffen. Alle Fremdfirmen, die im konzernweiten SAP-basierten Fremdfirmenportal registriert sind, fallen unter dieses System; es findet also eine Vollabdeckung aller externen Auftragnehmer statt.

• Onboarding und Qualifizierung: Von der ersten Auswahl und Beauftragung einer neuen Fremdfirma an wird der Anbieter in der Datenbank angelegt. Bereits in der Ausschreibungs- und Auswahlphase können Bewertungskriterien zur Anwendung kommen, um die Eignung hinsichtlich Arbeitssicherheit, Qualitätsfähigkeit und Compliance zu prüfen. So sollen bereits vor Vertragsabschluss etwa Zertifikate (z.B. ISO-9001-Zertifikat, Sicherheitskonzepte) und Referenzen der Fremdfirma erfasst werden.

• Laufende Zusammenarbeit: Während der Vertragslaufzeit werden kontinuierlich Daten über die Leistung der Fremdfirma gesammelt – etwa Inspektionsergebnisse, Unfallberichte, Qualitätsprüfungen, Audit-Feststellungen, Feedback der Auftraggeber und eventuelle Zwischenfälle. Die Bewertung wird also dynamisch fortgeschrieben und passt sich dem aktuellen Leistungs- und Risikoprofil des Dienstleisters an.

• Bewertung und Re-Zertifizierung: In regelmäßigen Abständen (z.B. jährlich oder projektbezogen nach Auftragsende) erfolgt eine formaliserte Beurteilung der Fremdfirma. Dabei fließen die gesammelten Erfahrungen in den Bereichen Sicherheit, Qualität, Compliance etc. in ein standardisiertes Bewertungsschema ein. Falls erforderlich, wird eine Re-Zertifizierung oder Verlängerung der Zulassung der Fremdfirma durch die zuständige Einheit (z.B. Kontraktorenmanagement) vorgenommen – gegebenenfalls unter Auflagen.

• Eskalation und Sanktionierung: Falls eine Fremdfirma während der Zusammenarbeit auffällig wird – etwa durch schwere Verstöße gegen Sicherheitsvorschriften oder wiederholte Qualitätsmängel – greift ein Eskalationsprozess. Dieser kann von Verwarnungen über Nachschulungen bis hin zur temporären Sperrung im System oder vollständigen Beendigung der Geschäftsbeziehung reichen. Auch diese Schritte (einschließlich der Dokumentation von Verstößen und ergriffenen Sanktionen) sind Teil des Geltungsbereichs. Die Datenbank muss also nicht nur positive Leistungsdaten, sondern auch Negativeinträge (Mängel, Unfälle, Vertragsverletzungen) und deren Konsequenzen festhalten.

• Auftraggeber / Fachabteilungen: Dies sind interne Besteller, Anlagenbetreiber oder Projektleiter, die Fremdfirmen beauftragen. Sie nutzen das System, um vor einer Beauftragung die bisherigen Bewertungen einer Fremdfirma einzusehen (Eignungsprüfung) und um nach Abschluss von Aufträgen Feedback und Leistungsbeurteilungen einzupflegen. Beispielsweise kann ein Instandhaltungsingenieur nach Projektende die Qualität der Arbeit, die Einhaltung der Sicherheitsregeln und die Zuverlässigkeit der Fremdfirma im System bewerten.

• Technische Sachbearbeiter / HSE-Manager: Mitarbeiter aus Bereichen wie Arbeitssicherheit (HSE), Qualitätsmanagement oder technische Sachbearbeitung begleiten den Fremdfirmeneinsatz operativ. Sie dokumentieren im System sicherheitsrelevante Ereignisse (Unfälle, Beinaheunfälle, Verstöße gegen Arbeitsschutzbestimmungen) sowie Qualitätsabweichungen oder festgestellte Mängel. Außerdem überwachen sie die Einhaltung von Auflagen durch die Fremdfirmen (z.B. dass alle eingesetzten Mitarbeiter unterwiesen sind, persönliche Schutzausrüstung tragen, Prüfprotokolle vorliegen). Diese Nutzergruppe ist oft erster Melder von Verstößen und verantwortlich für die Anstoßung von Sanktionen im System.

• Unit Kontraktorenmanagement / Zentrale Einkaufs- und Sicherheitsabteilung: Diese zentrale Stelle (oft im Einkauf oder in der Arbeitssicherheitsorganisation angesiedelt) hat die übergeordnete Administrationsrolle. Sie definiert die Bewertungskriterien, Pflegt Stammdaten der Fremdfirmen, führt regelmäßige Audits und Qualifizierungen durch und verwaltet das Sanktionsmanagement. Nutzer in dieser Rolle werten die Datenbank global aus, erstellen Reports für die Geschäftsleitung und stellen sicher, dass das System konsistent angewandt wird. Sie sind außerdem Ansprechpartner für die Fremdfirmen selbst bei Fragen zur Bewertung.

• IT-Administratoren: In geringem Umfang sind auch IT-Fachkräfte beteiligt, etwa um Benutzerberechtigungen zu verwalten, Schnittstellen zu betreuen und die Einhaltung von Datenschutz und Informationssicherheit sicherzustellen. Sie stellen den reibungslosen technischen Betrieb der Plattform sicher (Benutzerverwaltung, Rollen- und Rechtekonzept, Backups etc.).

Nicht direkte Nutzer der Plattform aber wichtige Stakeholder sind die Fremdfirmen selbst. Zwar erhalten externe Dienstleister in der Regel keinen unmittelbaren Zugriff auf die interne Bewertungsdatenbank, doch die Ergebnisse ihrer Bewertungen können mittelbar kommuniziert werden – z.B. im Rahmen von Jahresgesprächen oder Auditberichten. Zudem fließen die Bewertungen in Entscheidungen ein, ob eine Fremdfirma weiter beauftragt wird oder ggf. auf eine Sperrliste gesetzt wird. Insofern haben auch die Fremdfirmen ein Interesse an transparenten, fairen Kriterien und einer klaren Kommunikation der Erwartungen. Denkbar ist perspektivisch, bestimmten Fremdfirmen eingeschränkten Lesezugriff auf ihre eigenen Stammdaten und Bewertungen im Portal zu gewähren (z.B. zur Einsicht, welche Verbesserungsmaßnahmen verlangt wurden).

Die Betriebsräte des Unternehmens sind weitere Stakeholder, insbesondere weil personenbezogene Daten von Fremdfirmen-Mitarbeitern (z.B. Qualifikationsnachweise, Schulungsteilnahmen, Zutrittszeiten) verarbeitet werden könnten. Ihre Zustimmung und Einbindung ist für den Einsatz des Systems erforderlich, um die Wahrung von Arbeitnehmerrechten und Datenschutz sicherzustellen.

• Arbeitsschutz- und Sicherheitsvorschriften: Alle Funktionen des Systems, die Arbeitssicherheitsdaten betreffen, müssen den geltenden Gesetzen und Unfallverhütungsvorschriften genügen. Dies umfasst nationale Gesetze wie das Arbeitsschutzgesetz (ArbSchG) und berufsgenossenschaftliche Vorgaben (DGUV-Regeln) ebenso wie konzerninterne Sicherheitsstandards. Branchenleitfäden wie der VCI-Leitfaden zum Umgang mit Fremdfirmen können als Best Practice herangezogen werden. Dieser empfiehlt klare Kriterien für die Sicherheitsbewertung und Zulassung von Fremdfirmen, um eine harmonisierte Bewertung zu ermöglichen. Solche Kriterien (z.B. Unfallkennzahlen, Sicherheitsmanagementsysteme der Fremdfirma, Unterweisungsquote der Mitarbeiter) sollen im System abgebildet werden.

• Qualitätsmanagement-Standards: Die Bewertungskriterien im Bereich Qualität orientieren sich an ISO 9001 (Qualitätsmanagement) und ggf. spezifischen Normen wie ISO 13485 (Medizintechnik) oder ISO 19443 (Qualitätsmanagement in der nuklearen Lieferkette), sofern relevant. Interne Qualitätsrichtlinien – z.B. eine Konzernrichtlinie “QA-07 Lieferantenmanagement und Fremdfirmen” – definieren Anforderungen an Lieferantenqualifizierung, die das System erfüllen muss. Dazu gehört etwa, dass Lieferantenbewertungen dokumentiert, nachvollziehbar und Bestandteil des Qualitätsmanagements sind.

• Compliance-Vorgaben: Als Teil des Compliance-Managements des Unternehmens soll das System dazu beitragen, dass Lieferanten und Dienstleister die gleichen hohen Standards einhalten wie das Unternehmen selbst. Interne Code-of-Conduct-Regeln für Geschäftspartner, Antikorruptionsrichtlinien, Datenschutzvorgaben und ggf. branchenspezifische Regularien (z.B. GMP für Pharma, Good Manufacturing Practices) sind zu berücksichtigen. Beispielsweise verlangen GMP-Regeln gemäß EU-GMP-Leitfaden Annex 15 eine Qualifizierung von Lieferanten und Dienstleistern; das System muss entsprechende Nachweise liefern können. Ebenso müssen Umweltauflagen (ISO 14001) oder Nachhaltigkeitskriterien (z.B. ESG-Reporting-Pflichten) perspektivisch integrierbar sein.

• IT- und Datenschutzstandards: Da es sich um ein unternehmenskritisches System handelt, gelten ISO 27001 für Informationssicherheit und die EU-DSGVO für den Datenschutz als maßgeblich. Insbesondere die Verarbeitung personenbezogener Daten (z.B. Name eines Fremdfirmen-Mitarbeiters in einem Unfallbericht) muss datenschutzkonform erfolgen. Zugriffskontrollen, Pseudonymisierung wo möglich und transparente Audit-Trails sind zu gewährleisten. Des Weiteren müssen Konzern-IT-Vorgaben (z.B. für Softwarevalidierung im GxP-Umfeld gemäß GAMP 5) eingehalten werden, falls die Datenbank in regulierten Bereichen eingesetzt wird.

Durch die Beachtung dieser Vorgaben wird sichergestellt, dass die Bewertungsdatenbank nicht isoliert entwickelt wird, sondern eingebettet ist in den bestehenden Compliance-Rahmen des Unternehmens. Sie ist gewissermaßen ein digitales Abbild des gesamten Fremdfirmen-Ökosystems und muss sowohl externen Prüfern (Auditoren, Behörden) standhalten als auch internen Policies entsprechen.

Die digitale Bewertungsdatenbank soll als integriertes Management-System fungieren, das mehrere Funktionsbereiche nahtlos miteinander verknüpft. Zentral sind dabei die Erfassung von Stammdaten, die Bewertung mittels eines Scoring-Modells in verschiedenen Kategorien (Arbeitssicherheit, Qualität, Compliance etc.) und die Abbildung des gesamten Lebenszyklus einschließlich Monitoring und Eskalation. In diesem Kapitel werden die Kernfunktionen und Anforderungen im Detail beschrieben.

Diese Kategorien bilden den Kern des Bewertungsmodells. Sie sollen im System parametrierbar sein, sodass bei Bedarf weitere Kategorien (z.B. Umwelt oder Nachhaltigkeit) ergänzt oder bestehende angepasst werden können. Jede Kategorie kann durch einen Satz KPIs und Score-Werte repräsentiert werden. Beispielsweise könnte Arbeitssicherheit durch eine Kennzahl Unfallfrequenz (Anzahl Unfälle pro 200.000 Arbeitsstunden) und einen Score von 0 (schlecht) bis 100 (exzellent) quantifiziert werden. Ähnlich kann Qualität durch Fehlerquote oder Audit-Ergebnis quantifiziert werden. Wichtig ist die konsistente Anwendung dieser Kriterien über alle Fremdfirmen hinweg, um Vergleichbarkeit zu gewährleisten.

Zudem muss das System die Gewichtung der Kategorien erlauben. Je nach Risiko und Kritikalität einer Tätigkeit kann es sinnvoll sein, einzelne Bereiche höher zu gewichten. Beispielsweise könnten bei einem Fremdfirmen-Einsatz in einem Chemiewerk Arbeitssicherheit und Compliance höher gewichtet werden, während bei einem IT-Dienstleister Qualität und Termintreue im Vordergrund stehen. Das Scoring-Modell ist konfigurierbar zu gestalten, idealerweise mit hinterlegten Standardgewichten je nach Art der Fremdleistung, die jedoch von berechtigten Nutzern angepasst werden können.

Eine wesentliche Grundlage für die Bewertung ist die Stammdatenerfassung jeder Fremdfirma. Sobald eine Fachabteilung den Bedarf für einen neuen Dienstleister meldet oder ein neues Unternehmen sich im Fremdfirmenportal registriert, wird ein digitaler „Qualifizierungs-Track“ eröffnet.

• Allgemeine Firmendaten: Name der Fremdfirma, Rechtsform, Anschrift, Kontaktinformationen, Unternehmensgröße, Branche. Außerdem gegebenenfalls Konzernzugehörigkeit oder Muttergesellschaft, um Risikokonzentrationen zu erkennen, wenn mehrere Aufträge an verbundene Firmen gehen.

• Behördliche und finanzielle Angaben: Handelsregisternummer, Steuer-ID/USt-IdNr., eventuelle Bewilligungen (z.B. Genehmigung nach § 15 Strahlenschutzverordnung, falls relevant), Versicherungsnachweise (Haftpflichtversicherung, Unfallversicherung). Diese Daten dienen der Compliance-Prüfung und sollen sicherstellen, dass nur legitimierte Firmen Aufträge erhalten.

• Qualifikationsnachweise: Hierzu zählen aktuelle Zertifizierungen (z.B. gültiges ISO 9001-Zertifikat, ISO 45001 oder SCC-Zertifikat für Arbeitssicherheit, branchenspezifische Zertifikate), Ausbildungsnachweise und fachliche Qualifikationen des Unternehmens (z.B. Schweißfachbetrieb nach DIN EN ISO 17660, Elektrofachbetrieb mit VDE-Zertifizierung usw.). All diese Nachweise werden im System hinterlegt (ggf. als Dokumente im DVS – Dokumentenverwaltungssystem – verlinkt) und mit Gültigkeitsdatum versehen. Das System soll automatische Warnungen generieren, wenn wichtige Zertifikate abzulaufen drohen, sodass rechtzeitig eine Aktualisierung angefordert werden kann.

• Audit-Historie: Falls das Unternehmen bereits Audits oder Selbstbewertungen durchlaufen hat, werden deren Ergebnisse im Stammdatensatz referenziert. Beispielsweise kann hier vermerkt sein, wann die letzte Vor-Ort-Auditierung stattfand, welche Audit-Bewertung (z.B. A, B, C-Rating) vergeben wurde und ob CAPA-Maßnahmen (Corrective and Preventive Actions) offen oder abgeschlossen sind. Diese Historie fließt in die Bewertung mit ein und gibt einen ersten Risikoindikator.

• Referenzen und bisherige Auftragshistorie: Das System soll verknüpfen, ob die Fremdfirma bereits an anderen Standorten oder in früheren Projekten tätig war und mit welchen Ergebnissen. So kann z.B. angezeigt werden: “Fremdfirma XY war 2019–2021 am Standort A im Einsatz, Bewertung 85/100, keine Unfälle, 1 Qualitätsbeanstandung.” Solche Informationen nutzen die Auftraggeber bei der Auswahl. Ferner können externe Referenzen (durch die Fremdfirma angegebene Kundenempfehlungen) erfasst und später validiert werden.

Ein obligatorisches Vier-Augen-Prinzip stellt sicher, dass Stammdaten und Qualifikationsnachweise erst nach Freigabe durch eine befugte Person (z.B. einen qualifizierten QA-Manager oder Sicherheitsingenieur) in den produktiven Datenbestand überführt werden. Das heißt, wenn eine Fremdfirma neu angelegt oder ein Datensatz geändert wird, muss ein zweiter Prüfer (ggf. aus einer unabhängigen Abteilung wie Qualitätsmanagement) die Eingabe verifizieren. Dies verhindert falsche oder unvollständige Einträge und ist gerade in regulierten Branchen (GMP-Umfeld) essentiell, um Datenintegrität sicherzustellen.

Die Stammdatenpflege umfasst auch das Lebenszyklus-Management dieser Basisdaten: Änderungen (z.B. neue Zertifikate, geänderte Anschrift, Erweiterung des Dienstleistungsspektrums) müssen versioniert und historisch nachvollziehbar sein. Jede Änderung an kritischen Stammdaten wird mit Benutzerkennung, Zeitstempel, altem und neuem Wert protokolliert und unveränderbar abgelegt (Audit-Trail). Dies ermöglicht es, jederzeit nachzuvollziehen, wer z.B. ein Sicherheitszertifikat als geprüft markiert hat und wann. Gerade im GMP-Umfeld sind solche Audit-Trails vorgeschrieben, aber auch generell erhöht es die Datenintegrität.

Kernstück der Anwendung ist ein konfigurierbares Scoring-Modell, das aus den erhobenen Daten ein kombiniertes Risiko- und Performance-Rating für jede Fremdfirma generiert. Nach dem Prinzip des Quality Risk Management (vgl. ICH Q9) sollen quantitative und qualitative Kriterien zu einer Gesamtbewertung zusammenfließen.

• Kritikalität der Tätigkeit: Hier wird berücksichtigt, wie riskant oder wichtig die von der Fremdfirma ausgeführte Tätigkeit ist. Ein Einsatz im hochsensiblen Produktionsbereich (z.B. Arbeiten in einer sterilen Reinraumumgebung oder an einer druckführenden Anlage) wird höher kritisch eingestuft als einfache Tätigkeiten (z.B. Geländepflege oder Bürotätigkeiten). Diese Kritikalität kann durch eine Klassifizierung der Leistungen hinterlegt sein (etwa Stufe 1 = hochkritisch, Stufe 3 = niedrig kritisch).

• Standort- und Umgebungsrisiko: Unterschiedliche Standorte oder Anlagen können unterschiedliche Sicherheitsstufen haben. Arbeiten in einem SEVESO-Betrieb (Störfall-Verordnung) oder einem kerntechnischen Bereich haben andere Risiken als Arbeiten auf einer Büroetage. Das System soll Standort-Risikostufen (z.B. basierend auf internen Gefährdungsbeurteilungen) hinterlegen, die in das Rating einfließen. So kann die gleiche Firma an einem Hochrisiko-Standort strenger beurteilt werden als an einem weniger gefährlichen Einsatzort.

• Historische Leistung und Vorfälle: Die Vergangenheitshistorie der Fremdfirma im Unternehmen wird stark gewichtet. Dabei zählen: Unfallhistorie (Unfälle, Beinaheunfälle gemeldet), Qualitätsperformance (Anzahl und Schwere von Qualitätsabweichungen, Reklamationen), Compliance-Vorfälle (Verstöße gegen Regeln) sowie Ergebnisse früherer Audits. Beispielsweise könnte das Modell jeden gemeldeten Sicherheitsvorfall X Punkte Abzug im Score bedeuten, oder ein erfolgreich bestandenes Audit Y Punkte Zuwachs. Auch Kennzahlen wie CAPA-Dichte (wie viele Korrekturmaßnahmen pro Audit notwendig waren) können als Indikator dienen. Diese historischen Daten ermöglichen eine evidenzbasierte Einschätzung: eine Firma mit wiederholten Problemen wird automatisch schlechter bewertet als ein unauffälliger Partner.

• Unternehmensinterne Bewertungen: Zusätzlich zu den objektiven Kennzahlen fließen die subjektiven Beurteilungen aus den Fachbereichen ein. Etwa gibt der verantwortliche Auftraggeber nach Abschluss eines Projekts eine Note oder Bewertung für die Zusammenarbeit ab (z.B. Schulnotenprinzip oder 5-Sterne-System in Kategorien wie Zuverlässigkeit, Fachkompetenz, Kommunikation). Diese Bewertungen werden im System erfasst und mittels definierter Regeln in den Score überführt (z.B. Durchschnitt der letzten 3 Bewertungen ergibt einen Wert).

• Externe Benchmarks (optional): Falls verfügbar, können externe Quellen wie branchenweite Unfallstatistiken oder Lieferanten-Ratings in die Bewertung einbezogen werden. Beispielsweise könnte man die Unfallrate der Fremdfirma mit dem Branchenmittel vergleichen – liegt sie deutlich darüber, wirkt sich das negativ aus. Ebenso könnten Zertifizierungen (z.B. ein SCC-Zertifikat für Sicherheit) positiv in den Score einfließen.

Das Scoring-Modell soll transparent und nachvollziehbar sein. Die algorithmische Logik wird versioniert dokumentiert, sodass Änderungen – etwa eine veränderte Gewichtung bei neuen regulatorischen Leitlinien – historisch verfolgt werden können. Anwender (insbesondere die Kontraktorenmanagement-Einheit) müssen die Möglichkeit haben, Score-Karten oder Detailreports einzusehen, die zeigen, wie sich die einzelnen Faktoren zum Gesamtscore addieren. Dies ist wichtig, um Akzeptanz bei den Nutzern und den bewerteten Firmen zu schaffen: Jede Fremdfirma sollte prinzipiell verstehen können, warum sie ein bestimmtes Rating erhalten hat.

Das Ergebnis der Berechnung ist idealerweise eine Klassifizierung der Fremdfirma in Risikostufen oder Güteklassen. Eine mögliche Einteilung könnte z.B. Score 90-100 = Klasse A (geringes Risiko, bevorzugter Lieferant), 70-89 = Klasse B (mittleres Risiko, kontrolliert einsetzbar), unter 70 = Klasse C (erhöhtes Risiko, nur mit Auflagen oder nicht einsetzbar) sein. Diese Klassifizierung erleichtert schnelle Entscheidungen: Zum Beispiel kann im SAP-System ein Statusflag „Supplier Blocked“ gesetzt werden, wenn eine Fremdfirma in die niedrigste Kategorie fällt. Umgekehrt könnten Top-Lieferanten als bevorzugt markiert werden.

Die Firma XYZ hat im letzten Jahr 2 Unfälle (ein meldepflichtiger Unfall, ein Beinaheunfall) und 3 Qualitätsmängel verursacht, aber alle CAPA-Maßnahmen daraus fristgerecht umgesetzt. Sie hat eine mittelkritische Tätigkeit (Wartung nicht sicherheitskritischer Anlagen) und ist ISO 9001- sowie SCC-zertifiziert. Das Scoring-Modell gibt ihr 15 Punkte Abzug für die Unfälle, 10 Punkte Abzug für die Qualitätsmängel, aber auch 5 Punkte Bonus für die Zertifikate und 10 Punkte für gute Liefertermintreue. Insgesamt erreicht XYZ 80 Punkte, was Klasse B entspricht. Die Verantwortlichen sehen auf einen Blick: mittleres Risiko, Verbesserungen in Arbeitssicherheit nötig. Das System würde bei weiteren Unfällen ggf. automatisch ab einem Schwellenwert eine Eskalation in Gang setzen.

Nach erfolgreicher Erstqualifizierung und Aufnahme einer Fremdfirma in die Datenbank beginnt die Phase des laufenden Monitorings. Die Fremdfirma durchläuft während ihrer aktiven Dienstleisterzeit einen zyklischen Überwachungs- und Verbesserungsprozess.

• Periodische Selbstbewertungen: In vordefinierten Intervallen (z.B. jährlich) wird die Fremdfirma aufgefordert, eine Selbstauskunft bzw. einen Fragebogen auszufüllen. Darin bestätigt sie etwa weiterhin gültige Zertifikate, berichtet eigene Unfallkennzahlen, listet Schulungsaktivitäten ihrer Mitarbeiter usw. Diese Selbstbewertungen können online im Fremdfirmenportal erfolgen. Sie dienen als eine Art „Mini-Audit“ zwischen den Vor-Ort-Audits und halten die Daten aktuell. Das System vergleicht die Selbstauskunft mit vorhandenen Daten und markiert Abweichungen oder fehlende Antworten zur Nachverfolgung.

• Automatisierte KPI-Abgleiche: Die Datenbank verfügt über Schnittstellen zu anderen Systemen (siehe unten), z.B. zum ERP. Dadurch können Ist-Daten automatisiert einfließen: Etwa die tatsächlich geleisteten Arbeitsstunden eines Fremdfirmen-Mitarbeiters (über das Zutrittskontrollsystem erfasst) werden mit der gemeldeten Unfallzahl ins Verhältnis gesetzt, um eine Unfallrate zu berechnen. Oder die Anzahl der beanstandeten Lieferungen wird aus dem Qualitätssystem übernommen. Diese kontinuierlichen Datenströme ermöglichen es dem System, Kennzahlen in Echtzeit zu überwachen. Überschreitet eine KPI einen definierten Schwellenwert (z.B. Unfallrate > X pro 200k Stunden, oder Verzugsquote > Y%), kann sofort Alarm geschlagen werden.

• IoT-gestützte On-Site-Checks (optional): In modernen Industrie 4.0-Umgebungen ist denkbar, dass digitale Arbeitsschutzsysteme oder IoT-Sensoren eingebunden werden. Beispiel: Ein digitales Arbeitserlaubnissystem auf dem Werksgelände, das Zugänge nur freigibt, wenn bestimmte Sicherheitschecks erfüllt sind (Unterweisung absolviert, PSA getragen). Solche Systeme könnten Events an die Bewertungsdatenbank senden (z.B. "Mitarbeiter der Firma X hat Sperrbereich ohne Freigabe betreten"). Dies wäre ein sehr fortschrittliches Feature, das über klassische Ansätze hinausgeht, aber die Vision der lückenlosen Überwachung unterstützt.

• Eskalationskaskade bei Auffälligkeiten: Werden Abweichungen jenseits definierter Schwellwerte festgestellt – sei es durch einen gemeldeten schweren Unfall, einen Compliance-Verstoß oder das Überschreiten von KPI-Grenzen – löst das System automatisch eine Eskalation aus.

• Sofortmeldung an den zuständigen Fachbereich und die Kontraktorenmanagement-Einheit (z.B. per E-Mail oder in einem Dashboard als High-Priority-Alert).

• Untersuchung und Maßnahmendefinition: Ein Verantwortlicher wird zugewiesen, der den Vorfall untersucht und im System einen CAPA-Plan (Corrective and Preventive Action) erstellt.

• Fristenüberwachung: Das System verfolgt, ob definierte Maßnahmen fristgerecht umgesetzt werden. Bei Fristüberschreitung erfolgt eine weitere Eskalationsstufe (z.B. Meldung an höhere Managementebene).

• Temporäre Sperre: In gravierenden Fällen kann automatisch oder manuell eine temporäre Sperrung der Fremdfirma im ERP ausgelöst werden. Dies bedeutet, dass keine neuen Bestellungen an diese Firma erfolgen dürfen, bis die Angelegenheit geklärt ist. Ein entsprechendes Statusfeld ("gesperrt") wird via Schnittstelle in SAP gesetzt.

• Abschließendes Wirksamkeits-Review: Jede Eskalation wird erst dann beendet, wenn eine abschließende Wirksamkeitsprüfung erfolgt ist. Das heißt, nachdem Maßnahmen umgesetzt wurden, bewertet die verantwortliche Stelle, ob die Ursache angemessen behoben wurde (PDCA-Kreislauf geschlossen). Dieser Abschluss wird dokumentiert, inklusive Datum und Ergebnis (wirksam/nicht wirksam).

• Wiederkehrende Reviews und Requalifizierung: Unabhängig von akuten Vorfällen soll das System regelmäßige Management Reviews unterstützen. Z.B. kann halbjährlich ein Bericht erstellt werden, der alle Fremdfirmen nach Risikoklasse auflistet und Veränderungen zum Vorperioden-Status zeigt. Fremdfirmen der Klasse C (hohes Risiko) könnten z.B. einer Sonderüberprüfung unterzogen werden. Zusätzlich ist nach einer bestimmten Laufzeit (z.B. alle 3 Jahre) eine Neubewertung/Requalifizierung vorgesehen, die ähnlich der Erstqualifizierung abläuft: überprüfung aller Stammdaten, Audit vor Ort, etc., um eine kontinuierliche Eignung sicherzustellen.

Im Lebenszyklus-Management spiegelt sich der Grundsatz wider, dass Fremdfirmenmanagement kein einmaliger Akt ist, sondern ein kontinuierlicher Prozess der Überwachung und Verbesserung. Dies entspricht den Empfehlungen z.B. im VCI-Leitfaden, die Zusammenarbeit mit Fremdfirmen fortlaufend zu optimieren und Sicherheitsaspekte regelmäßig zu überprüfen. Durch die beschriebenen Funktionen der Datenbank wird dieser Prozess digital unterstützt und lückenlos dokumentiert.

Umgang mit Verstößen und Sanktionen: Ein spezieller Aspekt des Lebenszyklus ist die Behandlung von Regelverstößen. Das System muss Richtlinien abbilden, wie bei bestimmten Verstoß-Typen zu verfahren ist.

• Kategorie 1 – Geringfügiger Verstoß: (z.B. einmaliges Nichttragen der PSA, kleiner Dokumentationsmangel) – Maßnahme: Mündliche oder schriftliche Verwarnung an die Fremdfirma, Hinweis auf Korrektur. Dokumentation im System, aber keine weitere Aktion, solange es Einzelfall bleibt.

• Kategorie 2 – Mittlerer Verstoß: (z.B. wiederholte kleinere Verstöße oder erstmaliger ernsthafter Verstoß, wie Nicht-Einhalten einer Sicherheitsabsperrung ohne Unfall) – Maßnahme: Schriftliche Abmahnung an Firmenleitung, verpflichtende Nachschulung der betreffenden Mitarbeiter, temporäre Aussetzung des Einsatzes bis zur Schulung. Im System wird der Status der Fremdfirma ggf. auf "unter Beobachtung" gesetzt.

• Kategorie 3 – Schwerer Verstoß: (z.B. Arbeitsunfall mit Verletzung, bewusste Missachtung wesentlicher Sicherheitsregeln, Fälschung von Nachweisen, größere Qualitätsgefährdung) – Maßnahme: Sofortige Unterbrechung der Arbeiten, Sperrung der Fremdfirma im System (keine neuen Aufträge), ausführliche Untersuchung. Ggf. Vertragsstrafe oder Kündigung des Vertrags. Eine Wiederaufnahme als Lieferant erfolgt erst nach Management-Entscheidung und erneuter Qualifizierung.

Dieser Katalog wird als Regelwerk hinterlegt und vom System teilweise automatisch angewandt (z.B. bei Markierung eines Vorfalls als "schwerer Verstoß" kann die entsprechende Eskalationsstufe mit Sperrflag ausgelöst werden). Wichtig ist, dass jede Sanktion und ihr Abschluss dokumentiert wird: Wurde eine Fremdfirma nach einem schweren Verstoß wieder entsperrt, muss ersichtlich sein, wann und aufgrund welcher Entscheidung (z.B. “Entsperrt am DD.MM.YY durch HSE-Leiter nach Nachweis von Schulungsmaßnahmen”). So wird Nachvollziehbarkeit und Fairness gewährleistet.

• Standardreports und Dashboards: Vordefinierte Übersichten für verschiedene Zielgruppen. Beispielsweise ein Management-Dashboard, das auf einen Blick die Anzahl aktiver Fremdfirmen, deren Verteilung auf Risikoklassen, aktuelle offene Vorfälle und Trends (z.B. Unfallrate der letzten 12 Monate) anzeigt. Für operative Nutzer gibt es Listen wie "meine Fremdfirmen im Einsatz" mit Ampelstatus, ob Handlungsbedarf besteht (z.B. rote Ampel, falls ein Zertifikat abläuft oder ein Score sich stark verschlechtert hat). Dashboards sollen personalisierbar sein, aber initial bestückte KPIs bereitstellen.

• Ad-hoc-Analysen: Benutzer (v.a. aus Kontraktorenmanagement oder HSE) möchten flexible Abfragen machen können, etwa "zeige alle Fremdfirmen mit mehr als 2 Unfällen in Zeitraum X" oder "Liste der 10 besten und schlechtesten Lieferanten nach Score im letzten Jahr". Die Software sollte eine Such- und Filterfunktion bieten, die auch mit großen Datenmengen performant umgehen kann. Komplexe Suchanfragen müssen in Sekundenbruchteilen beantwortet werden, auch bei bis zu Tausenden von Datensätzen. Eine Exportfunktion (CSV/Excel) für weitere Analysen ist notwendig.

• Benchmarking und Trendanalyse: Das System soll Zeitreihen vergleichen können (z.B. Score-Entwicklung einer Fremdfirma über die letzten Jahre) und Benchmarks berechnen (Durchschnittswerte pro Branche, pro Standort etc.). So erkennt man z.B., ob eine Firma sich verbessert oder verschlechtert oder wie sie relativ zum Durchschnitt aller Fremdfirmen abschneidet. Graphische Visualisierungen (Trends, Balkendiagramme) erleichtern die Interpretation.

• Benachrichtigungssystem: Ein integraler Bestandteil ist das Alerting. Neben den schon erwähnten Eskalations-Mails sollte es auch routinehafte Benachrichtigungen geben: z.B. "Audit fällig für Firma X", "Zertifikat Y läuft in 30 Tagen ab", "Bewertung eingeben für abgeschlossenen Auftrag Z" etc. Diese können per E-Mail oder innerhalb des Systems (Notification Center) erfolgen. Frequenz und Empfänger sind je nach Regel definierbar. Ziel ist, dass nichts "durchrutscht" und alle Beteiligten ihre Aufgaben fristgerecht wahrnehmen können.

• Benutzerfreundliche Oberfläche: Trotz des Umfangs an Daten muss die UI übersichtlich gestaltet sein. Anwender sollen intuitiv navigieren können – z.B. von der Übersichtsliste in einen einzelnen Fremdfirmenprofil-Dashboard, das alle wichtigen Kennzahlen und Infos zu dieser Firma bündelt (Stammdaten, aktueller Score, offene Punkte, Kontaktpersonen etc.). Von dort aus sollte man tiefer in Untersektionen gehen können (z.B. Liste aller Vorfälle dieser Firma, hinterlegte Dokumente, Auditberichte). Eine sinnvolle Rechtesteuerung stellt sicher, dass Benutzer nur das sehen und ändern können, was ihrem Rollenprofil entspricht: etwa darf ein Fachabteilungs-Auftraggeber zwar Bewertungen eingeben und Berichte einsehen, aber keine Stammdaten anderer Firmen verändern; ein HSE-Manager sieht Sicherheitsvorfälle aller Fremdfirmen, aber evtl. keine kaufmännischen Infos, usw. Das System muss ein flexibles Benutzer- und Berechtigungskonzept unterstützen (Integration in Single Sign-On siehe unten, sowie Rollen wie Admin, Betrachter, Editor definierbar).

Abschließend ist zu betonen, dass die fachlichen Anforderungen stets mit Blick auf Praxisnähe ausgestaltet werden: Das System soll den Arbeitsalltag erleichtern, nicht verkomplizieren. Daher wird in der Designphase Wert auf Usability-Tests gelegt, um sicherzustellen, dass z.B. das Eingabeformular für eine Bewertung oder Unfallmeldung einfach und selbsterklärend ist. Nur wenn die Nutzer die Software akzeptieren und zuverlässig mit Daten füttern, kann die Bewertungsdatenbank ihren vollen Nutzen entfalten.

Angesichts der zentralen Bedeutung der Plattform – sie wird teils in regulierten Umgebungen eingesetzt – sind die Qualitäts- und Sicherheitsanforderungen hoch. Nach GAMP 5 (Good Automated Manufacturing Practice) wäre ein solches System in einer pharmazeutischen Umgebung als Category 4-System einzustufen, was strenge Anforderungen an Validierung und Betrieb mit sich bringt.

• Verfügbarkeit: Die Plattform muss hochverfügbar sein. Geplant ist eine Systemverfügbarkeit von mindestens 99,5 % pro Kalenderjahr, inklusive geplanter und ungeplanter Ausfallzeiten. Dies entspricht maximal ca. 1,83 Tage Downtime pro Jahr. Höhere Verfügbarkeiten sind wünschenswert, könnten aber durch Wartungsfenster begrenzt werden. Gerade in GMP-kritischen Bereichen darf ein Ausfall nicht die Freigabe von Chargen verzögern – daher sind Wartungen sorgfältig zu planen (z.B. in produktionsfreien Zeiten) und ein Ausfallkonzept (Fallback-Prozeduren, z.B. manuelle Dokumentation) vorzuhalten.

• Performance und Skalierbarkeit: Das System muss auch bei großen Datenmengen zügig reagieren. Zielvorgabe ist, dass selbst bei 1.000 gleichzeitigen Nutzern und 1 Million Bewertungseinträgen komplexe Suchen oder Filterabfragen in unter 3 Sekunden Antwortzeit liefern. Die Architektur sollte so gewählt sein, dass sie bei steigenden Nutzerzahlen oder Datenvolumen (Skalierung) mitwächst – z.B. durch horizontale Skalierung der Server oder optimierte Datenbankabfragen. Batch-Verarbeitungen (z.B. nächtliche Score-Neuberechnung) dürfen die Online-Performance nicht merklich beeinträchtigen. Ein Last- und Performancetest wird Teil der Abnahme sein.

• Sicherheit (IT-Security): Die Anwendung muss den neuesten Security-Anforderungen genügen. Neben Zugriffsschutz (rollebasierte Zugriffsrechte, starke Authentifizierung via Single Sign-On) ist insbesondere der Schutz der Daten ein Muss. Sämtliche Kommunikation zwischen Client und Server sowie zwischen den System-Schnittstellen ist verschlüsselt (TLS). Auf der Datenhaltungsebene soll ein nachweisliches Zero-Knowledge-Verschlüsselungskonzept vorliegen, d.h. gespeicherte vertrauliche Daten sind auch für den Anbieter unlesbar. Integrität und Vertraulichkeit sensibler Informationen – etwa Klassifizierungen, die Rückschlüsse auf sicherheitskritische Schwachstellen zulassen – müssen gemäß ISO 27001 Anhang A gewährleistet sein. Penetrationstests vor Inbetriebnahme und regelmäßig im Betrieb sind vorgesehen, um Sicherheitslücken zu identifizieren.

• Datenschutz: Personenbezogene Daten, die in der Datenbank vorkommen (z.B. Name eines Fremdfirmen-Mitarbeiters bei einem Unfallbericht, Kontaktdaten von Ansprechpartnern der Fremdfirma, Fotos bei Zugangsbadges etc.), unterliegen der DSGVO. Ein entsprechendes Datenschutzkonzept ist erforderlich. Dieses beinhaltet Datenminimierung (es werden nur notwendige personenbezogene Daten gespeichert), Zweckbindung und Löschkonzepte (z.B. Löschung personenbezogener Ereignisdaten nach X Jahren, sofern gesetzlich zulässig). Die Betroffenenrechte (Auskunft, Korrektur, Löschung) müssen auch für Fremdfirmen-Mitarbeiter gewahrt werden – sollte z.B. ein Mitarbeiter einer Fremdfirma Auskunft verlangen, muss das System in der Lage sein, alle zu seiner Person gespeicherten Daten auszugeben. Hier ist eine enge Abstimmung mit dem Datenschutzbeauftragten und ggf. dem Betriebsrat erforderlich.

• Zuverlässigkeit und Wiederherstellbarkeit: Es ist ein robustes Backup- und Recovery-Konzept vorzulegen. Ein Recovery Point Objective (RPO) von maximal 4 Stunden wird gefordert, d.h. im Worst Case (z.B. komplettes Systemabenteuer) dürfen maximal 4 Stunden an Datenverlust auftreten. Das Recovery Time Objective (RTO) sollte ebenfalls gering sein, z.B. < 8 Stunden, sodass im Notfall der Betrieb am selben Tag wieder aufgenommen werden kann. Dies erfordert redundante Systeme, automatisierte Backups (mind. täglich, eher stündlich inkrementell) und regelmäßige Restore-Tests. Weiterhin sollte die Software-Funktion "Undo" bzw. Korrektur von Fehlbedienungen vorgesehen sein (sofern es nicht die Audit-Trail-Pflichten verletzt), um z.B. versehentlich eingegebene falsche Daten einfacher bereinigen zu können.

• Benutzerdokumentation und Schulungen: Obwohl dies kein rein technisches Kriterium ist, gehört es zu den Qualitätsanforderungen, dass es für alle Nutzergruppen verständliche Anleitungen gibt. Ein Online-Hilfesystem oder kontextsensitive Hilfen innerhalb der Anwendung (Tooltips, Hilfeseiten) sind bereitzustellen. Ebenso muss der Anbieter Schulungsmaterial und -sessions anbieten, um alle Key-User (insbesondere Kontraktorenmanager, HSE-Fachkräfte, etc.) mit dem System vertraut zu machen.

• Mehrsprachigkeit: Das Unternehmen operiert global, daher ist eine Mehrsprach-Unterstützung erforderlich. Mindestens Deutsch und Englisch sollten als UI-Sprachen verfügbar sein; idealerweise ist das System leicht um weitere Sprachen erweiterbar (Internationalisierung). Alle Erfassungsmasken, Reports und Ausgaben müssen sprachabhängig gestaltet sein. Daten, die von Nutzern eingegeben werden (z.B. Freitext-Kommentare in einem Bewertungsformular), verbleiben in der Originalsprache, aber die Systemoberfläche und Standardtexte passen sich an.

Zusammengefasst sind die nicht-funktionalen Anforderungen essenziell, damit die Akzeptanz und der zuverlässige Betrieb der Bewertungsdatenbank gewährleistet sind. In einem sicherheitskritischen Umfeld ist es besser, bestimmte Funktionen zu begrenzen, als die Qualität zu gefährden – d.h. im Zweifel geht Stabilität vor Funktionsvielfalt.

• SAP S/4HANA (ERP-System): Das zentrale ERP-System verwaltet Lieferantenstammdaten, Bestellungen und ggf. auch einfache Lieferantenbewertungen. Die Bewertungsdatenbank muss mit SAP bidirektional kommunizieren. Konkret bedeutet dies: Neue Fremdfirmen, die im SAP-Lieferantenstamm angelegt werden, sollen automatisch an die Bewertungsplattform übergeben werden (Initialanlage eines Datensatzes). Umgekehrt soll ein kritischer Status (z.B. “Lieferant gesperrt”) von der Bewertungsdatenbank an SAP gemeldet werden, damit er dort z.B. in Bestellsperren mündet. Idealerweise erfolgt diese Kommunikation in Echtzeit via REST-API oder RFC, zumindest aber durch regelmäßige Synchronisation. Auch Bestelldaten und Leistungsnachweise aus SAP können relevant sein (z.B. um OTIF zu berechnen: Liefertermine, Ist-Lieferdaten).

• Fremdfirmenportal (SAP-basiert): Das Unternehmen nutzt bereits ein Portal für Fremdfirmen, in dem sich Dienstleister registrieren, Dokumente hochladen (z.B. Unterweisungsnachweise) und ggf. Zeiterfassungen tätigen. Es ist wahrscheinlich, dass dieses Portal als Frontend für bestimmte Funktionen dienen kann. Denkbar ist z.B., dass Fremdfirmen über das Portal ihre Selbstbewertungsfragebögen ausfüllen oder Dokumente aktualisieren, welche dann in die Bewertungsdatenbank übernommen werden. Die Schnittstelle hierzu könnte über Web-Services oder eine direkte Integration innerhalb des SAP-Portals erfolgen. Wichtig ist, dass keine Doppelpflege nötig wird: Das Portal und die Bewertungsdatenbank sollen Daten austauschen, damit etwa ein im Portal hochgeladenes Zertifikat automatisch in der Datenbank erscheint.

• Zutrittskontrollsystem: An den Standorten existiert ein elektronisches Zugangskontroll-System, das z.B. beim Betreten des Werksgeländes durch Fremdfirmenmitarbeiter deren Anwesenheit erfasst (z.B. über Ausweiskarten). Diese Systeme (ggf. von Drittanbietern) liefern wertvolle Daten: z.B. Gesamtarbeitsstunden der Fremdfirma auf dem Gelände (wichtig für Unfallraten) oder ob nur angemeldete/unterwiesene Personen Zugang erhalten haben. Die Bewertungsdatenbank soll das Zutrittssystem abfragen können, um z.B. die Stunden pro Firma zu summieren oder um bei Bedarf einzelne Personen zu überprüfen (z.B. im Ereignisfall: wer war anwesend?). Umgekehrt könnte das Zutrittssystem von der Bewertungsdatenbank informiert werden, wenn eine gesamte Fremdfirma gesperrt ist, sodass Mitarbeiter dieser Firma keinen Zutritt mehr erhalten (Safety Lockdown bei extremer Eskalation). Diese Integration stellt hohe Anforderungen an die Aktualität (nahe Echtzeit bei Sperrungen) und an Datenschutz (Personalbezogene Zutrittslogs dürfen nur berechtigten Personen zugänglich sein).

• DVS – Dokumentenverwaltungssystem: Im Unternehmen ist ein zentrales DVS im Einsatz, in dem Dokumente wie Zertifikate, Schulungsnachweise, Verträge etc. abgelegt werden. Die Fremdfirmen-Bewertungsplattform sollte nicht jedes Dokument physisch speichern müssen, sondern kann Verknüpfungen herstellen. Z.B. wird im Fremdfirmen-Stammdatensatz referenziert: “ISO-9001 Zertifikat gültig bis 12/2024 – Dokument-ID 12345 im DVS”. Über eine Schnittstelle (z.B. WebDAV, API oder Plugin) kann das Dokument bei Bedarf angezeigt werden. Das DVS könnte auch genutzt werden, um generierte Reports oder Auditberichte revisionssicher abzulegen.

• EHS- und Qualitätsmanagement-Systeme: Falls das Unternehmen spezielle Software für Arbeitssicherheit (z.B. Unfallmelde-Software) oder Qualitätsmanagement (CAPA-Tracking, Audit-Management) im Einsatz hat, sind auch hier Schnittstellen sinnvoll. Beispielsweise könnten Unfallmeldungen, die im EHS-System erfasst wurden, automatisch in die Bewertungsdatenbank übernommen werden, um Doppeleingaben zu vermeiden. Ebenso könnten Auditfindings aus einem Auditmanagement-Tool eingespeist werden. Standardisierte Formate (z.B. CSV/XML-Importe) sollten unterstützt werden. Der Datenaustausch muss dabei bidirektional konzipiert sein: Änderungen oder Erledigungen (z.B. CAPA erledigt am Datum X) sollten synchronisiert werden, um Konsistenz zu wahren.

• Authentifizierung und Single Sign-On: Die Anwender der Plattform sind Mitarbeiter des Unternehmens, die bereits im Verzeichnisdienst (Active Directory oder vergleichbar) hinterlegt sind. Daher muss die Software an das bestehende Single Sign-On (SSO) angebunden werden. Ein OIDC- oder SAML2-kompatibles Authentifizierungsverfahren ist Voraussetzung. Benutzer sollen sich mit ihren normalen Unternehmens-Accounts anmelden können, ohne separate Logins. Berechtigungsgruppen sollten idealerweise direkt aus dem Directory übernommen oder steuerbar sein (z.B. mittels AD-Gruppen, die bestimmten Rollen im System entsprechen).

• Entwicklungs- und Testumgebung: Neben der Produktionsumgebung wird es eine Entwicklungs-/Testumgebung geben, in der neue Funktionen oder Konfigurationen ausprobiert werden. Ein teilweiser Datenabzug aus der Produktion (anonymisiert) kann nötig sein, um realistische Tests durchzuführen – hier ist eine datenschutzkonforme Lösung zu finden. Die Architektur muss es erlauben, dass Änderungen zunächst in Test deployt werden, bevor sie nach Abnahme in Produktion gehen (Stichwort: Transportwege bei SAP-naher Entwicklung, oder CI/CD-Pipeline bei Webanwendung).

Die Schnittstellen werden idealerweise mittels REST-APIs realisiert, wo Echtzeit notwendig, und zusätzlich über Bulk-Upload-Funktionen (z.B. CSV/XML Import/Export) für Massenoperationen. Die genaue technische Umsetzung hängt von der angebotenen Lösung ab, aber im Lastenheft ist festgelegt, dass offene Standards und Protokolle zu nutzen sind, um eine leichte Integration zu gewährleisten.

Ein besonderes Augenmerk liegt auf der GMP-relevanten Audit-Trail-Funktion (sofern der Einsatz im GxP-Umfeld vorgesehen ist): Jede Änderung an Stammdaten, Risikoeinstufungen oder Bewertungsparametern muss mit Nutzerkennung, Zeitstempel, altem und neuem Wert protokolliert werden. Dieser Audit-Trail ist manipulationssicher zu speichern und sollte idealerweise vom Systemumfeld (z.B. Datenbank) noch einmal gesondert geschützt sein (Write-Once-Read-Many Speicher oder ähnliches), um maximale Integrität zu bieten.

Zusammengefasst muss die neue Bewertungsdatenbank in der Lage sein, sich harmonisch in die bestehende IT-Landschaft einzufügen, Daten aus mehreren Quellen zu aggregieren und bei gewissen Ereignissen an diese zurückzumelden. Nur so kann sie ihren vollen Wert entfalten, indem sie als Single Source of Truth für Fremdfirmenbewertungen fungiert, ohne zum Datensilo zu werden.

• Mindestens 95% aller aktiven Fremdfirmen sind mit vollständigen Stammdaten und Bewertungen im neuen System erfasst. (Benchmark aus Lastenheft)

• Während eines externen Compliance- oder Qualitäts-Audits (z.B. ISO-Zertifizierung oder Kundenaudit) werden keine kritischen Abweichungen im Bereich Fremdfirmenmanagement festgestellt. Mit anderen Worten: Auditoren akzeptieren das System als adäquaten Nachweis der Lieferantenqualifizierung.

• Der Betriebsrat und ggf. die Datenschutzaufsicht haben dem Systemeinsatz zugestimmt, ohne dass weitere Auflagen bestehen, d.h. alle Datenschutz- und Arbeitnehmerrechte wurden berücksichtigt.

• Alle definierten Muss-Anforderungen aus diesem Lastenheft sind nachweislich erfüllt und per Stichprobe getestet (Traceability-Matrix vollständig abgehakt).

• Key-User-Schulungen wurden durchgeführt und die Nutzer können mit dem System effektiv arbeiten (nachweisbar durch Feedback oder einen Probelauf).

• Zu Beginn wird auf Basis dieses Lastenhefts eine URS (User Requirements Specification) erstellt, sofern das Lastenheft nicht bereits als solche fungiert. Darauf basierend erarbeitet der Lieferant eine FS (Functional Specification) und DS (Design Specification), in denen er aufzeigt, wie die Anforderungen umgesetzt werden sollen. Die Auftraggeberin prüft und genehmigt diese Spezifikationen.

• Die Implementierung erfolgt iterativ, begleitet von internen Tests des Anbieters. Anschließend werden formale Tests durchgeführt: IQ (Installationsqualifizierung), OQ (Funktionsqualifizierung) und PQ (Leistungsqualifizierung). In der IQ wird überprüft, ob das System korrekt installiert/konfiguriert wurde (z.B. alle Module, Schnittstellen, Benutzerrechte wie vorgesehen eingerichtet). Die OQ testet jede einzelne Funktion gegen die Anforderungen (Testfälle werden aus dem Lastenheft abgeleitet, inkl. Edge-Cases und Fehlbedienungen). In der PQ wird das System unter realistischen Bedingungen im Gesamtkontext geprüft – inkl. Volumentests, Performance und Nutzerakzeptanztests.

• Ein zentrales Element ist die Traceability-Matrix, in der jede Anforderung einem oder mehreren Testfällen zugeordnet ist. Dadurch wird sichergestellt, dass nichts ungetestet bleibt. Etwa: Anforderung "System muss 1000 User handhaben" – Test in PQ mit Simulation von 1000 gleichzeitigen Logins.

• Während der Testphase auftretende Abweichungen (Deviations) werden dokumentiert und durch ein Change-Control-Verfahren aufgearbeitet. Kleinere Bugs werden behoben, größere Änderungen ggf. neu bewertet und in einer Version 1.1 später umgesetzt, falls für den Go-Live nicht kritisch. Jede Änderung an Anforderungen oder Design nach der URS-Freigabe unterliegt einem formalen Change Request Prozess, um Scope Creep zu vermeiden.

• Erst nach erfolgreich bestandener PQ und Freigabe durch die Qualitätssicherung der Auftraggeberin darf das System produktiv geschaltet werden. Gerade für GxP-relevante Funktionen wird die QA-Abteilung eng eingebunden sein und ggf. eigene Audits beim Lieferanten durchführen (z.B. Lieferantenaudit der Softwarefirma, Prüfung der Entwicklungs- und Testprozesse dort).

Neben der anfänglichen Validierung wird auch im laufenden Betrieb ein Qualifizierungsrahmen eingehalten: System-Updates oder -Änderungen werden einer Risikoanalyse unterzogen. Kritische Updates (z.B. Versionssprung, Änderungen an Kernfunktionen) erfordern eine Re-Qualifizierung (Regressionstests ausgewählter Funktionen), bevor sie live gehen. Dieser Prozess wird in einem Qualitätssicherungsplan festgelegt, den der Anbieter mitliefern muss.

Für die Qualitätssicherung ist weiterhin relevant, dass alle Benutzerdaten aus Altsystemen korrekt migriert werden. Eine initiale Datenmigration (z.B. aus Excel-Listen und SAP-Downloads) wird erfolgen, wobei die Datenqualität überprüft und bereinigt werden muss. Das System sollte Tools für Massendaten-Uploads bieten, um diesen Prozess zu erleichtern. Nach Migration wird ein Datenabgleich durchgeführt: Mindestens 95 % aller aktiven Fremdfirmen sollen vollständig erfasst und korrekt abgebildet sein, damit das Projekt als erfolgreich gilt.

Geplant ist ferner ein Parallelbetrieb von ca. 3 Monaten, in dem das neue System und die alten Verfahren (z.B. bisherige Excel-Listen) nebeneinander geführt werden. In dieser Phase können Unstimmigkeiten in den Daten erkannt werden. Erst wenn der Parallelbetrieb gezeigt hat, dass die Datenqualität und Prozessstabilität gewährleistet sind, wird endgültig auf das neue System umgestellt.

• Evolving Regulations: Neue regulatorische Anforderungen – sei es eine Revision von Sicherheitsstandards, neue ESG-Berichtspflichten entlang der Lieferkette oder branchenspezifische Leitlinien – sollen durch Konfiguration oder modulare Erweiterungen abbildbar sein. Beispielsweise könnte in einigen Jahren Nachhaltigkeit (CO₂-Fußabdruck der Dienstleister, Existenz eines Umweltmanagementsystems) ein Kriterium werden. Das System sollte darauf vorbereitet sein, solche Kategorien zu integrieren, ohne eine Neuentwicklung starten zu müssen.

• Smart Contracts & Blockchain: Denkbar ist zukünftig die Anbindung von Smart Contracts, um automatisch Zahlungen oder Boni an Leistungskennzahlen zu knüpfen. Z.B. könnte ein Vertrag mit einer Fremdfirma vorsehen, dass bei Erreichen bestimmter Sicherheitsziele ein Bonus gezahlt wird – dies ließe sich via Blockchain-basierter Smart Contracts und direkter Kopplung an die Bewertungsdatenbank realisieren. Solche Technologien sind heute noch im Reifeprozess, aber die Softwarearchitektur soll prinzipiell offen für solche Integrationen sein.

• Advanced Analytics & KI: Mit wachsenden Datenmengen kommt der Einsatz von Machine Learning in Betracht. Algorithmen könnten die historischen Daten auf Muster analysieren und Frühwarnindikatoren generieren. Beispielsweise könnte eine KI feststellen: Eine Kombination aus leicht steigender Nacharbeitsquote und zunehmenden kleineren Sicherheitsverstößen bei einer Fremdfirma ist ein Prädiktor für einen schweren Vorfall. Das System könnte dann automatisch Warnungen ausgeben (Predictive Risk Scoring). Ebenso könnten KI-gestützte Textanalysen von Berichten oder Freitextkommentaren helfen, Risiken zu identifizieren, die in den strukturierten Feldern nicht offensichtlich sind.

• Mobiler Zugriff und IoT: Zukünftig sollen Verantwortliche auch mobil (per Tablet/Smartphone) auf die Datenbank zugreifen können, etwa wenn sie auf der Anlage einen Rundgang machen und einen Fremdfirmenmitarbeiter kontrollieren möchten. Eine mobile App oder responsive Web-Oberfläche ist dafür einzuplanen. Auch IoT-Entwicklungen (wie oben erwähnt, Sensoren, Wearables zur Sicherheit) werden immer wichtiger; die Plattform sollte diese Trends begleiten können.

• Unternehmensweite Ausweitung: Momentan liegt der Fokus auf klassischen Fremdfirmen. In Zukunft könnte das System aber auch auf Lieferanten von Materialien oder Equipment ausgeweitet werden (Supplier Rating), um eine ganzheitliche Lieferantenbewertung zu erreichen. Auch eine Zusammenarbeit bzw. Datenaustausch mit Kundenportalen (manche Großauftraggeber könnten vergleichbare Anforderungen an uns als Dienstleister stellen) ist perspektivisch denkbar.

Die Auftraggeberin versteht dieses System als strategische Investition in die Zukunft. Entsprechend wird vom Anbieter erwartet, einen Roadmap-Plan vorlegen zu können, wie die Software in den nächsten 5–10 Jahren weiterentwickelt werden kann (Stichwort Release-Plan, Wartungsverträge etc.). Wichtig ist, dass die Lösung nicht in kurzer Zeit veraltet oder an ihre Grenzen stößt, sondern skalierbar und anpassungsfähig bleibt.

Schließlich wird angestrebt, die Bewertungsdatenbank auch kulturell im Unternehmen zu verankern: Sie soll als Werkzeug verstanden werden, das "Lernen aus Erfahrungen" ermöglicht und die Sicherheitskultur fördert. Wenn beispielsweise sichtbar wird, dass durch konsequente Auswertung und Schulung die Unfallzahlen bei Fremdfirmen sinken, stärkt das die Akzeptanz. Tatsächlich zeigen Erhebungen in der Chemiebranche, dass ein vorausschauendes Sicherheitsmanagement bei Fremdfirmen die Unfallzahlen deutlich reduzieren kann. Die hier konzipierte Plattform liefert die dafür nötige Datenbasis und Steuerungsmöglichkeit.

Mit der beschriebenen digitalen Bewertungsdatenbank für Fremdfirmen schafft die Auftraggeberin ein modernes Instrument, um die Leistungsfähigkeit, Sicherheit und Zuverlässigkeit ihrer Dienstleister transparent zu machen und zu steigern. Es verbindet bewährte Managementmethoden mit innovativer Technologie und stellt sicher, dass Fremdfirmen – als wichtige Erweiterung der eigenen Wertschöpfung – den gleichen hohen Standards genügen wie interne Einheiten. Dies minimiert Risiken, erhöht die Qualität und festigt letztlich die Wettbewerbsfähigkeit und Reputation des Unternehmens.

Mit Umsetzung dieser Konzeption legt das Unternehmen den Grundstein für ein proaktives Fremdfirmenmanagement, das zukunftsweisend in seiner Branche sein kann. Alle weiteren Schritte – von der Ausschreibung über die Implementierung bis zum Change Management – bauen auf den hier definierten Anforderungen auf und werden von diesem belastbaren Fundament geleitet.