CAPA-Prozess: warum ISO 9001 den Begriff nicht kennt — und was 10.2 stattdessen verlangt

Eine Feststellung kostet wenig. Teuer wird dieselbe Feststellung im übernächsten Audit — mit demselben Prozess, derselben Ursachenzeile und einer Maßnahme, die längst als „erledigt“ abgehakt ist.

Ein Teil dieses Musters ist ein Vokabelproblem. Die meisten CAPA-Formulare fragen nach einer „Vorbeugungsmaßnahme“ — nach etwas also, das ISO 9001 seit elf Jahren nicht mehr verlangt und nie so genannt hat. Wer das Formular ernst nimmt, füllt ein Feld ohne normative Entsprechung und lässt den Unterpunkt offen, den Auditoren tatsächlich prüfen.

Woher der Begriff CAPA kommt — und warum ISO 9001 ihn nicht verwendet

CAPA ist keine ISO-Vokabel. Der Begriff stammt aus der US-amerikanischen Medizinprodukteregulierung: 21 CFR § 820.100 „Corrective and preventive action“ war bis Anfang 2026 ein eigener Paragraf der Quality System Regulation der FDA und füllte dort den gesamten Subpart J — der Subpart trug denselben Namen und enthielt genau diesen einen Paragrafen [1].

Der Inhalt war deutlich vorschreibender als alles, was ISO 9001 kennt: sieben durchnummerierte Unterpunkte, dazu die generelle Dokumentationspflicht. Verlangt wurden unter anderem die Auswertung von Prozess-, Audit- und Reklamationsdaten zur Erkennung bestehender und potenzieller Fehlerursachen, die Untersuchung der Ursachen, die Verifizierung oder Validierung der Maßnahme auf Wirksamkeit und die Vorlage der Ergebnisse in der Managementbewertung [1].

Hier ist der Teil, den fast keine deutschsprachige Quelle nachgezogen hat: Diesen Paragrafen gibt es nicht mehr. Mit der Schlussregel „Medical Devices; Quality System Regulation Amendments“ (89 FR 7496, veröffentlicht am 02.02.2024) hat die FDA Part 820 grundlegend umgebaut; die Regelung ist am 02.02.2026 in Kraft getreten [2]. Part 820 heißt seither „Quality Management System Regulation“ (QMSR), die Subparts C bis O sind reserviert — leer —, und § 820.100 existiert nicht mehr [3]. An seine Stelle tritt eine Verweisungskonstruktion: § 820.7 bindet ISO 13485:2016(E), dritte Ausgabe vom 01.03.2016, per Incorporation by Reference ein, und § 820.10 verlangt vom Hersteller ein dokumentiertes Qualitätsmanagementsystem, das die zutreffenden Anforderungen der ISO 13485 erfüllt [3].

Die FDA selbst benennt in der Begründung zur Schlussregel, wohin die Anforderung gewandert ist: ISO 13485 behandelt Korrekturmaßnahmen in Abschnitt 8.5.2 und Vorbeugungsmaßnahmen in Abschnitt 8.5.3, und beide sind über die Verweisung Teil der QMSR geworden [2]. Bemerkenswert am Rand: Die Abkürzung CAPA kommt im Text der Schlussregel kein einziges Mal vor.

ISO 9001 hat den Begriff ohnehin nie geführt. Ihr Vokabular ist Korrektur und Korrekturmaßnahme, geregelt in Abschnitt 10.2 „Nichtkonformität und Korrekturmaßnahmen“ [4]. Wer ein Ein-Norm-QM-System nach ISO 9001 betreibt, importiert mit dem Wort CAPA also eine Struktur aus einem fremden Rechtskreis — und zwar eine, die es in dieser Form selbst dort nicht mehr gibt. Was ISO 9001 sonst noch nicht fordert, obwohl es hartnäckig behauptet wird, sammelt der Beitrag ISO 9001 einfach erklärt.

Korrektur, Korrekturmaßnahme, Vorbeugungsmaßnahme: die Unterscheidung

Die drei Begriffe sind keine Synonyme und liegen in ISO 9001:2015 an drei verschiedenen Stellen — beziehungsweise an zweien, denn einer fehlt.

Die Korrektur richtet sich auf das fehlerhafte Ergebnis selbst. In 8.7 geht es darum, nichtkonforme Ergebnisse zu erkennen und zu steuern, damit sie nicht unbeabsichtigt verwendet oder ausgeliefert werden; die Norm nennt dort als mögliche Handlungen die Korrektur, das Aussondern oder Zurückhalten, die Information des Kunden und die Sonderfreigabe [4]. Eine Ursachenanalyse verlangt 8.7 nicht. In 10.2.1 a) taucht die Korrektur ein zweites Mal auf: reagieren, steuern, korrigieren, mit den Folgen umgehen.

Die Korrekturmaßnahme setzt an der Ursache an. Sie steht in 10.2.1 b) bis d) und zielt darauf, dass die Nichtkonformität nicht erneut oder an anderer Stelle auftritt [4].

Die Vorbeugungsmaßnahme gibt es nicht mehr. ISO 9001:2008 hatte dafür den eigenen Abschnitt 8.5.3, der Maßnahmen gegen die Ursachen möglicher Fehler verlangte — und ein dokumentiertes Verfahren dazu [5]. In der Fassung 2015 ist dieser Abschnitt ersatzlos gestrichen. Anhang A.4 begründet das ausdrücklich: Weil das Qualitätsmanagementsystem selbst als vorbeugendes Instrument wirken soll, enthält die Norm keinen separaten Abschnitt oder Unterabschnitt zu vorbeugenden Maßnahmen; das Konzept wird durch das risikobasierte Denken ausgedrückt, das die Bestimmung von Risiken als Grundlage der Planung in 6.1 verankert [4]. Anhang A.4 stellt zugleich klar, dass daraus keine Pflicht zu formellen Methoden des Risikomanagements oder zu einem dokumentierten Risikomanagementprozess folgt [4].

Praktisch heißt das: Ein Feld „Vorbeugungsmaßnahme“ im Formular ist nicht falsch, aber es ist freiwillig. Auditrelevant ist es nur, wenn Ihre eigene Verfahrensbeschreibung es zur internen Anforderung erklärt — dann prüft der Auditor es gegen 9.2.1, weil das interne Audit auch die Erfüllung der eigenen Festlegungen nachweisen muss [4].

Der häufigste Fehler: das Symptom als Ursache

Ein durchgerechnetes Beispiel. Feststellung im internen Audit: Bei drei von zwölf gezogenen Chargenfreigaben eines Zukaufteils fehlt im Prüfprotokoll die dokumentierte Freigabeentscheidung. Die Chargen sind produziert und ausgeliefert.

Die übliche Bearbeitung braucht vier Zeilen. Ursache: „Prüfer hat die Eintragung vergessen.“ Maßnahme: „Unterweisung der Prüfer am 14.03.“ Verantwortlich: Teamleiter Wareneingang. Termin: erledigt. Der Vorgang schließt in zwanzig Minuten.

Rechnen wir die Ursachenkette weiter, sieht das anders aus:

1. Der Prüfer hat es vergessen. Das ist kein Befund, das ist die Feststellung noch einmal in Personalform. Maßnahme: Schulung. Wirkungsdauer erfahrungsgemäß ein Quartal.
2. Die Freigabeentscheidung ist kein Pflichtfeld. Der Prüfschritt lässt sich abschließen, ohne dass das Feld gefüllt ist. Maßnahme: Feld als Pflichtfeld konfigurieren. Kosten: eine Stunde Customizing.
3. Der Prüfplan sieht die Entscheidung an einer Stelle vor, an der die physische Ware schon weitergebucht ist. Der Prüfer trägt nach, wenn er dazu kommt — und manchmal kommt er nicht dazu. Maßnahme: Reihenfolge im Prüfplan ändern.
4. Für dieses Zukaufteil wurde die Prüfstufe nach einer Lieferantenbewertung reduziert, ohne den Prüfplan anzupassen. Maßnahme: Kopplung zwischen Lieferantenbewertung und Prüfplanpflege herstellen.

Erst ab Stufe 2 verändert die Maßnahme das System statt die Person. Und erst Stufe 4 beantwortet die Frage, die 10.2.1 b) 3) stellt: ob vergleichbare Nichtkonformitäten bestehen oder auftreten könnten [4] — denn wenn die Kopplung generell fehlt, betrifft der Befund jedes Teil mit reduzierter Prüfstufe, nicht drei Chargen.

Die Schulung ist übrigens nicht per se falsch. Sie ist nur dann eine Korrekturmaßnahme, wenn die Ursache tatsächlich eine Kompetenzlücke war. In allen anderen Fällen ist sie eine Korrektur mit Fortbildungscharakter.

Wie weit die Ursachenkette gehen muss

Die Norm nennt keine Tiefe. Sie nennt zwei Kriterien, aus denen sich eine ergibt.

Das erste steht in 10.2.1 b) 3): Sie müssen bestimmen, ob vergleichbare Nichtkonformitäten bestehen oder möglicherweise auftreten könnten [4]. Das ist die praktische Abbruchbedingung. Sie sind tief genug, wenn Sie diese Frage beantworten können, ohne zu raten. Bei „der Prüfer hat es vergessen“ können Sie es nicht — die Aussage sagt nichts darüber, ob andere Prüfer, andere Standorte oder andere Teile betroffen sind. Bei „die Kopplung zwischen Lieferantenbewertung und Prüfplanpflege fehlt“ können Sie es, und die Antwort ist zählbar.

Das zweite steht am Ende von 10.2.1: Korrekturmaßnahmen müssen den Auswirkungen der aufgetretenen Nichtkonformitäten angemessen sein [4]. Tiefe ist also nicht kostenlos zu maximieren. Ein fehlendes Kürzel auf einem internen Laufzettel rechtfertigt keine Prozesslandschaftsrevision.

Für die Methodik gibt die Norm nichts vor. Bewährt haben sich zwei Formate mit klar unterschiedlichem Zuschnitt: die 5-Why-Methode mit Anleitung und Beispielen für Einzelbefunde mit überschaubarer Kette, und der 8D-Report nach VDA Band 8D für Reklamationen mit Kundenbezug, Sofortmaßnahmen und Abstellmaßnahmen in getrennten Disziplinen. Welche Methode wann trägt und wo ihre dokumentierten Grenzen liegen, ordnet die Übersicht zur Ursachenanalyse im Qualitätsmanagement ein.

Einschätzung: Die Zahl Fünf in „5-Why“ ist eine Merkhilfe, keine Anforderung. In der Praxis liegt die brauchbare Kette bei Systembefunden eher bei drei bis vier Ebenen; darunter bleibt man bei Personen stehen, darüber verliert man den Bezug zur Feststellung.

Was ISO 9001 10.2 tatsächlich verlangt

Zuerst eine Klarstellung, die in vielen Fragenkatalogen falsch steht: Die Unterabschnitte 10.2.1 und 10.2.2 tragen im Normtext keine Überschriften. Wer „10.2.1 Allgemeines“ zitiert, zitiert etwas, das nicht existiert. Ebenso wenig verlangt die Norm eine Verfahrensanweisung für den Umgang mit Korrekturmaßnahmen.

Was sie verlangt, lässt sich vollständig auflisten. 10.2.1 gilt für Nichtkonformitäten einschließlich derer, die sich aus Reklamationen ergeben [4]:

Zwei Anschlüsse werden regelmäßig übersehen. Erstens verlangt 9.2.2 e) für Auditfeststellungen ausdrücklich Korrektur und Korrekturmaßnahme ohne ungerechtfertigte Verzögerung [4] — die Norm koppelt das interne Audit also direkt an 10.2. Zweitens gehören Nichtkonformitäten und Korrekturmaßnahmen nach 9.3.2 zu den Eingaben der Managementbewertung [4]. Eine Maßnahmenliste, die zur Managementbewertung erst aufwendig zusammengesucht werden muss, ist ein Symptom für sich; wie sich der Vorgang stattdessen durchgängig führen lässt, behandelt der Beitrag zum Umgang mit Feststellungen und Maßnahmen.

Die Wirksamkeitsprüfung — der Schritt, der fehlt

10.2.1 d) und 10.2.2 b) sind zwei Anforderungen, nicht eine. Die erste verlangt die Handlung: Sie müssen die Wirksamkeit überprüfen. Die zweite verlangt den Nachweis über das Ergebnis dieser Überprüfung [4]. Die meisten Maßnahmenlisten, die ich in Audits sehe, erfüllen die erste Hälfte des Vorgangs — es gibt einen Umsetzungsvermerk — und die zweite gar nicht. Ein Häkchen bei „umgesetzt“ belegt, dass jemand etwas getan hat. Es belegt nicht, dass es gewirkt hat.

Der Unterschied ist operativ und nicht semantisch. Umsetzung heißt: Das Pflichtfeld ist konfiguriert. Wirksamkeit heißt: In den nächsten dreißig Chargenfreigaben ist kein Leerfeld mehr aufgetreten, geprüft per Systemauswertung drei Monate nach der Umstellung, Ergebnis dokumentiert.

Damit das funktioniert, muss das Wirksamkeitskriterium bei der Entscheidung über die Maßnahme festgelegt werden, nicht bei ihrem Abschluss. Drei Angaben genügen: eine beobachtbare Größe, ein Beobachtungszeitraum und eine Stichprobe. Wer das Kriterium erst am Ende formuliert, formuliert es zwangsläufig so, dass die Maßnahme bestanden hat.

Einschätzung: Eine Frist nennt die Norm nicht. Aus der Auditpraxis trägt eine einfache Regel: Der Beobachtungszeitraum muss mindestens einen vollständigen Durchlauf des betroffenen Prozesses enthalten — bei einer Chargenfreigabe Tage, bei einem Kalibrierintervall unter Umständen ein Jahr. Eine pauschale Frist von drei Monaten für alles ist bequem und in beide Richtungen falsch.

Werkzeugseitig ist das eine Verknüpfungsfrage, keine Formularfrage: Feststellung, Ursache, Maßnahme und Wirksamkeitsprüfung müssen ein Vorgang sein, damit ein offener Wirksamkeitstermin überhaupt sichtbar werden kann. Wie qportal das abbildet, zeigt die Seite zu Maßnahmen und CAPA; die Systematik der Auditseite steht unter Auditmanagement. Dass sich der normative Akzent mit der kommenden Revision noch weiter in Richtung Wirksamkeitsnachweis verschiebt, ordnet der Beitrag zu den Änderungen der ISO 9001:2026 ein.

Fazit

Nennen Sie den Prozess ruhig weiter CAPA. Der Begriff ist eingeführt, und in einem Werk mit Medizinprodukte- oder Automotive-Kunden versteht ihn jeder. Aber bauen Sie ihn nicht aus dem Begriff, sondern aus 10.2 — sonst pflegen Sie ein Feld für Vorbeugungsmaßnahmen, das seit 2015 keiner Anforderung mehr entspricht, und lassen den Unterpunkt offen, der tatsächlich geprüft wird.

Dass § 820.100 seit Februar 2026 nicht mehr existiert, ist dabei mehr als eine Fußnote: Es zeigt, wie schnell eine importierte Struktur veraltet, während der eigene normative Bezug stabil bleibt. 10.2.1 a) bis f) und 10.2.2 a) und b) stehen seit elf Jahren unverändert im Text.

Wenn Sie an Ihrem Prozess nur eine Sache ändern, dann diese: Legen Sie das Wirksamkeitskriterium fest, bevor Sie die Maßnahme beschließen. Alles andere in 10.2 erledigt ein sauber geführter Vorgang fast von selbst — die Wirksamkeitsprüfung nicht.

Quellen

Erstquellen — Regulierung

1. Electronic Code of Federal Regulations: 21 CFR § 820.100 — Corrective and preventive action, Subpart J von Part 820 (Quality System Regulation), Fassungsstand 02.06.2025, d. h. vor Inkrafttreten der QMSR-Änderungen. https://www.ecfr.gov/on/2025-06-02/title-21/part-820/section-820.100 (abgerufen am 27.08.2026)
2. U.S. Food and Drug Administration: Medical Devices; Quality System Regulation Amendments. Final Rule, 89 FR 7496, veröffentlicht am 02.02.2024, in Kraft getreten am 02.02.2026. Die Zuordnung der Korrektur- und Vorbeugungsmaßnahmen zu den Abschnitten 8.5.2 und 8.5.3 der ISO 13485 stellt die FDA in der Begründung zur Schlussregel selbst her. https://www.federalregister.gov/documents/2024/02/02/2024-01709/medical-devices-quality-system-regulation-amendments (abgerufen am 27.08.2026)
3. Electronic Code of Federal Regulations: 21 CFR Part 820 — Quality Management System Regulation, geltende Fassung. §§ 820.1, 820.3, 820.7, 820.10, 820.35, 820.45; Subparts C bis O reserviert. https://www.ecfr.gov/current/title-21/chapter-I/subchapter-H/part-820 (abgerufen am 27.08.2026)

Erstquellen — Normen

4. DIN EN ISO 9001:2015-11, Qualitätsmanagementsysteme — Anforderungen (ISO 9001:2015); Deutsche und Englische Fassung EN ISO 9001:2015. Beuth Verlag, Berlin. Herangezogen: Abschnitt 3, 6.1, 8.7, 9.2, 9.3.2, 10.2 sowie Anhang A.4 (informativ).
5. DIN EN ISO 9001:2008-12, Qualitätsmanagementsysteme — Anforderungen (ISO 9001:2008); Dreisprachige Fassung EN ISO 9001:2008. Beuth Verlag, Berlin. Herangezogen: Abschnitte 8.5.2 und 8.5.3.

Normativer Text ist urheberrechtlich geschützt; die Anforderungen sind hier durchgehend sinngemäß wiedergegeben, nicht zitiert. Beratungs-, Zertifizierungs- und Content-Marketing-Seiten werden nicht als Quelle herangezogen. Wo dieser Text über die belegte Quellenlage hinausgeht, ist das als Einschätzung gekennzeichnet.