ISO 9001 verstehen
Risiken im Blick behalten: risikobasiertes Denken
Risikobasiertes Denken heißt: Ihr überlegt vorab, was schiefgehen oder besser laufen könnte, und setzt euren Aufwand dort ein, wo es am meisten zählt. Hier erfahrt ihr, was die ISO 9001 verlangt und was nicht.
Was die ISO 9001 verlangt
Risikobasiertes Denken ist keiner der sieben Grundsätze des Qualitätsmanagements. Es ist ein Konzept, das die ISO 9001 in ihrer Einleitung beschreibt (Abschnitt 0.3.3). Es ersetzt die früheren „Vorbeugungsmaßnahmen“, die bis 2015 einen eigenen Abschnitt hatten. Die Idee: Ihr beugt Problemen vor, indem ihr Risiken schon bei der Planung berücksichtigt.
Die zentrale Anforderung steht in Kapitel 6.1 (Umgang mit Risiken und Chancen):
- 6.1.1: Wenn ihr euer Qualitätsmanagementsystem (QMS) plant, berücksichtigt ihr die Themen aus eurem Umfeld (Kapitel 4.1) und die Anforderungen der interessierten Parteien (Kapitel 4.2). Interessierte Parteien sind alle, die Erwartungen an euer Unternehmen haben, etwa Kunden, Mitarbeitende oder Behörden. Daraus bestimmt ihr die Risiken und Chancen, um die ihr euch kümmern müsst. Ziel ist unter anderem, dass das QMS seine geplanten Ergebnisse erreicht und unerwünschte Folgen verhindert oder verringert werden.
- 6.1.2: Ihr plant Maßnahmen für diese Risiken und Chancen, baut sie in eure Abläufe ein und prüft, ob sie wirken. Die Maßnahmen müssen zur möglichen Auswirkung passen, und zwar auf die Konformität eurer Produkte und Dienstleistungen, also darauf, ob sie die Anforderungen erfüllen.
Der Gedanke taucht auch an vielen anderen Stellen auf, etwa in 4.4.1 f) (Prozesse), 5.1.2 (Kundenorientierung), 9.3.2 (Managementbewertung) und 10.2 (Fehler und Korrekturmaßnahmen).
Risiko ist nach der ISO 9000, der Begleitnorm mit den Grundbegriffen, die „Auswirkung von Ungewissheit“. Eine Auswirkung ist eine Abweichung vom Erwarteten. Sie kann positiv oder negativ sein. Deshalb spricht die ISO 9001 immer von Risiken und Chancen.
Was die Norm nicht verlangt
- Kein formales Risikomanagement: Die ISO 9001 schreibt keine bestimmte Methode und keinen dokumentierten Ablauf für das Risikomanagement vor. Das stellt Anhang A.4 der Norm ausdrücklich klar.
- Keine Risikomatrix: Eine Bewertung nach Wahrscheinlichkeit und Auswirkung ist verbreitet und sinnvoll, aber keine Pflicht der Norm. Wie sie funktioniert, zeigt der Artikel Risiken bewerten.
- Keine Pflichtdokumente zu Kapitel 6.1: Die Norm verlangt hier nicht ausdrücklich, dass ihr etwas aufschreibt. In der Praxis führen die meisten Unternehmen trotzdem eine Liste. So können sie im Audit, also bei der Prüfung durch die Zertifizierungsstelle, zeigen, was sie tun.
Möglichkeiten im Umgang mit Risiken
Die Anmerkung zu Kapitel 6.1.2 nennt diese Möglichkeiten:
| Option | Beispiel |
|---|---|
| Risiko vermeiden | Einen Auftrag mit unrealistischem Liefertermin ablehnen |
| Risiko eingehen, um eine Chance zu nutzen | Neuen Markt erschließen trotz Unsicherheit |
| Ursache des Risikos beseitigen | Veraltete Maschine ersetzen |
| Wahrscheinlichkeit oder Auswirkung verändern | Zweiten Lieferanten aufbauen, Prüfschritt einführen |
| Risiko teilen | Versicherung, vertragliche Regelungen |
| Risiko bewusst tragen | Seltenes, kleines Risiko akzeptieren und beobachten |
Chancen können zum Beispiel neue Kunden, neue Technologien oder neue Leistungen sein. Wie ihr Risiken und Chancen findet, beschreibt der Artikel Risiken und Chancen erkennen.
Beispiel: Bäckerei mit vier Filialen
Eine Bäckerei mit 30 Mitarbeitenden schaut sich ihre Risiken und Chancen einmal im Jahr an und zusätzlich bei größeren Änderungen. Die Liste ist kurz:
| Risiko / Chance | Quelle | Maßnahme | Verantwortlich |
|---|---|---|---|
| Ausfall des Etagenofens am Wochenende | Eigene Ausstattung | Wartungsvertrag mit Notdienst, Absprache mit Partnerbäckerei für den Ausfall | Backstubenleitung |
| Fehlende Allergenkennzeichnung bei neuen Rezepten | Gesetzliche Anforderungen | Freigabe neuer Rezepte nur mit geprüfter Allergenliste | Geschäftsführung |
| Mangel an Fachkräften | Arbeitsmarkt | Ausbildungsplätze besetzen, Einarbeitungsplan | Geschäftsführung |
| Chance: Lieferung an Kantinen in der Nähe | Markt | Testangebot für zwei Betriebe, Kapazität prüfen | Vertrieb |
Für jeden Punkt legt der Betrieb fest, woran er prüft, ob die Maßnahme wirkt, etwa an Ausfallzeiten oder Reklamationen. Die Ergebnisse fließen in die Managementbewertung, also die regelmäßige Bilanz der Geschäftsführung.
Typische Fehler
- Riesige Risikolisten: Hunderte Einträge, die niemand pflegt. Eine kurze Liste mit den wirklich wichtigen Punkten ist nützlicher.
- Nur Risiken, keine Chancen: Die Norm verlangt beides.
- Kein Bezug zum Umfeld: Die Risiken haben nichts mit den Themen aus Kapitel 4.1 (Umfeld des Unternehmens) und 4.2 (interessierte Parteien) zu tun.
- Maßnahmen ohne Prüfung: Maßnahmen werden beschlossen, aber nie wird geprüft, ob sie wirken.
- Risikomatrix als Pflicht verkauft: Eine aufwendige Bewertung ist erlaubt, aber nicht gefordert.
Häufige Fragen
Müssen wir eine Risikomatrix verwenden? Nein. Sie ist eine gängige Methode, aber die Norm lässt euch die Wahl.
Gibt es keine Vorbeugungsmaßnahmen mehr? Als eigenen Abschnitt nicht. Vorbeugen gehört jetzt zur Planung über Risiken und Chancen.
Wie oft müssen wir Risiken bewerten? Die Norm nennt keinen festen Rhythmus. Üblich ist mindestens einmal im Jahr, etwa zur Managementbewertung, und zusätzlich bei wichtigen Änderungen.