Seit der Revision 2015 steht in der ISO 9001 eine Anforderung, die bei vielen Qualitätsverantwortlichen für Unruhe sorgt: Die Organisation muss Risiken und Chancen bestimmen und Maßnahmen zu ihrem Umgang planen. Brauchen wir jetzt ein Risikomanagementsystem wie eine Bank? Die klare Antwort: nein. In diesem Beitrag erklären wir, was die Norm bei Risiken und Chancen nach ISO 9001 tatsächlich verlangt und wie ein kleines oder mittleres Unternehmen das mit überschaubarem Aufwand umsetzt. Gerade jetzt, ein gutes Jahr vor dem Ende der Übergangsfrist für die alte Fassung im September 2018, ist das für viele Betriebe ein aktuelles Thema.
Was die Norm verlangt
Das Kapitel 6.1 der ISO 9001:2015 fordert sinngemäß: Bei der Planung des Qualitätsmanagementsystems berücksichtigt die Organisation ihren Kontext und die Anforderungen der interessierten Parteien und bestimmt die Risiken und Chancen, die behandelt werden müssen. Ziel ist, dass das System seine Ergebnisse erreicht, erwünschte Wirkungen verstärkt und unerwünschte vermeidet. Dann plant sie Maßnahmen, integriert sie in ihre Prozesse und bewertet deren Wirksamkeit.
Wichtig ist, was die Norm nicht verlangt:
- kein formales Risikomanagementverfahren nach einer eigenen Risikonorm
- keine bestimmte Methode und keine bestimmte Software
- keine vollständige Liste aller denkbaren Risiken
Die Maßnahmen sollen dem möglichen Einfluss auf die Qualität Ihrer Produkte und Dienstleistungen angemessen sein. Ein Handwerksbetrieb mit zwölf Mitarbeitern braucht also etwas anderes als ein Zulieferer der Automobilindustrie.
Risiko und Chance: Was ist gemeint?
Ein Risiko ist etwas, das passieren könnte und Ihre Ziele gefährdet: der Ausfall eines wichtigen Lieferanten, der Weggang eines Mitarbeiters mit Spezialwissen, ein Serverausfall vor dem Abgabetermin. Eine Chance ist das Gegenstück: etwas, das Sie nutzen könnten, um besser zu werden, etwa ein neuer Kundenkreis, eine Förderung, eine neue Technik oder ein Wettbewerber, der sich zurückzieht.
Die meisten Unternehmen denken längst risikobasiert, nur nicht schriftlich. Wer zwei Lieferanten für ein wichtiges Bauteil hat, einen Vertreter für die Buchhaltung einarbeitet oder eine Datensicherung betreibt, handelt bereits nach dieser Logik.
Die pragmatische Methode in fünf Schritten
1. Ausgangspunkt: Kontext und interessierte Parteien
Nehmen Sie Ihre Übersicht über interne und externe Themen sowie die Anforderungen Ihrer interessierten Parteien zur Hand. Daraus ergeben sich die meisten Risiken und Chancen fast von selbst.
2. Sammeln
Setzen Sie sich mit den Verantwortlichen der wichtigsten Prozesse zusammen. Fragen Sie je Prozess: Was könnte schiefgehen? Was könnten wir besser nutzen? Begrenzen Sie sich auf die wesentlichen Punkte, zehn bis zwanzig sind für ein kleines Unternehmen ein guter Rahmen.
3. Bewerten
Bewerten Sie jedes Risiko nach zwei Kriterien: Wie wahrscheinlich ist es? Wie groß wäre die Auswirkung? Eine einfache Skala von 1 (gering) bis 3 (hoch) genügt. Multipliziert ergibt sich eine Kennzahl zwischen 1 und 9.
| Wahrscheinlichkeit / Auswirkung | gering (1) | mittel (2) | hoch (3) |
|---|---|---|---|
| hoch (3) | 3 – beobachten | 6 – handeln | 9 – sofort handeln |
| mittel (2) | 2 – akzeptieren | 4 – beobachten | 6 – handeln |
| gering (1) | 1 – akzeptieren | 2 – akzeptieren | 3 – beobachten |
4. Maßnahmen festlegen
Für Risiken ab einer festgelegten Schwelle planen Sie Maßnahmen: vermeiden, verringern, übertragen, zum Beispiel durch eine Versicherung, oder bewusst akzeptieren. Für Chancen entscheiden Sie, ob und wie Sie sie nutzen wollen. Jede Maßnahme bekommt eine verantwortliche Person und einen Termin.
5. Überprüfen
Mindestens einmal im Jahr, etwa im Rahmen der Managementbewertung, schauen Sie die Liste erneut an: Sind die Maßnahmen umgesetzt? Haben sie gewirkt? Sind neue Risiken oder Chancen dazugekommen?
Ein Beispiel aus der Praxis
| Thema | Wahrsch. | Auswirkung | Wert | Maßnahme |
|---|---|---|---|---|
| Risiko: Hauptlieferant für Material X fällt aus | 2 | 3 | 6 | Zweiten Lieferanten qualifizieren, Sicherheitsbestand erhöhen |
| Risiko: Nur ein Mitarbeiter beherrscht die Kalkulation | 2 | 3 | 6 | Vertretung einarbeiten, Ablauf dokumentieren |
| Risiko: Datenverlust durch Serverausfall | 1 | 3 | 3 | Datensicherung regelmäßig testen |
| Chance: Anfragen aus neuer Branche | Nutzen | Referenzprojekt dokumentieren, Website ergänzen | ||
Eine solche Tabelle auf ein bis zwei Seiten reicht für viele kleine Unternehmen völlig aus. Sie ist verständlich, aktuell zu halten und zeigt dem Auditor, dass Sie sich systematisch Gedanken gemacht haben.
Was der Auditor sehen möchte
- dass Risiken und Chancen nachvollziehbar aus Kontext und interessierten Parteien abgeleitet sind
- dass Maßnahmen geplant und umgesetzt werden
- dass die Wirksamkeit bewertet wird
- dass die Geschäftsführung das Thema kennt und mitträgt
Eine Liste, die einmal für das Audit erstellt wurde und danach in der Schublade liegt, überzeugt keinen erfahrenen Auditor. Eine lebendige Liste mit erledigten Maßnahmen schon.
Häufige Fehler
- Zu abstrakt: „Wirtschaftliche Entwicklung“ ist kein greifbares Risiko. Werden Sie konkret.
- Zu viel: Hundert Risiken bewertet niemand ernsthaft. Konzentrieren Sie sich auf das Wesentliche.
- Chancen vergessen: Die Norm spricht ausdrücklich von beidem.
- Keine Verbindung zu den Prozessen: Maßnahmen gehören in den Alltag, nicht in ein separates Dokument.
Wir helfen Ihnen gerne
Sie möchten Risiken und Chancen schlank und auditfest in Ihr Qualitätsmanagement einbauen oder die Umstellung auf ISO 9001:2015 noch vor dem Ende der Übergangsfrist abschließen? Mit qm-express begleiten wir Sie zur ISO 9001-Zertifizierung, pauschal und auf Wunsch express. Rufen Sie uns an unter 06131 144928-0.
Herzliche Grüße aus Mainz
