Risiken und Chancen

In einfachen Worten

Diese Klausel verlangt eine einzige Denkbewegung: bewusst vorausschauen, bevor Sie planen. Was könnte uns daran hindern, das zu liefern, was unsere Kunden erwarten? Was könnte uns dabei helfen, besser zu werden? Und was tun wir konkret dafür oder dagegen?

Was die Norm dabei nicht verlangt, ist genauso wichtig: kein Risikomanagement-System, keine vorgeschriebene Methode, keine Risikomatrix, nicht einmal zwingend ein Dokument. Verlangt ist, dass Sie Risiken und Chancen bestimmen, Maßnahmen planen, diese in Ihre Prozesse einbauen und später prüfen, ob sie gewirkt haben. Der Aufwand darf — und soll — im Verhältnis zur möglichen Auswirkung stehen.

Für ein kleines Unternehmen heißt das: Sie machen das vermutlich längst, beim Jahresgespräch, bei der Investitionsentscheidung, beim Blick auf die Auftragslage. Die Klausel verlangt nur, dass dieses Vorausdenken nachvollziehbar wird — damit es nicht vom Zufall oder von einer einzelnen Person abhängt.

Warum es diese Anforderung gibt

Frühere Ausgaben der Norm kannten die „Vorbeugungsmaßnahme“ als eigenes Kapitel — in der Praxis wurde daraus meist ein Formular, das niemand nutzte. Die Ausgabe 2015 hat daraus eine Grundhaltung gemacht: Risikobasiertes Denken gehört in die Planung selbst, nicht in einen Anhang. Ein Qualitätsmanagementsystem soll Probleme verhindern, nicht verwalten.

Die Klausel ist außerdem das Scharnier des ganzen Planungskapitels: Aus Ihrem Kontext (Klausel 4.1) und den Erwartungen Ihrer interessierten Parteien (4.2) folgen die Risiken und Chancen — und aus deren Behandlung folgen Ihre Qualitätsziele (6.2). Wer 6.1 überspringt, plant Ziele ins Blaue.

Wie „gut“ aussieht

In einem Unternehmen mit 12 Personen ist das gute Ergebnis eine Seite, nicht ein Ordner: fünf bis zehn echte, geschäftsspezifische Risiken und zwei, drei echte Chancen — erarbeitet im Führungskreis, zum Beispiel in der Jahresplanung. Zu jedem Eintrag drei Angaben: Was wäre die Auswirkung? Was tun wir? Wer kümmert sich, bis wann?

Gut heißt vor allem: die Übersicht lebt. Sie wird bei der Managementbewertung wieder hervorgeholt („Haben die Maßnahmen gewirkt?“) und bei besonderen Anlässen ergänzt — ein neuer Großkunde, der Weggang einer Schlüsselperson, eine neue Maschine, ein neues Angebot. Die Maßnahmen daraus fließen in Ihre Ziele und Ihre Aufgabenliste, nicht in ein separates Papier-Universum.

Was sich mit Wachstum ändert: Ab etwa 50 Personen betrachtet sinnvollerweise jeder Prozessverantwortliche die Risiken seines Prozesses selbst, und eine einfache Bewertungsskala (Eintrittswahrscheinlichkeit × Auswirkung) hilft beim Priorisieren. Ab 100–250 Personen kommen dort, wo Kunden oder Branche es verlangen, formale Methoden dazu — etwa eine FMEA (eine systematische Fehleranalyse) in der Produktentwicklung — und die Übersicht bekommt einen festen Pflegezyklus. Der Kern bleibt in jeder Größe derselbe: wenige echte Risiken, klare Maßnahmen, ehrliche Nachverfolgung.

Minimum zum Bestehen

Die Untergrenze, unter der es im Audit schwierig wird:

• Eine nachvollziehbare, aktuelle Übersicht der wichtigsten Risiken und Chancen — die Form ist frei: ein Abschnitt im Kontext- oder Strategiedokument, eine Tabelle in der Managementbewertung oder ein eigenes kurzes Dokument.
• Zu jedem Eintrag erkennbar: was wir tun, wer es tut, bis wann.
• Ein erkennbarer Zusammenhang mit Ihrem Kontext und Ihren Zielen — die Risiken passen zu Ihrem Geschäft, nicht zu irgendeinem.
• Ein Nachweis, dass die Wirksamkeit bewertet wurde — am natürlichsten als fester Punkt der Managementbewertung.

Was ein Auditor sehen will

• Die Übersicht selbst, mit erkennbarem Stand — und im Vergleich zum Vorjahr sichtbar gepflegt.
• Das Protokoll der Managementbewertung, in dem Risiken, Chancen und die Wirksamkeit der Maßnahmen tatsächlich behandelt wurden.
• Zwei, drei konkrete Maßnahmen mit Status — geplant, umgesetzt, wirksam.
• Im Gespräch: Kennen Geschäftsführung und Mitarbeitende die größten Risiken ihres Bereichs, ohne nachzuschlagen?
• Ein Beispiel, wo aus einem erkannten Risiko wirklich etwas geworden ist — das ist der stärkste Nachweis, dass das Denken gelebt wird und nicht nur dokumentiert ist.

Typische Fehler

• Die 40-Seiten-FMEA ohne Anlass. Die am häufigsten über-erfüllte Klausel der Norm: Ein kleines Unternehmen kauft sich eine Methode, die für Serienentwicklung gebaut wurde, und pflegt sie nie wieder. Die Norm verlangt keine Methode — sie verlangt Denken mit Konsequenzen.
• Allerweltsrisiken aus der Vorlage. Brand, Erdbeben, Pandemie — kopiert wirken sie beruhigend vollständig und sagen nichts über Ihr Geschäft. Der Klumpenkunde, das Wissensmonopol, der einzige qualifizierte Lieferant: das sind die Einträge, die zählen.
• Nur Gefahren, keine Chancen. Die Klausel heißt ausdrücklich Risiken und Chancen. Eine Übersicht ohne einen einzigen positiven Eintrag ist halb gedacht.
• Das tote Register. Einmal erstellt, nie mehr angefasst. Ein kurzes, gelebtes Blatt schlägt das perfekte tote Register — im Audit und im Geschäft.
• Software zuerst. Erst das Werkzeug kaufen, dann überlegen, was hineingehört. Umgekehrt wird es richtig.
• Verwechslung mit der Gefährdungsbeurteilung. Die Beurteilung von Arbeitsplatzgefahren ist Arbeitsschutzrecht — eine eigene Pflicht mit eigenen Regeln. Klausel 6.1 meint Geschäftsrisiken für Qualität und Kundenzufriedenheit; das eine ersetzt das andere nicht.

Beispiel

Die Berger Präzisionsteile GmbH — 12 Personen, CNC-Dreh- und Frästeile für Medizintechnik und Maschinenbau — setzt sich zur Jahresplanung 90 Minuten zusammen: Geschäftsführerin, Produktionsleiter, Qualitätssicherung. Das Ergebnis ist eine Tabelle mit sieben Zeilen; vier davon:

Die Tabelle liegt als Teil der Managementbewertung im QMS. Ein Jahr später zeigt dieselbe Tabelle: zweite Person eingearbeitet (erledigt), Klumpenrisiko von 45 % auf 38 % gesunken (wirkt, weiterführen), Härterei-Alternative qualifiziert (erledigt) — und ein neuer Eintrag ist dazugekommen: Fachkräftemangel in der Zerspanung. Genau diese Bewegung — erledigt, wirkt, neu — ist der Nachweis, den ein Auditor sehen will.

<!-- easo:worked_example profile=service -->

Zum Vergleich die Klarwerk GmbH, ein IT-Dienstleister mit 8 Personen: Dort heißen die größten Einträge „unser einziger zertifizierter Cloud-Engineer kündigt“, „Ausfall des Plattformpartners trifft alle Kunden gleichzeitig“ und „der größte Vertrag wird jährlich neu ausgeschrieben“. Als Chance steht „Kunden fragen nach Security-Checks — daraus ein Angebot machen“. Andere Branche, andere Einträge — die Denkbewegung ist exakt dieselbe.

← Alle ISO-9001-Themen · Zum Wissenshub