Chancen und Risiken sind in ISO 9001 der Punkt, an dem aus der Analyse des Umfelds eine Planung wird. Die Norm verlangt, dass eine Organisation bestimmt, welche Unsicherheiten sich aus ihrem Kontext und den Erwartungen interessierter Parteien ergeben, und dass sie dafür Maßnahmen plant. Sie verlangt kein Risikomanagementsystem, keine Methode und kein Register.
Was die Norm fordert und was nicht
Gefordert ist eine Kette aus vier Gliedern: Chancen und Risiken bestimmen, Maßnahmen planen, die Maßnahmen in die Prozesse einbinden, die Wirksamkeit bewerten. Der Umfang der Maßnahmen soll zur möglichen Auswirkung auf die Konformität von Produkten und Dienstleistungen passen.
Nicht gefordert sind ein Risikoinventar, eine Risikomatrix oder eine Wahrscheinlichkeitsschätzung. Auditoren, die ein Punktesystem einfordern, überschreiten ihre Grundlage. Umgekehrt reicht es nicht, auf ungeschriebenes Erfahrungswissen zu verweisen: Die Managementbewertung muss die Wirksamkeit der Maßnahmen zu Chancen und Risiken behandeln, und das setzt voraus, dass irgendwo festgehalten ist, welche Maßnahmen das waren.
Der Fehler mit der gespiegelten Chance
Der häufigste Befund in der Praxis ist eine Tabelle mit zwei Spalten, in der die Chance die grammatische Umkehrung des Risikos ist. Risiko: Der Hauptlieferant fällt aus. Chance: Der Hauptlieferant fällt nicht aus. So etwas trägt nichts bei und fällt jedem geübten Auditor sofort auf.
Eine Chance ist eine Situation, die das Erreichen der beabsichtigten Ergebnisse begünstigt — ein neuer Markt, eine Technologie, eine Kundenanforderung, die sich zum Standard entwickelt, ein Wettbewerber, der einen Standort schließt. Sie hat oft nichts mit einem konkreten Risiko zu tun. Man darf Chancen auch ausdrücklich nicht nutzen, solange die Entscheidung nachvollziehbar ist.
Ebenso verbreitet: Risiken werden als Zustände notiert statt als Ereignisse. „Fachkräftemangel“ ist kein Risiko, sondern ein Umfeldmerkmal. Ein Risiko ist „Der einzige Schweißer mit Verfahrensprüfung fällt länger aus, dadurch stoppt die Freigabe der Baugruppen“.
Wie viel Aufwand angemessen ist
Die Norm koppelt den Umfang der Maßnahmen an die mögliche Auswirkung auf die Konformität von Produkten und Dienstleistungen. Das ist eine Verhältnismäßigkeitsregel und zugleich eine Verteidigungslinie gegen überzogene Auditforderungen. Ein Schreinerbetrieb mit acht Beschäftigten braucht kein Verfahren mit Punkteskala; eine kurze Aufstellung, die zweimal im Jahr in der Runde durchgesprochen und ergänzt wird, erfüllt die Anforderung. Bei einem Zulieferer sicherheitsrelevanter Bauteile reicht sie nicht. Wer begründen kann, warum der gewählte Aufwand zur möglichen Auswirkung passt, hat den Abschnitt erfüllt — ganz ohne Software.
Woran es in der Praxis scheitert
Drei Muster wiederholen sich. Erstens: Die Aufstellung entsteht einmalig zur Zertifizierung und wird nie wieder angefasst. Erkennbar daran, dass alle Einträge dasselbe Änderungsdatum tragen und aktuelle Themen fehlen.
Zweitens: Die Maßnahmen bleiben ohne Verantwortlichen und Termin. Damit gibt es nichts, dessen Wirksamkeit sich später bewerten ließe.
Drittens: Die Verbindung zum Kontext der Organisation fehlt. Wenn im Kontext ein verschärftes Umweltrecht steht, in der Risikobetrachtung aber nur interne Prozessthemen auftauchen, ist die Ableitung nicht plausibel. Auditoren prüfen genau diese Anschlussstelle, weil sie zeigt, ob beide Abschnitte am selben Tag aus derselben Diskussion entstanden sind oder als getrennte Pflichtübungen.
Wer die Betrachtung an bestehende Termine koppelt — an die Managementbewertung, an das Auditprogramm, an die Jahresplanung —, hält sie am Leben. Als eigenständiger Prozess neben allem anderen stirbt sie zuverlässig ab.