Risikobasiertes Denken heißt: Bevor Sie einen Prozess planen, überlegen Sie, was schiefgehen kann und welche Gelegenheit sich bietet — und richten die Planung danach aus. Mehr verlangt ISO 9001 nicht, und weniger auch nicht.
Der Begriff kam mit der Revision 2015 in die Norm und ersetzte die früheren Vorbeugungsmaßnahmen. Behandelt wird er in Kapitel 6.1, das von Maßnahmen zum Umgang mit Risiken und Chancen spricht.
Was die Norm ausdrücklich nicht fordert
Diese Liste ist wichtiger als die Positivliste, weil an ihr der meiste unnötige Aufwand hängt:
- kein formales Risikomanagementsystem
- keine Risikomatrix und keine Bewertungsskala
- keine Eintrittswahrscheinlichkeiten und keine Kennzahlen
- kein dokumentiertes Verfahren zum Risikomanagement
- kein Risikoregister als Pflichtdokument
Was die Norm fordert, ist die Wirkung: Risiken und Chancen müssen bestimmt sein, Maßnahmen geplant, in die Prozesse eingebunden und anschließend auf ihre Wirksamkeit bewertet werden. Der Nachweis läuft deshalb nicht über ein Dokument, sondern über Entscheidungen, die sich auf eine Risikoüberlegung zurückführen lassen.
Woher die Risiken kommen
Der Einstieg liegt im Kontext der Organisation und bei den interessierten Parteien. Aus beidem ergeben sich die äußeren Themen: Lieferantenabhängigkeit, Fachkräftemangel, regulatorische Änderungen, Kundenanforderungen.
Die zweite Quelle sind die eigenen Prozesse. Hier ist der Blick auf Schnittstellen und Einzelabhängigkeiten am ergiebigsten: Wo hängt ein Prozess an genau einer Person, einer Maschine oder einem Lieferanten? Das ist meist die konkreteste und am wenigsten dokumentierte Risikoart in mittelständischen Systemen.
Die dritte Quelle ist die eigene Vergangenheit: Reklamationen, Abweichungen und Feststellungen aus dem internen Audit. Ein Risiko, das sich bereits realisiert hat, ist keine Spekulation mehr.
Die Chancen werden systematisch übersehen
Kapitel 6.1 nennt Risiken und Chancen in einem Atemzug. In der Praxis enthalten Risikolisten fast ausschließlich Bedrohungen. Chancen sind die Kehrseite derselben Analyse: ein neues Marktsegment, ein einfacherer Prozess, eine Qualifikation, die einen Engpass auflöst.
Das ist auch der Punkt, an dem risikobasiertes Denken mit den Qualitätszielen zusammenhängt. Wer Risiken bestimmt und daraus keine Ziele ableitet, hat die Analyse als Selbstzweck betrieben.
Woran es in der Praxis scheitert
Das Register lebt für sich. Achtzig Zeilen, einmal jährlich vor dem Audit durchgesehen, ohne Verbindung zu einer Entscheidung. Formal vorzeigbar, inhaltlich wertlos — und im Audit erkennbar an der Frage, was sich aufgrund einer Zeile geändert hat.
Nur die Prozesse werden betrachtet, nicht das Geschäft. Ein Risikoblatt je Prozess übersieht die Risiken, die zwischen den Prozessen liegen.
Bewertung ersetzt Maßnahme. Eine Zahl im Feld „Risikoprioritätszahl“ ist keine Maßnahme. Der prüfbare Teil beginnt erst danach.
Die Wirksamkeit wird nie bewertet. Sie gehört in die Managementbewertung — mit dem Ergebnis, ob die Maßnahme das Risiko tatsächlich gesenkt hat. Wie sich daraus ein Auditprogramm ableiten lässt, zeigt der Beitrag wie Sie ein Auditprogramm risikobasiert planen.