_1762866128417-DS2_OO1j.png)
Was gemeint ist
Statt Fehler erst zu korrigieren, wenn sie aufgetreten sind, soll eine Organisation Unsicherheiten früh erkennen. Das betrifft Entscheidungen auf allen Ebenen: Welche Prozesse werden streng gelenkt, welche locker? Wo braucht es eine Vier-Augen-Prüfung, wo reicht die Selbstprüfung? Welche Lieferanten werden intensiv überwacht?
Der Begriff „Risiko“ ist dabei neutral gemeint: die Auswirkung von Unsicherheit. Sie kann negativ sein (Risiko im engeren Sinn) oder positiv (Chance). ISO 9001:2026 macht das noch deutlicher, indem die oberste Leitung neben risikobasiertem auch chancenbasiertes Denken fördert und Chancen in 6.1.3 einen eigenen Abschnitt bekommen.
Wo es in der Norm vorkommt
- 4.1 und 4.2: Kontext und interessierte Parteien sind die Quelle vieler Risiken und Chancen.
- 4.4: Prozesse werden unter Berücksichtigung von Risiken und Chancen bestimmt.
- 6.1: Risiken und Chancen bestimmen, Maßnahmen planen, Wirksamkeit bewerten. Ab der Ausgabe 2026 getrennt für Risiken und Chancen; mehr dazu unter ISO 9001:2026 Risiken und Chancen.
- 9.1.3 und 9.3: Wirksamkeit der Maßnahmen auswerten und in der Managementbewertung behandeln.
Angemessen statt aufwendig
Risikobasiertes Denken heißt nicht, für jede Tätigkeit eine Risikomatrix auszufüllen. Kleine Unternehmen kommen oft mit einer übersichtlichen Liste der wichtigsten zehn bis zwanzig Risiken und Chancen aus, jeweils mit Bewertung, Maßnahme und Verantwortlichem. Methoden wie die FMEA sind sinnvoll, wo Produkte oder Prozesse komplex sind, aber nicht vorgeschrieben.
Ein Beispiel
Ein Hersteller bezieht ein Schlüsselbauteil von nur einem Lieferanten. Risikobasiertes Denken führt zu der Frage, was bei dessen Ausfall passiert. Mögliche Maßnahmen: einen zweiten Lieferanten qualifizieren, einen Sicherheitsbestand aufbauen oder vertragliche Lieferzusagen verhandeln. Die Organisation wählt die Maßnahme, die zur Auswirkung und zu den Kosten passt, und prüft später, ob sie gewirkt hat.
In docxpert umsetzen
Die Vorlage „Risiken & Chancen“ in der Vorlagenbibliothek enthält eine Struktur für Bewertung, Maßnahmen und Wirksamkeit, für die Ausgabe 2026 mit getrennter Behandlung. Maßnahmen, die eine Ursache beseitigen sollen, verfolgen Sie im CAPA-Management bis zur Wirksamkeitsprüfung.
Häufige Fragen
Brauche ich für ISO 9001 ein Risikomanagement nach ISO 31000?
Nein. ISO 9001 verlangt risikobasiertes Denken und die Planung von Maßnahmen, aber kein formales Risikomanagementsystem. ISO 31000 kann als Orientierung dienen.
Muss ich Risiken dokumentieren?
Die Norm verlangt keine bestimmte Dokumentation. Um im Audit zeigen zu können, dass Risiken bestimmt und Maßnahmen geplant wurden, ist eine kurze Liste aber praktisch unverzichtbar.
Was ist mit Vorbeugungsmaßnahmen passiert?
Der eigene Abschnitt zu Vorbeugungsmaßnahmen der Ausgabe 2008 ist entfallen. Seine Idee steckt im risikobasierten Denken, das die ganze Norm durchzieht.
Wie oft sollten Risiken bewertet werden?
Mindestens zur Managementbewertung und immer dann, wenn sich Kontext, Prozesse oder Anforderungen wesentlich ändern.