Risiken gehören zum Geschäftsalltag. Ein Lieferant fällt kurzfristig aus, eine Maschine steht still, eine wichtige Information erreicht die falsche Person oder ein Prozess funktioniert plötzlich nicht mehr so, wie er eigentlich sollte. Die entscheidende Frage ist deshalb nicht, ob in Ihrem Unternehmen Risiken existieren. Die gibt es immer. Entscheidend ist, wie früh Sie sie erkennen und wie gut Sie mit ihnen umgehen.
Genau hier setzt das risikobasierte Denken nach ISO 9001 an. Der Ansatz gehört zu den zentralen Gedanken der Norm und soll Unternehmen dabei unterstützen, mögliche Risiken und Chancen systematisch in ihre Prozesse einzubeziehen. Dabei geht es ausdrücklich nicht darum, für jede denkbare Katastrophe einen 30-seitigen Notfallplan zu schreiben. Risikobasiertes Denken soll vielmehr zu einer ganz normalen Art werden, Entscheidungen zu treffen und Prozesse zu planen.
Risikobasiertes Denken bedeutet vereinfacht: Sie überlegen nicht erst dann, was schiefgehen könnte, wenn bereits etwas schiefgegangen ist. Stattdessen betrachten Sie Ihre Prozesse mit einem gewissen Vorausblick. Wo könnten Probleme entstehen? Welche Folgen hätte eine Abweichung? Wie wahrscheinlich ist sie? Und was können Sie tun, um das Risiko zu vermeiden oder zumindest seine Auswirkungen zu begrenzen?
Dabei betrachtet die ISO 9001 nicht ausschließlich negative Entwicklungen. Auch Chancen spielen eine Rolle. Eine Veränderung in einem Prozess kann beispielsweise nicht nur ein Risiko darstellen, sondern gleichzeitig die Möglichkeit bieten, Abläufe effizienter zu gestalten oder Fehlerquellen zu reduzieren. Risikobasiertes Denken bedeutet deshalb nicht, ständig vom Schlimmsten auszugehen. Es bedeutet, mögliche Entwicklungen bewusst in die Planung einzubeziehen.
Die ISO 9001 verfolgt einen prozessorientierten Ansatz. Unternehmen sollen ihre Abläufe verstehen, steuern, überwachen und kontinuierlich verbessern. Risiken sind dabei eng mit den jeweiligen Prozessen verbunden. Wenn Sie beispielsweise einen Beschaffungsprozess betrachten, können Sie sich fragen, was passiert, wenn ein wichtiger Lieferant nicht rechtzeitig liefert. In der Produktion könnte relevant sein, was bei einem Maschinenausfall passiert. Im Kundenservice stellt sich vielleicht die Frage, welche Folgen es hat, wenn eine Reklamation nicht rechtzeitig bearbeitet wird. Diese Betrachtung hilft Ihnen dabei, nicht nur auf bestehende Probleme zu reagieren, sondern mögliche Probleme bereits bei der Planung eines Prozesses zu berücksichtigen.
Das ist ein wichtiger Unterschied: Qualitätsmanagement beginnt nicht erst bei der Kontrolle des fertigen Ergebnisses. Es beginnt bereits bei der Frage, was während des Prozesses schiefgehen könnte.
.png)
Der erste Schritt besteht darin, die eigenen Prozesse zu kennen. Denn nur wer weiß, wie ein Ablauf funktioniert, kann sinnvoll beurteilen, wo Risiken liegen. Dabei müssen Sie nicht jedes noch so unwahrscheinliche Szenario erfassen. Eine gute Risikobetrachtung konzentriert sich auf die Themen, die für Ihr Unternehmen tatsächlich relevant sind.
Nehmen wir einen einfachen Produktionsprozess. Ein möglicher Engpass könnte die Verfügbarkeit eines bestimmten Rohstoffs sein. Wenn dieser Rohstoff nur von einem Lieferanten bezogen werden kann, entsteht eine Abhängigkeit. Fällt der Lieferant aus, kann das unmittelbar Auswirkungen auf die eigene Produktion und damit auf die Lieferfähigkeit gegenüber Kunden haben. Das Risiko besteht also nicht nur darin, dass „der Lieferant zu spät liefert“. Dahinter können weitere Auswirkungen stehen: Produktionsstillstand, verspätete Lieferungen, zusätzliche Kosten und möglicherweise unzufriedene Kunden.
Eine solche Betrachtung macht deutlich, warum Risiken immer im Zusammenhang mit den eigenen Prozessen betrachtet werden sollten.
Nicht jedes Risiko verdient die gleiche Aufmerksamkeit. Ein Unternehmen, das versucht, jede theoretisch mögliche Abweichung mit einer eigenen Maßnahme abzusichern, wird irgendwann mehr Zeit mit Risikomanagement verbringen als mit seinem eigentlichen Geschäft. Sinnvoller ist eine Bewertung nach Wahrscheinlichkeit und Auswirkung. Ein Risiko, das sehr wahrscheinlich auftritt und erhebliche Folgen für Kunden oder den Betrieb haben kann, sollte anders behandelt werden als ein äußerst unwahrscheinliches Ereignis mit geringen Auswirkungen.
In der Praxis kann dafür beispielsweise eine einfache Risikomatrix verwendet werden. Sie hilft dabei, Risiken zu priorisieren und festzulegen, wo konkrete Maßnahmen sinnvoll sind. Wichtig ist dabei nicht, eine möglichst komplizierte Bewertungsmethode zu entwickeln. Entscheidend ist, dass die Methode für Ihr Unternehmen verständlich und im Alltag anwendbar bleibt.
Ein erkanntes Risiko allein verbessert noch keinen Prozess. Wenn beispielsweise festgestellt wird, dass ein wichtiger Lieferant ausfallen könnte, muss daraus eine konkrete Überlegung entstehen. Gibt es einen alternativen Lieferanten? Werden Mindestbestände aufgebaut? Gibt es vertragliche Vereinbarungen? Oder kann der Prozess so verändert werden, dass die Abhängigkeit reduziert wird?
Ähnlich sieht es bei internen Risiken aus. Wenn ein wichtiger Arbeitsschritt nur von einer einzigen Person beherrscht wird, kann das Unternehmen beispielsweise Wissen dokumentieren oder weitere Mitarbeitende einarbeiten. Die beste Risikobewertung ist deshalb nicht diejenige mit den meisten Seiten, sondern diejenige, aus der sinnvolle Entscheidungen und Maßnahmen entstehen.
Der große Vorteil des Ansatzes liegt darin, dass Risikobewertung nicht zwingend ein eigenes Großprojekt sein muss. Sie kann direkt in bestehende Prozesse integriert werden. Bei der Einführung eines neuen Produkts können mögliche Qualitätsrisiken betrachtet werden. Bei der Auswahl eines Lieferanten können Abhängigkeiten und Ausfallrisiken berücksichtigt werden. Bei einer Prozessänderung kann geprüft werden, welche neuen Fehlerquellen dadurch entstehen könnten.
Auch bei internen Audits spielt risikobasiertes Denken eine wichtige Rolle. Wenn bekannt ist, dass ein bestimmter Prozess besonders fehleranfällig ist, kann dieser im Audit genauer betrachtet werden. Dasselbe gilt für CAPA-Prozesse. Wenn eine Abweichung auftritt, wird nicht nur der konkrete Fehler behoben. Es wird auch gefragt, ob ähnliche Risiken an anderer Stelle bestehen und ob weitere Maßnahmen notwendig sind.
So greifen verschiedene Elemente des Qualitätsmanagements ineinander, anstatt nebeneinanderher zu existieren.
Ein wichtiger Punkt wird beim Thema Risikomanagement gerne übersehen: Die ISO 9001 betrachtet nicht nur Risiken, sondern auch Chancen. Eine neue Software kann beispielsweise zunächst als Veränderungsrisiko betrachtet werden. Mitarbeitende müssen sich umstellen, Prozesse müssen angepasst werden und bei der Einführung können Fehler auftreten. Gleichzeitig kann dieselbe Veränderung eine große Chance bieten: Informationen sind schneller verfügbar, manuelle Arbeitsschritte werden reduziert und Prozesse lassen sich besser überwachen.
Risikobasiertes Denken bedeutet daher nicht, Veränderungen möglichst zu vermeiden. Es bedeutet, die möglichen Folgen einer Veränderung bewusst zu betrachten und auf dieser Grundlage eine gute Entscheidung zu treffen.
In vielen Unternehmen werden Risiken, Maßnahmen und Verantwortlichkeiten noch über verschiedene Excel-Dateien, E-Mails und Dokumente verteilt. Solange es nur wenige Prozesse gibt, funktioniert das vielleicht. Mit zunehmender Unternehmensgröße wird es allerdings schwieriger, den Überblick zu behalten. Eine digitale Prozesslandschaft kann hier für mehr Transparenz sorgen. Wenn Prozesse, Aufgaben, Dokumente, Qualitätsmeldungen und Verantwortlichkeiten miteinander verbunden sind, lassen sich Risiken besser nachvollziehen und Maßnahmen gezielter verfolgen.
Mit Odoo können Unternehmen unterschiedliche Geschäftsbereiche auf einer gemeinsamen Plattform abbilden. Qualitätsmanagement kann dadurch mit Einkauf, Produktion, Lager, Vertrieb oder Kundenservice verbunden werden. Informationen müssen nicht erst mühsam aus verschiedenen Systemen zusammengesucht werden, sondern stehen im jeweiligen Prozess zur Verfügung. Als Odoo Partner unterstützen wir Ihr Unternehmen dabei, Ihre Prozesse digital abzubilden und Qualitätsmanagement sinnvoll in den Arbeitsalltag zu integrieren.
Stellen Sie sich vor, bei einem Unternehmen kommt es wiederholt zu Lieferverzögerungen. Zunächst wird jedes einzelne Problem gelöst: Kunden werden informiert, Liefertermine verschoben und die entsprechenden Aufträge angepasst. Durch eine risikobasierte Betrachtung wird jedoch irgendwann eine andere Frage gestellt: Warum sind wir von diesem Lieferanten so stark abhängig?
Die Analyse zeigt, dass ein bestimmtes Bauteil ausschließlich von einem Lieferanten bezogen wird. Damit wird nicht nur das aktuelle Problem sichtbar, sondern ein strukturelles Risiko. Das Unternehmen kann nun entscheiden, wie es damit umgehen möchte. Vielleicht wird ein zweiter Lieferant qualifiziert. Vielleicht wird ein Sicherheitsbestand aufgebaut oder der Beschaffungsprozess verändert. Der entscheidende Unterschied: Statt immer wieder auf dasselbe Problem zu reagieren, wird die Ursache des Risikos betrachtet und der Prozess langfristig stabiler gemacht.
Auch für eine ISO-9001-Zertifizierung ist relevant, dass ein Unternehmen Risiken und Chancen im Zusammenhang mit seinem Qualitätsmanagement berücksichtigt. Dabei geht es nicht darum, dem Auditor eine möglichst beeindruckende Risikomatrix vorzulegen. Viel wichtiger ist, dass nachvollziehbar ist, wie Ihr Unternehmen Risiken erkennt, bewertet und damit umgeht.
Ein Auditor kann beispielsweise hinterfragen, welche Risiken für einen bestimmten Prozess bekannt sind, welche Maßnahmen daraus entstanden sind und ob diese Maßnahmen tatsächlich umgesetzt und bewertet werden. Damit zeigt sich erneut: Risikobasiertes Denken ist keine reine Dokumentationsaufgabe. Es sollte sich in den tatsächlichen Entscheidungen und Abläufen des Unternehmens widerspiegeln.
Letztlich funktioniert Risikomanagement nicht allein über Formulare oder Software. Es braucht Mitarbeitende, die Probleme ansprechen, Veränderungen kritisch betrachten und sich fragen, welche Folgen eine Entscheidung haben könnte. Das kann mit einer einfachen Frage beginnen: „Was könnte hier schiefgehen?“ Noch besser wird es, wenn direkt die nächste Frage folgt: „Und was können wir jetzt tun, damit es gar nicht erst passiert?“
Genau daraus entsteht risikobasiertes Denken. Es wird zu einem festen Bestandteil der täglichen Arbeit, statt einmal im Jahr für das nächste Audit hervorgeholt zu werden.
Risikobasiertes Denken nach ISO 9001 soll Unternehmen nicht dazu bringen, ständig mit dem Schlimmsten zu rechnen. Es soll dabei helfen, bewusster zu planen, Prioritäten zu setzen und Probleme möglichst früh zu erkennen.
Wenn Risiken direkt in Prozesse, Audits, CAPA-Maßnahmen und Managemententscheidungen einbezogen werden, entsteht ein Qualitätsmanagement, das nicht nur auf Fehler reagiert. Es hilft Ihnen dabei, Ihr Unternehmen widerstandsfähiger zu machen und Chancen gezielt zu nutzen. Und vielleicht ist das der beste Zeitpunkt, sich mit einem Risiko zu beschäftigen: bevor es überhaupt zum Problem geworden ist.
Hinweis zur Erstellung: Um Ihnen diesen Inhalt zur Verfügung zu stellen, haben wir KI-Tools (Gemini, Chat GPT, Claude, Canva AI) genutzt. Sowohl der Text als auch das Bildmaterial wurden von einer Künstlichen Intelligenz erzeugt und anschließend von unserem Team sorgfältig auf inhaltliche Richtigkeit und Qualität geprüft und bearbeitet.
© FELIX MEIER