ISO 9001:2015, ISO 31000:2009: Unglückliche ISO Definitionen von Risiko (und Chance)

Definition von Risiko ...

... in ISO 9001:2015
0. Einleitung
0.3 Prozessorientierter Ansatz
0.3.3 Risikobasiertes Denken

(A) „Risiko ist die Wirkung von Ungewissheiten und jede dieser Ungewissheiten kann positive oder negative Auswirkungen haben.“

Definition von Risiko ...

... in DIN E ISO 31000
2. Begriffe
2.1 Risiko

(B) „Risiko ist die Wirkung von Ungewissheit auf Ziele.“ 

Es ist höchst merkwürdig, dass verschiedene ISO Normen verschiedene Definitionen liefern.
Beide Definitionen (A) und (B) sind weder theoretisch fundiert noch praktisch nützlich.

zu (A):
Allein Unsicherheit bewirkt nichts. Unsicherheit löst nur eine unbedingte Beziehung zwischen Ursache und Wirkung in eine durch Unsicherheit bedingte Beziehung auf. Von Ursache ist in dieser Definition keine Rede. Allenfalls deutet diese Definition an, dass Risiko eine "zweiparametrige" Größe mit den Komponenten "Ungewissheit" und "Wirkung" ist.

zu (B):
Ziele sind imaginäre, ausgewählte, zukünftige, vorzugswürdige Zustände, auf die Ungewissheit keine Wirkung hat.

zu (A) und (B):
Ursachen haben durch Ungewissheit bedingte Wirkungen auf Ergebnisse. Ist die Ursache eine Gefahr, gibt es das Risiko einer möglichen negativen Abweichung des Ergebnisses von seinem Ziel. Ist die Ursache eine Gunst, gibt es die Chance einer möglichen positiven Abweichung des Ergebnisses von seinem Ziel.
Lassen wir die Ursache (Gefahr oder Gunst) auf einen Wert wirken, folgen daraus möglicherweise Schaden oder Nutzen bzw. möglicher Verlust oder Gewinn.

Damit sind wir bei einer Definition von Risiko (und Chance) im Bild einer Ursachen-Wirkungs-Beziehung, die durchaus in Normtexten der ISO (z. B. DIN EN ISO IEC 31010) dokumentiert sind. Warum nutzt die ISO nicht ihre eigenen Verfahren?

Risikomanagement in der neuen ISO 9001:2015: Wo ist die ISO 31000:2009?

In der aktuellen DIS Version der DIS ISO 9001:2014 der kommenden Norm ISO 9001:2015 steht ein einziger Hinweis auf die generische Risikomanagement Norm ISO 31000:2009 "Risk Management- Principles and Guidelines":

Im Abschnitt 0.5 der DIS ISO 9001:2014 wird im Abschnitt Introduction 0.5 "Risk Based Thinking" auf die Norm ISO 31000:2009 verwiesen. In Sinne, wer "mehr" Risikomanagement machen will / muss, als aufgrund der Anforderung der ISO 9001:2015 erforderlich, mag den Empfehlungen (nicht den Anforderungen! die Norm ISO 31000 stellt keine Anforderungen!) folgen. Das ist der einzige Verweis auf die Norm ISO 31000.

Damit wird das Risikomanagement, welches die ISO 9001 fordert, positioniert.

Der Abschnitt Introduction 0.5 "Risk Based Thinking" führt ferner aus, dass es unterschiedliche Organisationen mit mehr oder weniger Risiko und entsprechend mehr oder weniger schweren Folgen eines Schadensereignisses (eines eingetretenen Risikoereignisses) gibt.

DGQ VDI Wuppertal 26.03.2014 Vortrag P. Meier: Risiko und / oder Qualität

Neue generische Strukturen und Inhalte für ISO (Risiko) Managementnormen: Die große Revision 2015 ff

Während die Diskussion über die zukünftige Form und die zukünftigen Inhalte der in 2015 erwarteten großen Revision der Norm ISO 9001 aktuell „in Gang“ kommt, sind diese neue Form und die neue Inhalten bei einer anderen Norm bereits seit September 2013 realisiert. Die Norm ISO IEC 27001:2013 "Information technology - Security techniques - Information security management systems - Requirements“ folgt der „Metanorm“ des Annex SL (ISO IEC Directive, Part 1, Consolidated ISO Supplement, „Annex SL, Appendix 2“, 2013). Ihre 10 Kapitel folgen den neuen Schema der generischen "High Level Structure":

1. Scope
2. Normative references
3. Terms and definitions
4. Context of the organisation
5. Leadership
6. Planning
7. Support
8. Operation
9. Performance Evaluation
10. Improvement

Es spricht viel dafür, bei der Einrichtung eines Risikomanagementsystems jeglicher Art bereits jetzt dieser neuen generischen Struktur zu folgen.

Seminar zur neuen ISO 9001 von 2015 / ICG - GZBB und Steinbeis

Die Zertifizierungsgesellschaft ICG GmbH - GZBB veranstaltet ein Seminar zur voraussichtlich in 2015 kommenden großen Revision der Qualitätsmanagementnorm ISO 9001.

Ort: Nähe: Frankfurt / Flughafen / Fernbahnhof / A3 / A5 / Frankfurter Kreuz

Datum: Mittwoch, 19. März 2014

Zeit: ganztägig 9 - 16 Uhr

Referent: Dr. Peter Meier, Steinbeis Transferzentrum Risikomanagement

Qualität - Definition neu gedacht

Qualität eines Produkts (Gut oder Leistung) ist ein Sachverhalt.

Der Sachverhalt "Qualität" umfasst Beziehungen zwischen:
* Anforderungen auf der einen Seite.
* Entsprechungen auf der anderen Seite.

Der Sachverhalt "Qualität" hat mehrere Merkmale.
* Merkmale sind frei wählbar.
* Merkmale sind qualitativ.

Die Merkmale des Sachverhalts "Qualität" haben Ausprägungen.
* Ausprägungen sind quantitativ.
* Ausprägungen können bewertet / gemessen werden.

Die allseits belebte "Kundenzufriedenheit" kann als ein Merkmal von Qualität festgelegt werden.
Die allseits beliebte "Anzahl von Reklamationen" kann als Ausprägung von "Kundenzufriedenheit" gemessen / gezählt werden.
Kein Problem also mit Kundenzufriedenheit und Reklamationen im Zusammenhang mit Qualität.

Es lassen sich auch andere Merkmale des Sachverhalts Qualität festlegen und deren Ausprägung bewerten / messen. Nämlich die drei Merkmale und ihre Ausprägungen, die im Auftrag / in der Auftragsbestätigung üblicherweise aufgeschrieben sind und damit zwischen den beiden Seiten vertraglich vereinbart sind:
* Kosten des Produkts
* Termin der Lieferung des Produkts
* Eigenschaften des Produkts
Diese drei Merkmale sind immer richtig. Ihre Ausprägungen lassen sich problemlos messen / zählen. Auch dann, wenn die "Anzahl der Reklamationen" als Ausprägung des Merkmals "Kundenzufriedenheit" nichts aussagt.

Unterschied ISO 31000 und ISO 9001

Die ISO 31000 gibt Empfehlungen:

Typische Terminologie:
ISO 31000: "The organization should ..."

Die ISO 9001 stellt Anforderungen:

Typische Terminologie:
ISO 9001: "The organization shall ..."

That's it. Das ist es.

25 Jahre ISO 9001

Vor 25 Jahren tauchte die erste Version dieser Norm für das Management von Qualität auf. Die Idee war, generische Merkmale des Managements von Unternehmen, die "gute Qualität" schaffen, als Anforderungen der Norm zu formulieren. Das war verbunden mit einem Verständnis einer "relativen Qualität" bezogen auf eine individuelle Festlegung des Unternehmens, was seine Qualität ist. Es ging und es geht nicht um dieses mythische Qualitätsverständnis eines "Made in Germany" oder "Made in Japan", genau so wenig wie um eine mythische 90 prozentige oder 99 prozentige oder 99,9 prozentige Kundenzufriedenheit als gemessene Reaktion auf die Qualität. Im Kern geht es darum, dass ein Unternehmen sich der Qualität seiner Produkte und seiner selbst bewusst ist und dafür etwas systematisches tut. Die ISO 9001 ist dafür was getan werden kann nicht mehr und nicht weniger als ein standardisiertes Angebot in Form einer Norm für das Management.

Der Kunden des ISO 9001 zertifizierten Supermarkts, der 1,25 l eines koffein-, zucker- und CO2-haltigen Getränks für 99 Cent erwirbt, hat von diesem Qualitätsmanagement eben so wenig Ahnung, wie der Käufer eines gebrauchten Turbodiesels mit TÜV und mit Qualitätsgarantie. Selbst der Einkäufer eines Konzerns sieht das Zertifikat des Zulieferers eher als formale denn als inhaltliche Qualifikation zur Lieferfähigkeit.

Älter als Qualitätsmanagement ist Risikomanagement. Anlagen von Werten auf Wagnis von Personen gab es bei den Fuggern und wahrscheinlich bereits viel früher seit mit der ungewissen Entwicklung der Zukunft ein spekulativer Umgang gepflegt wurde.

Die Normierung des Risikomanagements auf der Ebene der ISO fand für das generische und allgemeine Risikomanagement erst vor 2,5 Jahren mit der ISO 31000 statt. Spezifische Normierungen (Risikomanagement für Projekte und Produkte) gibt es auf dieser Ebene seit mehr als 10 Jahren.

Die Normen 9001 und ISO 31000 finden "aus sich heraus" nicht leicht zu einer Integration. Erst Risiko und Qualität auf Werte zu beziehen und der Verantwortung der Unternehmensleitung zu unterstellen, schafft ein einfaches Konzept für die Integration und bringt zusammen, was zusammen gehört: "Es ist ein Risiko, Qualität nicht zu managen.(Mit oder ohne Normen!)"

DIN EN ISO 50001:2011 / Energiemanagement - natürlich nur integriert

Die ersten Zertifizierungen von Energiemanagementsystemen EnMS nach der neuen Norm DIN EN ISO 50001:2011 „Energiemanagementsysteme - Anforderungen mit Anleitung zur Anwendung" liegen vor. Selbst erlebte Erfahrungen aus der Beratung ...

Um es auf den Punkt zu bringen:
Ein Energiemanagement nach den Anforderungen dieser Norm auf- und umzusetzen macht nur Sinn in einer Integration mindestens mit einem Umweltmanagementsystem nach der Norm DIN EN 14001:2009. Eine singuläre oder partikulare Umsetzung macht keinen Sinn.

Der Grund ist einfach:
Energieumwandlung ist in den meisten relevanten und praktischen Fällen immer mit einer Umwandlung von Stoffen und mit einem Austausch von Stoffen mit der Umwelt verbunden. Dazu kommt noch ein Energieaustausch mit der Umwelt, wenn der Wirkungsgrad der Maschine, die Energie umwandelt (z. B. ein Motor oder ein Ofen), nicht 1.0 ist (Wo ist er das schon außerhalb des Labors?). Das heißt, einen solchen Energieumwandlungsprozess zu managen bedeutet auch einen Stoffumwandlungs- und austauschprozess zu managen. Man denke nur an die Umwandlung von chemischer Energie (stoffgebunden an fossile Kohlenwasserstoffe) in thermische Energie (stoffgebunden an ein Speicher- oder Transportmedium) durch Verbrennung, die Kohlendioxid und Wasser (plus etwas schweinische Chemie i. d. Praxis) als stoffliche Produkte liefert. Die Energieumwandlung ist mit einem Stoffaustausch mit der Umwelt untrennbar verbunden. So wie die Managementsysteme zu Energie und zu Umwelt miteinander verbunden sind. Ähnliche Betrachtungen gelten für alle anderen relevanten und praktischen Energieumwandlungen. Folglich gehört zu jeder Energieplanung in einem Energiebudget  auch eine Stoffplanung in einem Stuffbudget! Das Energiebudget und das Stoffbudget sind in der Praxis nur zusammen sinnvoll zu erstellen.

Um den Punkt noch weiter zu treiben:
Eine Energieumwandlung dient einem bestimmten Zweck. Der bestimmte Zweck wirtschaftlicher Natur ist es, Werte durch Nutzen für Interessierte zu schaffen. Und schon ist die Perspektive offen für Qualitätsmanagement und natürlich für finanzielles Wertemanagement.

Es ist nicht verflixt, sondern es ist vernetzt:
Energie, Umwelt, Qualität, (finanzielle) Werte. Da bringt ein singuläres oder partikuläres Management einer dieser Sachverhalte nichts. Schon gar nicht, ein Energiemanagement nach der neuen Norm ISO 50001. Und die ISO bringt in der Norm nichts anderes mit, als nur diesen Anhang B (informativ) der Norm ISO 50001 zur Übereinstimmung einiger der üblichen bekannten und verdächtigen Normen. Gemacht offenbar nicht für die Praxis sondern für die Zertifizierung.

Um den Punkt auf den Punkt zu bringen:
Es ist ein Risiko, die Norm ISO 50001 so wie sie ist für sich einsam und allein umzusetzen! Unabhängig davon, ob der Zertifizierer PDCA und kvp nach der Deutungshoheit der Experten wiederfindet. Und noch ein Punkt auf den Punkt: Die ISO 9001:2008 hat dieses Kapitel 6 "Management von Ressourcen". Da liegt einer (von mehreren) Schlüsseln zur Integration ...

Management ISO / 9001 / 14001 / 50001 / Compliance Management

Die allseits beliebten und bekannten "normierten" Managementsysteme

• ISO 9001: Qualität
• ISO 14001: Umwelt
• ISO 50001: Energie 

haben zu ihrem jeweiligen spezifischen Sachverhalt, dessen Management sie standardisieren, eine Aussage zur Verantwortung für die Einhaltung von Gesetzen und gesetzesähnlichen Regularien:

ISO 9001: In Abschnitt 5 "Verantwortung der Leitung" /  5.1 "Selbstverpflichtung der Leitung" / 5.1. a) "...

ISO 14001: In Abschnitt 4. "Anforderungen an ein Umweltmanagementsystem" / 4.3 "Planung" /
4.3.2 "Rechtliche Verpflichtungen und andere Anforderungen"

ISO 50001: In Abschnitt 4. "Anforderungen" / 4.4 "Energieplanung" / 4.4.2 "Rechtliche Vorschriften und andere Anforderungen", sowie in Abschnitt 4. "Anforderungen" / 4.6 "Überprüfung der Leistung" / 4.6.2 "Bewertung der Einhaltung rechtlicher Vorschriften und andere Anforderungen"

Diese Aussagen sind Anforderungen der Normen (die Normen sind Anforderungsnormen) und begründen jeweils in den spezialisierten Managementsystemen ein ebenso spezialisiertes Compliance Management.

D. h:. Ein zertifiziertes Managementsystem zertifiziert der Organisation, dass die einschlägigen Gesetze entsprechend der einschlägigen Ausführung beachtet und / oder eingehalten werden. Das ist kein juristisch hoch belastbares Konstrukt ... / Was ist ein solches Zertifikat wert ...

Qualitätsmanagement / ISO 9001 / Corporate Governance

In den Abschnitten der Internationalen Norm ISO 9001:2008, die selten oder nie gelesen werden, stehen unverhohlen rudimentäre Bezüge zu Corporate Governance. Wenn Coporate Governance als das Ensemble von normativen Grundlagen des Managements des Unternehmens verstanden wird, dann greift die Norm DIN EN ISO 9001:2008 "Qualitätsmanagementsysteme - Anforderungen"  in ihrem Abschnitt 5 "Verantwortung der Leitung" / 5.1 "Selbstverpflichtung der Leitung" ein Konzept von Corporate Governance auf. Die Norm macht Governance ohne den Begriff Governance zu erwähnen am Begriff der Verantwortung fest. Das ist kein umfassendes oder gar vollständiges Konzept, sondern nur ein kleiner, ein winziger aber wichtiger Teil von Governance. In Bezug auf Qualität ordnet dieses Konzept die Verantwortung für die Qualität der Leitung zu.

positiv: Auch innerhalb von ISO-Normen für Managementsysteme gibt es Governance Konzepte.
negativ: Governance Konzepte in ISO-Normen für Managementsysteme sind weder vollständig noch gut zu finden noch als solche gekennzeichnet.

Die Buchempfehlung für Qualitätsmanager

Unser Qualitätsverständnis ist mit unverständlichen Normen standardisiert. Qualität ist Quotenkalkül des mathematischen Quotienten aus Erfüllung und Erwartung ausgedrückt durch möglichst hochprozentige Kundenzufriedenheit, die oft nicht mehr und nicht weniger bedeutet als der relative Anteil von Kunden, der nicht reklamiert hat. Es gab einst etwas Anderes vor der Erfindung der Qualität. Man kann es mit Meisterschaft bezeichnen.

In seinem Essay Lob der Meisterschaft hat der Japaner Tanizaki Jun'ichiro  das Verständnis des Meisterhaften und Meisterlichen in Worte gefasst. Es geht um Funktion und um Perfektion. Es ist sowohl "form follows function" als auch "function follows form". Der Meister entscheidet, wie weit er Material, Design, Entwicklung, Konstruktion und Produktion als Einheit treibt bis er selbst zufrieden ist. Er setzt den Maßstab der Anforderung und er müht sich um die Erfüllung seines Maßstabs. Er ist der Meister. Solche Meisterstücke gibt es durchaus noch und wieder nicht nur im handwerklichen, sondern auch im industriellen Bereich. Nicht nur in Japan, sondern auch in Deutschland und anderswo. Manche dieser Gegenstände (Es widerstebt mir, sie Produkte zu nennen.) sind minimalistisch im Design und maximalistisch in der Funktion. Sie sind in sich selbst widerspruchsfrei und kommen mit ihrem Nutzer zu einer Einheit. Sie sind nicht mit einer Kennzahl für Qualität zu beurteilen. Sie entziehen sich erst recht einer kostenbezogenen Qualitätsmessung oder -bewertung. Sie haben keine Marktpräsenzdauer und keinen Modellzyklus, die kürzer als die gesetzliche Gewährleistungsfrist für Produkte sind. Nicht die "cost of ownership" ist ihr Kriterium, sondern der "benefit of use". Es gibt solche Gegenstände. Es gibt eine solche Selbstverwirklichung eines Meisters. Und es gibt geneigte Menschen, die solche Gegenstände und ihre Meister schätzen.

Und es gibt diesen lesenswerten Essay in deutscher Übersetzung vom Manesse Verlag. Garantiert frei von der Normensyntax und Normensemantik der DIN EN ISO 9001.

Integration Qualitäts- und Risikomanagement

Die Norm DIN EN 9100:2009 Qualitätsmanagementsysteme - Anforderungen an Organisationen der Luftfahrt, Raumfahrt und Verteidigung - zeigt einen (von mehreren möglichen) Wegen, Risikomanagement in das oder besser mit dem Qualitätsmanagement zu integrieren. Diese Norm ist formal sehr ähnlich der Norm ISO 9001:2008 aufgebaut und enthält "verschärfte" und "konkrete" Anforderungen an das Unternehmen. Dieser Weg der Integration erfolgt mit einen Risikomanagementprozess, der in den Prozess der Produktrealisierung (Kap. 7 der Norm DIN EN 9100:2009) integriert ist. Konsequenterweise ist dieses Risikomanagement zunächst sehr auf die Produktrealisierung und die entsprechende Wertschöpfung ausgerichtet. Es ist sinnvoll, an dieser Stelle einen generischen Risikomanagementprozess nach der Norm ISO 31000:2009 zu nehmen, der seinerseits von den Grundsätzen, sowohl integriert zu werden als auch Werte im Fokus zu haben, bestimmt wird. Dieses Risikomanagement wird nach der Norm ISO 31000:2009 an den Kontext der Organisation angepasst. Ein derartig integriertes Risikomanagement läßt sich natürlich mit der Zertifizierung der Norm DIN EN 9100:2009 problemlos mit zertifizieren.

Wer oder was bitte ist ein Risikoeigner?

Die Norm ISO 31000 definiert den "Risikoeigner" / "risk owner" in Kapitel 2.7 als eine "Person oder Stelle mit der Verantwortung und Befugnis, hinsichtlich eines Risikos zu handeln." Zur Verantwortung und Befugnis kommt natürlich noch die Befähigung, die in der Norm an dieser Stelle nicht erwähnt wird. 

Einem Risikoeigner ist also ein möglicher, zukünftiger Unwert übertragen.

Um diese Verantwortung aus einer anderen Perspektive zu sehen:
Jeder Verantwortliche für Ziele übernimmt mit den Zielen die Verantwortung für den Prozess mit Ressourcen und Potenzialen, für das Ergebnis, für die Qualität des Ergebnisses, für das Risiko der Ergebnisse.

Das ist eine Gesamtverantwortung für Werte. Einen Risikoeigner zu definieren ist aus dieser Perspektive völlig unnötig.

Ein Abtrennen von Verantwortungen für Risiko, Qualität, usw. von der Verantwortung für Werte ist totaler Blödsinn. Ein Risikomanagement und ein Qualitätsmanagement sind nichts anderes als eine Perspektive des Wertemanagements. Manche sagen auch vornehm integriertes Risikomanagement / integriertes Qualitätsmanagement dazu.

ISO 31000: Keine Anforderungen sondern Empfehlungen

Es ist eines der großen und aktuellen Missverständnisse, dass die Norm ISO 31000 Anforderungen stellt!

• Die Norm ISO 31000 gibt Empfehlungen!

Zur Erinnerung: Die Norm ISO 9001 stellt Anforderungen!
Anforderungen stellen und Empfehlungen geben sind etwas ganz Verschiedenes:

• Gestellten Anforderungen muss man entsprechen.
• Gegebenen Empfehlungen sollte man folgen.

Der Unterschied wird klar, wenn man prüft, was die Folgen sind, wenn man gestellten Anforderungen nicht entspricht bzw. gegebenen Empfehlungen nicht folgt.

Semantik in Normen der ISO
Verbindlichkeit		Ausdruck		Beispiel
englisch	deutsch	englisch	deutsch	Norm
requirement	Anforderung	shall	muss	ISO 9001
recommendation	Empfehlung	should	sollte	ISO 31000
Tabelle

Natürlich kann ein Stakeholder die Anforderung stellen, dass ein Unternehmen ein Risikomanagement "entsprechend" der Norm ISO 31000 betreibt, und einen Nachweis verlangen. Dann wird es richtig interessant! Da gibt es mehrere Möglichkeiten ... .

Form der Norm oder Norm der Form: Zur Integration von Managementsystemen nach ISO Normen

Die ISO 9001:2008 ("Qualitätsmanagement") hat acht Kapitel. Der Qualitätsmanagementprozess ist über vier Kapitel 5, 6, 7 und 8 beschrieben.

Die ISO 14001:2009 ("Umweltmanagement") hat vier Kapitel. Der Umweltmanagementprozess ist im Kapitel 4 beschrieben.

Die ISO 31000:2009 ("Risikomanagement") hat fünf Kapitel. Der Risikomanagementprozess ist in Kapitel 5 beschrieben.

Ganz zu schweigen davon, dass die Abbildungen in diesen Normen weder standardisiert / normiert noch "richtig gut" sind.

Zur Hilfe für die Integration bietet die ISO in aller Hilflosigkeit Korrespondenztabellen für vergleichbare Inhalte in verschiedenen Kapiteln an. So zum Beispiel den berühmten Anhang in der Norm ISO 14001:2009 - mit "informativem" Charakter zu "Korrespondenzen" zur ISO 9001:2008.

Es wäre an der Zeit, mit den kommenden Revisionen der Normen, die "Form der Norm" mit einer "Norm der Form" zu vereinheitlichen.

Nicht ganz einfach, da es ja auch noch die ISO 9000:2005 gibt, die man vor der ISO 9001:2008 lesen sollte, was keiner tut. Oder die ISO 9004:2009, die "unternehmerischte" = am meisten unternehmerische Norm der Normenreihe 900X.

Aber nützlich, da das Thema Integration wesentlich einfacher zu realisieren wäre, wenn man den Quatsch mit den Korrespondenztabellen endlich nicht mehr als Lesehilfe, Verständnishilfe oder Integrationshilfe brauchen würde.

Übrigens: Man kann seinem Integrierten Managementsystem natürlich jetzt schon eine Struktur geben, die einfach und generisch ist; man muss dazu nicht auf die "Joint Vision" aus dem Dunstkreis der ISO für zukünftige "Management System Standards" von 2012 oder später warten! Das gibt es alles schon.

ISO 31000: Zertifizierung / Testierung oder nicht ?

Die Norm ISO 31000:2009 erklärt sich selbst im Normtext Kapitel 1 Anwendungsbereich als "Diese Internationale Norm dient nicht zum Zweck einer Zertifizierung.". Das ist die eine halbe Wahrheit. An anderer Stelle (in Kapitel 3 Grundsätze) erklärt sie Risikomanagement als "b. Risikomanagement ist Bestandteil aller Organisationsprozesse". Das ist die andere halbe Wahrheit.

Daraus ergeben sich für eine Zertifizierung die folgende Praktiken:

(1) Risikomanagement nach der Norm ISO 31000 wird in einem Integrierten Managementsystem z. B. zusammen mit dem Qualitätsmanagement nach der ISO 9001 (und ggfls. mit den weiteren üblichen Verdächtigen "14001" und "18001") zertifiziert. Dieses Verfahren wird im Mittelstand bei GmbHs häufig angewandt.

(2) Risikomanagement wird vom Wirtschaftsprüfer entsprechend den standardisierten Prüfverfahren testiert. Dieses Risikomanagement kann (und soll sinnvollerweise) nach den Grundsätzen und Richtlinien der Norm ISO 31000 umgesetzt werden und muss die entsprechenden Merkmale des Prüfungsstandards enthalten. Dieses Verfahren wird bei AGs, welche Risikomanagement aus Forderungen des Aktiengesetzes und des Gesetzes zur Kontrolle und Transparenz im Unternehmensbereich betreiben, angewandt. Die meisten dieser Umsetzungen von Risikomanagement in AGs sind konform zu den Grundsätzen und Richtlinien der Norm ISO 31000 ohne dies explizit zu erwähnen. Das gilt auch für viele Umsetzungen von Risikomanagement, die vor der Veröffentlichung der Norm ISO 31000 erfolgt sind.

Gegenwärtig prüfen viele Unternehmen, welche Impulse sie aus einem Risikomanagement nach den Grundsätzen und Richtlinien der Norm ISO 31000 erhalten und ob und wie eine Zertifizierung Sinn macht.

AGs müssen aufgrund gesetzlicher Forderungen ein Risikomanagement umsetzen, welches testiert wird. Dieses Risikomanagement muss nicht explizit der Norm ISO 31000 folgen.

GmbHs können ein Risikomanagement umsetzen, welches nicht unbedingt zertifiziert werden muss. Dieses Risikomanagement muss nicht explizit der Norm ISO 31000 folgen.

Zur Erinnerung: Ein Unternmehmen muss nicht (aufgrund gesetzlicher Forderungen), kann aber (aufgrund anderer Forderungen, z. B. Markt- und Kundenforderungen) ein Qualitätsmanagement umsetzen. Ein solches Qualitätsmanagement kann bzw. muss der Norm ISO 9001 und / oder anderen branchenspezifischen Standards folgen.

Qualitätsmanagement ist Risikomanagement

Wenn wir uns die "medien-prominenten" Schadensfälle bei Produkten von Technologieunternehmen der letzten Jahre anschauen, dann sind sie eine Folge von mangelhafter Qualität.

Es ist offenbar ein Risiko, Qualität nicht sicherstellen zu können!

Die "Qualitätsmanagementnorm" ISO 9001:2008 behandelt das Thema der "mangelhaften Qualität" unter dem Stichwort "Fehler" und "fehlerhaftes Produkt" in den Normkapiteln 8.3 und 8.5.

Die "Risikomanagementnorm" ISO 31000:2009 erwähnt ihrerseits in ihren Normkapiteln 3 Grundsätze und 5.4.3 Risikoanalyse den Begriff Qualität bzw. Produktqualität.

Konsequenterweise ist in vielen Technologieunternehmen das Qualitätsmanagement in Bezug auf die "Produktrealisierung" (ein Begriff der Norm ISO 9001:2008) organisatorisch in das Risikomanagement eingebunden.

Qualitätsmanagement ist Risikomanagement.

ISO 9001:2008 - Warum kein offenes und klares Bekenntnis zur Integration ?

Integration - Im Text der Norm ISO 9001:2008 liest man wenig Brauchbares. Es wird in der Einleitung Abschnitt 04 mit der Überschrift "Verträglichkeit mit anderen Managementsystemen" auf die Verträglichkeit des Qualitätsmanagements mit anderen Managementsystemen hingewiesen und darüber geschrieben, das Qualitätsmanagementsystem mit in Beziehung stehenden Managementsystemen in Einklang zu bringen. Im Anhang A 1 (informativ) wird auf "Entsprechungen zwischen ISO 9001:2008 und ISO 14001:2004" hingewiesen. Die entsprechende Tabelle ist das aktuelle Vehikel für die Integration von Qualitätsmanagement- systemen und Umweltmanagementsystemen und liegt der Zertifizierung des entsprechenden Integrierten Managementsystems zugrunde.

Integration - Im Bild der Norm sieht man Brauchbares (sh. Bild 1 aus der Norm ISO 9001:2008): Qualitätsmanagement ist eine Perspektive auf die Wertschöpfung (im Bild "Produkterstellung" genannt). Dieses Bild zeigt deutlich auf der Prozessebene, wie Qualitätsmanagement in die Prozesse der Organisation integriert ist.

Integration - Die Norm ISO 31000:2009 sagt in ihrem Clause 3 Principles unter [Zitat] "b) Risk management is an integral part of all organizational processes." Das ist ein brauchbarer und belastbarer Grundsatz, der wesentlich bestimmter ist, als die vagen Aussagen in der ISO 9001:2008.

Die ISO 9001:2008 und die ISO 31000:2009 korrespondieren in diesem hergebrachten Sinne nicht miteinander. Die Integration ist nicht mit einer Tabelle zu bewerkstelligen, sondern mit dem Verständnis, dass Risiko und Qualität zwei komplementäre Perspektiven auf die Wertschöpfung sind. Dann ist alles, wie es sein muss: Ganz einfach!