Qualitätsmanagement - ISO 9001 - ist Compliancemanagement

Mit der Verpflichtung der Obersten Leitung auf Normabschnitte

5 Führung / 5.1 Führung und Verpflichtung / 5.1.a) bis 5.1.j)

der Internationalen Norm DIN EN ISO 9001:2015 unterwirft sich eine Organisation den Anforderungen dieser Norm. Diese Anforderungen bilden ein Regelwerk, welches Merkmale des Qualitätsmanagementsystems bestimmt.

Das Qualitätsmanagementsystem muss (!) in Übereinstimmung mit diesem Regelwerk so beschaffen sein, dass es nach Normabschnitt

10 Verbesserung / 10.3 Fortlaufenden Verbesserung

hinsichtlich seiner Eignung, Angemessenheit und Wirksamkeit des unterzogen wird.

Damit ist Qualitätsmanagement nach den Anforderungen der Internationalen Norm DIN EN ISO 9001:2015 nichts anderes als Compliancemanagement zu dieser Norm als Regelwerk. Die Anforderungen der Norm sind bindende Verpflichtungen der Organisation.

Damit ist ein System (das Qualitätsmanagementsystem) als Konzept und als Ideologie (!) installiert, welches die Optimierung des Sachverhalts der Qualität (sh. die Definition von Qualität in der Internationalen Norm DIN EN ISO 9000:2015) treibt.

• DIN EN ISO 9000:2015 Normtext Zitat:

||| „3.6.2 Qualität

Grad, in dem ein Satz inhärenter Merkmale eines Objektes Anforderungen erfüllt.“

Getrieben wird über Anforderungen an das System, an den Prozess und an den Sachverhalt selbst in der Logik, dass das System den Prozess bestimmt und der Prozess das Ergebnis des zu managenden Sachverhalts bestimmt.

Treiber sind die Internationale Norm selbst, die sie generierenden und sponsornden Organisationen mit dem Heer von Auditoren, Autoren, Bloggern, Sachverständigen und Sachverhaltsverständigen.

Getriebene sind die Organisatoren.

Problem ist die Interpretation der Anforderungen der Internationalen Norm durch Betroffene und Beteiligte (s. o.) , die zu Praktiken der Umsetzung der Anforderungen der Norm führt, die sich mit kritische Prüfungen des Normtexts nicht recht(!)ferigen lässt.

Übrigens: Es gibt DAX Unternehmen, die Qualitätsrisiken (Risiken mit der Ursache Qualitätsmangel) in ihrem Risikobericht als Compliancerisiken kategorisieren, weil sie wegen vermeintlicher (?) Qualitätsmängel juristischen Sammelklagen mit hohem Streitwert ausgesetzt sind.

Von COSO nach ISO und zurück

Die ISO Normen mit Anforderungen an Managementsysteme (nach der neuen high-level Struktur und auch nach den alten Strukturen) stellen Anforderungen aus den folgenden Perspektiven von Werten:

(1)       normativ (Governance)
(2)       rechtlich (Compliance)
(3)       strategisch (Potenziale)
(4)       operativ (Ressourcen)
(5)       finanziell (Bewertung)

Die Perspektiven (2) bis (5) stimmen im Wesentlichen mit den COSO Perspektiven nach dem farbigen Würfel des Unternehmensweiten Risikomanagements überein.

In der Praxis stecken z. B. in den Normen konkrete Anforderungen mit den Perspektiven (1) bis (5).

(1) z. B. Verantwortung der Obersten Leitung in ISO 9001:2015; Politik
(2) z. B. bindende Verpflichtungen in ISO 14001:2015
(3) z. B. Wissen in ISO 9001:2015; strategische Ziele in ISO 14001:2015
(4) z. B. Qualität des Produkts in ISO 9001:2015; operative Ziele in ISO 14001:2015 
(5) z. B. Energiekosten in ISO 50001:2011

In der Praxis stellen alle ISO Normen mit Anforderungen an Managementsysteme Anforderungen in diesen fünf Perspektiven. 

Die Perspektive (5) finanziell (Bewertung), die möglicherweise nicht explizit in der Norm gefordert wird, liegen durchaus implizite Forderungen vor. Es gibt kleinen Unternehmer, der nicht seine - wie auch immer definierten - Qualitätskosten kennen möchte, obwohl die Normanforderung (wewlch ein Schwachpunkt der Norm!) hier nicht explizit ist. Wobei in anderen Normen z. B. explizit etwas über Kosten steht!

ISO Norm mit Anforderungen an Managementsysteme (9001, 14001 u. a.) in einem Satz

In ISO Normen zu Managementsystemen nach der neuen High-Level Struktur ist die Systematik des Managements eines Sachverhalts präzise gefasst. Eine Sache oder ein Sachverhalt in ...

• einer Organisation (Normkapitel 1 „Anwendungsbereich“),
• unter Berücksichtigung weiterer Normen (Normkapitel 2 „Verweisungen“),
• wird definiert (Normkapitel 3 „Begriffe“),
• in einen Zusammenhang gestellt (Normkapitel 4 „Kontext“),
• einer Verantwortung unterstellt (Normkapitel 5 „Führung“),
• und dem PDCA Zyklus eines geregelten Managementprozesses unterzogen (Normkapitel 6 „Planung“, 8 „Betrieb“, 9 „Messung“, 10 „Verbesserung“),
• wobei Ressourcen und Potentiale (Normkapitel 7 „Ressourcen“) zum Einsatz kommen.

Das sind einfach die 10 Kapitel der neuen Revision der ISO Managementsysteme auf einen einzigen Satz gebracht.

Über 300 Anforderungen der Norm DIN EN ISO 9001:2015

Anforderungen der ISO Normen an Managementsysteme (hier konkret DIN EN ISO 9001:2015 Qualitätsmanagementsysteme - Anforderungen) haben weit über 300 Anforderungen, was die Organisation machen muss.
Davon sind über 100 explizite Anforderungen, die mit dem Begriff muss eingeleitet werden. Diese werden teilweise vervielfacht, da ein muss mehrere Anforderungen in Form einer Aufzählung einleitet. Durch diese Multiplikation enthält die Norm über 300 explizite Anforderungen.
 

DIN EN ISO 9001:2015, 14001:2015 - Risikomanagement geklärt

Es ist einfach, das ungeklärte Risikomanagement in der Normen DIN EN ISO 9001:2015, 14001:2015 zu klären. Ohne viel Aufwand lässt sich Das Risikomanagement im Qualitätsmanagement (bzw. im Umweltmanagement) einfach integrieren. Die Eckpunkte des Konzepts (das leider - sh. der vorangegangene Post - nicht konsequent erstellt ist) sieht wie folgt aus:

• Gemäß Normkapitel 3 wird auf ISO-Definitionen von Risiko und Chancen referenziert. Dazu dienen die Normen ISO 9000:2015 und ISO 31000:2009. Das ist nichts Neues. 

• Gemäß Normkapitel 4 werden Risiko und Chancen mit Qualität (bzw. Umwelt) in Beziehung gebracht. Damit wird das Risikomanagement in das Qualitätsmanagement (bzw. in das Umweltmanagement) integriert. Das steht nicht klar in den Normanforderungen.

• Gemäß Normkapitel 5 wird die Verantwortung auch für Risiko und Chance festgestellt. Das steht indirekt in den Normanforderungen aus Kapitel 5. 

• Gemäß Normkapitel 6 (entspricht dem P - Plan) werden Risiken in Bezug auf Ziele, Strategien und Maßnahmen geplant. Das geht etwas über die Normanforderungen aus Kapitel 6 hinaus. 

• Gemäß Normkapitel 7 werden für Risikomanagement Ressourcen bereitgestellt und Potenziale entwickelt. Das steht indirekt in den Normanforderungen aus Kapitel 7. 

• Gemäß Normkapitel 8 (entspricht dem D - Do) werden die gemäß Normkapitel 6 geplanten Massnahmen umgesetzt. Das steht nicht klar in den Normanforderungen aus Kapitel 8, wohl aber unklar in den Normanforderungen aus Kapitel 4.

• Gemäß Normkapitel 9 (entspricht dem C - Check) wird in Bezug auf Risiko und Chance auditiert und bewertet.

• Gemäß Normkapitel 10 (entspricht dem A - Act) werden entsprechend der Ergebnisse aus Kapitel 9 Veränderungen eingeleitet in Bezug auf die Strategien und die Massnahmen zu Risiken und Chancen.

Dieses einfache und klare Vorgehen beschreibt ein Management von Qualitäts- (bzw. Umweltrisiken) integriert im Qualitäts- (bzw. Umweltmanagement). Es ordnet das Vorgehen systematischer im PDCA-Konzept der ISO-Normen für Managementsysteme als es in den entsprechenden Normen ISO 9001:2015 und ISO 14001:2015 formuliert ist.

 

Alles Qualität oder was?

Vor ein paar Jahren schon haben wir „integriert“, nämlich Managementsysteme integriert. Genannt haben wir das „Qualität“. Gemeint haben wir bestimmte Werte für bestimmte Interessierte. Das Produkt haben wir Wert genannt. Der Kunde war der Interessierte an dem Wert.

Das Ganze war nicht nur ISO 9001 sondern auch ISO 9004.

Das ganze war aber auch ISO 14001 mit der Umwelt als Kunden und der Umweltintegrität als Wert, bzw. als Qualität.

Zertifizierbar war das natürlich auch. Für 9001. Für 14001. Und für andere. Etwas anstrengender für den Auditor / Zertifizierer, aber das war ok.

Irgendwie hatten wir die neue Revision der ISO Normen schon vor uns und die Integration pragmatisch und einfach umgesetzt.

ISO 9001:2015, ISO 31000:2009: Unglückliche ISO Definitionen von Risiko (und Chance)

Definition von Risiko ...

... in ISO 9001:2015
0. Einleitung
0.3 Prozessorientierter Ansatz
0.3.3 Risikobasiertes Denken

(A) „Risiko ist die Wirkung von Ungewissheiten und jede dieser Ungewissheiten kann positive oder negative Auswirkungen haben.“

Definition von Risiko ...

... in DIN E ISO 31000
2. Begriffe
2.1 Risiko

(B) „Risiko ist die Wirkung von Ungewissheit auf Ziele.“ 

Es ist höchst merkwürdig, dass verschiedene ISO Normen verschiedene Definitionen liefern.
Beide Definitionen (A) und (B) sind weder theoretisch fundiert noch praktisch nützlich.

zu (A):
Allein Unsicherheit bewirkt nichts. Unsicherheit löst nur eine unbedingte Beziehung zwischen Ursache und Wirkung in eine durch Unsicherheit bedingte Beziehung auf. Von Ursache ist in dieser Definition keine Rede. Allenfalls deutet diese Definition an, dass Risiko eine "zweiparametrige" Größe mit den Komponenten "Ungewissheit" und "Wirkung" ist.

zu (B):
Ziele sind imaginäre, ausgewählte, zukünftige, vorzugswürdige Zustände, auf die Ungewissheit keine Wirkung hat.

zu (A) und (B):
Ursachen haben durch Ungewissheit bedingte Wirkungen auf Ergebnisse. Ist die Ursache eine Gefahr, gibt es das Risiko einer möglichen negativen Abweichung des Ergebnisses von seinem Ziel. Ist die Ursache eine Gunst, gibt es die Chance einer möglichen positiven Abweichung des Ergebnisses von seinem Ziel.
Lassen wir die Ursache (Gefahr oder Gunst) auf einen Wert wirken, folgen daraus möglicherweise Schaden oder Nutzen bzw. möglicher Verlust oder Gewinn.

Damit sind wir bei einer Definition von Risiko (und Chance) im Bild einer Ursachen-Wirkungs-Beziehung, die durchaus in Normtexten der ISO (z. B. DIN EN ISO IEC 31010) dokumentiert sind. Warum nutzt die ISO nicht ihre eigenen Verfahren?

Risiko / Risikomanagement und Qualität / Qualitätsmanagement: Integration

1. Aus der Perspektive der Qualität

Nach der neuen Revision ISO 9001:2015 wird die Beziehung zwischen Qualitätsmanagement und Risikomanagement standardisiert. Es geht dabei um das Risiko, geplante Qualitätsziele nicht zu erreichen. Das Risikomanagement ist ein teilheitliches Management bezogen auf den Wert der Qualität und seine Stakeholder, die Kunden. Risiko ist eine Perspektive auf den Wert der Qualität.

2. Aus der Perspektive von Risiko

Nach der Praxis von GRC - Governance, Risk, Compliance - ist Qualität / Qualitätsmanagement ein Konzept, um Haftungsrisiken aus Produkten mit Mängeln zu begegnen. Das Risikomanagement ist ein ganzheitliches Management bezogen auf alle Werte des Unternehmens und alle seine Stakeholder. Bei Aktiengesellschaften liegt der Schwerpunkt der Risikomanagementaktivitäten bei der Sicherung zukünftiger Werte der Shareholder. Risikomanagement ist eine Perspektive auf alle Werte. 

Die beiden geschilderten Risikomanagementkonzepte sind verschieden voneinander. Sie sind mit dem Qualitätsmanagement auf unterschiedliche Weise verknüpft und integriert. 

ISO 9001:2015 „risk based thinking“ ...

... ist das neue Credo der neuen Revision der Qualitätsmanagementnorm. Hört sich kompliziert an, ist aber ganz einfach:

Entscheidungen beim Management von Qualität werden, so die neue Anforderung der Norm, unter Einbeziehung der Perspektive „Risiko“ getroffen. Wir kennen das von der Perspektive „Kosten“. Heißt es dort üblicherweise zu einem Qualitätsziel, „Nö, wird nicht gemacht, weil zu teuer.“, könnte es jetzt auch heißen „Nö, wird nicht gemacht, weil zu riskant.“. „Riskant“ bedeutet, es ist „wahrscheinlich“, dass dieses Qualitätsziel nicht erreicht wird und das Qualitätsergebnis wahrscheinlich vom Qualitätsziel abweicht. Was dann auch wieder etwas kostet, wenn dieses Risiko einem Risikomanagement unterzogen wird, sprich, wenn vorbeugende Maßnahmen die besagten zukünftigen Abweichungen verhindern sollen. Womit wir mitten im Risikomanagement im Rahmen des Qualitätsmanagement sind. Oder im Qualitätsmanagement im Rahmen des Risikomanagements.

Das ist ein Beispiel, wo eine Managemententscheidung auf der Grundlage mehrerer Perspektiven auf einen Sachverhalt erfolgt. Die Frage ist dann, wie die Gewichtung der verschiedenen und komplementären Perspektiven ist.

next seminar in / nächstes Seminar in: Seoul, Korea (17.12.2014)

... as seen on: http://www.sbcseminar.com/

Subjects covered: product risk management, enterprise wide risk management, small & medium sized enterprises, product quality, quality management new ISO 9001:2015, HACCP, FMEA, CE mark, legal compliance, regulatory conformance, certificates, software, etc.

LOGIN

Risikomanagement in der neuen ISO 9001:2015: Wo ist die ISO 31000:2009?

In der aktuellen DIS Version der DIS ISO 9001:2014 der kommenden Norm ISO 9001:2015 steht ein einziger Hinweis auf die generische Risikomanagement Norm ISO 31000:2009 "Risk Management- Principles and Guidelines":

Im Abschnitt 0.5 der DIS ISO 9001:2014 wird im Abschnitt Introduction 0.5 "Risk Based Thinking" auf die Norm ISO 31000:2009 verwiesen. In Sinne, wer "mehr" Risikomanagement machen will / muss, als aufgrund der Anforderung der ISO 9001:2015 erforderlich, mag den Empfehlungen (nicht den Anforderungen! die Norm ISO 31000 stellt keine Anforderungen!) folgen. Das ist der einzige Verweis auf die Norm ISO 31000.

Damit wird das Risikomanagement, welches die ISO 9001 fordert, positioniert.

Der Abschnitt Introduction 0.5 "Risk Based Thinking" führt ferner aus, dass es unterschiedliche Organisationen mit mehr oder weniger Risiko und entsprechend mehr oder weniger schweren Folgen eines Schadensereignisses (eines eingetretenen Risikoereignisses) gibt.

... lost in translation ... Definitionen von Risiko

Bereits bei der Definition des Begriffs risk / Risiko in zwei ISO Normen findet sich eine bemerkenswerte Diskrepanz:


DIS ISO 9001:2014
ISO 31000:2009
Ein "objective" verstehe ich als Ziel und würde es auch so übersetzen.
Das Problem liegt aber tiefer.
Hier besteht noch Definitionsbedarf!

3.09 risk - effect of uncertainty on an expected result

2.1 risk - effect of uncertainty on objectives

Ein "expected result", ein erwartetes Ergebnis - Ist das ein Ziel oder eine Prognose? Eine Prognose!
Ein Ziel ist ein "planned result".
Diese Diskrepanz wird bei der translation / Übersetzung ins Deutsche nicht besser.

Ein objective / Ziel ist ein Ziel ist ein Ziel. Warum sollte sich ein Ziel durch ein Risiko verändern?
Eine Prognose ändert sich unter der Wirkung von Ungewissheit durchaus.
Ein erreichtes Ergebnis kann unter der Wirkung von Ungewissheit vom geplanten Ergebnis abweichen.

Management von Risiko nach der neuen Norm ISO 9001:2015

Welches Risiko muss im Rahmen des Qualitätsmanagements nach der Norm ISO 9001:2015 gemanagt werden?

Ein Qualitätsmanagement nach den Anforderungen der Norm ISO 9001 hat die Qualität der Produkte (Güter und Dienste) zum Gegenstand. An der Qualität sind die Kunden der Produkte interessiert. Im Managementzyklus nach PDCA werden Qualitätsziele geplant und Qualitätsergebnisse erreicht. Es besteht das Risiko, dass erreichte Qualitätsergebnisse von den geplanten Qualitätszielen abweichen. Das ist das Risiko, welches im Rahmen des Qualitätsmanagements gemanagt werden muss. Die erreichten Qualitätsergebnisse sollen mit den geplanten Qualitätszielen übereinstimmen.

x

Risikomanagement: ab sofort in allen ISO Normen

Normen, die Anforderungen an das Managementsystems eines bestimmten Sachverhalts (Qualitätsmanagement, Umweltmanagement) stellen die Anforderung, Risikomanagement zu integrieren. Konkret wird das für die Norm ISO 9001:2015 und ISO 14001:2015 bereits im kommenden Jahr sein. Im Normabschnitt 6. Planning / Planung wird gefordert, Handlungen in Bezug zu Risiken und Chancen zu planen.

Es herrschte bis zum Erscheinen des Discussion Draft der Norm DIS ISO 9001:2014 im Sommer 2014 Unklarheit über dieses „Risikomanagement“ innerhalb z. B. des klassischen Qualitäts- oder Umweltmanagement.

In den folgenden Normabschnitten werden Definitionen, Erklärungen zu Risiko und Anforderungen zu Risikomanagement formuliert:

0.         Introduction

0.5       „Risk based thinking“

2.         Terms and definitions

2.9       Risk - effect of uncertainty on an expected result

6.         Planning

6.1       Actions to address risks and opportunities

Annex A (informativ)

A.4      Risk based approach

Im Kern geht es darum, bei allen Managementprozesses damit „zu rechnen“, dass erreichte Ergebnisse von den geplanten Zielen abweichen können.

Das betrifft das Managementsystem selbst, dessen Effektivität und/oder Effizienz möglicherweise negativ von der Zielplanung abweichen kann.

Das betrifft auch den Sachverhalt, der mit einem Managementsystem gemanagt wird. Das Qualitätsziel oder das Umweltziel wird möglicherweise nicht erreicht.

Ich werde in zukünftigen Beiträgen näher auf dieses Risikomanagement nach Abschnitt 6.1 der neuen „high level structure“ der ISO Normen eingehen.