Risikomanagement in der neuen ISO 9001:2015: Wo ist die ISO 31000:2009?

In der aktuellen DIS Version der DIS ISO 9001:2014 der kommenden Norm ISO 9001:2015 steht ein einziger Hinweis auf die generische Risikomanagement Norm ISO 31000:2009 "Risk Management- Principles and Guidelines":

Im Abschnitt 0.5 der DIS ISO 9001:2014 wird im Abschnitt Introduction 0.5 "Risk Based Thinking" auf die Norm ISO 31000:2009 verwiesen. In Sinne, wer "mehr" Risikomanagement machen will / muss, als aufgrund der Anforderung der ISO 9001:2015 erforderlich, mag den Empfehlungen (nicht den Anforderungen! die Norm ISO 31000 stellt keine Anforderungen!) folgen. Das ist der einzige Verweis auf die Norm ISO 31000.

Damit wird das Risikomanagement, welches die ISO 9001 fordert, positioniert.

Der Abschnitt Introduction 0.5 "Risk Based Thinking" führt ferner aus, dass es unterschiedliche Organisationen mit mehr oder weniger Risiko und entsprechend mehr oder weniger schweren Folgen eines Schadensereignisses (eines eingetretenen Risikoereignisses) gibt.

Risiko- oder Qualitätsmanagement? Risk or Quality Management?

As seen in Glasgow most recently. 

Will eventually merge into a case study for a MBA class.

- What is the value?

- Who are the stakeholders?

- Which are the most dangerous circumstance?

- Which are the most favorable circumstances?

- How to quantify quality?

- How to quantify risk?

- ...

etc.

... lost in translation ... Definitionen von Risiko

Bereits bei der Definition des Begriffs risk / Risiko in zwei ISO Normen findet sich eine bemerkenswerte Diskrepanz:


DIS ISO 9001:2014
ISO 31000:2009
Ein "objective" verstehe ich als Ziel und würde es auch so übersetzen.
Das Problem liegt aber tiefer.
Hier besteht noch Definitionsbedarf!

3.09 risk - effect of uncertainty on an expected result

2.1 risk - effect of uncertainty on objectives

Ein "expected result", ein erwartetes Ergebnis - Ist das ein Ziel oder eine Prognose? Eine Prognose!
Ein Ziel ist ein "planned result".
Diese Diskrepanz wird bei der translation / Übersetzung ins Deutsche nicht besser.

Ein objective / Ziel ist ein Ziel ist ein Ziel. Warum sollte sich ein Ziel durch ein Risiko verändern?
Eine Prognose ändert sich unter der Wirkung von Ungewissheit durchaus.
Ein erreichtes Ergebnis kann unter der Wirkung von Ungewissheit vom geplanten Ergebnis abweichen.

Management von Risiko nach der neuen Norm ISO 9001:2015

Welches Risiko muss im Rahmen des Qualitätsmanagements nach der Norm ISO 9001:2015 gemanagt werden?

Ein Qualitätsmanagement nach den Anforderungen der Norm ISO 9001 hat die Qualität der Produkte (Güter und Dienste) zum Gegenstand. An der Qualität sind die Kunden der Produkte interessiert. Im Managementzyklus nach PDCA werden Qualitätsziele geplant und Qualitätsergebnisse erreicht. Es besteht das Risiko, dass erreichte Qualitätsergebnisse von den geplanten Qualitätszielen abweichen. Das ist das Risiko, welches im Rahmen des Qualitätsmanagements gemanagt werden muss. Die erreichten Qualitätsergebnisse sollen mit den geplanten Qualitätszielen übereinstimmen.

x

Risikomanagement: ab sofort in allen ISO Normen

Normen, die Anforderungen an das Managementsystems eines bestimmten Sachverhalts (Qualitätsmanagement, Umweltmanagement) stellen die Anforderung, Risikomanagement zu integrieren. Konkret wird das für die Norm ISO 9001:2015 und ISO 14001:2015 bereits im kommenden Jahr sein. Im Normabschnitt 6. Planning / Planung wird gefordert, Handlungen in Bezug zu Risiken und Chancen zu planen.

Es herrschte bis zum Erscheinen des Discussion Draft der Norm DIS ISO 9001:2014 im Sommer 2014 Unklarheit über dieses „Risikomanagement“ innerhalb z. B. des klassischen Qualitäts- oder Umweltmanagement.

In den folgenden Normabschnitten werden Definitionen, Erklärungen zu Risiko und Anforderungen zu Risikomanagement formuliert:

0.         Introduction

0.5       „Risk based thinking“

2.         Terms and definitions

2.9       Risk - effect of uncertainty on an expected result

6.         Planning

6.1       Actions to address risks and opportunities

Annex A (informativ)

A.4      Risk based approach

Im Kern geht es darum, bei allen Managementprozesses damit „zu rechnen“, dass erreichte Ergebnisse von den geplanten Zielen abweichen können.

Das betrifft das Managementsystem selbst, dessen Effektivität und/oder Effizienz möglicherweise negativ von der Zielplanung abweichen kann.

Das betrifft auch den Sachverhalt, der mit einem Managementsystem gemanagt wird. Das Qualitätsziel oder das Umweltziel wird möglicherweise nicht erreicht.

Ich werde in zukünftigen Beiträgen näher auf dieses Risikomanagement nach Abschnitt 6.1 der neuen „high level structure“ der ISO Normen eingehen.

Risikomatrix - in der Praxis immer unsymmetrisch

Beim Anblick der Ergebnisse der google-Bildsuche nach dem Stichwort "riskmatrix" oder "Risikomatrix" drängt sich der falsche Eindruck auf, Risikomatrizen seien symmetrisch zur Diagonalen. In der Praxis sind Risikomatrizen unsymmetrisch zur Diagonalen. "Links" von der Diagonalen stehen Risiken, die anders bewertet sind, als Risiken, die "rechts" von der Diagonalen stehen. 

Diese falsch verstandene Symmetrie folgt aus dem falschen Verständnis von Kennzahlen für Risiko. Werden für das Merkmal "Ausmaß" und für das Merkmal "Wahrscheinlichkeit" z. B. in vier Stufen die Kennzahlen 1, 2, 3, 4 für jeweils einen Wert vergeben, so sind dies ordinale Zahlen. Zwischen denen ist als Verknüpfung nur der Vergleich "größer als" ( > ) und "kleiner als" ( < ) definiert. Die naheliegende Multiplikation der Kennzahlen für das "Ausmaß" mit der Kennzahl für die "Wahrscheinlichkeit" zu einem Produkt als Kennzahl für Risiko als wahrscheinlichkeitsskaliertes Ausmaß ist zwar sehr anschaulich und führt zu einer symmetrischen Matrix, ist aber nicht definiert. Es sei denn, die Kennzahlen für die beiden Achsen der Matrix sind als rationale Zahlen definiert, innerhalb derer weitere arithmetische Verknüpfungen, wie Multiplikation und Division definiert sind. 

Im Bildbeispiel gibt es innerhalb der Matrix in den Dimensionen "Ausmaß" und "Wahrscheinlichkeit" mit jeweils 4 ordinalen Kennzahlen 16 Felder mit 16 weiteren ordinalen Kennzahlen von 1 bis 16. Sie stammen nicht aus einer Arithmetik, sondern aus einer Bewertung entsprechend der "Priorität" des Risikos. Die unumstößliche Annahme ist, dass die höchste Priorität 1 hier rechts oben und die geringste Priorität 16 hier links unten steht. Alle anderen Zuordnungen sind das Ergebnis eines Bewertungsprozesses, der individuell ist. Diese 4*4 Matrix kann für eine andere Organisation eine andere Bewertungsfolge zwischen 1 und 16 erhalten. Die weiße dicke Linie trennt in diesem Beispiel die rote no-go-zone vom Rest.

Achtung: Ein Risikofeld mit der Kennzahl 16 für die Priorität enthält nicht Risiken, die 1/16 so groß sind, wie Risiken in dem Risikofeld mit der Kennzahl 1 für die Priorität. Diese Arithmetik ist bei ordinalen Zahlen nicht definiert. Genau so wenig wie die Kennzahlen für den "Platz" als Ergebnis eines Formel I Rennens.

   

   

  

Fußball - und die Begriffe werden klar ...

1. Ziel: Gewinn - 1:0
2. Prognose: Gewinn - 2:1
3. Ergebnis: Gewinn - 7:1

1. Ein Ziel liegt in der Zukunft - wird geplant.
2. Eine Prognose liegt in der Zukunft - wird abgegeben.
3. Ein Ergebnis liegt in der Vergangenheit - wurde erreicht.

Ziel, Prognose und Ergebnis sind drei Verschiedene Dinge.

1. Ein Ziel kann mit einer Wahrscheinlichkeit versehen werden.
2. Eine Prognose muss mit einer Wahrscheinlichkeit versehen werden.
3. Ein Ergebnis hat die Wahrscheinlichkeit 1.0.

1. Ein Ziel ist eine Führungsgröße.
2. Eine Prognose ist ein Merkmal eines zukünftigen Zustands.
3. Ein Ergebnis ist ein Merkmal eines verhangenen Zustand.