Wo stehen die Anforderungen an Risikomanagement in der Norm ISO 9001:2015?

Anforderungen und Informationen zu „Risiken und Chancen“ in den Kapiteln und Abschnitten der Norm DIN EN ISO 9001:2015 Anforderungen enthalten explizit die Formulierung: „Die Organisation / die oberste Leitung muss [...]“. Explizite Informationen nehmen direkt und wörtlich Bezug auf Risiken und Chancen. Implizite Informationen nehmen indirekt Bezug auf Risiken und Chancen.
Titel	Keine Anforderungen Implizite Informationen
Vorwort	Keine Anforderungen Implizite Informationen
Einleitung	Keine Anforderungen Umfangreiche explizite Information im Normabschnitt: 0 Einleitung 0.3.3 Risikobasiertes Denken Implizite Information im Normabschnitt: 0.4 Zusammenhang mit anderen Managementsystemen
1. Anwendungsbereich	Keine Anforderungen Implizite Informationen
2. Normative Verweisungen	Keine Anforderungen Verweis auf die Norm DIN EN ISO 9000:2015
3. Begriffe	Keine Anforderungen Verweis auf die Norm DIN EN ISO 9000:2015
4. Kontext der Organisation	Anforderungen im Normabschnitt: 4.4 Qualitätsmanagement und seine Prozesse
5. Führung	Anforderungen im Normabschnitt: 5.1 Führung und Verpflichtung
6. Planung	Anforderungen im Normabschnitt: 6.1 Maßnahmen zum Umgang mit Risiken und Chancen
7. Unterstützung	Keine Anforderungen Implizite Informationen
8. Betrieb	Keine Anforderungen Implizite Informationen
9. Bewertung der Leistung	Anforderungen im Normabschnitt: 9.1 Überwachung, Messung, Analyse und Bewertung 9.3 Managementbewertung
10. Verbesserung	Anforderungen im Normabschnitt: 10.1 Allgemeines 10.2 Nichtkonformitäten und Korrekturmaßnahmen 10.3 Fortlaufende Verbesserung
Anhang A (informativ)	Keine Anforderungen Umfangreiche explizite Information im Normabschnitt: A.4 Risikobasiertes Denken Weitere implizite Informationen in den Normabschnitten: A.3 Verstehen der Erfordernisse und Erwartungen interessierter Parteien A.6 Dokumentierte Information A.7 Wissen A.8 Steuerung von extern bereitgestellten Prozessen, Produkten und Dienstleistungen
Anhang B (informativ)	Keine Anforderungen Keine Informationen

Tabelle 5: Anforderungen und Informationen zu „Risiken und Chancen“ in der Norm ISO 9001:2015 (Hinweis: Die Tabelle enthält nur die relevanten Stellen der Norm.)

Aus: Peter Meier; Integriertes Risikomanagement nach der Norm ISO 9001:2015

ISBN 978-3-00-050067-7 /amazon / kindle / eBook / (Februar 2017)

Integration / integriert: Risikomanagement und Qualitätsmanagement in Unternehmen

Es kommt auf die Perspektive an:

ISO 9001:2015  Qualitätsmanagement 

- Risikomanagement ist in das Qualitätsmanagement integriert.
Mit dem Plan-Do-Check-Act für die Qualität geht das Plan-Do-Check-Act für das Qualitätsrisiko. Dieses Risikomanagement hat Qualitätsrisiken zum Gegenstand. Es ist ein Qualitätsrisikomanagement.

Risikomanagement unternehmensweit

- Qualitätsmanagement ist in das unternehmensweite Risikomanagement integriert. Qualität der Produkte (Güter und Dienste) schützt das Unternehmen gegen Produkthaftungsrisiken und ist damit auch ein Teil des Compliancemanagements. Wie es ein Chief-Compliance-Officer auf den Punkt brachte: "Qualitätsmanager sind die nützlichen Idioten, die mir Produkthaftungsrisiken fernhalten!"

ISO 9001:2015 - Welche Risiken (und Chancen) managen?

Es besteht offenbar immer noch Ungewissheit (und damit ein Risiko!), welche Risiken nach den Anforderungen der Norm DIN EN ISO 9001:2015 gemanagt werden müssen. Die Antwort steht in der Norm (Zitat aus der DIN EN ISO 9001:2015): 

5.1.2 Kundenorientierung

Die oberste Leitung muss im Hinblick auf die Kundenorientierung Führung und Verpflichtung zeigen, indem sie sicherstellt, dass:

b) die Risiken und Chancen, die die Konformität von Produkten und Dienstleistungen beeinflussen können, sowie die Fähigkeit zur Erhöhung der Kundenzufriedenheit bestimmt und behandelt werden;

Damit ist es ganz klar: Zu managen sind Qualitätsrisiken und nichts anderes. Und Qualitätsrisiken sind dort, wo Qualitätsziele für Produkte (Güter und Dienste) sind. So einfach. Nicht ganz: Wenn es Qualitätsziele für das Qualitätsmanagementsystem (in der Folge von Normanforderungen: sh. der Titel der Norm DIN EN ISO 9001:2015 "Qualitätsmanagementsysteme - Anforderungen") gibt, dann sind auch dort Risiken, diese Ziele nicht zu erreichen. In der Ursachen-Wirkungen-Logik ziehen Risiken des Systems Risiken des Ergebnisses des Prozesses im System nach sich.

So einfach ist das!

Risiko- und Chancenmanagement nach den Anforderungen der ISO 9001:2015 - Vorsicht!

Es ist erstaunlich, welche Interpretationen aus den Anforderungen der Norm DIN EN ISO 9001:2015 im Umlauf sind. Zwar steht in dieser Norm nicht explizit drin, welche Risiken gemeint sind, was aber nicht der Unsitte Vorschub leisten sollte, hier die üblichen und populären Risiken in Unternehmen und Organisationen zu beachten.

Es sollte aus dem Titel und dem Thema der Norm eindeutig sein, dass es sich um Qualitätsrisiken (und Qualitätschancen) und nur um diese handeln kann.

Für Qualitätsrisiken ist die entsprechende Qualitätsnorm zuständig.
Für Umweltrisiken ist die entsprechende Umweltnorm zuständig.
Für IT-Sicherheitsrisiken ist die entsprechende IT-Sicherheitsnorm zuständig.
Für Energierisiken ist die entsprechende Energienorm (in der kommenden Revision) zuständig.

Wenn ein Qualitätsmanager Währungsrisiken managen soll / will / kann ist das lachhafte Anmassung.

Der Qualitätsmanager managt Qualitätsrisiken, die dort und nur dort liegen, wo es Qualitätsziele gibt. Die Qualitätsziele gibt es für das Produkt (Güter und Dienste), für den Qualitätsmanagementprozess (Es gibt Anforderungen an den Prozess und damit Ziele.) und für das Qualitätsmanagementsystem (Der Normtitel sagt das explizit.).

Alles andere sind dumme Gerüchte!

Zur Rolle von Zielen im Risikomanagement.

Die ISO-Normen verbreiten leider uneinheitliche Definitionen von Risiko. So lautet die Definition der ISO 31000 von Risiko in Abschnitt 3.1:

Risiko ist die Wirkung von Ungewissheit auf Ziele.

Das ist Unsinn! Ein Ziel ist ein zukünftiger, antizipierter, vorzugswürdiger Zustand. Auf diesen virtuellen Zustand wirkt keine Umgewissheit.

Eine bessere Definition, die in vielen Unternehmen verstanden wird,  ist die folgende:

Risiko ist die Wirkung von Ungewissheit auf Ergebnisse.

Ein Ergebnis ist ein tatsächlicher (und kein virtueller) Zustand der  unter Risiken und Chabcen entstanden ist.

Diese Definition ist noch immer nicht vollständig, aber praxistauglicher als die ISO Definition der Norm ISO 31000. In dieser Definition setzen Ziele den Referenzpunkt der Messung von Risiken. Risiko hängt danach unmittelbar von dem Ziel ab. Risiko ist selbst, da in der Zukunft, eine virtuelle Größe.

Ein anspruchsvolles und ambitioniertes Ziel zu erreichen ist mit mehr Risiko verknüpft, als ein einfaches und leichtes Ziel zu erreichen. In diesem Verständnis ist Risiko die Möglichkeit, ein Ergebnis zu erreichen, dass von einem Ziel negativ abweicht. Die Möglichkeit drückt die "Ungewissheit" aus. Die Abweichung drückt die "Wirkung" aus. Womit wir bei den zwei Koordinaten der klassischen Risikomatrix sind.

Da Ziele in der Zukunft liegen, liegen auch Risiken in der Zukunft. Risiken sind damit so virtuell wie die zugehörigen geplanten Ziele. Erst wenn die Zukunft erreicht ist, und das zum Ziel gehörige Ergebnis realisiert ist, ist das Risiko kein Risiko mehr, sondern ein Schaden sofern es vom geplanten Ziel tatsächlich abweicht.

Ein weiterer Sachverhalt, der in der Zukunft liegt, ist die Prognose. Eine Prognose ist eine Vorhersage für die Zukunft. Sie kann vom Ziel abweichen. Sie ist kein Ziel und sie ist nicht das zukünftig erreiche Ergebnis.


    

Die Randbedingungen für Managemententscheidungen und Handlungen

Managemententscheidungen und die damit eingeleiteten Handlungen unterliegen explizit und implizit vielen Randbedingungen:

1. Compliance: Übereinstimmung mit rechtlichen und weiteren verbindlichen Anforderungen
2. Governance: Regelung der Verantwortung
3. Risiko: Abwägung der Risiken und Chancen 
4. Qualität: Anforderungen relevanter und berechtigter Art der Interessierten und Kunden
5. Umwelt: Anforderungen aus der Perspektive der Umwelt
6. Energie: Anforderungen aus der Forderung nach Energieeffizienz
7. Informationssicherheit: Anforderungen an die Integrität, Vertraulichkeit und Verfügbarkeit von Information