Blog
Risikobasiertes Denken in der ISO 9001 praktisch umsetzen
Risikobasiertes Denken ohne Papierberg: was die ISO 9001 meint, wie Sie Risiken bewerten, Maßnahmen ableiten und im Audit belegen.
Risikobasiertes Denken heißt, bei Planung und Entscheidungen systematisch zu fragen, was das Erreichen der Ziele gefährden oder begünstigen kann, und darauf zu reagieren, bevor Schäden entstehen. Die ISO 9001 verlangt dafür kein eigenes Risikomanagementsystem, sondern dass Risiken und Chancen bei der Planung berücksichtigt werden. Nach der Veröffentlichung der ISO 9001:2026 bleibt das Prinzip zentral; Risiken und Chancen werden laut LRQA künftig jedoch getrennt behandelt.
Stand: Oktober 2026
Vom Bauchgefühl zum nachvollziehbaren Vorgehen
Jede Organisation geht Risiken ein, meist unbewusst: ein einziger Lieferant für ein Schlüsselteil, eine Person mit Spezialwissen, ein veraltetes Prüfgerät. Risikobasiertes Denken macht daraus einen nachvollziehbaren Vorgang. Sie benennen, was schiefgehen kann, schätzen die Folgen ein und entscheiden, wie viel Aufwand die Vorsorge wert ist.
Das Prinzip steht seit der Ausgabe von 2015 anstelle der früheren Vorbeugemaßnahmen. Es soll Prävention in das tägliche Handeln verlagern, statt sie in ein separates Verfahren auszulagern. Einen Einstieg in die gesamte Norm bietet die Seite ISO 9001.
Der Nutzen zeigt sich oft in kleinen Dingen: Ein Einkäufer fragt vor der Vergabe nach einem zweiten Lieferweg, die Entwicklung plant einen Prüfschritt früher ein, ein Vertriebsmitarbeiter klärt vor der Zusage, ob die Kapazität reicht. Solche Gewohnheiten sind das eigentliche Ziel, nicht das Register.
Was die Norm verlangt und was nicht
Die ISO 9001 verlangt, dass die Organisation bei der Planung des Systems Risiken und Chancen bestimmt, die sich aus ihrem Kontext und den Anforderungen interessierter Parteien ergeben, Maßnahmen dazu plant und deren Wirksamkeit bewertet. Die Maßnahmen sollen verhältnismäßig zu den möglichen Auswirkungen auf die Konformität von Produkten und Dienstleistungen sein.
Nicht verlangt werden ein formales Verfahren nach einer bestimmten Methode und auch keine Zertifizierung nach ISO 31000. Diese Norm bietet laut ISO Grundsätze, ein Rahmenwerk und einen Prozess für das Risikomanagement, ist aber eine Leitlinie ohne Zertifizierungsmöglichkeit. Wer sie als Inspiration nutzt, darf das tun, ist dazu aber nicht verpflichtet.
Der Maßstab ist Verhältnismäßigkeit. Eine Werkstatt mit zehn Beschäftigten braucht keine Matrix mit Gewichtungsfaktoren, ein Hersteller sicherheitsrelevanter Bauteile dagegen eine deutlich tiefere Betrachtung. Beides kann normkonform sein, wenn die Methode zu den möglichen Folgen passt und nachvollziehbar angewendet wird.
Risiken finden: Fragen statt Formulare
Ausgangspunkt ist der Kontext der Organisation. Fragen Sie je Prozess: Was muss gelingen, damit das Ergebnis stimmt? Woran kann es scheitern? Was passiert dann beim Kunden? Hilfreich sind Quellen, die ohnehin vorliegen: Reklamationen, Auditfeststellungen, Lieferantenbewertungen, Ausfallzeiten, Gespräche mit Mitarbeitenden.
Arbeiten Sie in kleinen Gruppen mit den Prozessverantwortlichen, nicht allein am Schreibtisch. Die Beteiligten kennen die kritischen Stellen. Halten Sie Risiken als Satz fest („Fällt Lieferant A aus, steht die Montage nach X Tagen“), damit sie auch später verständlich sind. Chancen erfassen Sie parallel, etwa neue Kundengruppen, bessere Auslastung oder eine Digitalisierung von Prüfschritten.
Nützlich ist ein kurzer Workshop je Prozess von 45 bis 60 Minuten. Zuerst sammelt jeder still Risiken auf Karten, danach werden Dubletten zusammengeführt und die wichtigsten gemeinsam bewertet. So entsteht in kurzer Zeit ein Bild, das die Beteiligten selbst gestaltet haben und das sie später auch pflegen.
Bewerten und Maßnahmen ableiten
Eine einfache Bewertung aus Eintrittswahrscheinlichkeit und Auswirkung genügt für die meisten Organisationen. Vergeben Sie je Faktor drei bis fünf Stufen und legen Sie vorab fest, ab welcher Kombination Handlungsbedarf besteht. Die Stufen sind interne Festlegungen; es gibt keine normierten Zahlenwerte, auf die sich ein Auditor berufen könnte.
Für jedes relevante Risiko legen Sie fest, ob Sie es vermeiden, verringern, übertragen oder bewusst akzeptieren. Ein akzeptiertes Risiko ist legitim, wenn die Entscheidung dokumentiert ist. Maßnahmen gehören mit Verantwortlichem und Termin in die normale Maßnahmenverfolgung, damit sie nicht in einem getrennten Register verstauben.
Ein Beispiel aus der Praxis: Ein Hersteller stellt fest, dass ein Spezialwerkzeug nur von einer Mitarbeiterin bedient wird. Wahrscheinlichkeit des Ausfalls mittel, Auswirkung hoch. Die Maßnahme besteht darin, eine zweite Person einzulernen und die Arbeitsanweisung mit Bildern zu ergänzen. Aufwand gering, Wirkung deutlich.
Im System verankern statt separat führen
Wirksam wird das Vorgehen, wenn es in vorhandene Abläufe eingebaut ist. Bei der Angebotsprüfung fließt die Frage nach Lieferfähigkeit und Know-how ein, bei Änderungen die Folgenabschätzung, bei der Lieferantenauswahl das Ausfallrisiko. Dann bleibt das Risikoregister klein und lebendig. Die Wirksamkeit der Maßnahmen gehört in die Managementbewertung.
Der PDCA-Gedanke unterstützt das: Planen heißt Risiken betrachten, Prüfen heißt kontrollieren, ob die Maßnahmen wirken, Handeln heißt anpassen. Eine ausführliche Darstellung bietet der Ratgeber PDCA im Alltag.
Vermeiden Sie, dass jeder Bereich eine eigene Bewertungsskala nutzt. Eine gemeinsame Skala macht Risiken vergleichbar und erlaubt der Leitung, Prioritäten über Bereiche hinweg zu setzen. Die Skala sollte kurz erklärt und mit Beispielen aus dem eigenen Betrieb hinterlegt sein.
Was Auditoren dazu sehen wollen
Auditoren prüfen selten, ob eine bestimmte Methode angewendet wurde. Sie fragen, ob Risiken und Chancen bestimmt wurden, ob die Maßnahmen zu den Auswirkungen passen und ob Mitarbeitende in ihren Prozessen von den Risiken wissen. Eine gelebte Antwort der Prozessverantwortlichen wiegt mehr als ein umfangreiches Dokument.
Nach der ISO 9001:2026 sollten Sie prüfen, ob Ihr Vorgehen Risiken und Chancen getrennt ausweist und ob Änderungen am System bewertet werden. Eine Änderung der Norm betrifft zertifizierte Organisationen bis 30. September 2029; den Ablauf der Überprüfung klärt Ihre Zertifizierungsstelle.
Wer einen Audit vorbereitet, kann in den Prozessgesprächen üben: Fragen Sie eine Prozessverantwortliche, welche Risiken ihr Ablauf hat und woran sie merkt, dass eine Maßnahme wirkt. Kommt keine Antwort, ist das Risikodenken noch nicht im Prozess angekommen. Dann hilft ein erneutes Gespräch mehr als ein überarbeitetes Dokument.
Übersicht in der Tabelle
| Stufe | Eintrittswahrscheinlichkeit (Beispiel) | Auswirkung (Beispiel) |
|---|---|---|
| 1 | Unwahrscheinlich, noch nie vorgekommen | Kaum spürbar, intern korrigierbar |
| 2 | Selten, seltener als einmal im Jahr | Mehraufwand, Kunde merkt nichts |
| 3 | Gelegentlich, mehrmals im Jahr | Reklamation oder Terminverzug |
| 4 | Häufig, monatlich | Vertragsstrafe, Kundenverlust droht |
| 5 | Dauerhaft, wöchentlich | Gefahr für Sicherheit oder Zulassung |
Die Stufen sind ein Beispiel für eine interne Skala. Passen Sie Beschreibungen an Ihr Geschäft an und legen Sie den Schwellenwert für Maßnahmen selbst fest.
Checkliste
- Kontext und interessierte Parteien kurz beschreiben
- Pro Prozess Risiken und Chancen mit den Verantwortlichen sammeln
- Risiken als vollständige Sätze formulieren
- Bewertungsskala festlegen und Schwellenwert definieren
- Entscheidung je Risiko dokumentieren: vermeiden, verringern, übertragen, akzeptieren
- Maßnahmen mit Verantwortlichem und Termin in die Maßnahmenverfolgung übernehmen
- Risikobetrachtung in Angebots-, Änderungs- und Einkaufsprozess einbauen
- Wirksamkeit in der Managementbewertung berichten
- Neue Anforderungen der ISO 9001:2026 gegen das Vorgehen prüfen
Häufige Fragen
Braucht die ISO 9001 ein Risikoregister?
Nicht ausdrücklich. Verlangt wird, dass Risiken und Chancen bestimmt und mit Maßnahmen bearbeitet werden. Ein Register ist ein praktisches, aber kein vorgeschriebenes Mittel.
Muss ich nach ISO 31000 arbeiten?
Nein. Die ISO 31000 ist eine Leitlinie ohne Zertifizierung. Sie kann als Orientierung dienen, ist aber keine Voraussetzung für die ISO 9001.
Wie viele Risiken sind sinnvoll?
So viele, wie Sie aktiv steuern können. Ein kurzes Register mit den wesentlichen Risiken je Prozess ist nützlicher als eine Liste mit hundert Einträgen.
Was ist mit Chancen?
Chancen sind positive Möglichkeiten, etwa neue Märkte oder effizientere Abläufe. Sie werden bestimmt und, wenn sinnvoll, mit Maßnahmen verfolgt. Die Norm von 2026 behandelt sie laut LRQA getrennt von Risiken.
Wie oft muss ich Risiken neu bewerten?
Die Norm nennt keinen Turnus. Üblich sind eine Überprüfung in der Managementbewertung und ein Anlass bei Änderungen, Zwischenfällen oder neuen Kundenanforderungen.
Quellen
Über diesen Ratgeber
Recherchiert und geschrieben von der Redaktion Audit-Net, mit Quellen belegt. Normtexte geben wir nicht wieder; die Normen selbst erhalten Sie über den Normenhandel. Fehler gefunden? Schreiben Sie uns.