ISO 9001 verlangt, dass Sie Risiken und Chancen bestimmen, die Ihr QM-System beeinflussen, und gezielt Maßnahmen dazu planen. Das zuständige ISO-Komitee nennt das risikobasiertes Denken: Maßnahmen zu Risiken und Chancen planen und umsetzen, als Grundlage für ein wirksameres QM-System (ISO/TC 176/SC 2). Mit ISO 9001:2026 ist das Kapitel 6.1 neu gegliedert: Bestimmen (6.1.1), Maßnahmen zu Risiken (6.1.2) und Maßnahmen zu Chancen (6.1.3) stehen jetzt getrennt (Global ACI-TECH-3-TR).
Eine bestimmte Methode schreibt die Norm nicht vor. Für die meisten kleinen Betriebe reicht eine gut gepflegte Liste mit einer einfachen Bewertung. Eine Vorlage dafür steht weiter unten.
Was die Norm verlangt
In eigenen Worten zusammengefasst:
- Sie bestimmen Risiken und Chancen und berücksichtigen dabei die internen und externen Themen Ihres Unternehmens und die Anforderungen der interessierten Parteien.
- Ziel ist, dass das QM-System seine Ergebnisse erreicht, erwünschte Wirkungen verstärkt, unerwünschte verhindert oder verringert und Verbesserung erreicht wird.
- Sie planen Maßnahmen, binden sie in Ihre Prozesse ein und prüfen, ob sie wirken.
- Die Maßnahmen stehen im Verhältnis zur möglichen Auswirkung auf die Konformität Ihrer Produkte und Dienstleistungen. Ein kleines Risiko braucht keine große Maßnahme.
Den genauen Wortlaut finden Sie im Normtext. Wie Kontext und interessierte Parteien zusammenhängen, steht unter ISO-9001-Anforderungen.
Neu in der Fassung 2026: Risiken und Chancen getrennt
| Abschnitt | Inhalt |
|---|---|
| 6.1.1 | Risiken und Chancen bestimmen |
| 6.1.2 | Maßnahmen zu Risiken |
| 6.1.3 | Maßnahmen zu Chancen |
ISO beschreibt die Änderung als klarere Unterscheidung zwischen dem Steuern von Risiken und dem Nutzen von Chancen; beides soll in Entscheidungen und in die fortlaufende Verbesserung einfließen (ISO). Für die Praxis heißt das: Chancen sind nicht einfach die Kehrseite der Risiken. „Wir verlieren vielleicht einen Großkunden“ ist ein Risiko; „Wir könnten eine neue Kundengruppe erschließen“ ist eine eigene Chance mit eigenen Maßnahmen. Führen Sie deshalb zwei getrennte Listen oder zwei Blätter.
Woher Risiken und Chancen kommen
Die Quellen sind die Themen aus Ihrer Kontextanalyse und die Erwartungen der interessierten Parteien:
| Bereich | Mögliches Risiko | Mögliche Chance |
|---|---|---|
| Kunden | Abhängigkeit von wenigen Großkunden | neue Kundengruppe, Wartungsverträge |
| Personal | Fachkräftemangel, Wissen hängt an einer Person | Ausbildung, Quereinsteiger |
| Lieferanten | Ausfall eines Lieferanten, Preissprünge | Einkaufsgemeinschaft, zweiter Lieferant |
| Technik | veraltete Maschinen, IT-Ausfall | Digitalisierung der Auftragsabwicklung |
| Gesetze und Normen | neue Vorschriften | Ausschreibungen, die ein Zertifikat verlangen |
| Klima und Umwelt | Hitze, Starkregen, Lieferengpässe | energiesparende Produkte, neue Nachfrage |
Seit der Ergänzung von 2024 müssen Sie prüfen, ob der Klimawandel für Ihr Unternehmen ein relevantes Thema ist; ISO 9001:2026 hat das übernommen (ISO). Ist er relevant, gehört er in diese Betrachtung.
So bewerten Sie Risiken
Ein einfaches Schema mit zwei Fragen reicht für die meisten Betriebe. Es ist ein Vorschlag, keine Vorgabe der Norm:
| Wert | Wahrscheinlichkeit | Auswirkung |
|---|---|---|
| 1 | selten, in den nächsten Jahren kaum zu erwarten | gering, schnell behoben, kein Kunde merkt es |
| 2 | möglich, kann in einem Jahr vorkommen | spürbar, Nacharbeit, verärgerter Kunde |
| 3 | häufig, kommt immer wieder vor | schwer, Auftrag gefährdet, Sicherheit oder Gesetz betroffen |
Multiplizieren Sie beide Werte. Ergebnis 1 bis 2: beobachten. 3 bis 4: Maßnahme prüfen. 6 bis 9: Maßnahme festlegen, mit Verantwortlichem und Termin. Wichtig ist nicht die genaue Zahl, sondern dass Sie die Risiken im Team ehrlich einschätzen und die großen zuerst angehen.
So bewerten Sie Chancen
Für Chancen passen andere Fragen: Wie groß ist der Nutzen, und wie hoch ist der Aufwand?
| Aufwand gering | Aufwand hoch | |
|---|---|---|
| Nutzen hoch | sofort umsetzen | planen, Budget klären |
| Nutzen gering | nebenbei mitnehmen | verwerfen oder später prüfen |
Auch eine verworfene Chance ist ein Ergebnis. Halten Sie kurz fest, warum Sie sie nicht verfolgen.
Vorlage: zwei Blätter zum Kopieren
Die Beispielzeilen gehören zu einem frei erfundenen Metallbaubetrieb mit 25 Beschäftigten.
Blatt 1: Risiken (W = Wahrscheinlichkeit, A = Auswirkung, je 1 bis 3)
| Risiko | Ursache | W | A | W × A | Maßnahme | Verantwortlich | Termin | Wirksam? |
|---|---|---|---|---|---|---|---|---|
| Ausfall des einzigen Verzinkers | ein Lieferant für alle Aufträge | 2 | 3 | 6 | zweiten Verzinker prüfen und freigeben | Einkauf | 30.06. | |
| Fehler beim Aufmaß | Zeitdruck, keine Checkliste | 3 | 2 | 6 | Checkliste Aufmaß, Vier-Augen-Prinzip bei Großaufträgen | Bauleitung | 31.03. | |
| Schweißwissen hängt an einer Person | nur ein Mitarbeiter mit Prüfung | 2 | 3 | 6 | zweiten Mitarbeiter schulen | Inhaber | 31.12. | |
| Hitze in der Halle im Sommer | Klimawandel, alte Halle | 2 | 1 | 2 | beobachten, Sommerarbeitszeiten | Inhaber | laufend |
Blatt 2: Chancen
| Chance | Nutzen | Aufwand | Entscheidung | Maßnahme | Verantwortlich | Termin | Ergebnis |
|---|---|---|---|---|---|---|---|
| öffentliche Ausschreibungen mit Zertifikatspflicht | hoch | mittel | umsetzen | Zertifizierung abschließen, Angebote vorbereiten | Inhaber | 30.09. | |
| digitale Auftragsmappe auf Tablets | mittel | mittel | Pilot | zwei Montageteams testen drei Monate | Bauleitung | 31.05. | |
| Wartungsverträge für Tore und Geländer | mittel | gering | umsetzen | Angebot an Bestandskunden | Vertrieb | 30.04. |
Die letzte Spalte füllen Sie später: Hat die Maßnahme gewirkt, wurde die Chance genutzt? Genau danach fragt die Auditorin. Weitere Arbeitshilfen finden Sie unter Vorlagen und Checklisten.
Methoden, die helfen
- SWOT-Analyse: Stärken, Schwächen, Chancen und Risiken in vier Feldern; gut für den Einstieg in einem Workshop.
- Brainstorming im Team: Wer täglich arbeitet, kennt die Risiken. Fragen Sie: Was ist im letzten Jahr schiefgegangen, was hätte schiefgehen können?
- FMEA: für Risiken in Produkten und Prozessen, wenn Fehler teuer oder gefährlich sind.
- Auswertung von Reklamationen und Audits: Wiederkehrende Fehler zeigen, wo Risiken unterschätzt wurden.
Vom risikobasierten Denken in ISO 9001 zu unterscheiden ist ein eigenes Risikomanagementsystem, etwa nach dem Leitfaden ISO 31000 (MPA NRW). ISO 9001 verlangt ein solches System nicht; es kann sich aber lohnen, wenn Ihre Branche oder Ihre Kunden es erwarten.
Wie oft Sie die Liste prüfen
- Mindestens einmal im Jahr, am besten vor der Managementbewertung. Dort bewertet die Leitung auch, wie wirksam die Maßnahmen waren.
- Bei Änderungen, etwa einem neuen Standort, einem neuen Produkt oder dem Verlust eines Großkunden.
- Nach Vorfällen, wenn ein Fehler oder eine Reklamation ein Risiko zeigt, das noch nicht auf der Liste stand.
Was die Auditorin fragt
- Wie haben Sie Ihre Risiken und Chancen bestimmt, und wer war beteiligt?
- Woher kommen die Einträge, aus der Kontextanalyse, aus Reklamationen?
- Welche Maßnahmen haben Sie umgesetzt, und woran sehen Sie, dass sie gewirkt haben?
- Welche Chancen verfolgen Sie gerade, und wie sind sie in Ihre Ziele eingeflossen?
Häufige Fehler
- Die Liste aus dem Internet: Fremde Risikolisten passen nicht zu Ihrem Betrieb und fallen im Gespräch auf.
- Chancen vergessen: Nach der Fassung 2026 fällt eine reine Risikoliste deutlicher auf.
- Maßnahmen ohne Termin: Eine Maßnahme ohne Verantwortlichen und Termin wird nicht umgesetzt.
- Keine Wirksamkeitsprüfung: Erledigt heißt noch nicht wirksam.
- Einmal erstellt, nie gepflegt: Eine Liste vom Zertifizierungsjahr ist drei Jahre später veraltet.
Wo Risiken und Chancen im Gesamtsystem stehen, zeigt der Artikel Qualitätsmanagementsystem. Was sich mit der Fassung 2026 insgesamt ändert, steht unter ISO 9001:2026: Was sich ändert.
