Mit den Normenrevisionen haben Risiken und Chancen nunmehr eine besondere Bedeutung. In Diesem Beitrag werden wesentliche Textanalysen und Erkenntnisse aus den Revisionen der ISO 9001:2015 und ISO 14001:2015 gegenübergestellt. Den Abschluss bildet ein Exkurs zum Risikomanagement. Die potentiellen Vorteile für eine Organisation, die sich aus der Umsetzung eines Qualitätsmanagementsystems ergeben sind folgende: die Fähigkeit, beständig Produkte und Dienstleistungen zu liefern, die die Kundenanforderungen und zutreffende gesetzliche und behördliche Anforderungen erfüllen; das Eröffnen von Chancen zur Erhöhung der Kundenzufriedenheit; die Behandlung von Risiken und Chancen im Zusammenhang mit ihrem Kontext und ihren Zielen; risikobasiertes Denken ermöglicht einer Organisation diejenigen Faktoren zu bestimmen, die ein Abweichen von geplanten Ergebnissen bewirken können, vorbeugende Maßnahmen zur Steuerung umzusetzen, um negative Auswirkungen zu minimieren und den maximalen Nutzen aus sich bietenden Möglichkeiten zu ziehen (ISO 9001: 0.1 Allgemeines) Interessant ist in diesem Zusammenhang auch die Begriffsdefinition für das Umweltmanagementsystem: Teil des Managementsystems, der dazu dient, Umweltaspekte zu handhaben, bindende Verpflichtungen zu erfüllen und mit Risiken und Chancen umzugehen. (ISO 14001:2015: 3.1.2) Risiken und Chancen potenziell ungünstige Auswirkungen (Bedrohungen) und potenziell günstige Auswirkungen (Chancen) (ISO 14001:2015: 3.2.11) Der Begriff Risiko ist dabei wie folgt definiert: Auswirkung von Ungewissheit Anmerkung 1 zum Begriff: Eine Auswirkung ist eine Abweichung vom Erwarteten in positiver oder negativer Hinsicht. Anmerkung 2 zum Begriff: Ungewissheit ist der Zustand des auch teilweisen Fehlens von Informationen im Hinblick auf das Verständnis eines Ereignisses oder Wissen über ein Ereignis, seine Folgen oder seine Wahrscheinlichkeit. Anmerkung 3 zum Begriff: Risiko wird häufig durch Bezugnahme auf mögliche Ereignisse und Folgen oder durch eine Kombination beider charakterisiert. Anmerkung 4 zum Begriff: Risiko wird häufig mittels der Folgen eines Ereignisses (einschließlich Veränderungen der Umstände) in Verbindung mit der Wahrscheinlichkeit seines Eintretens beschrieben. Anmerkung 5 zum Begriff: Die Bezeichnung Risiko wird manchmal verwendet, wenn die Möglichkeit ausschließlich negativer Folgen besteht. Seite 1 von 10
Textgegenüberstellungen (Anforderungsteil der Normen) 4.4.1 Die Organisation muss die Prozesse bestimmen, die für das Qualitätsmanagementsystem benötigt werden, sowie deren Anwendung innerhalb der Organisation festlegen, und muss: f) die in Übereinstimmung mit den Anforderungen nach 6.1 bestimmten Risiken und Chancen behandeln; 5.1.1 Die oberste Leitung muss in Bezug auf das Qualitätsmanagementsystem Führung und Verpflichtung zeigen, indem sie: d) die Anwendung des prozessorientierten Ansatzes und das risikobasierte Denken fördert; 5.1.2 Die oberste Leitung muss im Hinblick auf die Kundenorientierung Führung und Verpflichtung zeigen, indem sie sicherstellt, dass: b) die Risiken und Chancen, die die Konformität von Produkten und Dienstleistungen beeinflussen können, sowie die Fähigkeit zur Erhöhung der Kundenzufriedenheit bestimmt und behandelt werden; Seite 2 von 10
6.1.1 Bei Planungen für das Qualitätsmanagementsystem muss die Organisation die in 4.1 genannten Themen und die in 4.2 genannten Anforderungen berücksichtigen sowie die Risiken und Chancen bestimmen, die behandelt werden müssen, um: a) zu sichern zu können, dass das Qualitätsmanagementsystem seine beabsichtigten Ergebnisse erzielen kann; b) erwünschte Auswirkungen zu verstärken; c) unerwünschte Auswirkungen zu verhindern oder zu verringern; d) Verbesserung zu erreichen. 6.1.1 Bei Planungen für das Umweltmanagementsystem muss die Organisation berücksichtigen: a) die in 4.1 genannten Themen; b) die in 4.2 genannten Anforderungen; c) den Anwendungsbereich ihres Umweltmanagementsystems, und die Risiken und Chancen bestimmen, in Verbindung mit ihren Umweltaspekten (siehe 6.1.2), bindenden Verpflichtungen (siehe 6.1.3) und anderen in 4.1 und 4.2 ermittelten Themen und Anforderungen, die betrachtet werden müssen Seite 3 von 10
6.1.2 Die Organisation muss planen: a) Maßnahmen zum Umgang mit diesen Risiken und Chancen; b) wie 1) die Maßnahmen in die Qualitätsmanagementsystem-Prozesse der Organisation integriert und dort umgesetzt werden (siehe 4.4); 2) die Wirksamkeit dieser Maßnahmen bewertet wird. Maßnahmen zum Umgang mit Risiken und Chancen müssen proportional zur möglichen Auswirkung auf die Konformität von Produkten und Dienstleistungen sein. 6.1.2 Die Organisation muss dokumentierte Information über Folgendes aufrechterhalten: ihre Umweltaspekte und damit verbundene Umweltauswirkungen; ihre Kriterien, die zur Bestimmung ihrer bedeutenden Umweltaspekte verwendet wurden; ihre bedeutenden Umweltaspekte. ANMERKUNG Aus bedeutenden Umweltaspekten können sich Risiken und Chancen ergeben, die entweder mitnachteiligen Umweltauswirkungen (Bedrohungen) oder vorteilhaften Umweltauswirkungen (Chancen) verbunden sind. 6.1.2 ANMERKUNG 1 Zu den Möglichkeiten zum Umgang mit Risiken kann Folgendes zählen: Vermeiden von Risiken, ein Risiko auf sich zu nehmen um eine Chance wahrzunehmen, Beseitigen der Risikoquelle, Ändern der Wahrscheinlichkeit oder der Konsequenzen, Risikoteilung, oder Beibehaltung des Risikos durch eine fundierte Entscheidung. Seite 4 von 10
6.1.2 ANMERKUNG 2 Chancen können zur Übernahme neuer Praktiken führen, der Markteinführung neuer Produkte, der Erschließung neuer Märkte, Neukundengewinnung, Aufbau von Partnerschaften, Einsatz neuer Techniken und anderen erwünschten und realisierbaren Möglichkeiten zur Berücksichtigung von Erfordernissen der Organisation oder ihrer Kunden. 6.1.3 Bindende Verpflichtungen Die Organisation muss: a) die mit ihren Umweltaspekten zusammenhängenden bindenden Verpflichtungen bestimmen und auf sie zugreifen können; b) bestimmen, wie diese bindenden Verpflichtungen auf die Organisation anwendbar sind; c) diesen bindenden Verpflichtungen bei Aufbau, Verwirklichung, Aufrechterhaltung und fortlaufender Verbesserung ihres Umweltmanagementsystems Rechnung tragen. ANMERKUNG Bindende Verpflichtungen können zu Risiken und Chancen für die Organisation führen. Seite 5 von 10
6.1.4 Die Organisation muss a) planen, Maßnahmen zu ergreifen für den Umgang mit ihren 1) bedeutenden Umweltaspekten; 2) bindenden Verpflichtungen; 3) Risiken und Chancen, wie in 6.1.1 ermittelt; 6.2.1 Die Organisation muss Umweltziele für relevante Funktionsbereiche und Ebenen festlegen, dabei den bedeutenden Umweltaspekten und damit verbundenen bindenden Verpflichtungen der Organisation Rechnung tragen, und ihre Risiken und Chancen berücksichtigen. 9.1.3 Die Organisation muss die entsprechenden Daten und Informationen, die sich aus der Überwachung und Messung ergeben, analysieren und bewerten. Die Ergebnisse der Analyse müssen verwendet werden, um Folgendes zu bewerten: e) die Wirksamkeit durchgeführter Maßnahmen zum Umgang mit Risiken und Chancen; 9.3 Die Managementbewertung muss folgende Aspekte berücksichtigen: a) den Status von Maßnahmen vorheriger Managementbewertungen; b) Veränderungen bei: 1) externen und internen Themen, die das Umweltmanagementsystem betreffen; 2) den Erfordernissen und Erwartungen interessierter Parteien, einschließlich bindender Verpflichtungen; 3) bedeutenden Umweltaspekten; 4) Risiken und Chancen; Seite 6 von 10
9.3.2 Eingaben für die Managementbewertung Die Managementbewertung muss geplant und durchgeführt werden, unter Erwägung folgender Aspekte: e) der Wirksamkeit von durchgeführten Maßnahmen zum Umgang mit Risiken und Chancen (siehe 6.1); 10.2.1 Wenn eine Nichtkonformität auftritt, einschließlich derer, die sich aus Reklamationen ergeben, muss die Organisation: e) Risiken und Chancen, die während der Planung bestimmt wurden, aktualisieren, falls erforderlich; Erkenntnisse und Zusammenfassung Risikobasiertes Denken ist zum Erreichen eines wirksamen Managementsystems unerlässlich. Das Konzept des risikobasierten Denkens war bereits in früheren Ausgaben der Normen enthalten, z.b. mit der Umsetzung von Vorbeugungsmaßnahmen zur Abschaffung von möglichen Nichtkonformitäten, der Analyse jeglicher auftretender Nichtkonformitäten und dem Ergreifen von Maßnahmen zum Verhindern des Wiederauftretens, die den Auswirkungen der Nichtkonformität angemessen sind. Die Erfüllung der Anforderungen der Normen verlangt von der Organisation Dass sie Maßnahmen plant und umsetzt, mit denen Risiken und Chancen behandelt werden. Die Behandlung von sowohl Risiken als auch Chancen bildet eine Grundlage für die Steigerung der Wirksamkeit des Managementsystems, für das Erreichen verbesserter Ergebnisse und für das Vermeiden von negativen Auswirkungen. Seite 7 von 10
Chancen können sich infolge einer Situation ergeben, die sich günstig auf das Erreichen eines beabsichtigten Ergebnisses auswirkt, z.b. eine Reihe von Umständen, die es der Organisation ermöglicht. Kunden zu gewinnen, neue Produkte und Dienstleistungen zu entwickeln, Abfälle zu verringern (Anmerkung: steht so in der ISO 9001), die Produktivität zu verbessern, die Aufrechterhaltung der Betriebsfähigkeit zu sichern (Business Continuity siehe ISO 14004), die Umweltleistung zu verbessern, die (rechtlichen) bindenden Verpflichtungen einzuhalten, grundsätzlich die Ziele erreicht. In der ISO 9001:2015 ist risikobasiertes Denken Bestandteil der Führung (5.1.1, 5.1.2). Die ISO 14001:2015 behandelt im Einleitungsteil (0.3) die Erfolgsfaktoren: Organisationen können Chancen ausbauen, um nachteilige Umweltauswirkungen zu verhindern oder zu mindern und günstige Umweltauswirkungen zu fördern, insbesondere solche von strategischer und wettbewerblicher Bedeutung. Die oberste Leitung kann ihre Risiken und Chancen wirksam handhaben, indem sie das Umweltmanagement in die Geschäftsprozesse, strategische Ausrichtung und Entscheidungsfindung einbezieht. Folgender roter Faden in Bezug auf Chancen und Risiken kann erkannt werden: die Organisation muss ihren Kontext verstehen (4.1); die Risiken als Grundlage zur Planung und Verwirklichung von Prozessen bestimmen (6.1); dies hilft bei der Bestimmung des Umfangs von dokumentierten Informationen; die Organisation muss Maßnahmen zur Behandlung von Risiken planen (Risikomanagementsystem wird nicht gefordert 6.1); die Organisation ist für die Anwendung des risikobasierten Denkens sowie für das Einleiten von Maßnahmen zur Behandlung eines Risikos verantwortlich (6.1); die Organisation legt selbst fest, ob dokumentierte Informationen als Nachweis für die Bestimmungen von Risiken von ihr aufzubewahren sind oder nicht (6.1); die Organisation bestimmt diejenigen Risiken, die betrachtet sowie geführt und gesteuert werden müssen (siehe ISO 14001:2015 A.4.1-6.1.4, 6.2, Abschnitt 7, Abschnitt 8; und 9.1) die Wirksamkeit durchgeführter Maßnahmen zum Umgang mit Risiken und Chancen muss bewertet werden (auf Grundlage der Analyse von Daten - 9.1) Risiken und Chancen, die während der Planung bestimmt wurden, aktualisieren falls erforderlich (ISO 9001: 10.2.1) Seite 8 von 10
Empfehlungen Wenn die Idee fehlt, wie das mit der Planung von Chancen und Risiken angegangen werden kann, dann ist die ISO 14004:2014 wahrscheinlich hilfreich. Im Anhang finden sich tabellarisch Beispiele für: Tabelle A.1 Beispiele für Tätigkeiten, Produkte und Dienstleistungen und die damit verbundenen Umweltaspekte und Umweltauswirkungen, Risiken und Chancen sowie Maßnahmen Tabelle A.2 Beispiele für Tätigkeiten, Produkte und Dienstleistungen und die damit verbundenen Umweltaspekte, Umweltziele, Einzelziele, Programme, Kennzahlen, betriebliche Steuerungen sowie Überwachung und Messung Tabelle A.3 Beispiele für die mit bindenden Verpflichtungen verbundenen Risiken und Chancen, die zu berücksichtigen sind, und Maßnahmen um sie zu behandeln Tabelle A.4 Beispiele für die mit sonstigen Themen und Anforderungen verbundenen Risiken und Chancen, die zu berücksichtigen sind, und Maßnahmen, um sie zu behandeln Diese Beispiele können analog auch für die ISO 9001:2015 herangezogen werden. Einbettung des Risikomanagements in ein integriertes Managementsystem Die ISO 9001:2015 und sie ISO 14001:2015 fordern das risikobasierte Denken Mit geringen Mitteln lässt sich auf dieser Säule ein integriertes Risikomanagement errichten, welches die Organisation gesamtheitlich unterstützt. Quelle: ONR 49002-1:2014 Die ISO 31000:2009 ist die Guideline für das Risikomanagement. Sie wird zurzeit überarbeitet. Seite 9 von 10
Folgende Änderungen sind geplant: Annäherung an die Begrifflichkeiten des Annex SL (somit an die ISO 9001 und ISO 14001) Neue Abschnitte sind geplant und zwar zu: Human factor Cultural factors Legal risk Für Legal risk wird es auch einen eigenen Standard geben. Mit der Veröffentlichung wird Anfang 2018 gerechnet. Weiterführende Informationen Koubek A. (2015): Praxisbuch ISO 9001:2015 Die neuen Anforderungen verstehen und umsetzen, Carl Hanser Verlag München ISO 9001 Revision einfach erklärt Konzept des "risikobasierten Denkens" - Quality Austria ISO 9000:2015: Qualitätsmanagementsysteme Grundlagen und Begriffe ISO 9001:2015: Qualitätsmanagementsysteme - Anforderungen ISO 14001:2015: Umweltmanagementsysteme Anforderungen mit Anleitung zur Anwendung ISO 14004:2016: Umweltmanagementsysteme Allgemeiner Leitfaden zur Verwirklichung AUTOREN Ing. Wolfgang Hackenauer MSc Netzwerkpartner, Produktexperte Umwelt und Energie wolfgang.hackenauer@qualityaustria.com Eckehard Bauer, MSc Prokurist Key Account und Business Development für Risiko- und Sicherheitsmanagement, Business Continuity, Verkehr eckehard.bauer@qualityaustria.com April 2017 Seite 10 von 10