Risikobasiertes Denken
Kurz: Risikobasiertes Denken ist ein präventiver Ansatz, bei dem die Organisation Risiken und Chancen systematisch ermittelt, bewertet und Maßnahmen plant, um unerwünschte Auswirkungen zu verhindern und beabsichtigte Ergebnisse sicherzustellen. Es ersetzt die frühere separate Vorbeugungsmaßnahme und ist fester Bestandteil der Planung jedes Managementsystems.
Definition
Risikobasiertes Denken bedeutet, dass die Organisation bei der Planung ihres Managementsystems die Themen aus dem Kontext sowie die Anforderungen interessierter Parteien berücksichtigt und daraus Risiken und Chancen ableitet. Ein Risiko ist dabei die Auswirkung von Ungewissheit auf ein erwartetes Ergebnis und kann positiv oder negativ sein. Ziel ist es, beabsichtigte Ergebnisse zu sichern, unerwünschte Auswirkungen zu verhindern oder zu verringern, erwünschte Auswirkungen zu verstärken und eine fortlaufende Verbesserung zu erreichen. Die Norm schreibt keine bestimmte Methode vor; die Organisation entscheidet selbst, wie sie Risiken bewertet und behandelt. Maßnahmen müssen verhältnismäßig zur möglichen Auswirkung sein. Typische Optionen sind: Risiko vermeiden, eingehen, Quelle beseitigen, Wahrscheinlichkeit oder Konsequenzen verändern, teilen oder bewusst beibehalten.
Praxisbezug
Ein KMU im Maschinenbau bewertet für jeden Kernprozess die größten Risiken, etwa Lieferverzögerungen bei einem einzigen Schlüssellieferanten oder den Ausfall einer zentralen Fertigungsmaschine. Es hinterlegt in einer überschaubaren Risikoliste Eintrittswahrscheinlichkeit, Schadensausmaß und eine geplante Gegenmaßnahme. So bleibt der Aufwand gering, während die Geschäftsleitung fundierte Entscheidungen trifft und das Thema im Audit nachvollziehbar darlegen kann.
Normbezug
ISO 9001:2015 Kl. 6.1
Kontext der Organisation
Kurz: Der Kontext der Organisation umfasst alle internen und externen Themen, die die Fähigkeit der Organisation beeinflussen, die beabsichtigten Ergebnisse ihres Managementsystems zu erreichen. Die Organisation muss diese Themen bestimmen, überwachen und regelmäßig bewerten, um Risiken und Chancen daraus abzuleiten.
Definition
Der Kontext der Organisation beschreibt das geschäftliche Umfeld, in dem die Organisation agiert. Interne Themen umfassen Werte, Unternehmenskultur, Wissen und Leistungsfähigkeit, externe Themen rechtliche, technologische, wettbewerbliche, marktbezogene, kulturelle, soziale und wirtschaftliche Faktoren. Die Organisation muss die Themen bestimmen, die für ihren Zweck und ihre strategische Ausrichtung relevant sind und ihre Fähigkeit beeinflussen, die beabsichtigten Ergebnisse des Managementsystems zu erreichen. Diese Informationen sind zu überwachen und regelmäßig zu bewerten, da sich Themen und ihre Auswirkungen ändern können. Der Kontext bildet die Grundlage für die Bestimmung von Risiken und Chancen sowie für die Festlegung des Anwendungsbereichs des Managementsystems.
Praxisbezug
Ein Dienstleistungsunternehmen erfasst in einem kurzen Kontextdokument jährlich die wichtigsten internen und externen Themen, etwa Fachkräftemangel, Digitalisierung, Energiepreise und neue Kundenanforderungen. Die Geschäftsleitung bespricht diese Themen in der Managementbewertung und leitet daraus Maßnahmen ab. So bleibt das Managementsystem an die realen Rahmenbedingungen angepasst und nicht nur eine Formalie.
Normbezug
ISO 9001:2015 Kl. 4.1
Interessierte Parteien
Kurz: Interessierte Parteien sind Personen oder Organisationen, die eine Entscheidung oder Tätigkeit der Organisation beeinflussen können, von ihr betroffen sind oder sich als betroffen wahrnehmen. Die Organisation muss die relevanten interessierten Parteien und deren Anforderungen bestimmen, überwachen und bewerten.
Definition
Interessierte Parteien, auch Stakeholder genannt, umfassen beispielsweise Kunden, Mitarbeitende, Lieferanten, Eigentümer, Behörden, Gewerkschaften, Banken und die Öffentlichkeit. Die Organisation muss die interessierten Parteien bestimmen, die für ihr Managementsystem relevant sind, sowie deren für das Managementsystem relevante Anforderungen. Diese Anforderungen können bindend sein, etwa aus Gesetzen und Verordnungen, oder freiwillig übernommen werden, etwa aus Verträgen oder Kundenvereinbarungen. Die Informationen über interessierte Parteien und ihre Anforderungen sind zu überwachen und regelmäßig zu überprüfen. Kunden gelten in der Regel als wichtigste interessierte Partei. Die Bestimmung der interessierten Parteien ist eng mit dem Verständnis des Kontexts verbunden und liefert wichtige Eingaben für die Planung von Risiken und Chancen.
Praxisbezug
Ein Zulieferbetrieb erstellt eine überschaubare Liste seiner wichtigsten interessierten Parteien, darunter Kunden, Mitarbeitende, Lieferanten, die Berufsgenossenschaft und die örtliche Gemeinde. Zu jeder Partei notiert das Unternehmen die wesentlichen Anforderungen, etwa Liefertreue, Arbeitssicherheit oder Lärmschutz. Diese Liste wird jährlich aktualisiert und fließt in die Risikobewertung ein.
Normbezug
ISO 9001:2015 Kl. 4.2
Chancen und Risiken
Kurz: Chancen und Risiken sind die positiven und negativen Auswirkungen von Ungewissheit auf die beabsichtigten Ergebnisse der Organisation. Die Organisation muss beide bestimmen und Maßnahmen planen, um unerwünschte Auswirkungen zu verhindern und erwünschte Auswirkungen zu verstärken.
Definition
Bei der Planung des Managementsystems muss die Organisation Risiken und Chancen bestimmen, die zu behandeln sind, um beabsichtigte Ergebnisse sicherzustellen, unerwünschte Auswirkungen zu verhindern oder zu verringern, erwünschte Auswirkungen zu verstärken und eine fortlaufende Verbesserung zu erreichen. Ein Risiko ist die Auswirkung von Ungewissheit auf ein erwartetes Ergebnis und kann negativ oder positiv sein; eine positive Abweichung kann eine Chance darstellen. Chancen können sich aus dem Kontext, aus Erfordernissen interessierter Parteien oder aus neuen Fähigkeiten ergeben, etwa neue Produkte, Märkte, Kunden oder Partnerschaften. Die Organisation muss Maßnahmen planen, diese in ihre Prozesse integrieren und deren Wirksamkeit bewerten. Die Maßnahmen müssen verhältnismäßig zur möglichen Auswirkung auf Konformität und Kundenzufriedenheit sein.
Praxisbezug
Ein Handwerksbetrieb erkennt als Chance die steigende Nachfrage nach energieeffizienten Sanierungen und plant eine gezielte Weiterbildung seiner Monteure. Gleichzeitig bewertet er das Risiko von Materiallieferengpässen und sichert sich einen zweiten Lieferanten. Beide Punkte werden in einer gemeinsamen Liste mit Verantwortlichen und Terminen festgehalten.
Normbezug
ISO 9001:2015 Kl. 6.1
Risikomatrix
Kurz: Die Risikomatrix ist ein einfaches Bewertungswerkzeug, das die Eintrittswahrscheinlichkeit und das Schadensausmaß eines Risikos in einer Tabelle kombiniert und daraus ein Risikolevel ableitet. Sie hilft, Risiken zu priorisieren und Maßnahmen gezielt festzulegen.
Definition
Die Risikomatrix ist ein praktisches Instrument der Risikobeurteilung. Auf der einen Achse wird die Eintrittswahrscheinlichkeit eingetragen, etwa von sehr unwahrscheinlich bis sehr wahrscheinlich, auf der anderen Achse das Schadensausmaß, etwa von geringfügig bis katastrophal. Die Kombination beider Werte ergibt ein Risikolevel, häufig als gering, mittel oder hoch beziehungsweise über ein Ampelschema dargestellt. Auf diese Weise lassen sich Risiken objektivieren und nach ihrer Bedeutung priorisieren. Die Skalen und Schwellenwerte legt die Organisation selbst fest, sodass die Matrix an die Größe und Komplexität des Unternehmens angepasst werden kann. Die Risikomatrix ist ein Hilfsmittel und keine eigenständige Norm; sie wird häufig im Rahmen der Gefährdungsbeurteilung oder des Risikomanagements eingesetzt und unterstützt die Entscheidung, welche Maßnahmen mit welcher Dringlichkeit umgesetzt werden.
Praxisbezug
Ein Produktionsbetrieb bewertet für seine Gefährdungsbeurteilung jede Gefährdung mit einer 5x5-Risikomatrix. Ein hohes Risiko, etwa bei einer ungeschützten Maschine, erhält sofort eine technische Schutzmaßnahme, während ein geringes Risiko nur beobachtet wird. Die einheitliche Skala macht die Bewertung nachvollziehbar und im Audit leicht erklärbar.
Compliance
Kurz: Compliance bedeutet die Einhaltung aller für die Organisation verbindlichen rechtlichen Verpflichtungen und sonstigen Anforderungen, etwa aus Gesetzen, Verordnungen, Genehmigungen und Verträgen. Die Organisation muss ihre Compliance systematisch bewerten und dokumentieren.
Definition
Compliance umfasst die Erfüllung aller Anforderungen, die für die Organisation verbindlich sind. Dazu gehören gesetzliche und behördliche Verpflichtungen, aber auch freiwillig übernommene Anforderungen aus Verträgen, Kundenvereinbarungen oder eigenen Verpflichtungen. Die Organisation muss die für sie geltenden rechtlichen Verpflichtungen und anderen Anforderungen bestimmen, Zugang zu aktuellen Informationen sicherstellen und festlegen, wie diese anzuwenden sind. Darüber hinaus muss sie ihre Compliance regelmäßig bewerten, den Compliance-Status nachvollziehbar dokumentieren und bei Abweichungen geeignete Maßnahmen ergreifen. Die Bewertung der Compliance liefert wichtige Eingaben für die Managementbewertung und trägt dazu bei, rechtliche Risiken frühzeitig zu erkennen und zu vermeiden.
Praxisbezug
Ein KMU führt einmal jährlich eine Compliance-Bewertung durch und prüft, ob alle geltenden Vorschriften eingehalten werden, etwa im Arbeitsschutz, im Umweltschutz und bei der Produktsicherheit. Festgestellte Abweichungen werden mit Verantwortlichen und Fristen in einer Maßnahmenliste erfasst. Das Ergebnis wird der Geschäftsleitung in der Managementbewertung vorgelegt.
Normbezug
ISO 45001:2018 Kl. 9.1.2; ISO 14001:2015 Kl. 9.1.2
Rechtskataster
Kurz: Ein Rechtskataster ist ein strukturiertes Verzeichnis aller für die Organisation geltenden rechtlichen Verpflichtungen und sonstigen Anforderungen. Es erfasst Gesetze, Verordnungen, Genehmigungen und Auflagen, ordnet sie den betroffenen Bereichen zu und wird regelmäßig aktualisiert.
Definition
Ein Rechtskataster, auch Rechts- oder Pflichtenverzeichnis genannt, ist das zentrale Instrument, um die für die Organisation verbindlichen rechtlichen Verpflichtungen und anderen Anforderungen systematisch zu erfassen und zu verwalten. Es enthält in der Regel die Fundstelle, den Titel, den Geltungsbereich, die betroffenen Prozesse oder Abteilungen sowie den Umsetzungs- und Bewertungsstatus. Die Organisation muss sicherstellen, dass sie Zugang zu aktuellen rechtlichen Anforderungen hat und diese auf ihre Tätigkeiten anwendet. Das Rechtskataster unterstützt die Bestimmung der bindenden Verpflichtungen und bildet die Grundlage für die Bewertung der Compliance. Es muss laufend gepflegt und an Änderungen der Rechtslage angepasst werden, damit veraltete Einträge nicht zu Fehleinschätzungen führen.
Praxisbezug
Ein Metallverarbeitungsbetrieb pflegt ein Rechtskataster mit rund 40 relevanten Vorschriften, etwa aus Arbeitsschutz, Umweltschutz und Gefahrstoffrecht. Für jede Vorschrift ist ein Verantwortlicher benannt, der die Umsetzung überwacht. Bei einer neuen Verordnung prüft der QMB, ob der Betrieb betroffen ist, und ergänzt den Eintrag.
Normbezug
ISO 14001:2015 Kl. 6.1.3; ISO 45001:2018 Kl. 6.1.3
Rechts-Monitoring
Kurz: Rechts-Monitoring ist der fortlaufende Prozess, mit dem die Organisation Änderungen der für sie geltenden rechtlichen Anforderungen beobachtet, bewertet und in ihr Rechtskataster einpflegt. Es stellt sicher, dass die Organisation stets über aktuelle Rechtslage und neue Pflichten informiert ist.
Definition
Rechts-Monitoring bezeichnet die systematische und fortlaufende Beobachtung der Rechtsentwicklung, um neue, geänderte oder aufgehobene rechtliche Anforderungen frühzeitig zu erkennen und zu bewerten. Die Organisation muss sicherstellen, dass sie Zugang zu den aktuellen rechtlichen Verpflichtungen und anderen Anforderungen hat, die für ihre Tätigkeiten gelten. Dazu gehören Gesetze, Verordnungen, technische Regeln, Genehmigungen und Auflagen von EU, Bund und Ländern. Das Rechts-Monitoring umfasst die regelmäßige Prüfung von Quellen, die Bewertung der Relevanz für die eigene Organisation, die Aktualisierung des Rechtskatasters sowie die Information der betroffenen Verantwortlichen. Auf diese Weise können neue Pflichten rechtzeitig in Maßnahmen überführt und Compliance-Risiken vermieden werden.
Praxisbezug
Ein Dienstleister beauftragt seinen QMB, monatlich die einschlägigen Quellen zu Rechtsänderungen zu sichten. Bei einer neuen Verordnung zur Betriebssicherheit prüft er die Betroffenheit, ergänzt das Rechtskataster und informiert die Abteilungsleiter. So bleibt das Unternehmen auch ohne eigene Rechtsabteilung auf dem aktuellen Stand.
Normbezug
ISO 14001:2015 Kl. 6.1.3
Geschäftskontinuität
Kurz: Geschäftskontinuität bezeichnet die Fähigkeit der Organisation, ihre kritischen Geschäftsprozesse auch bei Störungen, Ausfällen oder Katastrophen aufrechtzuerhalten oder zeitnah wiederherzustellen. Sie wird durch vorbereitende Strategien, Pläne und Übungen sichergestellt.
Definition
Geschäftskontinuität ist die Fähigkeit einer Organisation, nach einer Störung ihre wesentlichen Geschäftsprozesse innerhalb festgelegter Zeiträume fortzuführen oder wiederherzustellen. Sie umfasst die Analyse kritischer Prozesse, die Festlegung von Wiederanlaufzeiten und die Erstellung von Plänen für den Umgang mit Naturkatastrophen, technischen Ausfällen, Lieferunterbrechungen oder anderen Ereignissen. Die Organisation entwickelt Strategien und Pläne zur Aufrechterhaltung der Betriebsfähigkeit und prüft diese regelmäßig durch Übungen. Geschäftskontinuität ist eng mit dem Risikomanagement und dem Notfallmanagement verbunden und wird häufig nach der Norm ISO 22301 umgesetzt. Ein wirksames Geschäftskontinuitätsmanagement schützt Kundenbeziehungen, Ruf und wirtschaftliche Existenz des Unternehmens.
Praxisbezug
Ein Softwareunternehmen definiert seine kritischen Prozesse, etwa den Betrieb der Kundenplattform, und legt fest, dass diese nach einem Ausfall innerhalb von vier Stunden wieder verfügbar sein muss. Es erstellt einen Wiederanlaufplan, sichert Daten täglich und testet die Wiederherstellung einmal jährlich. So kann es Kunden auch bei einem Serverausfall verlässlich bedienen.
Notfallmanagement
Kurz: Notfallmanagement umfasst alle vorbereiteten Prozesse und Maßnahmen, mit denen die Organisation auf Notfallsituationen wie Brände, Unfälle oder Gefahrstofffreisetzungen reagiert. Dazu gehören Notfallpläne, Schulungen, Übungen und die Kommunikation mit Einsatzkräften und Behörden.
Definition
Notfallmanagement beschreibt die systematische Vorbereitung auf und Reaktion auf mögliche Notfallsituationen. Die Organisation muss Prozesse festlegen, um auf Notfälle zu reagieren, darunter geplante Reaktionen, Erste-Hilfe-Versorgung, Schulungen und wiederkehrende Übungen. Die Reaktionsfähigkeit ist regelmäßig zu überprüfen und nach Ereignissen anzupassen. Relevante Informationen sind an Beschäftigte, Auftragnehmer, Besucher, Notfalldienste und Behörden zu kommunizieren. Die Bedürfnisse aller betroffenen interessierten Parteien sind zu berücksichtigen. Notfallpläne und zugehörige Prozesse sind als dokumentierte Information aufrechtzuerhalten und aufzubewahren. Notfallmanagement ist eng mit dem Geschäftskontinuitätsmanagement verbunden und trägt dazu bei, Personen zu schützen, Schäden zu begrenzen und den Betrieb nach einem Ereignis wiederherzustellen.
Praxisbezug
Ein Chemiebetrieb erstellt Notfallpläne für Brand, Gefahrstofffreisetzung und Stromausfall, benennt Notfallbeauftragte und hält Kontaktdaten von Feuerwehr und Rettungsdienst bereit. Einmal jährlich führt das Unternehmen eine Evakuierungsübung durch und wertet sie aus. So sind alle Mitarbeitenden im Ernstfall sicher und geübt.
Normbezug
ISO 45001:2018 Kl. 8.2; ISO 14001:2015 Kl. 8.2
