Definition
Grundprinzip der ISO 9001:2015 und aller HS-Normen: Organisationen sollen Risiken und Chancen proaktiv identifizieren und Maßnahmen planen. Ersetzt das frühere Konzept der vorbeugenden Maßnahme und ermöglicht leistungsorientierte, weniger vorschreibende QMS-Gestaltung.
In der Praxis
Risikobasiertes Denken ist das Prinzip, mit dem die Revision von 2015 die alte Vorbeugungsmaßnahme abgelöst hat — und bis heute das am häufigsten missverstandene: Viele Unternehmen haben eine Risikomatrix gebaut, die parallel zum Geschäft existiert, statt Risiken dort zu betrachten, wo sie entstehen, nämlich in den Prozessen. Die Norm verlangt bewusst kein formales Risikomanagement und keine bestimmte Methode — sie verlangt, dass Risiken und Chancen aus Kontext und interessierten Parteien bestimmt, Maßnahmen geplant und deren Wirksamkeit bewertet werden. In der Praxis funktioniert das am besten dezentral: Der Einkauf bewertet Lieferantenrisiken, die Konstruktion nutzt die FMEA, der Vertrieb kennt seine Marktrisiken. Abzugrenzen ist das Prinzip von CAPA: Risikobasiertes Denken wirkt vor dem Fehler, die Korrekturmaßnahme danach — beide gehören zusammen, weil jede abgeschlossene CAPA die Risikobewertung aktualisieren sollte.
Verwandte Begriffe
Häufige Fragen zu Risikobasiertes Denken
Was ist der Unterschied zwischen risikobasiertem Denken und der früheren Vorbeugungsmaßnahme?
Die Vorbeugungsmaßnahme der ISO 9001:2008 war ein eigenständiger, dokumentenpflichtiger Prozess, der typischerweise als separates Formularwesen lief — und oft mit der Korrekturmaßnahme verwechselt wurde. Risikobasiertes Denken ist dagegen kein Einzelprozess, sondern ein durchgehendes Prinzip (Kapitel 6.1): Risiken und Chancen werden bei der Planung des Systems, in den Prozessen und bei Änderungen berücksichtigt. Der Aufwand richtet sich nach der Tragweite — nicht jedes Risiko braucht eine Matrix. Das Konzept ist damit weniger vorschreibend, aber anspruchsvoller, weil es Denken statt Formularpflege verlangt.
Fordert ISO 9001 ein dokumentiertes Risikomanagement?
Nein — die Norm verlangt ausdrücklich kein formales Risikomanagement und schreibt weder eine Methode noch ein Risikohandbuch vor (Kapitel 6.1). Gefordert ist, dass Risiken und Chancen bestimmt werden, die sich aus dem Kontext der Organisation und den Anforderungen interessierter Parteien ergeben, dass Maßnahmen geplant und in die Prozesse integriert und ihre Wirksamkeit bewertet wird. Wie das dokumentiert wird, bleibt der Organisation überlassen. In der Auditpraxis muss allerdings nachvollziehbar sein, welche Risiken als wesentlich erkannt wurden und was daraus folgt — ganz ohne Aufzeichnung geht das erfahrungsgemäß schief.
Wie setzt man risikobasiertes Denken im Unternehmen praktisch um?
Am wirksamsten ist der prozessnahe Ansatz: Jeder Prozessverantwortliche benennt für seinen Prozess die wesentlichen Risiken und Chancen — im Einkauf etwa Lieferantenausfälle, in der Fertigung Maschinenstillstand oder Verwechslung, im Vertrieb die Abhängigkeit von Großkunden. Für produkt- und prozessbezogene Risiken liefern FMEA und Control Plan die etablierte Methodik, für strategische Themen reicht eine schlanke Bewertung nach Eintrittswahrscheinlichkeit und Auswirkung. Die Ergebnisse müssen in Maßnahmen münden und in die Management Review einfließen. Wer bereits mit CAPA und 8D-Report arbeitet, schließt den Kreis: Jede wirksame Korrekturmaßnahme senkt ein reales Risiko.