Risiken und Chancen (ISO 9001 Kap. 6.1): Sie müssen keine neuen Risiken erfinden
Die Risikobewertung entsteht aus dem, was Sie ohnehin schon tun: Listen Sie die Projekte und Investitionen der letzten vier Jahre ab etwa 2.000 € (neuer Server, Webseite, Firewall, Maschine, Umbau) und die geplanten dazu. Hinter jeder Investition steckt ein erkanntes Risiko oder eine Chance – niemand kauft einen Server aus Spaß. Risiko und Maßnahme gehören zusammen, Wahrscheinlichkeit und Auswirkung werden grob eingestuft. Was Sie im Audit nicht souverän erklären können, fliegt raus.
KAP. 6.1So entsteht die Risikobewertung in drei Schritten
- Projekte und Investitionen sammeln – nicht Kundenprojekte, sondern das, was Sie im eigenen Betrieb gemacht und geplant haben.
- Zu jeder Maßnahme das Risiko oder die Chance dahinter benennen: 'neuer Webauftritt' → 'Sichtbarkeits- und Reputationsverlust bei veraltetem Auftritt'. Das kann auch ein KI-Assistent vorschlagen, Sie prüfen nur, ob es passt.
- Wahrscheinlichkeit und Eskalationsstufe grob einstufen – keine exakte Mathematik. Stufe 4 ist erreicht, wenn das System zusammenbricht, eine Behörde wegen Gesetzesverstößen prüft oder das Geld fehlt. Vorbeugemaßnahmen brauchen nur Risiken mit hoher Einstufung.
KAP. 6.1Risiken und Chancen getrennt betrachten
Die ISO 9001:2026 verlangt die getrennte Betrachtung ausdrücklich – ein gut aufgebautes System macht das schon lange: Eine Investition in eine neue Maschine ist zugleich Chance (Kapazität, neue Kunden) und Antwort auf ein Risiko (Ausfall der alten). Beides in je einer Spalte, fertig.
KAP. 6.1Mit anderen Systemen zusammenführen
Gibt es bereits eine Risikoanalyse aus ISO 27001, SWOT-Analyse oder Konzern-Reporting: nicht neu machen, sondern ergänzen und zusammenziehen. Der erste Teil beider Normen (Ziele, Managementbewertung, interne Audits) ist fast identisch; die 27001 hat mehr technische Risiken, die kaufmännischen haben Sie ohnehin. IT- und Cyber-Risiken werden in die bestehende Bewertung eingebunden, ergänzt um eine Mitarbeiter-Unterweisung.
KAP. 6.1Nachhaltigkeit, Klimaneutralität & Co.
Neue Themen einmal betrachten, nicht aufblähen: bei den interessierten Parteien, in der Risikobewertung und in der Managementbewertung je einen Satz ergänzen. Wenn das Risiko gering ist, steht genau das da: 'Unser Risiko zum Thema Klimaneutralität ist schwach ausgeprägt.' Damit ist das Thema erledigt.
KAP. 9.3Was im Audit zählt
Der Auditor prüft, ob die Maßnahmen zu den Risiken passen und ob Sie erklären können, warum etwas drinsteht. Lieber zwei Punkte streichen, als über etwas zu stolpern, das Sie nicht erklären können. Die Risikobewertung muss vor dem ersten Audit fertig sein und wird jährlich in der Managementbewertung fortgeschrieben – zusammen mit der Projekt- und Investitionsliste.
TABELLERisikobewertung aus Investitionen – neun Beispiele
| Investition / Projekt | Risiko dahinter | Chance dahinter | Wahrscheinlichkeit | Eskalationsstufe |
|---|---|---|---|---|
| Server-Upgrade, Firewall-Erneuerung | Datenverlust, Cyberangriff, Ausfall | stabiler Betrieb, Kundenvertrauen | mittel | 3 |
| Neue Webseite / Online-Kalkulator | Sichtbarkeitsverlust, Preisdruck durch Online-Anbieter | Neukunden ohne Vertrieb | hoch | 2 |
| Neue Drehmaschine / Produktionshalle | Kapazitätsgrenze, Ausfall alter Maschine | neue Kunden, Kleinserien mit kurzer Lieferzeit | mittel | 3 |
| Backup-Digitaldrucksystem | Produktionsausfall (3–4× pro Jahr) | Liefersicherheit | hoch (3) | 3 |
| Aufbau Versandbereich / Analytiklabor | Abhängigkeit von Dienstleistern | Eigenleistung, Marge | mittel | 2 |
| PM-Tool, CRM | manuelle Prozesse, Wissensverlust | Transparenz, Skalierung | mittel | 2 |
| Neue Beleuchtung Fertigung | Arbeitssicherheit, Energiekosten | Kosten senken | gering | 1 |
| Firmenwagen / Transporter | Termintreue bei Fremdlogistik | Flexibilität | gering | 1 |
| EP-Positionen im Angebot (Tiefbau) | Nachträge, Verluste durch unvollständige LV | transparente Kalkulation als Verkaufsargument | hoch | 3 |
Eskalationsstufen (Beispiel Dienstleistung): 1 = bis 500 € aus laufenden Mitteln · 2 = Umschichtung im Budget · 3 = nur aus Rücklagen · 4 = System bricht zusammen / Behörde prüft / Geld fehlt
WEITERLESENDas passt dazu
O-TON · AUS ÜBER 1.000 AUDITSAus der Beratungspraxis
So klingen die Fragen echter Kunden – und die Antworten, die sich im Audit bewährt haben:
„Müssen wir neue Risiken finden?"
„Nein. Wir nehmen Ihre Projekte und Investitionen der letzten vier Jahre – alles über ca. 2.000 Euro: Server-Upgrade, neue Webseite, EDV-Ausstattung. Sie kaufen sich ja keinen Server, weil Sie Spaß haben, sondern weil Sie ein Risiko oder eine Chance gesehen haben. Das haben Sie heute schon im Griff."
IT / Softwareentwicklung
„Wie hängen Risikobewertung und unsere Investitionsliste zusammen?"
„Die Maßnahmen in der Risikoanalyse sollten euch bekannt vorkommen – das sind die Themen aus eurer Investitionsliste. Warum wollt ihr die Firewall erneuern? Weil ihr ein Risiko erkannt habt. Erst identifiziert ihr Risiken, dann plant ihr Maßnahmen, und diese Maßnahmen sind eure Projekte."
Anlagenbau / Kältetechnik
„Wie sollen wir die Risikobewertung ausfüllen?"
„Schaut, ob die Risiken zu den Maßnahmen passen. Wenn es zu kompliziert ist oder keinen Sinn macht, schmeißt lieber ein, zwei Punkte raus. Am Ende müsst ihr damit souverän leben können im Audit. Wenn ihr es nicht erklären könnt, lieber rausnehmen."
M&A-Beratung
„Müssen wir wegen Nachhaltigkeit und Klimaneutralität viel ergänzen?"
„Nein. Man muss es einmal betrachten – bei den interessierten Parteien, in der Risikobewertung und in der Managementbewertung. Dann schreibt man einen Satz: 'Unser Risiko zum Thema Klimaneutralität ist sehr gering.' Dann war's das."
Dienstleistung
„Was mache ich, wenn in Ausschreibungen wichtige Prüfungen fehlen (z.B. Zugproben, Probewürfel)?"
„Sprich es offen an! Frage beim Kunden nach, warum bestimmte Prüfungen nicht im Leistungsverzeichnis stehen. Viele Profis nutzen solche Lücken für Nachforderungen. Du machst es besser: Du kalkulierst die Prüfungen von Anfang an ein, bietest transparent an und änderst später nichts an der Summe. Das unterscheidet dich vom Wettbewerb und baut Vertrauen auf."
Tiefbau / Bauwesen / Energieversorgung
„Was bedeutet 'Projekte und Investitionen' im QM-System? Unsere Kundenprojekte?"
„Nein, bitte nicht die Projekte die ihr mit euren Kunden habt auflisten. Es geht um Investitionen in die Firma selbst über 2000 Euro: neue Webseite, Eingangsbereich, PCs, Server. Investitionen in die Zukunft oder die man getätigt hat, damit die Firma aufgebaut wird und funktioniert. Ungefähr 20 vergangene und dann geplante Investitionen: Zulassungen, neuer Projektmanager, etc."
Architektur und Planung (Architekten, Innenarchitekten, Technische Ing
„Wie gehen wir mit Unterbrechungen um? Wir müssen vielleicht wieder pausieren."
„Am besten ist durchziehen. Aber wenn Sie pausieren müssen: Wir arbeiten einen Monat, sprechen mit Ihren Leuten, haben dann einen Haken. Sie sprechen mit Anwälten, können es einschätzen, dann können wir weiterarbeiten. Nicht ideal, aber machbar."
Produktion
SCHNELLE ANTWORTENHäufige Fragen
Wie viele Risiken brauche ich?
So viele, wie Projekte und Investitionen dahinterstehen – meist 8 bis 15. Wichtiger als die Zahl ist, dass Sie jeden Punkt erklären können.
Brauche ich eine Risikomatrix mit Zahlen?
Eine grobe Einstufung von Wahrscheinlichkeit und Auswirkung reicht. Es ist keine Versicherungsmathematik.
Bis wann muss die Risikobewertung fertig sein?
Vor dem ersten Audit. Danach wird sie jährlich in der Managementbewertung fortgeschrieben.
Kann ich die Risikoanalyse aus der ISO 27001 verwenden?
Ja, zusammenführen ist ausdrücklich sinnvoll – ein System statt zwei parallele.
Sind Kundenprojekte Teil der Risikobewertung?
Nein, nur Projekte und Investitionen im eigenen Betrieb.
Wie gehen wir mit neuen Marktbedürfnissen um, z.B. Informationssicherheit statt nur ISO 9001?
Wenn die Partner melden, dass da Bedarf ist - bei denen läuft gerade die Bude ein für Informationssicherheit - dann nehmen wir das direkt in den Kalkulator mit rein. Wir sind die Letzten, die sagen, dass wir das nicht machen, wenn die Kunden da sind.
Was sind 'Projektinvestitionen' - muss das technisch sein?
Nein, nichts technisch. Das sind KEINE Kundenprojekte. Das sind Investitionen: IT-System gekauft, Schulung bezahlt, Fahrzeug gekauft, Büro gestrichen - alles über 1.000 Dollar. Auch dein Quality Manual für 4.000 Dollar zählt. Auch eine Messe in Spanien für 4-5.000 Dollar.
Was soll ich bei 'Projekt Investitionen' angeben? Muss das technisch sein?
Nein, nichts Technisches. Das sind keine Kundenprojekte - das sind Investitionen: IT-System gekauft, Schulungen bezahlt, Fahrzeug gekauft, Büro gestrichen, Messe besucht. Alles über 1000 Dollar. Die 4000 Dollar für das Qualitätsmanual - ja, das ist ein Beispiel. Du warst auf einer Messe in Spanien für 4-5 Tausend?
Wie genau müssen die Kosten und Daten bei Investitionen sein?
Nicht genau. 4000 oder 5000 - das ist okay. Auch bei der Jahreszahl - Monat und Jahr reichen. Es geht nicht um Genauigkeit, es ist nur Information. Kein Problem wenn es nicht exakt ist.
Festpreis nach Betriebsgröße, ab 3.500 € – Sie zahlen erst, wenn das Zertifikat da ist. 20 Seiten Handbuch, fünf Prozesse, 100 % Bestehensquote seit 1994. Der Weg dazu: Beratung zum Festpreis.
Angebot für ISO 9001 BeratungFestpreis · Zahlung erst mit Zertifikat
Holger Grosser berät seit 1994 Unternehmen zur ISO 9001 und hat über 1.000 Zertifizierungsaudits begleitet – jedes davon im ersten Anlauf bestanden. Sein Grundsatz: so wenig Dokumentation wie möglich, so viel wie nötig. Mehr über den Autor
★★★★★ 5,0 · 97 Google-Bewertungen, alle von zertifizierten Kunden