Die Risikomatrix für ISO 9001: 3×3 statt Raketenwissenschaft
Was Kapitel 6.1 wirklich verlangt
ISO 9001:2015 fordert in 6.1, dass die Organisation Risiken und Chancen bestimmt und Maßnahmen dazu plant, ausdrücklich ohne eine formale Methode vorzuschreiben. Es gibt keine Pflicht zur FMEA, keine Pflicht zu Monte-Carlo-Simulationen. Was die Norm verlangt, ist Nachvollziehbarkeit: Welche Risiken wurden betrachtet, wie wurden sie eingeschätzt, was wurde entschieden, und hat es gewirkt (6.1.2)? Genau dafür reicht im Mittelstand eine 3×3-Matrix vollkommen aus.
Die 3×3-Matrix: Eintrittswahrscheinlichkeit × Auswirkung
Beide Achsen bekommen drei Stufen: Eintrittswahrscheinlichkeit (unwahrscheinlich = 1, möglich = 2, wahrscheinlich = 3) und Auswirkung (gering = 1, spürbar = 2, kritisch = 3). Der Risikoscore ist das Produkt, also 1 bis 9. Wichtig ist nicht die Skala, sondern die Verankerung: Definieren Sie je Stufe ein konkretes Beispiel („kritisch = Lieferstopp beim A-Kunden oder Sicherheitsrisiko“), sonst diskutiert jede Sitzung die Skala neu.
Ab welchem Score muss gehandelt werden?
Eine bewährte Konvention: Score 1–2 wird akzeptiert und nur beobachtet, Score 3–4 braucht eine bewusste Entscheidung (akzeptieren mit Begründung oder Maßnahme), ab Score 6 ist eine Maßnahme Pflicht. Diese Schwellen gehören dokumentiert. Sie sind Ihre „Kriterien“, nach denen der Auditor fragt. Chancen werden mit derselben Logik bewertet, nur mit positivem Vorzeichen: Was gewinnen wir, wie wahrscheinlich ist es, was kostet der Versuch?
Die Nachbewertung ist der Teil, den alle vergessen
Ein Risiko mit Maßnahme, aber ohne Nachbewertung, ist ein halber Datensatz: 6.1.2 verlangt, die Wirksamkeit der Maßnahmen zu bewerten. Praktisch heißt das: Nach Umsetzung wird das Risiko erneut eingestuft, mit Datum und Begründung. Aus der 9 wird eine 3? Dokumentiert. Bleibt es bei der 9? Dann war die Maßnahme wirkungslos und es braucht eine neue. In ReadyQMS wird ein Risiko ohne Nachbewertung als offener Punkt markiert und erinnert, damit genau dieser Schritt nicht untergeht.
Typische Fehler
Erstens: 200 Risiken erfassen und keines pflegen. Besser 15 echte, die quartalsweise angeschaut werden. Zweitens: nur Risiken, keine Chancen. Die Norm nennt beide, und Auditoren fragen inzwischen gezielt nach Chancen. Drittens: Die Matrix lebt in einer Excel, die nur der QMB kennt. Risiken gehören in die Managementbewertung (9.3.2e fordert die Wirksamkeit der Maßnahmen zu Risiken als Input). Viertens: keine Verantwortlichen. Jedes Risiko braucht einen Namen, kein Gremium.
Beispiel aus der Praxis
„Ausfall der einzigen CNC-Fräse“: Wahrscheinlichkeit möglich (2), Auswirkung kritisch (3), also Score 6, Maßnahme Pflicht. Maßnahmen: Wartungsvertrag mit 48-h-Reaktionszeit, kritische Ersatzteile ans Lager, Fremdfertigungspartner qualifizieren. Nachbewertung drei Monate später: Wahrscheinlichkeit unverändert (2), Auswirkung jetzt spürbar statt kritisch (2), also Score 4, akzeptiert mit Begründung. Genau diese Kette (Bewertung, Maßnahme, Nachbewertung) ist der Nachweis, den 6.1 verlangt.
Risikomatrix (3×3) (Excel)
Das Risikoregister mit 3×3-Bewertung: Score rechnet sich selbst, Ampelfarben zeigen Handlungsbedarf, und die Nachbewertung nach Maßnahmen hat eigene Spalten. Genau diesen Teil vermissen Auditoren am häufigsten.