Risiken- und Chancenmatrix nach ISO 9001: Vorlage

Was die Norm verlangt

---

Was ISO 9001 fordert und was Ihrem Ermessen überlassen bleibt

Bei der Planung des Systems sind die Themen des Kontexts (4.1) und die Anforderungen der interessierten Parteien (4.2) zu berücksichtigen und die Risiken und Chancen zu bestimmen, die behandelt werden müssen, um die Ergebnisse sicherzustellen, erwünschte Auswirkungen zu verstärken, unerwünschte zu verringern und Verbesserung zu erreichen.

Anschließend sind die Maßnahmen zu planen, in die Prozesse zu integrieren und auf ihre Wirksamkeit zu bewerten. Sie müssen der möglichen Auswirkung auf die Konformität von Produkten und Dienstleistungen angemessen sein.

Die Norm verlangt weder eine formale Methode des Risikomanagements noch eine bestimmte Aufzeichnung. In der Praxis will der Auditor die Analyse und ihren Bezug zu den Maßnahmen sehen, und eine Matrix ist der direkteste Weg, das zu zeigen.

In der Ausgabe 2026 gliedert sich Abschnitt 6.1 laut dem Übergangsdokument von Global ACI in drei Teile: Bestimmung der Risiken und Chancen (6.1.1), Maßnahmen zum Umgang mit Risiken (6.1.2) und Maßnahmen zum Umgang mit Chancen (6.1.3). Diese Vorlage zitiert die Nummerierung von 2015; wer in der Matrix Risiko- und Chancenzeilen trennt, jede mit eigener Maßnahme, erleichtert die Zuordnung.

Aufbau

---

Felder, die die Vorlage enthalten sollte

• Betroffener Prozess
• Risiko oder Chance und Herkunft (Thema des Kontexts oder interessierte Partei)
• Wahrscheinlichkeit und Auswirkung auf einer festgelegten Skala
• Resultierende Stufe und Kriterium, ab wann gehandelt werden muss
• Geplante Maßnahme, Verantwortlicher und Frist, getrennt für Risiken und Chancen (6.1.2 und 6.1.3 in der Ausgabe 2026)
• Kennzahl oder Art der Wirksamkeitsbewertung
• Ergebnis der Bewertung und neue Stufe
• Datum der letzten Überprüfung

Im Audit

---

Fehler, die Auditoren häufig feststellen

• Die Matrix wurde einmal für die Zertifizierung erstellt und nie überprüft.
• Allgemeine Risiken ohne Bezug zu den Prozessen („Wirtschaftskrise“).
• Hohe Risikostufen ohne Maßnahme und ohne Begründung, warum sie akzeptiert werden.
• Nur Risiken: Chancen tauchen nicht auf.
• Kein Bezug zu wiederkehrenden Nichtkonformitäten oder zu Kontextänderungen.

In Kimobox

---

So wird diese Aufzeichnung in Kimobox geführt

1. 1Risiken und Chancen werden je Prozess erfasst, mit Verantwortlichem, Wahrscheinlichkeit, Auswirkung und zugehöriger Maßnahme.
2. 2Jede Maßnahme hat einen Minderungsplan und eine Nachverfolgung wie jede andere Aufgabe im System.
3. 3Wiederkehrende Nichtkonformitäten werden automatisch zu einer Eingabe der Risikolandkarte.
4. 4Die Wirksamkeit der Maßnahmen fließt in die Managementbewertung ein, ohne dass ein separater Bericht vorbereitet werden muss.

Häufige Fragen

---

Was man uns vor dem Start fragt