Wat betekent risicogebaseerd denken in ISO 9001?

Risicogebaseerd denken in ISO 9001 betekent dat je bij elke procesbeslissing bewust nadenkt over wat er mis kan gaan én wat er beter kan. In plaats van risico’s te behandelen als een losstaand beheerssysteem, verweeft de norm ze in alle aspecten van je kwaliteitsmanagementsysteem. Dit artikel beantwoordt de meest gestelde vragen over risicogebaseerd denken in de praktijk van ISO 9001-certificering.

Hoe verschilt risicogebaseerd denken van traditioneel risicomanagement?

Risicogebaseerd denken verschilt van traditioneel risicomanagement doordat het geen apart systeem of afdeling vereist, maar een manier van werken is die in alle dagelijkse processen is ingebouwd. Traditioneel risicomanagement behandelt risico’s reactief en geïsoleerd. Risicogebaseerd denken maakt risico-inschatting onderdeel van elke processtap, van planning tot uitvoering.

Bij traditioneel risicomanagement stel je een risicoregister op, wijs je een eigenaar aan en evalueer je het periodiek. Dat heeft waarde, maar het staat los van hoe mensen dagelijks werken. ISO 9001:2015 kiest bewust voor een andere benadering: risico’s horen thuis in het denken van iedereen die bij een proces betrokken is.

Concreet betekent dit dat je bij het ontwerpen van een nieuw proces al nadenkt over wat er fout kan gaan en hoe je dat voorkomt. Je wacht niet tot er een incident is. Je bouwt beheersmaatregelen in terwijl je processen inricht, niet achteraf als correctie. Dit maakt de aanpak proactief in plaats van reactief.

Een ander belangrijk verschil is de scope. Traditioneel risicomanagement richt zich vaak op grote, strategische risico’s. Risicogebaseerd denken in ISO 9001 omvat ook operationele risico’s op procesniveau, zoals een leverancier die niet op tijd levert, een medewerker zonder de juiste competentie, of een processtap die regelmatig tot klachten leidt.

Welke risico’s en kansen moeten worden geïdentificeerd in ISO 9001?

In ISO 9001 moeten organisaties risico’s en kansen identificeren die relevant zijn voor de context van de organisatie en de beoogde resultaten van het kwaliteitsmanagementsysteem. Dit omvat interne en externe factoren die van invloed kunnen zijn op de kwaliteit van producten, diensten en klanttevredenheid.

ISO 9001 schrijft niet voor welke specifieke risico’s je moet benoemen. Dat is bewust zo. De norm verwacht dat je zelf nadenkt over wat relevant is voor jouw organisatie. Een handig startpunt is de contextanalyse die de norm vereist in clausule 4: wie zijn je belanghebbenden, wat zijn hun verwachtingen, en welke interne en externe factoren spelen een rol?

Veelvoorkomende categorieën van risico’s die organisaties identificeren zijn:

• Leveranciersrisico’s: afhankelijkheid van één leverancier, kwaliteitsproblemen bij toeleveranciers
• Procesrisico’s: stappen in het productie- of dienstverleningsproces die foutgevoelig zijn
• Competentierisico’s: medewerkers die niet de juiste kennis of vaardigheden hebben
• Klantgerelateerde risico’s: onduidelijke klantverwachtingen of slechte communicatie
• Regelgevingsrisico’s: veranderende wet- en regelgeving die invloed heeft op je product of dienst

Kansen zijn de andere kant van dezelfde munt. Denk aan een nieuwe technologie die je proces efficiënter maakt, een markttrend die aansluit bij jouw aanbod, of feedback van klanten die aanleiding geeft om een dienst te verbeteren. Het actief opsporen van kansen is net zo belangrijk als het beheersen van risico’s.

 

 

Wat is het verschil tussen risico’s en kansen in ISO 9001?

In ISO 9001 zijn risico’s onzekerheden met een potentieel negatief effect op de doelstellingen van het kwaliteitsmanagementsysteem, terwijl kansen onzekerheden zijn met een potentieel positief effect. Beide vloeien voort uit dezelfde analyse van de context, maar vragen om een andere respons.

Een risico vraagt om beheersmaatregelen: hoe verklein je de kans dat het optreedt, of hoe beperk je de gevolgen als het toch gebeurt? Een kans vraagt om actie: hoe benut je deze situatie om je processen, producten of klanttevredenheid te verbeteren?

Het is belangrijk te begrijpen dat ISO 9001 niet vereist dat je voor elke kans een formeel plan opstelt. De norm vraagt dat je kansen overweegt en er bewust mee omgaat. Dat kan betekenen dat je een kans signaleert, bespreekt in de directiebeoordeling en besluit er wel of niet op in te spelen.

In de praktijk zien veel organisaties risico’s en kansen als twee aparte lijsten. Effectiever is het om ze samen te bekijken. Een verandering in de markt kan tegelijk een risico zijn voor je huidige klanten en een kans voor nieuwe dienstverlening. Door ze in samenhang te analyseren, maak je betere strategische keuzes voor je kwaliteitsmanagement.

Hoe documenteer je risicogebaseerd denken voor een ISO 9001-audit?

ISO 9001 vereist geen verplicht risicoregister of een specifiek documentatieformaat voor risicogebaseerd denken. De norm verwacht wel dat je kunt aantonen dat je risico’s en kansen hebt geïdentificeerd, dat je maatregelen hebt genomen en dat je de effectiviteit daarvan hebt beoordeeld.

Wat een auditor wil zien, is bewijs dat risicogebaseerd denken daadwerkelijk plaatsvindt in jouw organisatie. Dat bewijs kan op verschillende manieren worden vastgelegd:

• Een risicoanalyse per proces of per afdeling, opgenomen in procesbeschrijvingen
• Notulen van vergaderingen waarin risico’s en kansen zijn besproken
• De directiebeoordeling, waarin risico’s en kansen een vast agendapunt zijn
• Verbeterplannen of corrigerende maatregelen die zijn voortgekomen uit een risicoanalyse
• Kwaliteitsdoelstellingen die zijn afgeleid van geïdentificeerde risico’s of kansen

Houd het praktisch. Een uitgebreid risicoregister met tientallen kolommen en kleurcodering is niet nodig als het niet aansluit bij hoe jouw organisatie werkt. Een overzichtelijk document dat je daadwerkelijk gebruikt en bijhoudt, overtuigt een auditor veel meer dan een indrukwekkend format dat stof verzamelt.

Zorg er ook voor dat kwaliteitsdoelstellingen SMART zijn geformuleerd: Specifiek, Meetbaar, Acceptabel, Realistisch en Tijdgebonden. Als een doelstelling voortkomt uit een geïdentificeerd risico, maak die verbinding dan zichtbaar in je documentatie. Dat toont aan dat risicogebaseerd denken echt doorwerkt in je planning.

Hoe integreer je risicogebaseerd denken in dagelijkse processen?

Risicogebaseerd denken integreer je in dagelijkse processen door het onderdeel te maken van bestaande werkwijzen, niet door er een nieuw systeem naast te zetten. Dat betekent: risico’s bespreken in werkoverleggen, ze meenemen bij het ontwerpen van nieuwe processen en medewerkers bewust maken van hun rol in het signaleren van afwijkingen.

Praktische manieren om dit te realiseren zijn:

1. Verwerk risico’s in procesbeschrijvingen. Voeg bij elke processtap toe wat er mis kan gaan en welke beheersmaatregel van toepassing is. Zo is de risicoanalyse niet een apart document, maar onderdeel van hoe het werk is beschreven.
2. Maak risico’s bespreekbaar in overleggen. Voeg een vast agendapunt toe in teamvergaderingen: welke risico’s of kansen zijn er gesignaleerd? Dit hoeft niet lang te duren, maar het creëert wel een cultuur van bewustwording.
3. Koppel risico’s aan doelstellingen. Als je kwaliteitsdoelstellingen formuleert, ga dan na welke risico’s de realisatie ervan bedreigen. Zo worden doelstellingen en risicobeheer vanzelf verbonden.
4. Gebruik afwijkingen als leermomenten. Elke non-conformiteit of klacht is een signaal dat ergens een risico niet goed beheerst werd. Analyseer de oorzaak en pas je risicoanalyse aan.
5. Betrek medewerkers actief. De mensen die het werk doen, kennen de risico’s het beste. Vraag hen regelmatig wat er in hun proces fout kan gaan en wat er beter kan. Dat levert waardevolle input en vergroot de betrokkenheid.

Risicogebaseerd denken is geen eenmalige exercitie. Het is een manier van werken die je steeds verder verfijnt naarmate je organisatie meer ervaring opdoet met het kwaliteitsmanagementsysteem. Hoe beter medewerkers begrijpen waarom het belangrijk is, hoe vanzelfsprekender het wordt.

Hoe Diks Process Support helpt met risicogebaseerd denken in ISO 9001

Risicogebaseerd denken klinkt in theorie logisch, maar in de praktijk worstelen veel organisaties met de vraag hoe ze het concreet moeten aanpakken. Wij helpen je daarbij, van de eerste analyse tot een werkend systeem dat ook na de audit zijn waarde behoudt.

Wat we voor je doen:

• We voeren samen met jou een contextanalyse uit om relevante risico’s en kansen te identificeren
• We helpen je risicogebaseerd denken te verankeren in bestaande processen en documenten, zonder onnodige bureaucratie
• We begeleiden je bij het formuleren van SMART-kwaliteitsdoelstellingen die aansluiten op geïdentificeerde risico’s
• We bereiden je voor op de audit, zodat je aantoonbaar kunt maken dat risicogebaseerd denken echt werkt in jouw organisatie
• We ondersteunen je ook na certificering bij het borgen en continu verbeteren van je kwaliteitsmanagementsysteem

We werken niet vóór je, maar met je. Onze aanpak is praktisch, stapsgewijs en volledig afgestemd op de realiteit van jouw organisatie. Wil je weten hoe we jou kunnen helpen? Neem contact met ons op en we kijken samen wat de beste aanpak is voor jouw situatie.

 

Gerelateerde artikelen

• Hoe bewijs je aan een klant dat je processen op orde zijn?
• Hoe onderscheid je je van concurrenten bij grote projecten?
• Hoe train je leidinggevenden in SCL principes?
• Hoe gebruik je toolboxmeetingen voor SCL certificering?
• Wanneer schakel ik een interim kwaliteitsmanager in?
• Wat is het verschil tussen een MVK en een HVK veiligheidskundige?
• Wat kost een interim HSE officer per dag?
• Wat betekent ISO 27001-certificering?
• Wat zijn de totale kosten van een interim traject?
• Wat is het verschil tussen ISO 27001 en NEN 7510?