Risikoregister: Der Risikofaktor, den Excel falsch rechnet – und das hohe Risiko ohne Maßnahme

Die Kündigung liegt am Montagmorgen auf dem Tisch. Herr Brandt, seit vierzehn Jahren im Haus, der Einzige, der die beiden alten Fräszentren programmieren kann und der jede Sonderlösung für Ihren größten Kunden im Kopf hat, geht zum Jahresende. Der Geschäftsführer sagt den Satz, den in diesem Moment jeder sagt: „Das stand doch in unserem Risikoregister?“

Es steht dort. Sie öffnen die Datei „QF17 Risikoregister.xlsx“, Zeile 4: „Wissensverlust durch Ausscheiden von Schlüsselpersonen“. Schweregrad 4, Wahrscheinlichkeit 3, Risikofaktor 12 – rotes Feld, hohes Risiko. Spalte „Maßnahme zur Risikominimierung“: „Vertretung aufbauen, Programmierung dokumentieren“. Spalte „Verantwortlich“: leer. Spalte „Termin“: leer. Spalte „Status“: offen. Angelegt zum Erstaudit vor drei Jahren, seitdem unverändert. Das Risiko war erkannt. Es wurde nur nie behandelt. Und zwischen diesen beiden Sätzen liegt jetzt ein Jahr, in dem niemand die Fräszentren programmieren kann – und die Feststellung, die der Auditor zu Kapitel 6.1 im Herbst ohnehin geschrieben hätte.

Warum das Risikoregister in Excel nach dem Erstaudit stehen bleibt

Ein Risikoregister ist in fast jedem Betrieb dasselbe Dokument: eine Excel-Datei mit zehn bis zwanzig Zeilen, zum Erstaudit in einem Workshop befüllt, mit einer Formel für den Risikofaktor und einer bedingten Formatierung, die die Zelle rot färbt. Das ist kein schlechter Anfang. Das Problem beginnt danach, und es hat drei Ursachen, die alle nichts mit Nachlässigkeit zu tun haben.

Erstens rechnet die Datei nur so lange richtig, wie niemand sie anfasst. Wer eine Zeile einfügt, ohne die Formel mitzukopieren, tippt den Faktor von Hand ein – und aus 4 × 3 wird gern eine 9, weil man sich an das alte Ergebnis erinnert. Aus einem hohen Risiko wird ein mittleres, ohne dass es jemand merkt, denn die rote Färbung hängt an der Zahl, nicht an der Bewertung. Zweitens kennt die Datei keinen Unterschied zwischen einer Maßnahme, die im Textfeld steht, und einer Maßnahme, die jemand tatsächlich umsetzt. „Vertretung aufbauen“ ist ein Vorsatz; ohne Verantwortlichen und Termin ist es kein Plan. Und drittens gibt es in der Tabelle keinen Platz für die Frage, ob die Maßnahme gewirkt hat: Der Faktor 12 steht dort im Jahr der Aufnahme und im Jahr danach, egal was passiert ist. Die Managementbewertung, die eigentlich fragen soll, ob die Behandlung der Risiken wirksam war, bekommt deshalb jedes Jahr dieselben Zahlen vorgelegt.

So entsteht die häufigste Feststellung zu Kapitel 6.1: hohe Risiken im Register, aber keine nachvollziehbare Maßnahme, kein Verantwortlicher, kein Nachweis einer Wirksamkeitsbewertung. Und im Ernstfall kostet es nicht das Audit, sondern das, was in Zeile 4 stand.

Was die ISO 9001 in Kapitel 6.1 wirklich verlangt

Kapitel 6.1 besteht aus zwei Teilen, und der zweite wird regelmäßig übersehen. Nach 6.1.1 muss die Organisation bei der Planung ihres Qualitätsmanagementsystems die Themen aus dem Kontext (4.1) und die Anforderungen der interessierten Parteien (4.2) berücksichtigen und daraus die Risiken und Chancen bestimmen, die behandelt werden müssen – damit das System seine beabsichtigten Ergebnisse erreicht, unerwünschte Auswirkungen verhindert oder verringert werden und Verbesserung erreicht wird. Das ist der Teil, den das Excel-Register erfüllt.

Nach 6.1.2 muss die Organisation außerdem Maßnahmen zum Umgang mit diesen Risiken und Chancen planen – und zwar einschließlich der Frage, wie diese Maßnahmen in die Prozesse integriert und umgesetzt werden und wie ihre Wirksamkeit bewertet wird. Die Maßnahmen müssen dabei proportional zur möglichen Auswirkung auf die Konformität von Produkten und Dienstleistungen sein. Das ist der Teil, an dem Zeile 4 scheitert.

Zwei Dinge sind dabei fair an der Norm, und beide sollte man kennen. Sie verlangt keine formelle Risikomanagement-Methode und keinen dokumentierten Risikomanagementprozess; das stellt der Anhang A.4 ausdrücklich klar. Eine 5×5-Matrix ist eine bewährte Praxis, keine Pflicht. Und sie zählt in einer Anmerkung zu 6.1.2 die zulässigen Optionen auf – Risiko vermeiden, die Risikoquelle beseitigen, Wahrscheinlichkeit oder Folgen ändern, das Risiko teilen, oder es durch eine fundierte Entscheidung beibehalten. Ein hohes Risiko bewusst zu akzeptieren ist also zulässig. Nur muss die Entscheidung erkennbar getroffen worden sein, und nicht einfach dadurch entstanden, dass drei Jahre lang niemand hingesehen hat. Wo Kapitel 6 im Gesamtbild der Norm steht, zeigt „ISO 9001 einfach erklärt„.

Wie ein Risikoregister aussieht, das Risiken behandelt statt sammelt

Das Prinzip ist unabhängig von jedem Werkzeug und besteht aus vier Schritten. Erstens eine Bewertung, die jeder gleich versteht: Was „Schweregrad 4″ oder „Wahrscheinlichkeit 3″ bedeutet, muss definiert sein – sonst bewertet der Vertrieb das Risiko anders als die Fertigung, und die Matrix vergleicht Äpfel mit Birnen. Zweitens eine Entscheidung für jedes hohe Risiko: entweder eine Maßnahme mit Verantwortlichem und Termin, oder eine begründete Akzeptanz mit Datum und Unterschrift. Ein leeres Feld ist keine der beiden Optionen.

Drittens gehört die Maßnahme in denselben Maßnahmenplan wie alle anderen – aus Audits, Reklamationen und der Managementbewertung – und wird dort verfolgt, bis jemand ihre Umsetzung bestätigt hat. Eine Maßnahme, die nur in der Risikodatei steht, sieht niemand, der die Risikodatei nicht öffnet. Viertens wird das Risiko nach der Umsetzung neu bewertet. Erst das Restrisiko zeigt, ob die Maßnahme etwas gebracht hat, und genau das ist die Wirksamkeitsbewertung, die 6.1.2 verlangt. Dazu kommt, was viele Register vergessen: Chancen. Die Norm nennt sie in jedem Satz neben den Risiken, aber in den meisten Excel-Dateien gibt es für sie kein Blatt. Und schließlich sollte das Register mit dem Rest des Systems verbunden sein: Der Lieferant mit Note C aus der Lieferantenbewertung und die ungeprüfte Vorschrift aus dem Rechtskataster sind Risiken – sie sollten nicht in drei Dateien getrennt voneinander leben.

So macht es die QVM-Software

Im Risikoregister der QVM Audit-Software beginnt jedes Risiko mit zwei Auswahlfeldern, neben denen die Definition steht: „3 · Möglich – 10 %, 1 in 10, tritt regelmäßig auf“ oder „4 · Hoch – erhebliche Auswirkung auf Produkt oder Kunden“. Diese Texte sind Vorschläge, jeder Mandant kann sie unter „Definitionen“ auf sein Unternehmen anpassen. Den Risikofaktor rechnet das System aus beiden Werten selbst, und noch im Formular erscheint das Ergebnis mit der zugehörigen Handlungsregel: „Risiko-Faktor 12 – Hoch. Die Arbeit kann nur fortgesetzt werden, wenn Kontrollmaßnahmen das Risiko auf ein akzeptables Niveau senken.“ Eine von Hand eingetippte 9 gibt es hier nicht.

Darunter folgt das Feld für die Maßnahme, und daneben zwei Felder, die im Excel-Register am häufigsten leer bleiben: Verantwortlichkeit und Zieldatum. Sobald ein Verantwortlicher eingetragen ist, erscheint die Maßnahme automatisch im zentralen Maßnahmenplan – ab einem Faktor von 15 mit hoher Priorität – und wird dort mit allen anderen Maßnahmen verfolgt, inklusive Überfälligkeit und Wirksamkeitsprüfung. Wer eine Maßnahme notiert, aber niemanden benennt, sieht den Hinweis: Mit Verantwortlichem erscheint die Maßnahme automatisch im Maßnahmenplan. Für den bewussten Gegenweg gibt es den Status „Akzeptiert“ – die fundierte Entscheidung aus der Norm, sichtbar und datiert.

Der Abschnitt „Bewertung des Restrisikos“ ist bewusst leer, bis die Maßnahme umgesetzt ist; das Formular sagt es so: Vorher gibt es kein Restrisiko. Danach werden Schweregrad und Wahrscheinlichkeit erneut gewählt, und das System zeigt „Restrisiko-Faktor 4 – gesenkt um 8 Punkte“. Aus all diesen Bewertungen entsteht eine Risikomatrix mit einem Umschalter „Vor den Maßnahmen / Nach den Maßnahmen“. Der Vergleich der beiden Ansichten ist der Wirksamkeitsnachweis für Kapitel 6.1.2: Liegt ein Risiko danach immer noch im roten Feld, hat die Maßnahme nichts gebracht.

Das Register ist außerdem kein Solitär. Ein kritischer Lieferant wird aus der Lieferantenbewertung per Klick als Risiko übernommen, eine Lücke im Rechtskataster ebenso, und ein Risiko, das aus der Stakeholder- oder SWOT-Analyse stammt, trägt seine Herkunft im Datensatz: „aus dem Kontext-Modul übernommen“. Chancen haben ein eigenes Register mit einer Nutzen-Aufwand-Matrix, die die Quick Wins von den strategischen Projekten trennt – und auch sie landen mit Verantwortlichem im Maßnahmenplan. Und der Auditbereitschafts-Check der Software prüft genau die Feststellung aus der Eingangsszene: „3 hohe Risiken ohne hinterlegte Maßnahme“ erscheint dort als Hinweis unter Kapitel 6.1, bevor es jemand anderes bemerkt.

Ehrlich bleiben muss man an einer Stelle: Welche Risiken Ihr Unternehmen hat und wie schwer sie wiegen, weiß keine Software. Die Bewertung von Herrn Brandts Kündigung als 4 × 3 kommt aus dem Kopf der Menschen, die den Betrieb kennen, und die Vertretung aufbauen muss auch weiterhin jemand. Aber das System sorgt dafür, dass aus der Bewertung eine Entscheidung wird, aus der Entscheidung eine verfolgte Maßnahme – und dass die Frage nach der Wirkung nicht drei Jahre lang unbeantwortet bleibt.

Fazit

Ein Risiko zu erkennen ist die halbe Arbeit. Die andere Hälfte ist zu belegen, dass Sie etwas dagegen tun – und Kapitel 6.1.2 fragt ausdrücklich nach dieser zweiten Hälfte: Maßnahme, Umsetzung, Wirksamkeit. Ein Risikoregister, das das leistet, rechnet nachvollziehbar, zwingt bei jedem hohen Risiko zu einer Entscheidung, verfolgt die Maßnahme im gemeinsamen Maßnahmenplan und bewertet das Restrisiko neu. Warum eine Excel-Datei genau diese Verbindungen strukturell verliert, beschreibt der Grundlagenbeitrag „Warum ein Qualitätsmanagement aus Excel Sie das Zertifikat kosten kann„.

Wenn Sie wissen möchten, wie viele Ihrer hohen Risiken seit dem Erstaudit ohne Verantwortlichen im Register stehen – bringen Sie Ihre Datei mit: In einem kostenlosen Erstgespräch gehen wir Ihr Risikoregister gemeinsam durch und zeigen Ihnen an der QVM Audit-Software, wie aus einer Liste erkannter Risiken ein Register wird, das sie auch behandelt.