Kostenlose Vorlage · ISO 9001:2015, Kapitel 6.1

Risikoanalyse Vorlage (Chancen und Risiken, ISO 9001)

Das „risikobasierte Denken“ ist die Anforderung der ISO 9001, vor der am meisten Respekt herrscht, dabei verlangt Kapitel 6.1 nichts Akademisches: bestimme, welche Risiken und Chancen dein QM-System betreffen, plane Maßnahmen für die relevanten und prüfe, ob sie wirken. Keine vorgeschriebene Methode, keine FMEA-Pflicht, kein Risikomanagement-Handbuch.

Diese Vorlage ist die pragmatische Mitte: ein Register, in dem jedes Risiko (und jede Chance!) eine Zeile bekommt, bewertet mit Eintrittswahrscheinlichkeit mal Auswirkung. Ab einer Schwelle wird eine Maßnahme Pflicht, und einmal im Jahr wird neu bewertet. Genau die Tiefe, die ein Zertifizierungsauditor im Mittelstand sehen will.

Stand: 17.09.2026 · gepflegt von w2 Labs

Was gehört rein

Themenfeld / Prozess

Wo das Risiko wohnt: Vertrieb, Einkauf, Fertigung, Personal, IT, Markt. Hilft, systematisch durchzugehen statt nur zu sammeln, was gerade weh tut.

Beschreibung

Was kann passieren, und was wäre die Folge? „Einziger Lieferant für X fällt aus, Lieferstopp nach zwei Wochen“ ist eine Beschreibung. „Lieferantenrisiko“ ist keine.

Risiko oder Chance

6.1 verlangt beides. Chancen werden fast immer vergessen: neuer Markt, neue Technik, Personal mit Sonderwissen. Mindestens zwei Chancen gehören in jedes Register.

Wahrscheinlichkeit (1–5) und Auswirkung (1–5)

Grobe Schätzung reicht, die Skala steht im Anleitungsblatt. Wichtig ist die relative Reihenfolge, nicht die Kommastelle.

Risikozahl und Einstufung

Wahrscheinlichkeit mal Auswirkung, rechnet sich selbst. Ab 15 hoch (Maßnahme Pflicht), 8 bis 14 mittel (Maßnahme erwägen), darunter niedrig (beobachten).

Maßnahme mit Verantwortlichem und Termin

Bei hohen Risiken Pflicht. Am besten als Verweis auf die Nummer im Maßnahmenplan, dann gibt es die Verfolgung gratis.

Neubewertung

Datum und neue Risikozahl nach Umsetzung der Maßnahme bzw. bei der Jahresdurchsicht. Das ist die „Bewertung der Wirksamkeit“, die 6.1.2 verlangt.

So füllst du die Vorlage aus

1. Setze dich mit zwei, drei Leuten aus verschiedenen Bereichen zusammen und geh die Themenfelder durch: Was kann uns bei Kunden, Lieferanten, Personal, Maschinen, IT ernsthaft treffen? Eine Stunde ergibt typischerweise 10 bis 20 Einträge, das reicht für den Anfang völlig.
2. Beschreibe jedes Risiko mit Ursache und Folge, nicht als Schlagwort. Die Qualität der Beschreibung entscheidet, ob die Bewertung später nachvollziehbar ist.
3. Vergiss die Chancen nicht. Der häufigste Auditor-Kommentar zu 6.1 lautet: „Wo sind die Chancen?“ Zwei ehrliche Einträge genügen.
4. Bewerte im Team, nicht allein: Wahrscheinlichkeit 1 bis 5, Auswirkung 1 bis 5, die Skalen stehen im Anleitungsblatt. Diskussionen über 3 oder 4 sind okay, sie sind der eigentliche Wert der Übung.
5. Hinterlege für alles ab Einstufung „hoch“ eine Maßnahme mit Verantwortlichem und Termin, idealerweise als Nummer im Maßnahmenplan. Für „mittel“ entscheidet ihr bewusst und schreibt die Entscheidung hin, auch „Risiko wird getragen“ ist eine.
6. Bewerte einmal jährlich neu (und nach großen Änderungen: neuer Standort, neuer Großkunde, neue Maschine). Datum der Neubewertung eintragen, die Wirksamkeitsfrage von 6.1.2 beantwortet sich damit von selbst.

Worauf der Auditor schaut

• Gibt es überhaupt eine dokumentierte Betrachtung von Risiken UND Chancen? Ein Register ohne eine einzige Chance ist der Klassiker.
• Folgt aus hohen Risiken etwas? Der Auditor nimmt das größte Risiko und will die Maßnahme samt Stand sehen.
• Passt das Register zur Wirklichkeit? Wenn die Firma von einem Kunden mit 60 % Umsatzanteil lebt und der nicht im Register steht, ist die Analyse Dekoration.
• Wird neu bewertet, oder stammt das Register aus dem Zertifizierungsjahr und wurde nie angefasst?
• Tauchen die Erkenntnisse in der Managementbewertung auf (Pflichteingabe: Wirksamkeit der Maßnahmen zu Risiken und Chancen)?

Häufige Fragen

Verlangt ISO 9001 eine FMEA?

Nein. Kapitel 6.1 schreibt keine Methode vor, nicht einmal ein dokumentiertes Verfahren. Ein nachvollziehbares Register wie dieses erfüllt die Anforderung im Mittelstand vollständig. Eine FMEA ist erst dann das richtige Werkzeug, wenn Kunden sie fordern oder du einzelne Produkte und Prozesse im Detail absichern willst.

Wie viele Risiken gehören in die Analyse?

So viele, wie das Unternehmen ernsthaft betreffen, im Mittelstand typischerweise 10 bis 25 Einträge plus eine Handvoll Chancen. Ein Register mit 150 Zeilen pflegt niemand, und ein ungepflegtes Register ist im Audit schlimmer als ein kurzes, ehrliches.

Was ist der Unterschied zwischen Risiko und Chance in der Norm?

Beides sind mögliche Abweichungen vom Erwarteten: das Risiko nach unten, die Chance nach oben. Die Norm verlangt für beide dasselbe: bestimmen, Maßnahmen planen, Wirksamkeit bewerten. Eine Chance kann z. B. sein: ein Wettbewerber verschwindet vom Markt, neue Fördermittel, ein Mitarbeiter bringt eine gefragte Zusatzqualifikation mit.

Reicht es, die Risiken einmal bei der Zertifizierung zu erfassen?

Nein, und das ist der häufigste Fund im Überwachungsaudit: ein Register mit dem Datum der Erstzertifizierung. Einmal jährlich neu bewerten (plus bei großen Änderungen), Datum dokumentieren, und die Erkenntnisse in die Managementbewertung geben, dann lebt das Thema mit vertretbarem Aufwand.

Verwandte Vorlagen