Risicogebaseerd denken: onmisbaar voor ISO en kwaliteitsmanagement

Risicogebaseerd denken is een proactieve benadering waarbij je bij elke beslissing en elk proces bewust stilstaat bij mogelijke risico's én kansen. ISO 9001:2015 beschrijft dit in clausule 6.1 als het bepalen van risico's en kansen, het plannen van acties, het integreren ervan in processen en het evalueren van de effectiviteit. Het vervangt het oude concept 'preventieve maatregelen' uit ISO 9001:2008.

Nee, ISO 9001 schrijft geen specifieke risicomanagementmethodiek voor. Er is geen verplichting om een risicomatrix, FMEA of ander formeel risicomanagement-instrument te gebruiken. De norm vraagt dat je kunt aantonen dat je risico's en kansen hebt overwogen bij je besluitvorming. Een eenvoudige werkwijze die past bij je organisatie is voldoende.

Risicogebaseerd denken is een denkwijze die je integreert in dagelijkse beslissingen — het is informeel en proportioneel. Formeel risicomanagement (zoals ISO 31000) is een gestructureerd proces met gedocumenteerde risicobeoordelingen, risicoregisters en rapportages. ISO 9001 vereist risicogebaseerd denken, niet formeel risicomanagement. ISO 27001 vereist daarentegen wél een formeel risicomanagementproces.

Stel jezelf drie vragen: kunnen medewerkers uitleggen welke risico's zij in hun werk zien en hoe ze daarmee omgaan? Worden risico-overwegingen meegenomen bij belangrijke beslissingen zonder apart formulier? En leiden risicosignalen tot daadwerkelijke verbeteracties? Als je op alle drie 'ja' kunt antwoorden, werkt risicogebaseerd denken. Een auditor kijkt naar hetzelfde.

Start eenvoudig: breng je context in kaart (interne en externe factoren), loop je kernprocessen langs en stel bij elk proces de vraag 'wat kan hier misgaan en welke kansen liggen er?'. Prioriteer op impact en waarschijnlijkheid, wijs eigenaren toe aan de belangrijkste maatregelen, en evalueer periodiek. Maak het onderdeel van bestaande overlegstructuren in plaats van er een apart proces van te maken.