Op 6 oktober 2015 heeft er een omwenteling plaatsgevonden in kwaliteitsland: de lancering van de nieuwe ISO 9001-norm voor kwaliteitsmanagement. Waarom is dit een kleine revolutie? Omdat hiermee risico-denken en -doen een niet meer te vermijden onderdeel van kwaliteitsmanagement is geworden. Dit betekent dat de kwaliteitsmanager een forse stap richting de risicomanager moet gaan maken. Â
Hoe zat het ook al weer met kwaliteitsrisico’s? In de laatste paragraaf van de ISO 9001-norm uit 2008 staat dat de organisatie daar preventieve maatregelen tegen moet nemen. Dit om mogelijke toekomstige afwijkingen met effecten op klanttevredenheid – met andere woorden kwaliteitsrisico’s – aan te pakken. Deze paragraaf kun je dan ook beschouwen als een soort mini-risicomanagement. Hoe anders is dat in de nieuwe NEN-ISO 9001: 2015.
Expliciet risicogestuurd
Eerst iets over de nieuwe structuur. Alle recent verschenen ISO-normen en -richtlijnen hebben inmiddels dezelfde hoofdstructuur. Dit is de zogenoemde High Level Structure (HLS). Voorbeelden zijn de ISO 19600-richtlijn voor compliancemanagement en de ISO 14001 voor milieumanagement. Al deze richtlijnen zijn met de HSL-structuur expliciet risicogestuurd.
Expliciet omgaan met risico’s komt in een aantal paragrafen van de HLS tot uiting. Zo vereist paragraaf 6.1 in het hoofdstuk Planning van de nieuwe ISO 9001 een risicoanalyse. Hierbij ontkomt de betreffende organisatie er dus niet aan om vast te stellen of ze risicomijdend of juist risicozoekend is.
Effecten van onzekerheid op kwaliteitsdoelen
De aanpak van de al in 2009 verschenen ISO 31000 Richtlijn voor risicomanagement kan voor zo’n risicoanalyse worden benut. Alle risicostappen in deze richtlijn komen overigens, in wat andere bewoordingen, overeen met die van COSO-ERM, RISMAN en risicogestuurd werken. Het goede nieuws is dan ook dat al die bestaande risicomanagementbenaderingen prima kunnen worden benut voor het omgaan met kwaliteitsrisico’s – effecten van onzekerheid op kwaliteitsdoelen – volgens de nieuwe ISO 9001.
Ook in de hoofdstukken 8 en 9 van de nieuwe ISO 9001 – Uitvoering en Evaluatie van de prestaties – worden relaties gelegd met risicodenken en -doen. Zo moet in hoofdstuk 8 rekening worden gehouden met de mogelijke gevolgen van falen – optredende risico’s – vanwege de aard van de producten en diensten. In hoofdstuk 9 wordt de doeltreffendheid van genomen acties gekoppeld aan het oppakken van risico’s en kansen. Dit alles betekent dat de preventieve maatregelen in hoofdstuk 10 van de oude ISO 9001 in de nieuwe versie zijn verdwenen. Risicosturing om de gestelde kwaliteitsdoelen te realiseren is nu immers in de hele norm geïntegreerd.
Integratie
Het woord integratie beschrijft misschien wel het meest kernachtig de voordelen van de nieuwe ISO-basisstructuur in het algemeen en voor de nieuwe kwaliteitsnorm in het bijzonder. Door deze basisstructuur worden immers alle ISO-normen en -richtlijnen risicogestuurd. Dit betekent dat disciplines die in de praktijk vaak afzonderlijk van elkaar worden uitgevoerd – veiligheidsmanagement, milieumanagement, kwaliteitsmanagement, compliancemanagement, business continuity-management, risicomanagement – nu (eindelijk) formeel geïntegreerd kunnen worden aangepakt.
Hiermee worden de effectiviteit en efficiëntie van deze disciplines drastisch verbeterd. Mits de verantwoordelijke managers en hun professionals het lef hebben om de onvermijdelijke tegenstrijdigheden en dilemma’s, die hierdoor onvermijdelijk aan het licht komen, te zien en aan te pakken. Managementsystemen keren zo terug naar de essentie: hulpmiddelen om organisatiedoelen te helpen realiseren. Dit in plaats van (afvink)doelen op zich.
Nadelen op korte termijn
Zijn er dan geen nadelen te bespeuren? Eigenlijk alleen op korte termijn. Want terwijl voor de ISO 9001-certificering een overgangsperiode van drie jaar wordt gehanteerd, betekent expliciete risicosturing op kwaliteit voor veel organisaties wel een andere wijze van organiseren en aansturen. Denk alleen al aan de invulling van de rol van kwaliteitsmanager, die opschuift naar die van risicomanager en daarbij om aanvullende competenties vraagt. De kunst zal dus zijn om risicosturing expliciet én pragmatisch te integreren in de al bestaande bedrijfsprocessen, en allerlei procedures die geen waarde (meer) toevoegen te verwijderen. De nieuwe ISO-9001 biedt hiervoor alle ruimte en risicogestuurd werken kan daar goed bij helpen.
Dr. ir. Martin van Staveren MBA (1964) is adviseur / eigenaar van VSRM. Van zijn hand verscheen begin 2015 ‘Risicogestuurd werken in de praktijk‘.
