Normelement 6.1 vraagt organisaties op basis van de contextanalyse en de stakeholdersanalyse risico's en kansen vast te stellen en daar acties op te richten. Een risico is niet per definitie negatief. Dezelfde ontwikkeling kan een bedreiging zijn of juist een kans bieden, afhankelijk van de interne situatie.
De norm verwacht dat de directie hierin keuzes maakt, prioriteiten stelt en bewaakt of de acties daadwerkelijk bijdragen aan de strategische richting van de organisatie. Dit is geen eenmalige exercitie, maar een terugkerend onderdeel van de beleidscyclus.
In de praktijk gaat het oppakken van risico's en kansen nog te vaak mis. Organisaties zijn beter in het benoemen van bedreigingen dan in het benoemen van kansen, waardoor het proces eenzijdig gericht blijft op afweren in plaats van vooruitkijken. Ook worden te veel acties naast elkaar uitgezet, waardoor alles belangrijk wordt gemaakt en daarmee feitelijk niets meer. Daarnaast wordt vaak alleen getoetst of een actie is afgerond, zonder te beoordelen of deze het beoogde effect daadwerkelijk heeft opgeleverd. Ook wordt het vaststellen van risico's en kansen soms overgelaten aan een kwaliteitsfunctionaris die op eigen initiatief een risicomatrix samenstelt, terwijl dit een strategische afweging is die bij de directie hoort.
Risico's kunnen positief of negatief uitpakken. Is het effect negatief, dan spreken we van een bedreiging en is het effect positief, dan is er sprake van een kans. Dit onderscheid is niet vastomlijnd, want dezelfde ontwikkeling kan voor de ene organisatie een kans zijn en voor de andere een bedreiging, afhankelijk van de interne context. In de praktijk zijn organisaties beter in het benoemen van bedreigingen dan van kansen, terwijl beide expliciet aandacht verdienen.
Het vaststellen van kansen en risico's is pas de eerste stap. Vervolgens moet worden bepaald welke acties prioriteit krijgen, want niet alles kan tegelijk worden opgepakt. Het is verstandiger om een beperkt aantal risico's of kansen te selecteren, daar concrete acties aan te koppelen, een eigenaar te benoemen en de voortgang te monitoren. Bepalend is niet of een actie is afgerond, maar of deze het beoogde effect heeft.
Het vaststellen van kansen en risico's staat niet op zichzelf, maar is onderdeel van de beleidscyclus en begint bij de contextanalyse en de stakeholdersanalyse. Dit proces speelt zich af op strategisch niveau en is een verantwoordelijkheid van de directie, niet van een kwaliteitsfunctionaris die op eigen initiatief een risicomatrix samenstelt. Actiegericht werken vanuit de beleidscyclus betekent ook dat regelmatig wordt teruggekoppeld of lopende acties daadwerkelijk bijdragen aan de doelstellingen.
QMSS helpt u om risico's en kansen te vertalen naar een beperkt aantal gerichte acties, zodat u stuurt op effectiviteit.
Concrete voorbeelden laten zien hoe het oppakken van risico's en kansen terugkomt in dagelijkse keuzes, processen en verbeteringen.
De onzekerheid rond het stikstofbeleid raakte vooral bouw- en infrabedrijven die afhankelijk zijn van omgevingsvergunningen. Voor organisaties die sterk op nieuwbouw waren gericht, vormde de vertraagde vergunningverlening een directe bedreiging: projectontwikkeling kwam stil te liggen zonder dat de organisatie daar invloed op had. Diezelfde ontwikkeling bood echter ook een kans, omdat de verbouw- en onderhoudsmarkt minder afhankelijk is van vergunningstrajecten. Organisaties die deze kans tijdig oppakten, verlegden hun focus en bouwden een nieuwe orderportefeuille op voordat de gevolgen van de onzekerheid zich volledig hadden voltrokken.
Een vergrijzend personeelsbestand vormt een bedreiging wanneer kennis over klanten en processen verdwijnt op het moment dat ervaren medewerkers met pensioen gaan. Diezelfde situatie biedt echter een kans om de organisatie structureel minder afhankelijk te maken van individuele personen. Door tijdig te investeren in overdrachtstrajecten, procesdocumentatie en duo-functies, wordt kennis geborgd en wordt de organisatie flexibeler. Bedrijven die deze actie pas oppakken wanneer het vertrek van medewerkers al is aangekondigd, hebben aanzienlijk minder ruimte om de overdracht zorgvuldig te laten verlopen.
Klimaatverandering raakt sectoren op uiteenlopende wijze en werkt vaak door de hele keten heen. Een minder goede oogst door extreem weer kan bijvoorbeeld leiden tot lagere investeringen bij agrarische bedrijven, met gevolgen voor toeleveranciers en dienstverleners verderop in de keten. Voor die partijen is dit in eerste instantie een bedreiging. Organisaties die deze ketenrisico's vroegtijdig in kaart brengen, ontdekken echter ook waar kansen liggen, bijvoorbeeld in advies- of dienstverlening gericht op klimaatbestendige oplossingen. Wie hierop als eerste een aanbod ontwikkelt, zet een strategische stap voordat concurrenten dezelfde beweging maken.
De opkomst van AI is voor de ene organisatie een kans en voor de andere een bedreiging, afhankelijk van investeringsruimte en veranderbereidheid. Waar medewerkers open staan voor nieuwe werkwijzen en er budget is om te experimenteren, kan AI processen versnellen en kosten verlagen. Ontbreekt die ruimte, dan dreigt de organisatie achterop te raken bij concurrenten die wel investeren. Het risico is dus niet de technologie zelf, maar het ontbreken van een tijdige en weloverwogen keuze om er iets mee te doen.
Bekijk welke andere normelementen binnen hetzelfde hoofdstuk of thema aansluiten op dit onderwerp. Zo ziet u hoe de verschillende onderdelen met elkaar samenhangen en waar verdere verdieping relevant is.
ISO 9001 vraagt organisaties om op basis van de contextanalyse en de stakeholdersanalyse risico's en kansen vast te stellen en daar acties op te richten. De directie moet hierin keuzes maken, prioriteiten stellen en bewaken of de acties daadwerkelijk bijdragen aan de strategische richting van de organisatie.
Nee. Een risico kan positief of negatief uitpakken. Is het effect negatief, dan spreken we van een bedreiging en is het effect positief, dan is er sprake van een kans. Dezelfde ontwikkeling kan voor de ene organisatie een kans zijn en voor de andere een bedreiging, afhankelijk van de interne context.
De norm schrijft geen aantal voor, maar de praktijk leert dat een beperkt aantal beter werkt dan een lange lijst. Wanneer te veel acties naast elkaar worden uitgezet, wordt alles belangrijk gemaakt en daarmee feitelijk niets meer. Twee of drie prioritaire risico's of kansen, met een eigenaar en gemonitorde voortgang, leveren meestal meer op.
Dit proces speelt zich af op strategisch niveau en is daarmee een verantwoordelijkheid van de directie, niet van een kwaliteitsfunctionaris die op eigen initiatief een risicomatrix samenstelt. Een risicomatrix kan behulpzaam zijn als hulpmiddel, maar vervangt de strategische afweging niet die bij de directie hoort.
Niet door alleen te toetsen of de actie is afgerond, maar door te beoordelen of deze het beoogde effect daadwerkelijk heeft opgeleverd. Blijkt dat niet het geval, dan moet de actie worden bijgesteld of aangevuld, zodat de aandacht gericht blijft op het resultaat in plaats van op de afvinklijst.
Met een interne audit krijgt u helder inzicht in de werking van uw kwaliteitsmanagementsysteem. QMSS kijkt graag met u mee en vertaal bevindingen naar concrete verbeterpunten die u direct kunt opvolgen.
