9001:2015, risikobasierender Ansatz

[RalfAb]

#25250

Hallo zusammen,

langsam darf/muss ich mich auch mit der Umsetzung der 2015-Version beschäftigen.
7-Siegel hat für mich noch der Punkt 6.1 „Maßnahmen zum Umgang mit Risiken und Chancen.“
Eigentlich braucht man nichts zu dokumentieren,. nachweisen sollte man aber trotzdem etwas ?!!?
Wie geht ihr mit diesem Punkt um ? Gibt es Beispiele ? – ich habe bisher im Netz noch nichts (für mich ;->) erhellendes gefunden. Mir fehlt da noch die Erleuchtung – auch wenn grade die Sonne ins Büro lacht (ich sollte meinen Arbeitsplatz nach draußen verlagern…).

Ralf

[evereve99]

#63335

Hallo RalfAb,

kurz 2, 3 Halbsätze darüber, was so bei euch im Betrieb gemacht wird?

Gruß

Evereve99

„Finden wir eine Kompromisslösung – machen wir es so, wie ich es sage.“

Sergei Pawlowitsch Koroljow
Chefkonstrukteur des Sowjetischen Raketenbauprogramms

[RalfAb]

#63337

Hey,

wir sind ein metallverarbeitender Betrieb und stellen u.a. Anschlagmittel her. Ein Standort und ca. 200 Mitarbeiter. Im Rahmen der EU-Maschinenrichtlinie haben wir natürlich Risikoanalysen durchgeführt – aber das wird hier ja nicht gefragt !?!?
Hilft das weiter ?

Ralf

[Rainaari]

#63342

Hallo Ralf,

ich denke, die 6.1 bezieht sich auf Risikan und Chancen für den Geschäftsprozeß insgesamt. Wie entwickelt sich der Markt, was machen Mitbewerber, sind gesetzliche / regulatorische Anforderungen am Horizont zu erkennen, die euch betreffen… und welche Strategien habt ihr ggf. dazu in petto?

Ich würds machen wie von Evereve99 vorgeschlagen, 2-3 Sätze der Geschäftsführung und gut is.

–Rainaari

[donald6556]

#63343

Hallo RalfAB,
es kommt auf Eure Prozesse an, wenn Ihr in der Firma Schlüsselprozesse habt,
die mit einem Risiko behaftet sein können aus dem Prozess an sich heraus, kann ein Meeting mit dem Prozesseigner und dem Prozessteam helfen, sich mit Hilfe des „Turtle Sheets“ mit dem Prozess auseinanderzusetzen und eine Risikomatrix für diesen betrachteten Prozess zu erstellen .
Danach kann eine Gesamtbetrachtung bzw. Beurteilung unter den dadurch festgestellten Gesichtspunkten erfolgen.
Die Risiken für allgemeine Geschäftsrisiken , die finanzielle Auswirkungen auf den Geschäftsbetrieb haben und eventuell durch Versicherungen abgedeckt werden können, sind dann allerdings Aufgabe der Geschäftsleitung.

Gruß Donald 6556

[Frank_Hergt]

#63351

Hallo Ralf!

Ich würde mit ganz grundlegenden Sachen anfangen:

– Wie ist euer Rechenzentrum abgesichert?
– Wie oft werden Backups gezogen und wie feuersicher aufbewahrt?
– Was taugt der Brandschutz.? Gibt es eine Leitung zur Feuerwehr?
– Versicherungen gegen Forderungsausfälle?
– Eigenkapitalquote?

Also alles Punkte, die Euch innerhalb von Tagen die ganze Firma kosten können. Dir fällt sicher noch mehr ein. Die Zusammenarbeit mit dem Controlling (so vorhanden…) ist da auch interessant. Wenn mir bei einem Audit auf solche Fragen saubere Antworten gegeben werden, bin ich‘ schon zufrieden.

Schöne Grüße

Frank

„and pray that there’s intelligent life somewhere up in space,
‚cause there’s bugger all down here on earth!“ (Monty Pythons / Galaxy Song)

[evereve99]

#63352

Hallo Ralf,

ich bin da mit Frank auf der gleichen Denklinie.
Wo bezieht ihr Rohstoffe und Material?
Gibt es da Alternativlieferanten, falls dem einzigen, der kritische Sachen liefert, die Halle abbrennt?
Was, wenn euch die Halle abbrennt?
Habt ihr Altenativen zu wichtigen Produktionsanlagen oder Maschinen?
Bei Totalverlust eurer IT: Wann seid ihr wieder handlungsfähig?

Mal so einige Beispiele.

Die Norm sagt „Risiken bestimmen, die behandelt werden müssen“.
IHR legt eure Themen fest, und natürlich welche, die für euch relevant sind.

Gruß

Evereve99

„Finden wir eine Kompromisslösung – machen wir es so, wie ich es sage.“

Sergei Pawlowitsch Koroljow
Chefkonstrukteur des Sowjetischen Raketenbauprogramms

[donald6556]

#63355

Hallo Ralf,
zum Thema Ausfall der IT , sollten nicht nur die allgemeinen IT Relevanten Szenarien wie
-ein Notfallmanagement
-ein Eskalations Management
-ein Business Kontinuitäts Regelwerk für die IT d.h. wie lange wird gebraucht den Betrieb wieder auf die „IT Beine“ zu stellen?
Was ist dafür erforderlich zu tun?
Wie hoch ist die Eintrittswahrscheinlichkeit eines solches Risikos?
Welche Vorsorgemaßnahmen könnt Ihr treffen ?
Wie z.B. bei erheblich wichtigen Daten /Geschäftsprozessen ist ein eventuell bestehendes Risiko mit einem Ausfallrechenzentrum oder der Auslagerung in ein solches mit Daten , zu minimieren ?

sondern diese auch in Beziehung zu den Geschäftsrelevanten Prozessen gesetzt werden.

Gruß donald6556

donald6556

[Frank_Hergt]

#63358

Hallo Donald!

Das ist leider oft sehr einfach. Wenn bei uns die IT ausfällt, steht der GANZE Prozeß „Ware fertigen und an Kunden liefern“ mit allen Anhängseln. Sofort. Komplett.
Die Entwickler leben vielleicht noch ein paar Stunden länger…

Schöne Grüße

Frank

„and pray that there’s intelligent life somewhere up in space,
‚cause there’s bugger all down here on earth!“ (Monty Pythons / Galaxy Song)

[qualyman]

#63359

Hallo an alle „Risiko-Gefährdeten“!

Habe schon folgende Fragen von einem Zert-Auditor (Automotive) zum Thema „Risiko“ gestellt bekommen:
– Was passiert mit der Produktion bei einem Erdbeben?
– ….und was, wenn ein Flugzeug direkt auf das Unternehmen abstürzt?
-….und was, wenn der Rhein Hochwasser hat und die Produktion flutet?

Da könnte man doch noch glatt die Frage stellen:
„Was machen Sie, wenn das 5 Km entfernte AKW einen Supergau hat?“

Wie weit sollte man mit den Risiko-Gefahren denn überhaupt ausholen?
– Häufigkeit bereits aufgetretener Gefahren in der Umgebung oder weiterem Umfeld?
– Wahrscheinlichkeit des Auftretens?

Ganz nebenbei: uns ist wirklich einmal ein Lieferant von wichtigen Bauteilen wegen einem Erdbeben in Kobe/Japan ausgefallen. Kein Alternativ-Lieferant vorhanden, 8 Wochen kein Material bekommen, etliche Tausend DM an Kunden wegen Produktionsausfall zahlen müssen.

Wie soll man so was mit einem „risikobasierten Ansatz“ deckeln?

Gute Zeit!

Qualyman – Ex-Qualitäter aus Überzeugung und Leidenschaft, auch wenn´s mal Leiden schafft!

info ad quality minus first dot de

[evereve99]

#63361

Hallo Qualyman,
hier meine Antworten:
„- Was passiert mit der Produktion bei einem Erdbeben?“ Kaputt!
„- ….und was, wenn ein Flugzeug direkt auf das Unternehmen abstürzt?“ Platt
-….und was, wenn der Rhein Hochwasser hat und die Produktion flutet? Nass.

„- Häufigkeit bereits aufgetretener Gefahren in der Umgebung oder weiterem Umfeld?“
Selbst wenn du da Informationen zu findest. Was nutzt dir das (außer vielleicht bei dem Hochwasser, wo man theoretisch noch Zeit zum reagieren hätte)?
Ein Kollege hat mir mal gesagt, als ich ihn beim anstreichen aufforderte, doch bitte statt der Biertischgarnitur eine Leiter zu benutzen:“ Da passiert nichts, ich mache das seit 10 Jahren so.“ Wirklich? Oder startet die Uhr nicht jeden Tag neu bei Null?
„- Wahrscheinlichkeit des Auftretens?“ Wie willst du das denn realistisch beurteilen?

„Ganz nebenbei: uns ist wirklich einmal ein Lieferant von wichtigen Bauteilen wegen einem Erdbeben in Kobe/Japan ausgefallen. Kein Alternativ-Lieferant vorhanden, 8 Wochen kein Material bekommen, etliche Tausend DM an Kunden wegen Produktionsausfall zahlen müssen.
Wie soll man so was mit einem „risikobasierten Ansatz“ deckeln?“
Das wäre doch lösbar gewesen – in dem man einen Alternativlieferanten gekannt hätte.
Zusammengefasst: Was nutzt es, theoretische Eintrittswahrscheinlichkeiten zusammen zu klöppeln, die auf gefühlten Schätzwerten oder Kaffesatzleserei basieren?
Hat man nicht mehr davon, sich für wirklich kritische Situationen vorzubereiten, die man dann lösen kann, wenn sie eintreten – unabhängig davon, wie wahrscheinlich dass denn bitte angeblich gewesen sein soll, dass es passiert?

Gruß

Evereve99

„Finden wir eine Kompromisslösung – machen wir es so, wie ich es sage.“

Sergei Pawlowitsch Koroljow
Chefkonstrukteur des Sowjetischen Raketenbauprogramms

[donald6556]

#63369

Hallo zusammen,
das Risiko für den Geschäftsbetrieb oder die Kern – oder Schlüsselprozesse zu analysieren ist nicht die Aufgabe des QMB /Qualitätsmanagers alleine, sondern ist eine Aufgabe der Geschäftsführung in Zusammenarbeit mit dem entsprechenden Prozessverantwortlichen gemeinsam.
Eine Eintrittswahrscheinlichkeit und ~Häufigkeit und der entsprechenden daraus resultierenden Risiken und deren Absicherung ( sei es finanziell , was man u. Umständen auch durch verschieden Versicherungen (Betriebshaftpflicht; Cybercrime gegen Internetkriminalität; Ausfallversicherung geben finanziellen Verlust bei Komplettausfall der IT und Regressansprüchen der Kunden etc.) um nur ein paar Beispiele zu nennen, bilden nur den Anfang einer Maßnahme liste gegen mögliche Risiken. Als Beispiel für eine Risikomaßnahme bei IT Ausfall ist z.B.Daten in ein Ausfallrechenzentrum zu geben etc.

Es kommt also immer darauf an, was ich betrachte und inwieweit man von einer groben Risikomatrix zu einer detaillierten Risikoanalyse mit daraus resultierenden Folgemaßnahmen kommen kann, die Aufwände dafür, sind unterschiedlich.

Gruß
Donald 6556

donald6556

[Autor]

Beiträge