Hoe maak je een risico-register voor ISO 9001?

Jan Willem de Boer

Redacteur ISO & Kwaliteitsmanagement

Een risico-register voor ISO 9001 is geen doel op zich; het is je vangnet. Je maakt een simpele lijst met wat er mis kan gaan, wat je eraan doet en wie dat regelt. Hou het pragmatisch: vandaag beginnen, morgen gebruiken. Geen eindeloze analyses, maar actie die je kwaliteit beschermt.

Waarom een risico-register je helpt (en niet alleen voor de auditor)

ISO 9001 vraagt om risicodenken, maar de echte winst zit in je dagelijks werk. Een register geeft je focus. Je ziet sneller wat je aandacht nodig heeft en voorkomt dat problemen terugkomen. Het is geen bewijslast voor de auditor; het is je geheugensteun voor slimme keuzes.

Veel teams beginnen met een ingewikkelde matrix. Doe het niet. Begin met twee vragen: wat kan er misgaan, en wat doen we ertegen? De rest volgt vanzelf. De kracht zit in herhaling: elke week even kijken, bespreken en bijwerken.

Stap 1: Verzamel de juiste input

• Processen: waar zitten knelpunten? Denk aan levertijden, afkeur, wisselende mensen.
• Klanten: wat klagen ze? Welke eisen missen we weleens?
• Leveranciers: wie levert traag of wisselend?
• Interne fouten: eerste 10 klachten van dit jaar.
• Wijzigingen: nieuwe producten, nieuwe software, nieuwe regels.

Tip: vraag je team om drie concrete risico’s te noemen die ze deze maand hebben gezien. Daar begin je mee. Niets meer en niets minder.

Bouw je register op: vaste kolommen die werken

Hou het simpel. Te veel kolommen betekent dat je het niet bijhoudt. Kies voor een tabel die je in vijf minuten kunt bijwerken. Elk risico krijgt een eigen regel.

1. Risico: omschrijf in één zin wat er mis kan. Voorbeeld: "De klantenservice is niet bereikbaar op maandagochtend."
2. Oorzaak: waarom gebeurt het? "Te weinig personeel door ziekte."
3. Gevolg: wat merkt de klant of het proces? "Lange wachttijden, klachten."
4. Kans: hoe waarschijnlijk? (1 = zelden, 5 = vaak). Schat in, geen wiskunde.
5. Impact: hoe groot is de schade? (1 = klein, 5 = groot). Ook inschatten.
6. Score: kans × impact. Hou het eenvoudig.
7. Maatregel: wat ga je nú doen? "Extra collega inplannen op maandag."
8. Verantwoordelijke: naam, niet een afdeling.
9. Deadline: datum.
10. Status: open, in uitvoering, gesloten, heropening.
11. Controledatum: wanneer check je of het werkt?

Gebruik een Excel, Google Sheet of een simpele tool in je kwaliteitssoftware. Zolang je het bijhoudt, is het goed.

Stap 2: Kies je focus (niet alles is even belangrijk)

Je kunt niet alles oplossen. Sorteer op score (kans × impact) en pak de bovenste vijf. Die bespreek je wekelijks. De rest volgt later. Wees eerlijk: sommige risico’s accepteer je gewoon, omdat de moeite hoger is dan de baten.

Gebruik een eenvoudige kleurcode:

• Rood: score 15+, direct actie.
• Oranje: score 8–14, binnen twee weken oppakken.
• Groen: score lager, monitoren.

Stap 3: Maatregelen die echt werken

Schrijf maatregelen die je direct kunt uitvoeren. Vermijd vage plannen als "we gaan het beter communiceren". Kies voor:

• Een extra check in het proces.
• Een standaard sjabloon.
• Een training van een uur, niet een dag.
• Een waarschuwing in de software.

Elke maatregel moet een eigenaar en een datum hebben. Zonder datum gebeurt er niets. En vraag je af: lost dit het echt op, of verplaatsen we het probleem?

Stap 4: monitoren, evalueren en bijstellen

Plan een korte check in je teamoverleg. Vijf minuten: wat is nieuw, wat is dicht, wat loopt vast? Sluit een risico pas als je ziet dat het twee maanden goed gaat. En: als het terugkomt, open het dan weer. Geen schande.

Gebruik de PDCA-cirkel als het nodig is, maar hou het luchtig. Plan-Do-Check-Act is een denkmodel, geen straf. Je bouwt een gewoonte: risico’s zien, oppakken, controleren.

ISO 9001: koppel het register slim aan je processen

ISO 9001 (hoofdstuk 6.1) vraagt om risicodenken bij je processen en je kwaliteitsdoelen. Koppel je register aan:

• Processen: elk proces krijgt één of meerdere risico’s.
• Doelen: welke risico’s bedreigen je doelen? Leg dat vast.
• Wijzigingen: voeg een risico toe bij elke wijziging.

Voor de audit: laat zien dat je het gebruikt. Laat een logboek zien van toegevoegde risico’s, genomen maatregelen en de datum waarop je controleerde of het werkte. Geen mooi verhaal, maar een levend register.

Uitzonderingen en veelgemaakte fouten

• Te veel risico’s: je hoeft niet elk denkbaar ding op te nemen. Focus op wat echt pijn doet.
• Te complex: geen FMEA als het niet nodig is. Simpel werkt beter.
• Vergeten te delen: het register moet voor iedereen zichtbaar zijn.
• Geen eigenaren: zonder naam blijft het een wenslijst.
• Alleen voor de audit: als je het alleen bijwerkt voor de auditor, mis je de waarde.

En ja, sommige risico’s zijn onzeker. Schat ze in met je gezonde verstand. Liever een inschatting die je bijsturt dan een wachtende analyse.

Een register dat in de la ligt, is dode moeite. Een register dat leeft, is je stille kracht.

Praktische tip: start met drie regels

Pak vandaag nog een leeg blad. Schrijf drie risico’s op die je deze week al ziet. Vul de kolommen kans, impact, maatregel, eigenaar en datum in. Plan een check voor volgende week. Klaar. Als je die drie regels bijhoudt, bouw je vanzelf een ritme en een effectief register.