Kwaliteitsmanagement D-cluster samenvatting
Hoofdstuk 4 managementsystemen: compliance en duurzaamheid
4.1 High level structure
Managementsystemen zijn ontwikkeld om aspecten in organisaties te beheersen en te
borgen. Het eerste aspect was ‘kwaliteit’, later gevolgd door milieu, arbeidsomstandigheden,
informatiebeveiliging, businesscontinuïteit, compliancemanagement, risicomanagement
enzovoort.
Deze normen werden op verschillende momenten en door verschillende commissies
ontwikkeld en kregen daardoor vaak een andere structuur.
In 2012 heeft de ISO-organisatie het plug-in-model en de high-level-structure ontwikkeld om
alle managementsysteemnormen te harmoniseren.
De high level structure HLS bevat de kernelementen die gelden voor alle
managementsysteemnormen. Deze elementen en systemen sluiten dus beter aan bij de
besturingsmodellen die in organisaties gangbaar zijn.
De nieuwe generatie ISO-normen voor managementsystemen is dus uniform opgebouwd
conform de HLS-structuur. Deze structuur bestaat uit de volgende kernhoofdstukken:
1. Onderwerp en toepassingsgebied
2. Normatieve verwijzingen
3. Termen en definities
4. Context van de organisatie
5. Leiderschap
6. Planning
7. Ondersteuning
8. Uitvoering
9. Monitoren, meten, analyseren en evalueren
10. Verbetering
4.2 omgaan met risico’s
4.2.1 Risico’s
Definitie: Een risico is een combinatie van de waarschijnlijkheid dat een gebeurtenis zich zal
voltrekken en de consequenties daarvan.
Interne en externe risico’s
Financiële risico’s zijn bijvoorbeeld rente- en
valutaschommelingen die extern worden bepaald.
Voorbeelden van externe strategische risico’s zijn
onverwachte ontwikkelingen bij de concurrentie, in
de technologie of in de klantenwensen. Interne
strategische risico’s zijn bijvoorbeeld fusies en
overnames en productontwikkeling. Wijzigingen in
wet- en regelgeving of een vastgeroeste
bedrijfscultuur kunnen worden beschouwd als
operationele risico’s. In het kwadrant rechtsonder
vinden we incidentele risico’s die ernstige schade
aan de continuïteit van de organisatie kunnen
toebrengen.
Risicoanalyse
,Het analyseren van mogelijke dreiging of ongewenste gebeurtenissen is een belangrijke
eerste stap in het beheersen van risico’s. Voor elk risico worden de kans van het optreden en
de ernst van het effect ervan bepaald, bijvoorbeeld op een schaal van 1 tot 5. Door kans en
effect met elkaar te vermenigvuldigen, ontstaat een prioriteitsvolgorde (RPN = Risk Priority
Number). Kijk naar figuur 4.4 op blz. 153
Risicomatrix
Een risicomatrix (figuur 4.5 op blz 154) is ook handig om risico’s te ordenen op basis van kans
van het optreden en ernst van het effect. De kritieke risico’s zijn die met een grote kans op
optreden en een groot effect als ze optreden. Significante risico’s hebben of een hoge kans
van optreden of een groot effect.
Als een risicovolle gebeurtenis toch optreedt en tot ernstige verstoringen dreigt te leiden
dan is het zaak de gevolgen zo veel mogelijk te beperken: confirm, control, contain &
communicatie (blz. 155)
4.2.2 Risicogestuurd werken
Het risicoproces bestaat uit een aantal generieke stappen die cyclisch worden doorlopen:
1. Context bepalen, doelen stellen
2. Risico’s identificeren
3. Risico’s analyseren
4. Risico’s beheersen
5. Resultaten monitoren
6. Communiceren
ISO 31000: ziet waardecreatie en -bescherming als ultiem doel van risicomanagement.
COSO: het model richt zich vooral op interne risicobeheersing en compliance met wet en
regelgeving.
RISMAN: de methode is ontwikkeld voor risicomanagement in projecten en programma’s.
4.2.3 Risicobenadering in managementsystemen (Kijk keer blz. 156)
4.3 Voorbeelden van managementsysteemnormen
4.3.1 Normen, richtlijnen, certificatie en accreditatie
Normen en richtlijnen: een norm wordt gedefinieerd als een document met erkende
afspraken, specificaties of criteria over een product, dienst of methode.
Certificatie: houdt in dat een onafhankelijke certificatie-instelling vaststelt of het
managementsysteem aan alle normeisen voldoet en de klant erop mag vertrouwen dat hij
zal krijgen wat gevraagd wordt.
Accreditatie: de onafhankelijkheid en kundigheid van de CI worden geborgd door een, door
de overheid ingestelde, accreditatieinstelling. In Nederland is dat de Raad voor Accreditatie
(RvA).
4.3.2 ISO 9001: eisen aan kwaliteitsmanagementsystemen
De ISO-managementsysteemnormen vinden hun oorsprong in de militaire industrie. De
Noord-Atlantische Verdragsorganisatie (NAVO) heeft eind jaren vijftig van de vorige eeuw
kwaliteitsnormen ontwikkeld voor haar leveranciers om de juiste productkwaliteit te borgen.
Deze eisen werden vastgelegd in zogenaamde Allied Quality Assurance Publications
(AQAP’s).
In 1979 werd binnen de Internationale Organisatie voor Standaardisatie (ISO) een commissie
geformeerd om vanuit bestaande normen een wereldwijd geaccepteerde norm te maken
voor kwaliteitsmanagementsystemen.
De ISO 9001:1987 omvatte het gehele primaire voortbrengingsproces: ontwikkeling, inkoop,
productie, verkoop, distributie en nazorg.
, Kwaliteitsmanagementprincipes
De ISO 9001:2015 is gebaseerd op zeven kwaliteitsmanagementprincipes die het
management dient uit te dragen. De zeven principes zijn te verdelen in cultuurprincipes (1 t/
m 4) en structuurprincipes (5 t/m 7):
1. Klantgerichtheid
2. Leiderschap
3. Medewerkers betrekken
4. Relatiemanagement
5. Procesbenadering
6. Continue verbetering
7. Besluitvorming op basis van feiten
4.3.3 ISO 9004: richtlijnen om duurzaam succes te behalen
ISO 9004:2018 is een richtlijn die adviezen geeft voor het vergroten van het vermogen van
een organisatie om duurzaam succes te behalen. Deze adviezen sluiten aan op de
kwaliteitsmanagementprincipes waarop de ISO 9001:2015 gebaseerd is.
4.3.4 ISO 14001: eisen aan milieumanagementsystemen
Na de ontwikkeling van ISO 9001 voor kwaliteit werd in 1996 ISO 14001 gepubliceerd voor
het aspect milieu. Deze certificeerbare norm was van begin af aan al gebaseerd op de PDCA-
structuur, maar is in 2015 aangepast aan de HLS.
ISO 14001 stelt de volgende eisen aan de resultaten van het managementsysteem:
- continue verbetering van de prestaties en het beschermen van het milieu
- beheersing van de milieurisico’s als gevolg van de activiteiten van de organisatie
- minimaal voldoen aan de van toepassing zijnde wettelijke eisen
4.3.5 ISO 45001: eisen aan managementsystemen voor gezond en veilig werken
Het onderwerp van het managementsysteem ISO 45001 is de gezondheid en veiligheid van
de medewerkers, in Nederland ook wel arbeidsomstandigheden (arbo) genoemd. Het heeft
lang geduurd voordat deze ISO-norm ontwikkeld is.
4.3.6 ISO 22000: eisen aan managementsystemen voor voedselveiligheid
Het onderwerp van de ISO 22000 is voedselveiligheid en is gericht op de consument. Deze
certificeerbare norm is specifiek ontwikkeld voor de voedingsmiddelenindustrie, waar
voedselveiligheid een basisvoorwaarde is. De eerste versie werd gepubliceerd in 2005.
In 1995 werd in Europa wetgeving ingevoerd waardoor producenten, verkopers en bereiders
van voedingsmiddelen hun grondstoffen, producten en processen moesten analyseren op
mogelijke chemische, microbiologische en fysische besmettingsgevaren die de gezondheid
van de consument in gevaar konden brengen. De methode voor een dergelijke
gevarenanalyse wordt HACCP genoemd. Deze afkorting staat voor Hazard Analyses and
Critical Control Points.
Naast voedselveiligheid richt de norm zich ook op voedselfraude en food defence, het
nemen van maatregelen om opzettelijke besmetting van voedsel te voorkomen.
4.3.7 NEN-EN 15224 (ISO 9001:2015 voor zorg en welzijn) en HKZ
Ook in de zorgsector zijn eigen normen ontwikkeld. In Nederland is er de HKZ-norm en
internationaal de NEN-EN 15224. Deze laatste norm bevat dezelfde eisen als de ISO
9001:2015, aangevuld met specifieke eisen voor de sectoren zorg en welzijn.
4.3.8 ISO 27001: 2017 eisen aan managementsystemen voor informatiebeveiliging
Het belang van informatiebeveiliging neemt dagelijks toe. De ISO 27001 beschrijft hoe een
organisatie met het beveiligen van informatie om kan gaan, met als doel om de
Hoofdstuk 4 managementsystemen: compliance en duurzaamheid
4.1 High level structure
Managementsystemen zijn ontwikkeld om aspecten in organisaties te beheersen en te
borgen. Het eerste aspect was ‘kwaliteit’, later gevolgd door milieu, arbeidsomstandigheden,
informatiebeveiliging, businesscontinuïteit, compliancemanagement, risicomanagement
enzovoort.
Deze normen werden op verschillende momenten en door verschillende commissies
ontwikkeld en kregen daardoor vaak een andere structuur.
In 2012 heeft de ISO-organisatie het plug-in-model en de high-level-structure ontwikkeld om
alle managementsysteemnormen te harmoniseren.
De high level structure HLS bevat de kernelementen die gelden voor alle
managementsysteemnormen. Deze elementen en systemen sluiten dus beter aan bij de
besturingsmodellen die in organisaties gangbaar zijn.
De nieuwe generatie ISO-normen voor managementsystemen is dus uniform opgebouwd
conform de HLS-structuur. Deze structuur bestaat uit de volgende kernhoofdstukken:
1. Onderwerp en toepassingsgebied
2. Normatieve verwijzingen
3. Termen en definities
4. Context van de organisatie
5. Leiderschap
6. Planning
7. Ondersteuning
8. Uitvoering
9. Monitoren, meten, analyseren en evalueren
10. Verbetering
4.2 omgaan met risico’s
4.2.1 Risico’s
Definitie: Een risico is een combinatie van de waarschijnlijkheid dat een gebeurtenis zich zal
voltrekken en de consequenties daarvan.
Interne en externe risico’s
Financiële risico’s zijn bijvoorbeeld rente- en
valutaschommelingen die extern worden bepaald.
Voorbeelden van externe strategische risico’s zijn
onverwachte ontwikkelingen bij de concurrentie, in
de technologie of in de klantenwensen. Interne
strategische risico’s zijn bijvoorbeeld fusies en
overnames en productontwikkeling. Wijzigingen in
wet- en regelgeving of een vastgeroeste
bedrijfscultuur kunnen worden beschouwd als
operationele risico’s. In het kwadrant rechtsonder
vinden we incidentele risico’s die ernstige schade
aan de continuïteit van de organisatie kunnen
toebrengen.
Risicoanalyse
,Het analyseren van mogelijke dreiging of ongewenste gebeurtenissen is een belangrijke
eerste stap in het beheersen van risico’s. Voor elk risico worden de kans van het optreden en
de ernst van het effect ervan bepaald, bijvoorbeeld op een schaal van 1 tot 5. Door kans en
effect met elkaar te vermenigvuldigen, ontstaat een prioriteitsvolgorde (RPN = Risk Priority
Number). Kijk naar figuur 4.4 op blz. 153
Risicomatrix
Een risicomatrix (figuur 4.5 op blz 154) is ook handig om risico’s te ordenen op basis van kans
van het optreden en ernst van het effect. De kritieke risico’s zijn die met een grote kans op
optreden en een groot effect als ze optreden. Significante risico’s hebben of een hoge kans
van optreden of een groot effect.
Als een risicovolle gebeurtenis toch optreedt en tot ernstige verstoringen dreigt te leiden
dan is het zaak de gevolgen zo veel mogelijk te beperken: confirm, control, contain &
communicatie (blz. 155)
4.2.2 Risicogestuurd werken
Het risicoproces bestaat uit een aantal generieke stappen die cyclisch worden doorlopen:
1. Context bepalen, doelen stellen
2. Risico’s identificeren
3. Risico’s analyseren
4. Risico’s beheersen
5. Resultaten monitoren
6. Communiceren
ISO 31000: ziet waardecreatie en -bescherming als ultiem doel van risicomanagement.
COSO: het model richt zich vooral op interne risicobeheersing en compliance met wet en
regelgeving.
RISMAN: de methode is ontwikkeld voor risicomanagement in projecten en programma’s.
4.2.3 Risicobenadering in managementsystemen (Kijk keer blz. 156)
4.3 Voorbeelden van managementsysteemnormen
4.3.1 Normen, richtlijnen, certificatie en accreditatie
Normen en richtlijnen: een norm wordt gedefinieerd als een document met erkende
afspraken, specificaties of criteria over een product, dienst of methode.
Certificatie: houdt in dat een onafhankelijke certificatie-instelling vaststelt of het
managementsysteem aan alle normeisen voldoet en de klant erop mag vertrouwen dat hij
zal krijgen wat gevraagd wordt.
Accreditatie: de onafhankelijkheid en kundigheid van de CI worden geborgd door een, door
de overheid ingestelde, accreditatieinstelling. In Nederland is dat de Raad voor Accreditatie
(RvA).
4.3.2 ISO 9001: eisen aan kwaliteitsmanagementsystemen
De ISO-managementsysteemnormen vinden hun oorsprong in de militaire industrie. De
Noord-Atlantische Verdragsorganisatie (NAVO) heeft eind jaren vijftig van de vorige eeuw
kwaliteitsnormen ontwikkeld voor haar leveranciers om de juiste productkwaliteit te borgen.
Deze eisen werden vastgelegd in zogenaamde Allied Quality Assurance Publications
(AQAP’s).
In 1979 werd binnen de Internationale Organisatie voor Standaardisatie (ISO) een commissie
geformeerd om vanuit bestaande normen een wereldwijd geaccepteerde norm te maken
voor kwaliteitsmanagementsystemen.
De ISO 9001:1987 omvatte het gehele primaire voortbrengingsproces: ontwikkeling, inkoop,
productie, verkoop, distributie en nazorg.
, Kwaliteitsmanagementprincipes
De ISO 9001:2015 is gebaseerd op zeven kwaliteitsmanagementprincipes die het
management dient uit te dragen. De zeven principes zijn te verdelen in cultuurprincipes (1 t/
m 4) en structuurprincipes (5 t/m 7):
1. Klantgerichtheid
2. Leiderschap
3. Medewerkers betrekken
4. Relatiemanagement
5. Procesbenadering
6. Continue verbetering
7. Besluitvorming op basis van feiten
4.3.3 ISO 9004: richtlijnen om duurzaam succes te behalen
ISO 9004:2018 is een richtlijn die adviezen geeft voor het vergroten van het vermogen van
een organisatie om duurzaam succes te behalen. Deze adviezen sluiten aan op de
kwaliteitsmanagementprincipes waarop de ISO 9001:2015 gebaseerd is.
4.3.4 ISO 14001: eisen aan milieumanagementsystemen
Na de ontwikkeling van ISO 9001 voor kwaliteit werd in 1996 ISO 14001 gepubliceerd voor
het aspect milieu. Deze certificeerbare norm was van begin af aan al gebaseerd op de PDCA-
structuur, maar is in 2015 aangepast aan de HLS.
ISO 14001 stelt de volgende eisen aan de resultaten van het managementsysteem:
- continue verbetering van de prestaties en het beschermen van het milieu
- beheersing van de milieurisico’s als gevolg van de activiteiten van de organisatie
- minimaal voldoen aan de van toepassing zijnde wettelijke eisen
4.3.5 ISO 45001: eisen aan managementsystemen voor gezond en veilig werken
Het onderwerp van het managementsysteem ISO 45001 is de gezondheid en veiligheid van
de medewerkers, in Nederland ook wel arbeidsomstandigheden (arbo) genoemd. Het heeft
lang geduurd voordat deze ISO-norm ontwikkeld is.
4.3.6 ISO 22000: eisen aan managementsystemen voor voedselveiligheid
Het onderwerp van de ISO 22000 is voedselveiligheid en is gericht op de consument. Deze
certificeerbare norm is specifiek ontwikkeld voor de voedingsmiddelenindustrie, waar
voedselveiligheid een basisvoorwaarde is. De eerste versie werd gepubliceerd in 2005.
In 1995 werd in Europa wetgeving ingevoerd waardoor producenten, verkopers en bereiders
van voedingsmiddelen hun grondstoffen, producten en processen moesten analyseren op
mogelijke chemische, microbiologische en fysische besmettingsgevaren die de gezondheid
van de consument in gevaar konden brengen. De methode voor een dergelijke
gevarenanalyse wordt HACCP genoemd. Deze afkorting staat voor Hazard Analyses and
Critical Control Points.
Naast voedselveiligheid richt de norm zich ook op voedselfraude en food defence, het
nemen van maatregelen om opzettelijke besmetting van voedsel te voorkomen.
4.3.7 NEN-EN 15224 (ISO 9001:2015 voor zorg en welzijn) en HKZ
Ook in de zorgsector zijn eigen normen ontwikkeld. In Nederland is er de HKZ-norm en
internationaal de NEN-EN 15224. Deze laatste norm bevat dezelfde eisen als de ISO
9001:2015, aangevuld met specifieke eisen voor de sectoren zorg en welzijn.
4.3.8 ISO 27001: 2017 eisen aan managementsystemen voor informatiebeveiliging
Het belang van informatiebeveiliging neemt dagelijks toe. De ISO 27001 beschrijft hoe een
organisatie met het beveiligen van informatie om kan gaan, met als doel om de
