Een kwaliteitsbeleid is het kortste document in een kwaliteitsmanagementsysteem en het document dat de meeste bedrijven op dezelfde manier verkeerd doen: een alinea goede bedoelingen die bij elk bedrijf in elke sector zou passen. ISO 9001:2015 vraagt geen bedoelingen. Paragraaf 5.2 vraagt vier specifieke inhouden en drie specifieke dingen die met het document moeten gebeuren, en een auditor controleert alle zeven. Dit artikel is die zeven, wat elk betekent voor een pagina tekst, en een voorbeeld van één pagina; de paragraaf is geparafraseerd in onze lezing en de bewoording van ISO wordt niet weergegeven.
Wie het schrijft, en waarom dat ertoe doet (5.1 en 5.2.1)
Het beleid is van de directie. Paragraaf 5.1.1 somt op waarmee de directie leiderschap toont, en daaronder valt ervoor zorgen dat het kwaliteitsbeleid en de kwaliteitsdoelstellingen zijn vastgesteld en verenigbaar zijn met de context en de strategische richting van de organisatie. Paragraaf 5.2.1 zegt vervolgens dat de directie het beleid vaststelt, implementeert en bijhoudt. Een kwaliteitsmanager mag het opstellen; de mensen die de richting van het bedrijf bepalen, ondertekenen het, omdat het eerste wat het beleid moet doen, is bij die richting passen. Een beleidsverklaring die de directeur nooit heeft gelezen, faalt op 5.2.1 vóór haar eerste zin.
De vier inhouden (5.2.1)
5.2.1 vereist dat het beleid vier dingen doet.
| 5.2.1 | Het beleid moet | Wat dat betekent voor de tekst |
|---|---|---|
| (a) | Passend zijn bij het doel en de context van de organisatie en haar strategische richting ondersteunen | Het noemt wat het bedrijf doet en voor wie, en wat kwaliteit daarvoor betekent, in woorden die bij een ander bedrijf niet zouden passen. De contextanalyse van 4.1 en 4.2 is waar "doel en context" zijn opgeschreven; het beleid leest daaruit. |
| (b) | Een kader bieden voor het vaststellen van kwaliteitsdoelstellingen | Het zegt waarop het bedrijf wordt afgerekend, zodat de doelstellingen van 6.2 eruit kunnen worden afgeleid: tijdige levering, foutpercentages, reactietijden, klanttevredenheid, wat het bedrijf ook heeft gekozen. De doelstellingen zelf worden elders vastgesteld en zijn meetbaar; het beleid geeft ze hun koppen. |
| (c) | Een verbintenis bevatten om te voldoen aan de van toepassing zijnde eisen | Een zin waarin het bedrijf zich verbindt om te voldoen aan de eisen van klanten en de wettelijke en regelgevende eisen die gelden voor wat het verkoopt. "Van toepassing" is de bepaling van het bedrijf onder 4.2 en 8.2.2; het beleid verbindt zich eraan. |
| (d) | Een verbintenis bevatten tot continue verbetering van het kwaliteitsmanagementsysteem | Een zin waarin het bedrijf zich verbindt het systeem te verbeteren, wat paragraaf 10.3 vervolgens tot een plicht maakt. |
Een beleid mag meer bevatten. Het mag niet minder bevatten, en de twee verbintenissen in (c) en (d) moeten er in wezen staan, niet slechts impliciet.
De drie dingen die ermee moeten gebeuren (5.2.2)
5.2.2 vereist dat het beleid ten eerste beschikbaar is en wordt bijgehouden als gedocumenteerde informatie: het is een beheerst document onder 7.5, met een identificatie, een versie, een goedkeuring en een beoordeling, een van de vijf documenten die de norm vereist bij te houden. Ten tweede gecommuniceerd, begrepen en toegepast binnen de organisatie: drie werkwoorden, en een auditor toetst het middelste door mensen op de werkvloer te vragen wat het beleid voor hun werk betekent, niet of ze het kunnen opzeggen. Ten derde beschikbaar voor relevante belanghebbenden, waar passend: op de website, in een aanbestedingsantwoord, op verzoek, zoals het bedrijf beslist.
De tweede van de drie is waar een beleid van goede bedoelingen faalt. "Begrepen en toegepast" vereist dat het beleid iets zegt dat een persoon kan toepassen: een verbintenis om elke klacht van een klant binnen twee werkdagen te beantwoorden, is toepasbaar; een verbintenis tot excellentie niet.
Wat auditors opschrijven
Uit de paragraaf zijn de bevindingen voorspelbaar. Een beleid zonder verband met de doelstellingen (de doelstellingen van 6.2 bestaan, maar niets in het beleid geeft ze een kader). Een beleid waarin een van de twee verbintenissen ontbreekt, meestal die tot de van toepassing zijnde eisen. Een beleid dat één keer is geschreven en nooit beoordeeld, zodat het een bedrijf beschrijft dat sindsdien van producten, markten of eigenaren is veranderd, en niet meer bij de context van 4.1 past. Een beleid dat de directie niet kan uitleggen. En een beleid dat niemand buiten de directie heeft gezien, wat op het bewijs faalt voor "gecommuniceerd".
De beoordeling is de remedie voor het derde: de directiebeoordeling van paragraaf 9.3 neemt wijzigingen in de externe en interne onderwerpen die relevant zijn voor het systeem in overweging, en een beleid dat elk jaar tegen die input wordt herlezen, blijft passend bij de context.
Eén beleid voor ISO 9001 en ISO 27001
Paragraaf 5.2 hoort bij de Harmonized Structure, en ISO/IEC 27001:2022 heeft een paragraaf 5.2 van dezelfde vorm: passend bij het doel, een kader voor doelstellingen, een verbintenis tot de van toepassing zijnde eisen, een verbintenis tot continue verbetering, gedocumenteerd, gecommuniceerd, beschikbaar. Een bedrijf dat voor beide gecertificeerd is, mag één geïntegreerd beleid voeren of twee; een geïntegreerd beleid wordt tegen beide paragrafen geaudit, zodat de kwaliteitsverbintenissen en de informatiebeveiligingsverbintenissen elk aanwezig moeten zijn en de doelstellingen van elke norm hun kader nodig hebben. StandardOS stelt het kwaliteitsbeleid op als een eigen beheerst document, in het beleidspakket voor ISO 9001, naast het informatiebeveiligingsbeleid voor ISO 27001, elk met de vier inhouden en elk geversioneerd en goedgekeurd zoals 7.5 vraagt; welke paragrafen van ISO 9001 het product dekt, is paragraaf voor paragraaf gepubliceerd.
Een voorbeeld van één pagina
Ons voorbeeld, voor een fictief softwarebedrijf, in onze eigen woorden. Het is een model van de structuur, geen tekst om over te nemen: de zinnen die het bij 5.2.1(a) laten passen, zijn de zinnen die voor een ander bedrijf zouden moeten veranderen.
Kwaliteitsbeleid, Example Software GmbH, Berlijn. Versie 3, goedgekeurd door de directeuren op 1 maart 2026.
Example Software bouwt en beheert boekhoudsoftware voor kleine bedrijven in de Europese Unie. Kwaliteit betekent voor ons dat de software doet wat haar documentatie zegt, dat een release niet kapotmaakt wat de vorige deed, en dat een klant die een probleem meldt binnen twee werkdagen weet wat er gaat gebeuren en wanneer.
Wij verbinden ons ertoe te voldoen aan de eisen die wij met onze klanten afspreken, aan de eisen van de wetten en regels die gelden voor boekhoudsoftware in de markten waar wij verkopen, en aan de eisen van dit managementsysteem. Wij verbinden ons ertoe het managementsysteem continu te verbeteren, aan de hand van wat onze audits, de feedback van onze klanten en onze afwijkingen ons vertellen.
Onze kwaliteitsdoelstellingen worden elk jaar binnen dit kader vastgesteld en zijn meetbaar: het aandeel releases dat na de release wordt teruggetrokken, de tijd tot de eerste reactie en tot de oplossing bij meldingen van klanten, en de klanttevredenheid zoals wij die meten. De doelstellingen, hun streefwaarden en hun resultaten worden in de directiebeoordeling beoordeeld.
Dit beleid is beschikbaar voor iedereen die voor ons werkt en wordt aan nieuwe collega's in hun eerste week uitgelegd. Het is beschikbaar voor klanten en andere belanghebbenden op onze website. Het wordt beoordeeld in de directiebeoordeling en telkens wanneer verandert wat wij verkopen of waar wij het verkopen.
Ondertekend voor Example Software GmbH, de directeuren.
Bronnen
- ISO 9001:2015, paragrafen 4.1, 4.2, 5.1.1, 5.2.1, 5.2.2, 6.2, 7.5, 8.2.2, 9.3 en 10.3, aangehaald op nummer; de tekst is die van ISO en wordt niet weergegeven.
- ISO/IEC 27001:2022, paragraaf 5.2, voor de vorm die de twee beleidsverklaringen delen.
De gratis pagina schrijft het beleid uit tien antwoorden, in de eigen woorden van het bedrijf. Dit is geen certificatieadvies. Of een beleid aan de paragraaf voldoet, beoordeelt de certificatie-instelling tijdens de audit; de zeven eisen hierboven zijn waartegen zij de pagina leest.