ISO 9001 kennis van de organisatie: wat clausule 7.1.6 vraagt

ISO 9001 clausule 7.1.6, 'kennis van de organisatie', verplicht je te bepalen welke kennis nodig is om je processen te laten werken en producten of diensten conform te leveren, die kennis te onderhouden en beschikbaar te maken voor wie haar nodig heeft. Bij verandering — een nieuwe medewerker, een nieuw product, een vertrekkende specialist — moet je nagaan wat je huidige kennis is en hoe je de ontbrekende kennis verwerft. De eis staat los van documentatie: een handboek voldoet niet automatisch, en het ontbreken van een handboek is niet automatisch een bevinding.¹

Wat vraagt clausule 7.1.6 precies, en waarom staat die er sinds 2015?

Kort gezegd vraagt de clausule vijf dingen van dezelfde kennis: bepalen, beschikbaar maken, onderhouden, beschermen en nieuwe kennis verwerven — toegepast op wat je organisatie nodig heeft om haar processen te laten draaien en conforme producten of diensten te leveren.¹

Vóór 2015 raakte ISO 9001 kennis alleen zijdelings aan, via eisen over documentatie. Wat ontbrak, was expliciete aandacht voor kennis die niet is opgeschreven: ervaring, vakmanschap, weten wat werkt bij welke klant. Dat is precies het gat dat clausule 7.1.6 sindsdien dicht.¹

De officiële toelichting die ISO en de International Accreditation Forum voor auditors publiceerden, zegt het zo: kennis kan liggen in documenten, in processen, in producten en diensten, of in de ervaring van mensen. Documentatie hebben, betekent niet automatisch dat je kennis goed hebt bepaald.¹ Die ene zin verklaart waarom een dik handboek een audit niet redt, en een klein overzicht met eigenaren dat wel kan doen.

Voor een MKB-bedrijf zonder eigen HR- of kwaliteitsafdeling raakt deze eis precies degene die het bedrijf al draaiende houdt: de eigenaar of een handvol ervaren mensen. Dat maakt de eis niet zwaarder, maar wel concreter — de kennis die je moet borgen, is meestal exact de kennis die bij twee of drie mensen zit.

Wat telt als kennis van de organisatie — en wat niet?

Kennis van de organisatie is de kennis die specifiek van jou is: hoe je processen echt lopen, wat je hebt geleerd van fouten en successen, en de context die nergens anders bestaat. Generieke vakkennis, cursusmateriaal en de tekst van een publieke norm horen er niet bij — die kun je overal vandaan halen.

De toelichting van de Auditing Practices Group noemt concrete bronnen waar auditors op letten: leren van fouten, bijna-ongelukken en successen; kennis ophalen bij klanten, leveranciers en partners; impliciete en expliciete kennis vastleggen via mentoring en opvolgingsplanning; benchmarken tegen concurrenten; kennis delen met belanghebbenden; en kennis bijwerken na verbeteringen.¹

• Procesknowhow: waarom een stap in een andere volgorde sneller werkt dan het voorschrift zegt.
• Lessen uit fouten en bijna-missers: wat er misging en wat je daarna hebt veranderd.
• Klant- en leverancierscontext: afspraken, voorkeuren en uitzonderingen die nergens in een contract staan.
• Vakmanschap van ervaren medewerkers: wat iemand na jaren aanvoelt en nooit heeft opgeschreven.

• Generiek trainingsmateriaal dat elke leverancier van dezelfde cursus aanbiedt.
• De tekst van een publiek beschikbare norm of wetstekst — die kun je opzoeken, dat is geen organisatiekennis.
• Een certificaat op de plank zonder dat iemand het werk ermee doet.

Een deel van wat telt, kun je best vastleggen in een gewone instructie — zie een werkinstructie maken voor de vorm. Maar een werkinstructie dekt alleen het deel dat je vooraf kunt voorschrijven; de uitzonderingen en de context blijven in hoofden zitten tot iemand ernaar vraagt.

Wat vraagt een auditor concreet, en welke drie bevindingen krijg je het vaakst?

Een auditor vraagt meestal drie dingen: laat zien hoe je bepaalt welke kennis kritiek is, laat zien waar die kennis nu vastligt, en laat zien wat er gebeurt als de drager van die kennis wegvalt. De drie bevindingen die daaruit het vaakst volgen, zijn eenvoudig te herkennen — en te voorkomen.

Concreet vraagt een auditor meestal om vier dingen op tafel.

• Een overzicht — kennismatrix of risicolijst — van kritieke kennis en wie die heeft.
• Bewijs dat je dat overzicht recent hebt bijgewerkt: een datum, een notulen, een revisie.
• Een voorbeeld van hoe kennis overgaat als iemand vertrekt, ziek wordt of met pensioen gaat.
• Een koppeling met je opleidingsplan: wat doe je als blijkt dat kennis ontbreekt?

Kun je dat niet laten zien, dan volgt bijna altijd een van deze drie bevindingen.

1. Geen methode om kennis te bepalen. Je kunt niet aantonen hoe je besluit welke kennis kritiek is — er is geen kennismatrix, geen overzicht, geen vast moment waarop dit wordt besproken.
2. Kennis zit alleen in hoofden, zonder continuïteitsplan. Eén persoon is de enige die het weet, en er is geen afspraak over wat er gebeurt als die persoon uitvalt, vertrekt of met pensioen gaat.
3. Niets onderhouden na de eerste documentatie-inspanning. Er was ooit een handboek of protocol, niemand heeft het sindsdien bijgewerkt, en de praktijk wijkt inmiddels af van wat er staat.

Geen van de drie vraagt om een dik systeem. Ze vragen om een aanpak die je kunt laten zien, een naam bij elk risico, en een moment waarop iemand checkt of het nog klopt.

Welk bewijs volstaat — zonder documentatieproject?

Je hebt geen kennisbank nodig om aan 7.1.6 te voldoen. Vijf dingen volstaan: een overzicht van kritieke kennis, een eigenaar per onderdeel, een bron waar het vandaan komt, een datum waarop het voor het laatst is gecheckt, en een moment waarop je dat herhaalt.

De tabel hieronder koppelt elk onderdeel van de eis aan het bewijs dat een auditor accepteert en aan wie ervoor verantwoordelijk is. Dat is het volledige bewijspakket — niet meer.

Dit bewijs ontstaat niet uit een documentatieproject van drie maanden. Het ontstaat door dagelijks één gerichte vraag te stellen aan de persoon die iets weet, en het antwoord meteen vast te leggen met een eigenaar, een bron en een datum. Dat is ook precies waar Buddai voor is gebouwd: elke dag twee korte vragen aan je team, die automatisch een kenniskaart worden met eigenaar en herzieningsdatum.

Hoe 7.1.6 zich verhoudt tot 7.2 (competentie) en 7.5 (gedocumenteerde informatie)

7.1.6 gaat over wélke kennis er moet zijn. 7.2 gaat over of mensen die kennis kunnen tóepassen — competentie is het vermogen om kennis te gebruiken. 7.5 gaat over hoe je informatie vastlegt en beheert zodra je die documenteert. Alle drie kunnen over dezelfde kennis gaan, maar beantwoorden een andere vraag.

De officiële toelichting van ISO en de International Accreditation Forum noemt het een sterke samenhang: competentie is het vermogen om kennis toe te passen.¹ Dat is waarom auditors vaak van 7.1.6 doorvragen naar 7.2: is de kennis er, en kan de juiste persoon er ook mee werken? Beide vragen los van elkaar beantwoorden is genoeg; ze samenvoegen tot één document is niet verplicht.

• 7.1.6 (kennis) vraagt: welke kennis is nodig, en is die bepaald, onderhouden en beschikbaar?
• 7.2 (competentie) vraagt: kan de persoon met die kennis het werk ook uitvoeren, en is dat aantoonbaar?
• 7.5 (gedocumenteerde informatie) vraagt: als je kennis vastlegt, doe je dat dan beheerst — versie, goedkeuring, bewaartermijn?

De meest gemaakte fout is 7.1.6 behandelen als een documentatie-eis en hem daarmee onder 7.5 laten vallen. Dat werkt niet voor impliciete kennis: de reden waarom een ervaren monteur een storing sneller vindt dan het protocol beschrijft, staat nooit in een beheerst document. Die kennis vraagt een andere aanpak dan versiebeheer — namelijk iemand ernaar vragen en het antwoord vastleggen, wat in de kern is wat kennisborging als aanpak beschrijft.

Praktische route: een audit over acht weken

Met acht weken tot de audit haal je 7.1.6 met een kennismatrix, eigenaren per risico en een kort logje van wat je hebt vastgelegd. Begin bij de risico's, niet bij een compleet systeem — dat past niet in acht weken en is ook niet wat de norm vraagt.

Deze route is haalbaar zonder een team vrij te maken, mits je bij week één begint.

1. 1

   Week 1-2 — Breng de risico's in kaart

   Maak een kennismatrix van je tien belangrijkste processen: wie kan het, en wie is de enige die het kan. Elke rij met precies één beheerser is een risico voor 7.1.6.

2. 2

   Week 2-3 — Wijs een eigenaar per risico aan

   Geen afdeling, één naam. De eigenaar is verantwoordelijk voor het bepalen én onderhouden van die kennis, niet alleen voor het opschrijven ervan.

3. 3

   Week 3-6 — Leg de top-tien vast, met bron en datum

   Beperk je tot de risico's uit stap 1. Noteer per risico: wat is de kennis, waar komt hij vandaan, wie is de eigenaar, en wanneer is dit voor het laatst gecheckt.

4. 4

   Week 6-7 — Simuleer de auditvraag

   Laat iemand die niets van het proces weet vragen: 'wat gebeurt er als deze persoon er drie weken niet is?' Ligt het antwoord bij het overzicht, dan ben je klaar. Zo niet, dan weet je precies waar de gaten zitten.

5. 5

   Week 7-8 — Leg de aanpak zelf vast, niet alleen de kennis

   Schrijf één A4 met hoe je bepaalt, onderhoudt en beschikbaar maakt — dat is wat een auditor als methode wil zien, los van de inhoud van elke kaart.

Loopt de opzegtermijn van je belangrijkste kennisdrager toevallig samen met de audit, dan verandert de volgorde niet, wel de urgentie. Zie kennisoverdracht bij vertrek voor de aanpak als iemand al heeft opgezegd.