Aktualisiert am:

Risikomanagement im Managementsystem: Prozess nach ISO 31000 und Normbezug

Risikomanagement ist die systematische Tätigkeit, mit der eine Organisation Risiken erkennt, bewertet, behandelt und überwacht – Ereignisse und Entwicklungen, die das Erreichen ihrer Ziele gefährden oder begünstigen können. Es umfasst den Rahmen (Politik, Verantwortlichkeiten, Kriterien) und den Prozess (Identifikation, Analyse, Bewertung, Behandlung, Überwachung, Kommunikation). In Managementsystemen nach ISO 9001, 14001, 45001, 50001 und 27001 ist Risikomanagement kein eigenes Kapitel, sondern eine Denkweise, die sich durch alle Anforderungen zieht: Maßnahmen richten sich nach dem Risiko, nicht nach Vorlagen.

Der Risikomanagementprozess nach ISO 31000

Die ISO 31000 beschreibt den allgemeinen Rahmen, den die Managementsystemnormen aufgreifen:

  1. Kontext festlegen: Ziele, Geltungsbereich, interessierte Parteien, Risikokriterien – ab wann ist ein Risiko nicht mehr akzeptabel?
  2. Risiken identifizieren: Was könnte passieren, wodurch, mit welchen Folgen? Quellen sind Prozessanalysen, Begehungen, Vorfälle, Audits, Marktbeobachtung, Experten.
  3. Risiken analysieren: Eintrittswahrscheinlichkeit und Auswirkung bestimmen, bestehende Maßnahmen berücksichtigen, Risikoniveau ermitteln.
  4. Risiken bewerten: gegen die Kriterien halten, priorisieren – siehe Risikobewertung.
  5. Risiken behandeln: vermeiden (Tätigkeit unterlassen), vermindern (Maßnahmen), übertragen (Versicherung, Vertrag), akzeptieren (bewusst, dokumentiert, durch die zuständige Ebene) – siehe Risikoakzeptanz; Maßnahmenplan mit Verantwortlichen, Terminen und Restrisiko.
  6. Überwachen und überprüfen: Wirksamkeit der Maßnahmen, Veränderungen der Risikolage, regelmäßige Wiederholung.
  7. Kommunizieren und dokumentieren: Risikoregister, Berichte an die Leitung, Einbindung der Beteiligten.

Risikomanagement in den Managementsystemnormen

  • ISO 9001: „risikobasiertes Denken“ – Risiken und Chancen für Prozesse, Konformität und Kundenzufriedenheit bestimmen und Maßnahmen planen (Abschnitt 6.1); keine Methode vorgeschrieben, ein Risikoregister ist üblich, die FMEA das Werkzeug für Produkte und Prozesse.
  • ISO 14001: Risiken und Chancen aus Umweltaspekten, bindenden Verpflichtungen und Kontext; Notfallvorsorge für Umweltrisiken – siehe Umweltrisiken.
  • ISO 45001: Gefährdungen ermitteln, SGA-Risiken bewerten, Maßnahmenhierarchie – die Gefährdungsbeurteilung als gesetzliches Kernstück.
  • ISO 50001: Risiken und Chancen für die energiebezogene Leistung und das System.
  • ISO/IEC 27001: das am stärksten formalisierte Risikomanagement mit dokumentierter Methodik, Risikoeigentümern, Risikobehandlungsplan und Erklärung zur Anwendbarkeit – siehe Informationssicherheitsrisikobehandlung.
  • Datenschutz: Risiko für die Rechte der Betroffenen als Maßstab für Maßnahmen und Datenschutz-Folgenabschätzung.

Alle Normen verstehen Risiko als Auswirkung von Ungewissheit – positiv wie negativ; Chancen werden mitbetrachtet. In einem integrierten System werden Kriterien, Skalen und Register zusammengeführt, während die fachlichen Werkzeuge getrennt bleiben. Unternehmensweites Risikomanagement geht darüber hinaus und umfasst strategische, finanzielle und Compliance-Risiken; für Kapitalgesellschaften verlangt § 91 Abs. 2 AktG ein Überwachungssystem für bestandsgefährdende Entwicklungen, das in der Praxis auf GmbHs ausstrahlt.

Praxisregeln

  • Kriterien zuerst: Ohne vorher festgelegte Akzeptanzschwellen wird jede Bewertung zur Verhandlungssache.
  • Verantwortliche je Risiko: Ein Risiko ohne Eigentümer wird nicht behandelt.
  • So einfach wie möglich: Eine Matrix mit drei bis fünf Stufen und einem Register mit 20 bis 50 Einträgen ist für mittelständische Unternehmen angemessen; quantitative Modelle nur, wo Daten und Nutzen es rechtfertigen.
  • Aus Vorfällen lernen: Jeder Vorfall, Beinahe-Unfall oder Auditbefund ist ein Test der Risikobewertung – stimmte die Einschätzung?
  • Regelmäßig, nicht einmalig: jährliche Überprüfung und Anpassung bei Änderungen, Bericht in der Managementbewertung.

Häufige Fragen zum Risikomanagement

Was verlangt die ISO 9001 zum Risikomanagement?

Die ISO 9001 fordert risikobasiertes Denken: Das Unternehmen muss Risiken und Chancen bestimmen, die die Konformität der Produkte, die Kundenzufriedenheit und die Wirksamkeit des Systems beeinflussen, und Maßnahmen dazu planen, umsetzen und bewerten (Abschnitt 6.1). Eine bestimmte Methode oder ein formales Risikomanagementsystem schreibt sie nicht vor; ein Risikoregister mit Bewertung und Maßnahmen ist die übliche Umsetzung.

Was ist der Unterschied zwischen Risikomanagement und Risikobewertung?

Risikomanagement ist der gesamte Prozess mit Rahmen, Identifikation, Analyse, Bewertung, Behandlung, Überwachung und Kommunikation. Die Risikobewertung ist ein Schritt darin: der Vergleich des ermittelten Risikoniveaus mit den festgelegten Kriterien, um über Akzeptanz und Priorität der Behandlung zu entscheiden.

Welche Möglichkeiten gibt es, ein Risiko zu behandeln?

Vier grundsätzliche Optionen: vermeiden, indem die riskante Tätigkeit unterlassen oder verändert wird; vermindern durch technische, organisatorische oder personelle Maßnahmen; übertragen durch Versicherung oder vertragliche Verlagerung; und akzeptieren, wenn das Risiko innerhalb der Kriterien liegt – bewusst, dokumentiert und durch die zuständige Führungsebene freigegeben.

Verwandte Begriffe

Sie wollen Risikomanagement in Ihrem Managementsystem verankern – schlank und auditfest? Wir unterstützen für Qualität, Arbeitsschutz, Umwelt und Informationssicherheit.

Veröffentlicht in | ISO-Glossar