ISO 31000: ISO 31000 ist ein internationaler Leitfaden für Risikomanagement, der Grundsätze, Rahmenwerk und Prozessschritte beschreibt; sie liefert Methodik statt verbindlicher Anforderungen und ist deshalb nicht zertifizierbar.
Die Norm ist in drei Bausteine gegliedert: Grundsätze – unter anderem, dass Risikomanagement wertschöpfend, integraler Teil aller Prozesse und auf die beste verfügbare Information gestützt sein soll –, ein Rahmenwerk zur Verankerung des Risikomanagements in der Organisation (Führung, Verpflichtung, Integration, Ressourcen) sowie ein Prozess mit den Schritten Kontext festlegen, Risiken identifizieren, analysieren, bewerten und behandeln, begleitet von durchgehender Kommunikation und laufender Überwachung.
Anders als ISO 9001, 14001, 45001 oder 27001 enthält ISO 31000 keine verbindlichen Anforderungen, sondern ausschließlich Empfehlungen. Es gibt deshalb keine Drittzertifizierung gegen ISO 31000 selbst – weder akkreditiert noch nicht akkreditiert. Die Norm dient stattdessen als methodische Grundlage, auf die andere, zertifizierbare Managementsystemnormen in ihrem Kapitel 6.1 zum risikobasierten Denken inhaltlich zurückgreifen.
Erstmals 2009 veröffentlicht und 2018 grundlegend überarbeitet, hat sich ISO 31000 seither branchen- und normübergreifend als gemeinsame Sprache für Risikomanagement etabliert – von der Finanzbranche bis zum produzierenden Mittelstand. Ergänzt wird sie durch die Begleitnorm ISO 31010, die konkrete Techniken zur Risikobewertung wie FMEA oder Bow-Tie-Analyse beschreibt und in der Praxis häufig gemeinsam mit ISO 31000 herangezogen wird.
- Drei Bausteine: Grundsätze, Rahmenwerk, Prozess
- Prozessschritte: Kontext, Identifikation, Analyse, Bewertung, Behandlung
- Reine Leitlinie – nicht zertifizierbar, keine verbindlichen Anforderungen
- Methodische Grundlage für Kapitel 6.1 in ISO 9001, 14001, 45001, 27001
Relevanz für die Zertifizierung
Weil ISO 31000 nicht zertifizierbar ist, zertifiziert auch KCERT diese Norm nicht gesondert – zertifiziert werden ausschließlich ISO 9001, 14001, 45001, 27001 und 50001. Für Unternehmen im KCERT-Zertifizierungsprozess ist ISO 31000 trotzdem relevant: Der Auditor prüft in jeder dieser fünf Normen, ob risikobasiertes Denken nach Kapitel 6.1 nachvollziehbar umgesetzt wird, und ISO 31000 liefert dafür die anerkannte Methodik – etwa über eine dokumentierte Risikomatrix mit klaren Bewertungskriterien. Wer sich an den ISO-31000-Prozessschritten orientiert, kommt im Audit selten in Erklärungsnot, muss die Norm selbst aber nicht separat zertifizieren lassen.
Häufige Fragen zu ISO 31000
Nein. ISO 31000 ist eine reine Leitlinien-Norm mit Empfehlungen statt verbindlichen Anforderungen und deshalb nicht zertifizierbar – weder akkreditiert noch nicht akkreditiert. Auch KCERT bietet dafür keine Zertifizierung an, sondern ausschließlich für ISO 9001, 14001, 45001, 27001 und 50001. Die Norm liefert stattdessen die methodische Grundlage für das Risikomanagement innerhalb dieser fünf zertifizierbaren Normen.
ISO 31000 ist die eigenständige, normübergreifende Methodik für Risikomanagement mit Grundsätzen, Rahmenwerk und Prozess. Kapitel 6.1 in ISO 9001 – ebenso in 14001, 45001 und 27001 – ist die konkrete, auditierbare Forderung, dieses risikobasierte Denken tatsächlich anzuwenden und zu dokumentieren. ISO 31000 liefert das Wie, Kapitel 6.1 der jeweiligen Norm das verbindliche Muss.
Nicht als eigenständiges Projekt. Relevant wird ISO 31000 automatisch für jedes Unternehmen, das eine der fünf zertifizierbaren ISO-Normen einführt, da Kapitel 6.1 dort risikobasiertes Denken verlangt. Eine separate Einführung oder gar Zertifizierung nach ISO 31000 ist weder vorgesehen noch notwendig – die Norm dient als Nachschlagewerk für die Methodik, nicht als eigenes Managementsystem.