Risikoanalyse: Eine Risikoanalyse identifiziert, bewertet und priorisiert mögliche negative Ereignisse für ein Unternehmen; sie bildet die Grundlage, um Eintrittswahrscheinlichkeit und Auswirkung systematisch statt intuitiv zu beurteilen.
Der klassische Ablauf umfasst Risikoidentifikation, Risikobewertung anhand von Eintrittswahrscheinlichkeit und Schadensausmaß, sowie die Ableitung von Maßnahmen zur Risikobehandlung. ISO 31000 liefert dafür einen allgemeinen, normübergreifenden Rahmen, der sich in ISO 9001, 14001, 45001 und 27001 in jeweils spezifischer Ausprägung wiederfindet.
| Norm | Fokus der Risikoanalyse |
|---|---|
| ISO 9001 | Risiken für Produkt- und Prozessqualität |
| ISO 14001 | Umweltaspekte und -auswirkungen |
| ISO 45001 | Gefährdungen für Sicherheit und Gesundheit |
| ISO 27001 | Bedrohungen für Informationswerte |
Häufig genutzte Werkzeuge sind Risikomatrix, FMEA oder Ishikawa-Diagramm, je nach Detailtiefe und Anwendungsfall. Wichtig ist, dass eine Risikoanalyse nicht einmalig, sondern regelmäßig und bei relevanten Änderungen wiederholt wird, da sich Rahmenbedingungen laufend ändern.
Eine reine Auflistung von Risiken ohne abgeleitete Maßnahmen und Verantwortlichkeiten gilt in Audits als unvollständig.
Ein praktikabler Einstieg für kleinere Unternehmen ist ein jährlicher Risikoworkshop mit Vertretern relevanter Bereiche, in dem neue Risiken gesammelt, bestehende neu bewertet und Maßnahmen priorisiert werden. Wichtig ist dabei, auch positive Chancen mitzudenken, nicht nur negative Risiken – die High-Level-Structure verlangt ausdrücklich den Umgang mit „Chancen und Risiken“ gemeinsam, nicht isoliert voneinander.
Relevanz für die Zertifizierung
Risikobasiertes Denken ist seit der High-Level-Structure fester Bestandteil aller großen ISO-Managementsystemnormen. Auditoren prüfen nicht nur, ob eine Risikoliste existiert, sondern ob daraus tatsächlich Maßnahmen abgeleitet und deren Wirksamkeit später überprüft wurde. Betriebe, die eine gemeinsame Risikoanalyse für mehrere Normen wie ISO 9001 und 27001 pflegen, sparen in einem integrierten Managementsystem spürbar Aufwand gegenüber getrennten, redundanten Analysen je Norm. Ein integriertes Managementsystem, das Risiken normübergreifend statt in getrennten Silos für Qualität, Umwelt, Arbeitsschutz und Informationssicherheit betrachtet, deckt zudem häufig Wechselwirkungen auf, die bei isolierter Betrachtung einzelner Normen leicht übersehen werden, etwa wenn ein IT-Ausfall gleichzeitig Lieferfähigkeit und Kundendaten gefährdet. Eine gemeinsame Betrachtung spart dabei spürbar Zeit gegenüber getrennten, normspezifischen Einzelanalysen.
Häufige Fragen zu Risikoanalyse
Ja. ISO 9001 (Kapitel 6.1), 14001, 45001 und 27001 verlangen alle risikobasiertes Denken beziehungsweise eine dokumentierte Risikobewertung, allerdings mit unterschiedlichem Fokus – Produktqualität, Umwelt, Arbeitssicherheit oder Informationssicherheit. Ohne nachvollziehbare Risikoanalyse ist eine Zertifizierung nach diesen Normen nicht möglich. Der konkrete Fokus unterscheidet sich zwischen den Normen, das Grundprinzip bleibt aber identisch.
Für die meisten KMU genügt eine Risikomatrix mit den Achsen Eintrittswahrscheinlichkeit und Schadensausmaß, ergänzt um abgeleitete Maßnahmen und Verantwortliche. Aufwendigere Methoden wie FMEA lohnen sich vor allem bei komplexen Produkten oder hohen Fehlerkosten, etwa in der Automobilzulieferung. Aufwendigere Methoden sollten dem tatsächlichen Risiko und der Komplexität des Falls entsprechen.
Mindestens einmal jährlich im Rahmen der Managementbewertung, zusätzlich anlassbezogen bei relevanten Änderungen wie neuen Produkten, Prozessen, Gesetzen oder nach einem Sicherheitsvorfall. Eine seit Jahren unveränderte Risikoanalyse gilt im Audit meist als Indiz für mangelnde Aktualität. Anlassbezogene Aktualisierungen sind dabei mindestens so wichtig wie der feste jährliche Turnus.