Risikobehandlung: Risikobehandlung ist der Schritt im Risikomanagementprozess, in dem für ein bewertetes, nicht akzeptables Risiko konkrete Maßnahmen zur Vermeidung, Verminderung, Übertragung oder bewussten Akzeptanz festgelegt und deren Wirksamkeit anschließend überprüft wird.
Nach ISO 31000 folgt die Risikobehandlung auf Risikoidentifikation, Risikoanalyse und Risikobewertung: Erst wenn ein Risiko als nicht akzeptabel eingestuft ist, entscheidet die Organisation über die passende Behandlungsoption.
| Option | Bedeutung | Beispiel |
|---|---|---|
| Vermeiden | Risikoquelle entfällt | Tätigkeit einstellen |
| Vermindern | Wahrscheinlichkeit oder Auswirkung senken | Zugriffskontrolle einführen |
| Übertragen | Risiko an Dritte verlagern | Versicherung, Vertragsklausel |
| Akzeptieren | Bewusst tragen | Restrisiko dokumentieren |
In ISO 9001 und ISO 45001 ist die Risikobehandlung Teil des risikobasierten Denkens nach Kapitel 6.1, ohne eine bestimmte Methode vorzuschreiben. In ISO 27001 ist sie in Kapitel 6.1.3 konkreter gefasst: Behandlungsoptionen werden mit Controls aus Anhang A abgeglichen, das Ergebnis fließt in das Statement of Applicability. Wichtig ist die Dokumentation der Entscheidung inklusive Verantwortlichkeit, Termin und verbleibendem Restrisiko – nicht nur die Auswahl der Option selbst.
Ein häufiger Fehler ist, Risikobehandlung mit einer reinen Maßnahmenliste zu verwechseln: Ohne den vorausgehenden Bewertungsschritt fehlt die Begründung, warum gerade diese Risiken behandelt werden und andere nicht.
Nach der Umsetzung bleibt in aller Regel ein Restrisiko bestehen – vollständige Risikofreiheit ist weder gefordert noch realistisch. Entscheidend ist, dass dieses Restrisiko bewusst benannt und von einer verantwortlichen Person akzeptiert wird, statt unausgesprochen im System zu verbleiben. Ändern sich Rahmenbedingungen wesentlich, etwa durch neue Technik oder gesetzliche Vorgaben, ist die Behandlungsentscheidung erneut zu prüfen und gegebenenfalls anzupassen.
Relevanz für die Zertifizierung
Im Audit bei KCERT interessiert weniger die gewählte Methode als die Nachvollziehbarkeit: Zu jedem als kritisch bewerteten Risiko sollte eine dokumentierte Behandlungsentscheidung mit Verantwortlichem und Termin vorliegen, plus ein Beleg, dass die Maßnahme tatsächlich umgesetzt und ihre Wirkung überprüft wurde. Reine Risikolisten ohne erkennbare Behandlungsentscheidung führen im Stufe-2-Audit regelmäßig zu Abweichungen, weil der Auditor nicht erkennen kann, ob das System tatsächlich steuert oder nur dokumentiert.
Häufige Fragen zu Risikobehandlung
Die Risikobewertung vergleicht ein analysiertes Risiko mit Akzeptanzkriterien und entscheidet, ob und wie dringend gehandelt werden muss. Die Risikobehandlung setzt danach an: Sie legt konkrete Maßnahmen fest – vermeiden, vermindern, übertragen oder akzeptieren – und überprüft später deren Wirksamkeit. Beide Schritte folgen im Risikomanagementprozess unmittelbar aufeinander.
Vermeiden (die risikobehaftete Tätigkeit entfällt), Vermindern (Wahrscheinlichkeit oder Auswirkung wird gesenkt, etwa durch technische oder organisatorische Maßnahmen), Übertragen (das Risiko wird vertraglich oder über eine Versicherung an Dritte verlagert) und Akzeptieren (das Restrisiko wird bewusst und dokumentiert getragen). Die Wahl hängt von Aufwand, Kosten und Risikoprofil ab.
Ja, für zertifizierungsrelevante Managementsysteme nach ISO 9001, 14001, 45001 und 27001 verlangen Auditoren einen nachvollziehbaren Nachweis: gewählte Maßnahme, Verantwortlicher, Termin und im besten Fall eine spätere Wirksamkeitsprüfung. Eine feste Formatvorgabe gibt es nicht – eine gepflegte Tabelle oder ein Risikoregister reicht aus, solange die Entscheidung klar begründet ist.