Risikobewertung: Die Risikobewertung ist der Schritt im Risikomanagementprozess nach ISO 31000, in dem ein zuvor analysiertes Risiko gegen festgelegte Akzeptanzkriterien geprüft wird, um über Notwendigkeit und Priorität einer Behandlung zu entscheiden.
Im Risikomanagementprozess nach ISO 31000 folgt die Risikobewertung auf zwei vorherige Schritte: Zunächst identifiziert die Risikoidentifikation mögliche Risiken, anschließend bestimmt die Risikoanalyse deren Eintrittswahrscheinlichkeit und Auswirkung. Erst danach setzt die Risikobewertung an: Sie vergleicht das analysierte Risiko mit vorab festgelegten Akzeptanzkriterien und entscheidet, ob eine Behandlung überhaupt erforderlich ist und mit welcher Priorität.
Ein häufig genutztes Hilfsmittel für diesen Vergleich ist die Risikomatrix, die Eintrittswahrscheinlichkeit und Auswirkung visuell gegenüberstellt und Risiken so in Kategorien wie akzeptabel, beobachten oder behandeln einordnet. Fällt ein Risiko in den nicht akzeptablen Bereich, schließt sich die Risikobehandlung als nächster Schritt an, in dem konkrete Maßnahmen zur Reduzierung, Übertragung oder Vermeidung festgelegt werden.
Wichtig ist die saubere Abgrenzung der Begriffe: Risikomanagement bezeichnet den gesamten, fortlaufenden Prozess von der Identifikation bis zur Überwachung; die Risikoanalyse liefert die Zahlen aus Wahrscheinlichkeit und Auswirkung; die Risikobewertung trifft anhand dieser Zahlen die Entscheidung; die Risikobehandlung setzt die Entscheidung schließlich in konkrete Maßnahmen um.
- Reihenfolge: Risikoidentifikation, Risikoanalyse, Risikobewertung, Risikobehandlung
- Risikobewertung = Abgleich mit Akzeptanzkriterien, keine reine Kennzahl
- Risikomatrix als visuelles Hilfsmittel für die Bewertung
- Risikomanagement als Oberbegriff für den gesamten Prozess
Relevanz für die Zertifizierung
Für ein Managementsystem nach ISO 9001, 14001 oder 45001 verlangt der Auditor bei KCERT keinen aufwendigen Risikomanagementprozess nach ISO 31000 im Detail, aber einen nachvollziehbaren Nachweis, dass identifizierte Risiken tatsächlich bewertet und priorisiert wurden – nicht nur in einer Liste gesammelt. Fehlt die Bewertung, kann der Auditor nicht erkennen, warum bestimmte Risiken behandelt wurden und andere nicht, was häufig zu Feststellungen führt. Klar definierte, unternehmensspezifische Akzeptanzkriterien, etwa über eine Risikomatrix, erleichtern diesen Nachweis erheblich und sollten bereits vor dem Stufe-1-Audit dokumentiert vorliegen.
Häufige Fragen zu Risikobewertung
Die Risikoanalyse bestimmt Eintrittswahrscheinlichkeit und Auswirkung eines Risikos und liefert damit die Zahlengrundlage. Die Risikobewertung vergleicht dieses Ergebnis anschließend mit festgelegten Akzeptanzkriterien und entscheidet, ob und mit welcher Priorität eine Behandlung erforderlich ist. Beide Schritte folgen im Risikomanagementprozess nach ISO 31000 unmittelbar aufeinander und werden in der Praxis oft verwechselt.
ISO 9001 verlangt in Kapitel 6.1 risikobasiertes Denken, schreibt aber keine bestimmte Methode wie ISO 31000 namentlich vor. Der Auditor prüft, ob Risiken identifiziert und ihre Relevanz nachvollziehbar bewertet wurden, bevor über Maßnahmen entschieden wird. Eine formale Risikomatrix ist eine gängige, aber keine zwingende Umsetzungsform.
Eine feste gesetzliche Frist gibt es nicht; üblich ist eine jährliche Aktualisierung im Rahmen der Managementbewertung sowie eine anlassbezogene Überprüfung nach relevanten Änderungen, etwa neuen Prozessen, Standorten oder gesetzlichen Vorgaben. Auditoren erwarten einen nachvollziehbaren Turnus, der zum Risikoprofil des Unternehmens passt und konsequent eingehalten wird.