Risikomanagement: Risikomanagement ist der systematische Prozess, Risiken zu identifizieren, zu bewerten und durch geeignete Maßnahmen zu steuern, bevor sie negative Auswirkungen auf Unternehmensziele haben.
ISO 31000 liefert einen generischen, normübergreifenden Rahmen mit den Schritten: Kontext festlegen, Risiken identifizieren, analysieren, bewerten, behandeln und laufend überwachen. Seit Einführung der High Level Structure (Annex SL) ist risikobasiertes Denken in Kapitel 6.1 fester Bestandteil aller modernen Managementsystemnormen – unabhängig davon, ob es sich um ISO 9001, 14001, 45001 oder 27001 handelt.
Die konkreten Risikoarten unterscheiden sich je nach Norm: In ISO 9001 stehen Prozess- und Lieferrisiken im Fokus, in ISO 45001 Arbeitsschutzrisiken aus der Gefährdungsbeurteilung, in ISO 14001 Umweltrisiken und in ISO 27001 Informationssicherheitsrisiken. Ein gemeinsames Werkzeug über alle Bereiche hinweg ist häufig eine einheitliche Risikomatrix mit vergleichbaren Bewertungskriterien.
Ein häufiger Fehler in der Praxis ist, Risikomanagement als einmalige Übung zur Auditvorbereitung zu betreiben, statt es als fortlaufenden Prozess mit regelmäßiger Aktualisierung zu verstehen. Veränderte Marktbedingungen, neue Technologien oder personelle Wechsel erfordern eine wiederkehrende Überprüfung bestehender Risikobewertungen.
Ein bewährter Ansatz ist die Verknüpfung des Risikomanagements mit der jährlichen Managementbewertung, sodass Risikoentwicklung und Wirksamkeit regelmäßig auf oberster Führungsebene besprochen werden.
- ISO 31000 als generischer Rahmen für jedes Risikomanagement
- Risikobasiertes Denken seit Annex SL Pflichtbestandteil aller ISO-Normen
- Norm-spezifische Risikoarten: Prozess, Arbeitsschutz, Umwelt, Informationssicherheit
- Verknüpfung mit der Managementbewertung sichert regelmäßige Überprüfung auf Führungsebene
Relevanz für die Zertifizierung
Seit Einführung der High Level Structure verlangt Kapitel 6.1 in jeder zertifizierbaren Norm den Nachweis eines dokumentierten Risikomanagement-Prozesses samt Risikomatrix und nachverfolgten Maßnahmen. Dieser Nachweis gehört bei ISO 9001, 14001, 45001 und 27001 gleichermaßen zu den zentralen, immer wieder abgefragten Auditunterlagen. Auditoren bewerten insbesondere, ob identifizierte Risiken tatsächlich zu konkreten, nachverfolgten Maßnahmen geführt haben. Eine klare Verknüpfung zwischen Risikomanagement und Managementbewertung überzeugt Auditoren besonders bei der Bewertung der Wirksamkeit. Auch eine klare, für alle verständliche Sprache bei der Risikobeschreibung erleichtert es Auditoren wie Beschäftigten gleichermaßen, die tatsächliche Tragweite eines Risikos einzuschätzen.
Häufige Fragen zu Risikomanagement
Ja, seit Einführung der High Level Structure (Annex SL) ist risikobasiertes Denken in Kapitel 6.1 fester Bestandteil aller modernen Managementsystemnormen – unabhängig davon, ob es sich um ISO 9001, 14001, 45001 oder 27001 handelt. Die konkreten Risikoarten unterscheiden sich je nach Norm.
Risikomanagement ist als fortlaufender Prozess zu verstehen, nicht als einmalige Übung zur Auditvorbereitung. Veränderte Marktbedingungen, neue Technologien oder personelle Wechsel erfordern eine wiederkehrende Überprüfung. Praktisch empfiehlt sich mindestens eine jährliche Aktualisierung, ergänzt um anlassbezogene Prüfungen bei relevanten Veränderungen. Auch eine einzelne, gut begründete außerplanmäßige Aktualisierung nach einem konkreten Vorfall gilt als positives Signal im Audit.
ISO 31000 selbst schreibt kein bestimmtes Werkzeug vor, sondern nur den Rahmen aus Kontext festlegen, Risiken identifizieren, analysieren, bewerten, behandeln und überwachen. In der Praxis wird dieser Rahmen meist über eine einheitliche Risikomatrix mit vergleichbaren Bewertungskriterien für alle Managementsysteme umgesetzt.