Die ISO 31000:2018 ist eine ISO-Norm, die sich mit Risikomanagement beschäftigt. Dabei legt die Norm Leitlinien fest, die den Umgang mit Risiken in einer Organisation beschreiben. Die spezielle Anwendung dieser Leitlinien kann an jedes Unternehmen in seiner spezifischen Umgebung angepasst werden. Der Standard liefert einen sehr allgemeinen Ansatz, der nicht industrie- oder sektorspezifisch ist und gleichzeitig für jegliche Art von Risiken anwendbar ist. Darüber hinaus kann die Norm während der gesamten Lebensdauer eines Unternehmens verwendet werden und ist auf allen Unternehmensebenen sowie im Prozess der Entscheidungsfindung implementierbar.ISO Norm 31000:2018, Kapitel 1: Anwendungsbereich
Allgemeines Die Norm 31000 ist in drei Sprachen veröffentlicht: Englisch, Französisch und Deutsch. Die deutsche Übersetzung wurde von dem technischen Komitee ISO/TC 262 „Risk Management“ erarbeitet. Nach dem Beschluss von 12/2017 des NA 175-00-04 AA wird die ISO 31000:2018 in das deutsche DIN-Normenwerk übernommen. Die Vorgängernorm wurde nach Ablauf des zweijährigen Norm-Entwurfs wieder ersatzlos zurückgezogen. Die ISO Norm 31000 ist ausdrücklich nicht zu Zertifizierungszwecken geschaffen. Vielmehr sagt die Norm aus, dass „die ISO 31000 Empfehlungen liefert, die an die spezifischen Organisationen angepasst werden können oder müssen und keine Anforderungen vorgibt.“ISO Norm 31000:2018 Kapitel: Nationales Vorwort Eine gesetzliche Basis zur Zertifizierung stellt die ONR49001.
Ziele der Norm Reputations- oder Markenschäden, Cyberkriminalität, politische Risiken und Terrorismus sind nur einige Risiken, die private und öffentliche Organisationen aller Art und Größe auf der ganzen Welt mit zunehmender Häufigkeit befürchten müssen. Die neueste Version der ISO 31000 wurde vorgestellt, um bei dem Umgang mit diesen Unsicherheiten zu helfen. Die ISO 31000:2018 liefert eine klarere, kürzere und prägnantere Anleitung, die Organisationen dabei hilft, Risikomanagement-Prinzipien zu nutzen und um die Planung und Umsetzung zu verbessern, um somit bessere Entscheidungen treffen zu können. Die ISO 31000 unterstützt Organisationen dabei, eine Risikomanagementstrategie zu entwickeln, die effektiv Risiken identifiziert und abschwächt, und erhöht damit die Wahrscheinlichkeit, dass eine Organisation ihre Ziele erreicht und ihre Vermögenswerte schützen kann. Das übergeordnete Ziel ist die Entwicklung einer Risikomanagementkultur, in der Mitarbeiter und Stakeholder sich der Wichtigkeit des Risikomanagements bewusst sind. Die Implementierung von ISO 31000 hilft ebenfalls Organisationen, sowohl die positiven Chancen als auch die negativen Konsequenzen zu sehen, die mit Risiken verbunden sind, und ermöglicht eine fundiertere und damit effektivere Entscheidungsfindung bei der Zuteilung von Ressourcen. Darüber hinaus kann es eine aktive Komponente bei der Verbesserung der Unternehmensführung und letztlich seiner Leistung sein.
Besonderheiten Insgesamt lassen sich fünf Besonderheiten der ISO-Norm 31000:2018 beschreiben.
Top-down-Ansatz Das Risikomanagement folgt dem Top-down-Ansatz. Das bedeutet, dass die wesentlichen Risiken eines Unternehmens identifiziert, analysiert und behandelt werden, wobei die Details nicht von vornherein im Mittelpunkt stehen. Vielmehr geht es darum, die allgemeinen wichtigen Aspekte zu behandeln. Dieser Ansatz unterscheidet sich zu den Regulatoren der Finanzbranche, wie etwa Basel III oder Solvency II. Diese dienen auch dem Identifizieren von Risiken, sind jedoch eher als Bottom-up-Ansatz zu klassifizieren.
Risikomanagement ist eine umfassende Führungsaufgabe mit einem gegebenen Regelkreis Das Umgehen mit Risiken erfolgt iterativ und unterstützt Organisationen dabei, Strategien festzulegen, Ziele zu erreichen und fundierte Entscheidungen zu treffen. Das Umgehen mit Risiken ist Teil der Leitung und Führung und entscheidet darüber, wie diese Organisation auf allen Ebenen geführt wird. Es handelt sich um eine Verpflichtung der obersten Leitung, das Risikomanagementsystem zu implementieren. Dabei wird iterativ nach dem Demingkreis vorgegangen. Dieser lässt sich nach dem „Plan – Do – Check – Act“-Prinzip zusammenfassen.
Branchenübergreifender Ansatz Da Organisationen jeglicher Art und Größe externen und internen Faktoren und Einflüssen unterliegen, die das Erreichen ihrer Ziele ungewiss machen können, ist die ISO-Norm 31000 prinzipiell für alle Arten von Organisationen anwendbar. Sie lässt sich beispielhaft für Unternehmen der verarbeitenden Industrie sowie der Dienstleistungsbranche anwenden. Aber auch eine Implementierung für Unternehmen von öffentlichen Verwaltungen oder Nichtregierungsorganisationen ist möglich.
Funktionsübergreifend Die ISO-Norm 31000:2018 geht über das Konzept des internen Kontrollsystems hinaus und trägt vielmehr zu der Verbesserung von Managementsystemen bei. Das Umgehen mit Risiken ist Teil aller Aktivitäten einer Organisation und umfasst die Interaktion mit Stakeholdern. Zusätzlich berücksichtigt die Norm das Umgehen mit Risiken im externen und internen Kontext der Organisation einschließlich menschlichen Verhaltens und kultureller Faktoren und ist somit funktionsübergreifend.
International breit abgestütztes Konzept Entwickelt durch die ISO-Vereinigung mit Sitz in Genf, an denen Experten aus Europa, Amerika und Asien mitwirkten, besitzt die Norm somit ein besonderes Gewicht sowie internationale Aufmerksamkeit.
Aufbau und Inhalte der Norm Das Umgehen mit Risiken basiert auf den Grundsätzen, dem Rahmenwerk und dem Risikoprozess. Zusätzlich definiert die Norm noch wesentliche Begriffe des Risikomanagements.
Begriffsdefinition Insgesamt definiert die ISO-Norm 31000 acht Begriffe aus dem Kontext des Risikomanagements. Dabei handelt es sich lediglich um die wichtigsten Begriffe. In der vorhergehenden Norm waren noch 29 Begriffe definiert, womit durch die Überarbeitung eine deutliche Kürzung in diesem Bereich stattfand. Folgende Begriffe werden definiert und ggf. mit Anmerkungen versehen.ISO Norm 31000:2018, Kapitel 3: Begriffe
Risiko = „Auswirkung von Unsicherheit auf Ziele“. Eine Auswirkung stellt dabei sowohl eine Abweichung in positiver oder negativer Richtung als auch in beide Richtungen dar. Üblicherweise wird Risiko anhand der Risikoursache, der potenziellen Ereignisse, ihrer Auswirkungen und ihrer Wahrscheinlichkeit dargestellt. Risikomanagement = „Koordinierte Aktivität zur Lenkung und Steuerung einer Organisation in Bezug auf Risiken“. Stakeholder = „Person oder Organisation, die eine Entscheidung oder Aktivität beeinflussen kann, von dieser beeinflusst werden kann oder den Eindruck haben kann, davon beeinflusst zu werden“. Alternativ kann der Begriff „interessierter Kreis“ verwendet werden. Risikoquelle/Risikoursache = „Element, das alleine oder gemeinsam mit anderen Faktoren potenziell zu Risiken führt“. Ereignis = „Eintritt oder Veränderung einer bestimmten Kombination von Umständen“. Ein Ereignis kann einmal oder mehrmals eintreten und mehrere Ursachen sowie Auswirkungen haben. Auswirkung = „Ergebnis eines Ereignisses, welches die Ziele betrifft“. Eine Auswirkung kann gewiss oder ungewiss sein und qualitativ oder quantitativ beschrieben werden. Wahrscheinlichkeit = „Möglichkeit, dass etwas geschieht“. Eine Wahrscheinlichkeit muss nicht nach mathematischen Begriffen beschrieben werden, sondern kann auch allgemein gekennzeichnet werden. Steuerung = „Maßnahme, die das Risiko aufrechterhält und/oder verändert“.
Grundsätze Die ISO-Norm 31000 legt Grundsätze fest, die helfen sollen, den Zweck des Risikomanagements (Werte zu schaffen und zu bewahren) zu erreichen. Dabei sollen die Grundsätze eine Grundlage dafür bilden, wie mit Risiken umzugehen ist, und sollten deshalb bei der Entwicklung des Rahmenwerkes und der Prozesse eines Risikomanagementsystems berücksichtigt werden.
Unter Beachtung der Grundsätze sollte ein effektives Risikomanagement somit integriert, strukturiert, umfassend, maßgeschneidert, einbeziehend und dynamisch sein. Zusätzlich sollten die besten verfügbaren Informationen verwendet und menschliche sowie kulturelle Faktoren berücksichtigt werden und eine fortlaufende Verbesserung des Risikomanagements stattfinden.ISO Norm 31000:2018, Kapitel 4: Grundsätze
Rahmenwerk Die Wirksamkeit des Risikomanagements hängt davon ab, wie erfolgreich es in die internen Aktivitäten einer Organisation, vor allem von der Organisationsleitung, implementiert wird. Das Risikomanagement-Rahmenwerk fördert die Integration des Risikomanagements in die bedeutenden Funktionen und Prozesse der Organisation. In einem Rahmenwerk werden auch die existierenden Risikomanagementverfahren und -prozesse samt bestehender Lücken erfasst, behandelt und bewertet.ISO Norm 31000:2018, Kapitel 5: Rahmenwerk
Das Rahmenwerk umfasst folgende Komponenten des Risikomanagements:
1) Integration 2) Gestaltung 3) Implementierung 4) Bewertung 5) Verbesserung
Diese müssen an die Bedürfnisse der Organisation angepasst werden.
Die Aufgaben der Organisationsführung und der internen Aufsichtsorgane sind die Integration des Risikomanagements in die Organisationsaktivitäten sowie der Nachweis einer erfolgreichen Implementierung. Dies umfasst die Anpassung der Komponenten des Rahmenwerks an die Bedürfnisse der Organisation, die Festlegung eines Plans, der alle erforderlichen Ressourcen umfasst, und das Zuweisen der Aufgaben auf allen Ebenen der Organisation. Die Unternehmensleitung ist im Prinzip für die Festlegung der allgemeinen Strategie zum Umgehen mit Risiken verantwortlich, während sich die Aufsichtsorgane mehr mit der Überwachung des Risikomanagements beschäftigen.
Integration Eine wichtige Voraussetzung für die erfolgreiche Integration des Risikomanagements ist das Verständnis der internen Organisation des Unternehmens. Die Teile der Organisationsstruktur des Unternehmens unterscheiden sich nach Zwecken, Zielen und Komplexität. Mit Risiko wird aber in jedem Teil umgegangen. Die Unternehmensleitung legt die allgemeine Strategie zum Umgang mit Risiken, den einzelnen Leitlinien sowie der Rechenschafts- und Aufsichtspflicht fest. Die Integration des Risikomanagements ist ein dynamischer Prozess, der an die Ziele und Abläufe des Unternehmens ständig angepasst werden muss.
Gestaltung Bei der Gestaltung des Rahmenwerkes müssen sowohl interne als auch externe unternehmensspezifische Faktoren berücksichtigt werden.
Externe Faktoren umfassen sämtliche sozialen, rechtlichen, finanziellen und wirtschaftlichen Auseinandersetzungen auf lokaler, nationaler und internationaler Ebene, die die Ziele der Organisation beeinflussen. Zusätzlich müssen externe Schlüsselfaktoren und Trends berücksichtigt werden. Auch die Beziehungen zu externen Personen, vertragliche Verpflichtungen, die Komplexität der Netzwerke und Abhängigkeiten der Organisation sind zu den externen Faktoren zu zählen.
Interne Faktoren sind die Vision, Mission und Werte sowie die Kultur der Organisation und deren interne Struktur. Die Verteilung der Leitungs- und Aufsichtsfunktionen, die übernommenen und angewandten Normen, Leitlinien und Modelle sowie verfügbare Ressourcen und Kapital (auch Humankapital) sind ebenfalls relevante interne Faktoren. Zusätzlich nennt die Norm noch die Informations- und Datensysteme, die Beziehungen zu internen Stakeholdern sowie die Realisation der vertraglichen Beziehungen und Verpflichtungen.
Die Organisationsleitung bzw. die Aufsichtsorgane müssen sich zum langfristigen Risikomanagement verpflichten, indem sie klar definierte Ziele, Bedürfnisse, Rechenschaftspflichten, notwendige Ressourcen, Vorgehensweisen sowie Maßnahmen zur Überprüfung und weitere Verbesserungen des Risikomanagementsystems im Unternehmen schriftlich verfassen und diese innerhalb der Organisation sowie mit den externen Unternehmenseignern kommunizieren.