Risikomanagement

Risiko ist die Auswirkung von Unsicherheit auf Ihre Ziele. Jeder Betrieb geht damit um, die Frage ist nur, ob bewusst und systematisch oder nebenbei. Wer Risiken systematisch betrachtet, entscheidet früher und nicht erst unter Druck.

In der Praxis endet das oft in einer Tabelle. Einmal im Jahr wird sie gefüllt, bewertet und abgelegt. Sie erfüllt die Norm und ändert nichts. Ein Risikoregister, das niemand nutzt, ist den Aufwand nicht wert. Der Wert entsteht nicht beim Aufschreiben. Er entsteht, wenn aus einem Risiko eine Maßnahme wird, jemand dafür zuständig ist und später jemand prüft, ob sie gewirkt hat.

Für wen das gedacht ist

Ihre Geschäftsführung führt eine eigene Risikoliste, das Qualitätsmanagement eine zweite – und beide kennen sich nicht
Ein Kunde fordert „Risikomanagement nach ISO 31000“, und Sie wissen nicht, wie Sie das nachweisen sollen
Sie stehen vor einer Zertifizierung nach ISO/IEC 27001 oder ISO 22301, wo eine Risikomethodik Pflicht ist
Nach einem Vorfall wurde die Ursache nie sauber ermittelt, und derselbe Fehler kam ein halbes Jahr später wieder
Ihr Register hat achtzig Einträge, und niemand kann sagen, welche fünf davon wirklich zählen

Strategisches Risikomanagement

Strategische Risiken entstehen außerhalb Ihrer Abläufe: im Markt, in der Gesetzgebung, in der Technik. Dafür braucht es einen anderen Blick als für Prozessfehler.

PESTEL

Ein Raster für den Blick nach außen. Betrachtet werden politische, wirtschaftliche, soziale, technologische, ökologische und rechtliche Entwicklungen. Wir gehen die sechs Felder mit Ihnen durch und fragen jedes Mal: Was heißt das konkret für Ihren Betrieb? Das Ergebnis ist eine belastbare Beschreibung Ihres Kontextes – die Grundlage für alles Weitere.

SWOT

Stärken, Schwächen, Chancen und Risiken auf einem Blatt. Stärken und Schwächen kommen von innen, Chancen und Risiken von außen. Wer das trennt, bekommt den Blick der Organisation auf ihr Umfeld und damit eine Grundlage für strategische Entscheidungen.

Balanced Scorecard

Strategie über vier Perspektiven: Kunden, Finanzen, interne Prozesse sowie Lernen und Entwicklung. Je Perspektive werden Ziele, Kennzahlen, Vorgaben und Maßnahmen festgelegt. So wird aus einer Absicht ein messbares Ziel. Und Risiken werden dort sichtbar, wo eine Kennzahl dauerhaft unter der Vorgabe bleibt.

Operatives Risikomanagement und Ursachenanalyse

Hier geht es um das, was in Produkten, Prozessen und Anlagen schiefgehen kann. Und darum, was nach einem Fehler passiert.

FMEA

Die Fehlermöglichkeits- und Einflussanalyse, im Original Failure Mode and Effects Analysis. Sie erkennt Risiken in Systemen, Produkten und Prozessen, bevor sie eintreten. Üblich sind drei Varianten: System-, Design- und Prozess-FMEA. Wir moderieren die Runde und achten darauf, dass am Ende Maßnahmen stehen, nicht nur Kennzahlen.

HACCP

Die Gefahrenanalyse mit kritischen Lenkungspunkten, englisch Hazard Analysis and Critical Control Points. Sie ist der Standard in der Lebensmittel- und Lebensmittelzuliefererindustrie. Betrachtet werden Herstellung, Verarbeitung und Transport. Ziel sind wirksame Präventivmaßnahmen, beherrschte kritische Punkte und damit kein Gesundheitsrisiko für die Endverbraucher.

Ursachenanalyse nach Vorfällen

Nach einem Fehler wird meist das Symptom abgestellt. Die sogenannte Korrektur. Wichtig ist aber die eigentliche Ursache, damit eine sinnvolle Korrekturmaßnahme zur Beseitigung der Ursache bestimmt werden kann. Wir arbeiten mit 5-Why und dem Ursache-Wirkungs-Diagramm nach Ishikawa. Das Fischgrätendiagramm ordnet primäre und sekundäre Ursachen nach Kategorien und zeigt Abhängigkeiten. Erst wenn die Ursache feststeht, wirkt eine Korrekturmaßnahme dauerhaft.

Was Sie erhalten

Ein Risikoregister, mit dem gearbeitet wird: je Risiko eine Maßnahme, eine zuständige Person und ein Termin
Eine kalibrierte Bewertungsskala. Jede Stufe ist mit Beträgen, Zeiträumen oder Mengen definiert statt mit Adjektiven. Wenn jede Abteilung „hoch“ anders auslegt, lässt sich die Liste nicht priorisieren. Ein gemeinsames Verständnis der Skala ist wichtiger als die Methode.
Eine Risikobetrachtung statt zweier: die Liste der Geschäftsführung und die Risiken aus Kapitel 6.1 der ISO 9001 werden zusammengeführt
Eine Systematik nach ISO 31000, die Sie im Audit vorlegen können – auch für ISO/IEC 27001 und ISO 22301
Eine Wirksamkeitsprüfung nach dem ersten Durchlauf: Welche Maßnahme hat gewirkt, welche nicht?
Für Vorfälle eine dokumentierte Ursachenanalyse, aus der die Korrekturmaßnahme nachvollziehbar folgt

Wie wir vorgehen

Bestand sichten
Meist liegen schon zwei oder drei Listen im Haus, an unterschiedlichen Stellen. Wir sehen sie uns an und klären, was davon dasselbe meint.
Kontext und Skala festlegen
Ein Workshop mit der Führungsebene. Erst der Kontext über PESTEL oder SWOT, dann die Bewertungsskala. Jede Stufe bekommt eine kurze, verbindliche Definition. Danach diskutiert niemand mehr über Bauchgefühl.
Risiken bewerten und priorisieren
Wir bewerten gemeinsam und kürzen bewusst. Am Ende steht eine überschaubare Zahl von Risiken, über die tatsächlich gesprochen wird. Der Rest bleibt in den Bereichen.
Maßnahmen zuordnen und einbinden
Je Risiko eine Maßnahme, eine zuständige Person, ein Termin. Das Register wird in Ihr Managementsystem eingehängt, damit es nicht daneben herläuft. Damit ist Kapitel 6.1 der ISO 9001 mit erledigt.
Wirksamkeit prüfen
Nach dem ersten Turnus sehen wir nach, was aus den Maßnahmen geworden ist. Was gewirkt hat, bleibt. Was nicht gewirkt hat, wird ersetzt.

Wer das bei uns macht

Marion Rammé – IRCA certified and registered QMS / EMS / OHSMS Lead Auditor #01194927

Rüdiger Rammé – IRCA certified and registered QMS / OHSMS Lead Auditor #01192806

Das Team im Detail

Ein Fall aus der Praxis

Ausgangslage: Ein Standort, zertifiziert nach ISO 9001, rund 6.000 Kundendatensätze im Warenwirtschaftssystem. Im internen Audit kam die Frage auf, ob dieser Kundenstamm jemals gegen die EU-Finanzsanktionsliste geprüft worden war. Er war es nicht. Ein Verstoß gegen das Sanktionsrecht ist kein Formfehler, sondern eine Straftat.

Vorgehen: Abgleich des vollständigen Kundenstamms gegen die konsolidierte Finanzsanktionsliste der EU, die mit allen Namensvarianten rund 24.000 Einträge umfasst. Der Abgleich läuft unscharf, weil Schreibweisen abweichen, und normalisiert vorher Rechtsformen und Allerweltsbegriffe heraus, damit nicht jedes „Trading“ zum Treffer wird. Zweite, unabhängige Prüfschiene ist das Länderrisiko: alle Kunden mit Sitz in Embargo- und Hochrisikoländern, unabhängig vom Namen. Gerechnet wird bewusst lokal. Die fertige Prüfschnittstelle des Datenanbieters hätte Kundennamen an einen Dritten übertragen, was datenschutzrechtlich eine eigene Baustelle eröffnet hätte. So verlässt nur der Download der öffentlichen Liste das Haus, kein einziger Kundendatensatz.

Ergebnis: Neun Verdachtsfälle bei bewusst niedrig gesetzter Trefferschwelle, nach manueller Prüfung kein einziger belastbarer Treffer. Ein Kunde mit Sitz in einem Hochrisikoland wurde zur rechtlichen Klärung markiert. Die Geschäftsführung bekam einen Bericht, der Quelle, Methode und je Verdachtsfall die Rechtsgrundlage nennt, dazu eine Anleitung zur eigenen Nachprüfung. Festgelegt wurde außerdem der Rhythmus: einmal jährlich der gesamte Bestand und zusätzlich jeder Neukunde vor der ersten Lieferung. Die Liste ändert sich täglich, eine einmalige Prüfung ist wertlos.

Kundenname, Trefferliste und Länderauswertung bleiben vertraulich.

Häufige Fragen

Kann man sich nach ISO 31000 zertifizieren lassen?

Nein. Die ISO 31000 ist ein Leitfaden und enthält keine prüfbaren Anforderungen. Es gibt keine akkreditierte Stelle, die dafür ein Unternehmenszertifikat ausstellt. Was am Markt als Zertifikat angeboten wird, sind Personenqualifikationen oder eigene Siegel der Anbieter. Nachgewiesen wird die Systematik über die Managementsystemnormen, die eine Risikobetrachtung fordern.

Was kostet der Aufbau?

Deutlich weniger als ein Managementsystemprojekt. Meist reicht ein Workshop mit der Führungsebene plus der Aufbau der Systematik und die Einbindung in Ihre Abläufe. Nach einem Gespräch über Ihren Betrieb können wir das beziffern.

Wie viele Risiken sind sinnvoll?

Weniger, als die meisten anlegen. Ein mittelständischer Betrieb steuert zehn bis zwanzig Risiken auf oberster Ebene sinnvoll. Alles darüber wird nicht mehr besprochen, sondern nur noch verwaltet. Einzelne Bereiche dürfen darunter feinere Betrachtungen führen, etwa eine FMEA je Prozess.

Wer im Betrieb muss beteiligt sein?

Die Geschäftsführung, sonst wird es eine Übung des Qualitätsmanagements. Dazu die Verantwortlichen der wesentlichen Bereiche, weil sie die realen Risiken kennen. Für einzelne Themen holen Sie Fachleute dazu, etwa aus IT oder Arbeitssicherheit. Beteiligt sein heißt bewerten und entscheiden – nicht nur eine Liste abzeichnen.

Wie verhält sich das zu Kapitel 6.1 der ISO 9001?

Die ISO 9001 verlangt, dass Sie Risiken und Chancen bestimmen und behandeln. Wie das geschieht, sagt sie nicht. Genau diese Lücke füllt die ISO 31000 mit Vorgehen, Begriffen und Prozessschritten. Praktisch heißt das: eine Systematik, ein Register – und Kapitel 6.1 ist damit abgedeckt.

Sprechen wir darüber

Das Erstgespräch ist kostenlos und unverbindlich. Es dauert meist eine halbe Stunde, danach wissen Sie, was auf Sie zukommt und ob wir die Richtigen für Ihr Projekt sind.

Marion Rammé, Hamburg
Rüdiger Rammé, Lüneburg – Telefon: +49 4131 2198634
E-Mail: all@bout-quality.de

Lieber schreiben? Über das Kontaktformular erreichen Sie uns genauso.