ISO 31000 – Risikomanagement
Die ISO 31000 beschreibt, wie eine Organisation mit Unsicherheit umgeht. Sie gilt für jede Branche und jede Größe. Und sie ist etwas anderes als die Normen daneben: ein Leitfaden, keine Anforderungsnorm. Nach ISO 31000 kann man sich nicht zertifizieren lassen. Es gibt kein Zertifikat und keine Stelle, die eines ausstellt.
Das ist kein Nachteil, sondern der Zweck. Die Norm gibt einen Rahmen vor, nach dem Sie arbeiten. Nachweisen lässt sich dieser Rahmen dort, wo er ohnehin gefordert wird: in den Managementsystemnormen, die eine Risikobetrachtung verlangen. Wer die Systematik der ISO 31000 sauber aufsetzt, bedient damit ISO 9001, ISO/IEC 27001 und ISO 22301 gleichzeitig. Genau das ist der praktische Nutzen. Mehr dazu auf unserer Leistungsseite Risikomanagement.
Wen sie betrifft
- Betriebe, die mehrere Normen betreiben und nicht dreimal dieselben Risiken bewerten wollen
- Organisationen, die Kapitel 6.1 der ISO 9001 bisher als Pflichtübung abgehakt haben
- Unternehmen, in denen die Geschäftsführung eine eigene Risikoliste führt, getrennt vom Managementsystem
- Alle, die vor einer Zertifizierung nach ISO/IEC 27001 oder ISO 22301 stehen – dort ist die Methodik Pflicht
Woran es in der Praxis hakt
Die Norm wird für zertifizierbar gehalten
Das ist die häufigste Fehlannahme. Ein Kunde fordert „Risikomanagement nach ISO 31000“, der Betrieb sucht eine Zertifizierungsstelle – und findet keine. Manche Anbieter verkaufen dann Personenzertifikate oder eigene Prüfsiegel. Beide sind kein Nachweis für Ihr Unternehmen.
Der Weg ist ein anderer. Sie bauen die Systematik nach ISO 31000 auf und weisen sie über die Managementsystemnormen nach. Im Audit zur ISO 9001 oder ISO/IEC 27001 zeigen Sie Ihre Risikobetrachtung. Der Auditor sieht dort eine belastbare Methodik statt einer improvisierten Tabelle. Das reicht in aller Regel auch dem Kunden, der ursprünglich gefragt hat.
Risikomanagement läuft neben dem Managementsystem her
In vielen Betrieben gibt es zwei Welten. Die Geschäftsführung pflegt eine Risikoliste für Bank, Gesellschafter oder Versicherung. Parallel dazu existiert die Risikobetrachtung aus Kapitel 6.1 der ISO 9001, meist im Qualitätsmanagement.
Beide meinen dasselbe. Gepflegt werden sie doppelt, mit unterschiedlichen Skalen und unterschiedlichen Terminen. Irgendwann widersprechen sie sich. Dieselbe Sache steht einmal als kritisch und einmal als beherrscht drin. Spätestens im Audit fällt das auf. Der Aufwand ist doppelt und das Ergebnis schlechter als eine gemeinsame Liste.
Bewertungsskalen ohne gemeinsames Verständnis
Fast jeder Betrieb bewertet nach Eintrittswahrscheinlichkeit und Auswirkung. Nur legt jede Abteilung „hoch“ und „mittel“ anders aus. Für die Produktion ist ein Tagesausfall hoch, für den Vertrieb erst ein verlorener Großkunde.
Die Summe ist eine Liste, die sich nicht priorisieren lässt. Die Zahlen sehen vergleichbar aus, sind es aber nicht. Abhilfe schafft eine kurze, verbindliche Definition je Stufe, mit Beträgen, Zeiträumen oder Mengen statt Adjektiven. Das ist eine Sache von einem Workshop, und danach diskutiert niemand mehr über Bauchgefühl.
Wie wir begleiten
Wir starten mit dem, was schon da ist. Meist finden wir zwei oder drei Listen im Betrieb. Daraus wird eine Systematik: ein Kontext, eine Skala, ein Turnus, ein Verantwortlicher je Risiko.
Danach binden wir das in Ihr Managementsystem ein, damit es nicht wieder danebenläuft. Details dazu unter Managementsystem aufbauen. Ob die Systematik im Alltag trägt, zeigt sich im ersten Durchlauf. Hier hilft Interne Audits & GAP-Analysen.
Wer das bei uns macht
Marion Rammé – IRCA certified and registered QMS / EMS / OHSMS Lead Auditor #01194927
Rüdiger Rammé – IRCA certified and registered QMS / OHSMS Lead Auditor #01192806
Verwandte Normen
- ISO 9001 – Qualitätsmanagement, verlangt Risiken und Chancen in Kapitel 6.1
- ISO/IEC 27001 – Informationssicherheit, mit eigener Risikomethodik als Pflichtteil
- ISO 22301 – Business Continuity, baut direkt auf der Risikobetrachtung auf
Häufige Fragen
Kann man sich nach ISO 31000 zertifizieren lassen?
Nein. Die ISO 31000 ist als Leitfaden geschrieben und enthält keine prüfbaren Anforderungen. Es gibt deshalb keine akkreditierte Stelle, die ein Unternehmenszertifikat dafür ausstellt. Was Sie am Markt an Zertifikaten finden, sind Personenqualifikationen oder herstellereigene Siegel. Der Nachweis läuft in der Praxis über die Managementsystemnormen, die eine Risikobetrachtung fordern.
Wie verhält sich das zu Kapitel 6.1 der ISO 9001?
Die ISO 9001 verlangt, dass Sie Risiken und Chancen bestimmen und behandeln. Sie sagt aber nicht, wie. Genau diese Lücke füllt die ISO 31000 mit Vorgehen, Begriffen und Prozessschritten. In der Praxis heißt das: eine Systematik, ein Register – und Kapitel 6.1 ist damit erledigt.
Was kostet der Aufbau?
Deutlich weniger als ein Managementsystemprojekt. Meist reicht ein überschaubarer Einstieg: ein Workshop mit der Führungsebene, der Aufbau der Systematik und die Einbindung in Ihre bestehenden Abläufe. Zertifizierungsgebühren fallen nicht an, weil es keine Zertifizierung gibt.
Wie viele Risiken sind sinnvoll?
Weniger, als die meisten anlegen. Ein mittelständischer Betrieb steuert erfahrungsgemäß zehn bis zwanzig Risiken auf oberster Ebene sinnvoll. Alles darüber wird nicht mehr besprochen, sondern nur noch verwaltet. Einzelne Bereiche dürfen darunter eigene, feinere Betrachtungen führen.
Wer im Betrieb muss beteiligt sein?
Die Geschäftsführung, sonst wird es eine Übung des Qualitätsmanagements. Dazu die Verantwortlichen der wesentlichen Bereiche, weil sie die realen Risiken kennen. Für einzelne Themen holen Sie Fachleute dazu, etwa IT oder Arbeitssicherheit. Beteiligt sein heißt bewerten und entscheiden – nicht nur eine Liste abzeichnen.
Sprechen wir darüber
Das Erstgespräch ist kostenlos und unverbindlich.