Risikomatrix - Ikone des Risikomanagements / Produkt aus dem Risikomanagementprozess

Sie hat es auf die Titelseiten von Monographien gebracht. Sie ziert Logos von spezialisierten Beratungsgesellschaften. Sie ist eine Berichtsform aus praktisch jeder Risikomanagementsoftware - was auch immer Risikomanagementsoftware ist. Sie wird von internationalen Normen (IEC / ISO 31010:2009) als Werkzeug und Methode - kritiklos - empfohlen. Die zweidimensionale Risikomatrix. Sie ist Programm und (Zwischen)- "Produkt" eines Risikomanagements zugleich. Sie ist das Ergebnis des Prozesschritts "Risiken bewerten" des Risikomanagementprozesses.

Ihr liegt das Verständnis zugrunde, Risiko kann in zwei Komponenten (Wirkungsausmass und Eintrittswahrscheinlichkeit oder Häufigkeit eines Ereignisses) zerlegt werden. Ihr liegt das Verständnis zugrunde ihre beiden Komponenten miteinander kombiniert - der Einfachheit halber miteinander multipliziert - ergeben wieder Risiko. (Ob das uneingeschränkt richtig ist oder ob es immer sinnvoll - was nichts mit richtig zu tun hat -  ist, klammere ich hier bewusst aus.)

Sie gibt es halb-quantitativ mit Bewertungen durch Worte entlang der beiden Koordinidatenachsen. Sie gibt es voll-quantitativ mit Bewertungen durch Zahlen in bester Kennzahlenmanier entlang der beiden Koordinatenachsen. Und natürlich können diese Achsen in jeder Manier von linear bis logarithmisch skaliert werden.

Sie schlägt mit ihrer Verwandtschaft zur dreidimensionalen FMEA-Matrix eine Brücke zwischen Risiko- und Qualitätsmanagement, die sehr hilfreich für das Verständnis ist.

Sie kann spielen, und tut das auch sogar in einigen der großen DAX-Unternehmen, die zentrale Rolle in der Kommunikation und in der Dokumentation von Risiken in der Praxis des Betriebs von Risikomanagement.

Ich halte mal positiv fest: An der Risikomatrix lässt sich wirklich gut über Risiko reden. Das ist nie falsch.

ISO 31000 - Umsetzung durch Integration; Nachweis der Umsetzung durch Zertifizierung - Zertifikat / Testierung - Testat



ISBN  3-8169-3062-4




























Ich hatte einige Anfragen zu den Themen Integration und Zertifizierung von Risikomanagement nach der ISO 31000:2009. Als eine erste Referenz kann ich auf mein aktuelles Buch verweisen, welches neben diese Themen - ergänzend zu einen Durchgang durch alle fünf Normkapitel - anspricht.

Daneben verweise ich auf einige der vorausgegangenen Posts, in denen schon "sehr viel" drin steht.

Gewissheit über die Ungewissheit oder Gewissheit ?

Risiko ist ein Merkmal von Systemen, welches die Ungewissheit ihres Zustands in der Zukunft beschreibt. Risikomanagement sind Aktivitäten, die Risiken verändern. Der minimale generische Risikomanagementprozess hat drei Schritte:

1. Risiko definieren und identifizieren.
2. Risiko beurteilen.
3. Risiko steuern.

Der Schritt 1 identifiziert und schafft Zusammenhänge.
Der Schritt 2 schafft (mehr oder weniger) Gewissheit über die Ungewissheit.
Der Schritt 3 schafft (bei Erfolg) (mehr oder weniger) Gewissheit.

Der Risikomanagementprozess nach der Norm ISO 31000:2009 macht im Kern nichts anderes als diese drei Schritte und bringt eine Peripherie von Kommunikation, Dokumentation, Überwachung, Überprüfung, usw. mit.

Risikomanagement nach der ONR 49000 ! Wozu ?

Die österreichischen Normenregel ONR 49000 (eine Normenregel ist keine Norm!) empfahl und empfiehlt sich noch immer als "Umsetzung der ISO 31000 in der Praxis".

Das mag von gewissem Interesse gewesen sein, als es den Normtext der ISO 31000 noch nicht "offiziell" in deutscher Sprache gab.

Das mit der Praxis war schon immer eine etwas fragwürdige Aussage, da Risikomanagement immer in der Praxis umgesetzt wird und dabei entweder den Anforderungen einer Norm entspricht (Anforderungsnorm) oder den Grundsätzen und Leitlinien einer Norm folgt (Leitliniennorm) oder andere, kommunizierte und dokumentierte Praktiken (Standards) berücksichtigt. Umsetzung ist immer Praxis!

Die Umsetzung eines Risikomanagements bezog sich schon immer auf ein oder mehrere bestimmte Risikofelder für die es gilt, konkrete Festlegungen und Zusammenhänge zu identifizieren und zu erstellen, um die Risiken managen zu können. Risikomanagement ist vom Selbstverständnis immer integriert, was im Normtext der ISO 31000 als Grundsatz auf der Prozessebene explizit formuliert wird.

Ob die Zertifizierung der Umsetzung eines Risikomanagements einen Nutzen bringt, muss individuell und situativ betrachtet werden. Die ONR 49000 positioniert sich selbst zur Zertifizierung eines Risikomanagements. Die ISO 31000 positioniert sich selbst als nicht zur Zertifizierung vorgesehen.

Natürlich kann eine Umsetzung eines Risikomanagements nach der ISO 31000 zertifiziert werden - und wird auch zertifiziert, nämlich dort, wo es Nutzen bringt: In einem Integrierten Management. In der Praxis.

Integration / Integriertes Management / Risikomanagement / Wertemanagement

Sachlagwort und Paradigma zugleich: Integration / Integriertes Management

Ein starker Inpuls dazu geht von der ISO 31000:2009 aus. In ihrem Kapitel 3 Grundsätze formuliert sie den Grundsatz:

b) Risikomanagement ist Bestandteil aller Organisationsprozesse.

Der Grundsatz zieht implizit nach sich:
- Die ISO 31000 und damit ein Risikomanagement kann und soll nur in einem Integrierten Management / Risikomanagement erfolgen.
- Risikomanagement ist das Management der Perspektive "Risiko" aller Prozesse.
- Risikomanagement ist insbesondere das Management der Perspektive "Risiko" des Wertschöpfungsprozesses.

Risikomanagement, welches sich auf alle Prozesse (eines Unternehmens) bezieht, ist ein unternehmensweites Risiko- management / ERM - Enterprise Risk Management. Risikomanagement, welches sich auf einen Prozess (z. B. der IT-Prozess) bezieht, ist ein fokussiertes und differenziertes Risikomanagement.

... und plötzlich ist das Verständnis von Integriertem Management ganz einfach ...

... egal ob integral, integriert, integrierend, integrativ, ...

ISO 31000: Was bitte ist ein (englisch) Framework (deutsch) Rahmen ?

Nun wird ein globales Autorenteam, wie die Macher der internationalen Norm ISO 31000, wohl nie einen der renommierten Literaturpreise bekommen ...

Andererseits habe ich in diesem Blog schon mehrfach auf die Probleme von uneindeutiger Semantik und unscharfer Übersetzung hingewiesen. Das (englische) Clause 4 Framework und das entsprechende (deutsche) Kapitel 4 Rahmen bringen im Titel die Begriffe (englisch) Framework und (deutsch) Rahmen in die Diskussion. Framework, bzw. Rahmen weden im (englischen) Clause 2 Terms and Definitions und im (deutschen) Kapitel 2 Begriffe langatmig und umständlich definiert, so dass ich auf die Wiedergabe der Definition verzichten will. Man kann Framework als Rahmen übersetzen oder als Rahmenbedingungen interpretieren. Anstelle von (englisch) Framework und (deutsch) Rahmen rücken in der praktischen Anwendung der Norm die ganz konkreten Sachverhalte Risikomanagementpolitik und Risikomanagementsystem in einander ergänzendem Verständnis in den Vordergrund. In der Logik folgt dann (englisch) Clause 5 Process und (deutsch) Kapitel 5 Prozess der Risikomanagementprozess. Der Normtext verwendet den Begriff Risikomanagementsystem explizit nie, sehr wohl aber den Begriff Risikomanagementpolitik.

Ich würde Risikopolitik gegenüber Risikomanagementpolitik den Vorzug geben. Das wäre brauchbar, denn wir reden von Unternehmenspolitik und von Qualitätspolitik, sowie von Managementsystem, Qualitätsmanagementsystem und Risikomanagementsystem.

Die deutschen Übersetzungen orientieren sich an dem Entwurf E DIN ISO 31000:2011 vom Januar 2011.

ISO 31000: Zertifizierung / Testierung oder nicht ?

Die Norm ISO 31000:2009 erklärt sich selbst im Normtext Kapitel 1 Anwendungsbereich als "Diese Internationale Norm dient nicht zum Zweck einer Zertifizierung.". Das ist die eine halbe Wahrheit. An anderer Stelle (in Kapitel 3 Grundsätze) erklärt sie Risikomanagement als "b. Risikomanagement ist Bestandteil aller Organisationsprozesse". Das ist die andere halbe Wahrheit.

Daraus ergeben sich für eine Zertifizierung die folgende Praktiken:

(1) Risikomanagement nach der Norm ISO 31000 wird in einem Integrierten Managementsystem z. B. zusammen mit dem Qualitätsmanagement nach der ISO 9001 (und ggfls. mit den weiteren üblichen Verdächtigen "14001" und "18001") zertifiziert. Dieses Verfahren wird im Mittelstand bei GmbHs häufig angewandt.

(2) Risikomanagement wird vom Wirtschaftsprüfer entsprechend den standardisierten Prüfverfahren testiert. Dieses Risikomanagement kann (und soll sinnvollerweise) nach den Grundsätzen und Richtlinien der Norm ISO 31000 umgesetzt werden und muss die entsprechenden Merkmale des Prüfungsstandards enthalten. Dieses Verfahren wird bei AGs, welche Risikomanagement aus Forderungen des Aktiengesetzes und des Gesetzes zur Kontrolle und Transparenz im Unternehmensbereich betreiben, angewandt. Die meisten dieser Umsetzungen von Risikomanagement in AGs sind konform zu den Grundsätzen und Richtlinien der Norm ISO 31000 ohne dies explizit zu erwähnen. Das gilt auch für viele Umsetzungen von Risikomanagement, die vor der Veröffentlichung der Norm ISO 31000 erfolgt sind.

Gegenwärtig prüfen viele Unternehmen, welche Impulse sie aus einem Risikomanagement nach den Grundsätzen und Richtlinien der Norm ISO 31000 erhalten und ob und wie eine Zertifizierung Sinn macht.

AGs müssen aufgrund gesetzlicher Forderungen ein Risikomanagement umsetzen, welches testiert wird. Dieses Risikomanagement muss nicht explizit der Norm ISO 31000 folgen.

GmbHs können ein Risikomanagement umsetzen, welches nicht unbedingt zertifiziert werden muss. Dieses Risikomanagement muss nicht explizit der Norm ISO 31000 folgen.

Zur Erinnerung: Ein Unternmehmen muss nicht (aufgrund gesetzlicher Forderungen), kann aber (aufgrund anderer Forderungen, z. B. Markt- und Kundenforderungen) ein Qualitätsmanagement umsetzen. Ein solches Qualitätsmanagement kann bzw. muss der Norm ISO 9001 und / oder anderen branchenspezifischen Standards folgen.