Komplexität

Komplexität ist ein Begriff für eine Eigenschaft eines Sachverhalts.
Komplexität ist uneinheitlich definiert.

Ein System, welches komplex ist:

• hat viele Elemente, die sich verändern können
• hat viele Beziehungen, die sich verändern können
• ist offen oder teiloffen in Bezug auf Austausch von Elementen mit seiner Umgebung
• ist offen oder teiloffen in Bezug auf Beziehungen zwischen System und Umgebung
• hat eine Dynamik, die durch die Veränderung mit der Zeit gegeben ist
• ist nicht 1:1 in Bezug auf Ursache und Wirkung, sondern n:m
• ist nicht ohne weiteres umkehrbar nach Veränderungen
• ist nicht linear in der Beziehung zwischen Eingabe und Ausgabe

Ein komplexes System ist nicht vollständig vorhersehbar. Seine Zustände in der Zukunft sind ungewiss. Prognosen sind nicht sicher. Für die Beschreibung derartiger Systeme wird gerne "die Ungewissheit der zukünftigen Entwicklung" formuliert, welche die Komplexität in anderen Worten zum Ausdruckt bringt.

• Typische gering komplexe Systeme sind einfache technische Maschinen.
• Typische komplexe Systeme sind soziale Systeme ("mehr als ein Mensch").
• Typische hoch komplexe Systeme sind hybride Systeme ("Unternehmen als soziales + juristisches + technisches + ökonomisches System").

Komplexe Systeme bringen in Bezug auf Ziele, die in ihnen erreicht werden sollen, Risiken mit sich. Risiko ist die Wirkung von Ungewissheit (Unsicherheit) auf Ziele (nach der Definition von Risiko in der Norm ISO 31000:2009). Risikomanagement ist (auch) Komplexitätsmanagement.

Risikomatrix: Ein-, zwei-, drei- oder vierdimensional?

Die klassische Risikomatrix als mehr oder weniger quantitative Bewertung ist in Einklang mit der unternehmerischen und normierten Praxis zweidimensional: in den orthogonalen Koordinaten Eintrittswahrscheinlichkeit (eines Ereignisses) und Auswirkung (eines Ereignisses). Diese Orthogonalität legt die Bildung eines Produkts aus Eintrittswahrscheinlichkeit und Auswirkung nahe, welches eine eindimensionale Bewertung von Risiko ist.  Die FMEA-Methodik der Risikobewertung von Fehlern ist in dieser Logik eine dreidimensionale Matrix mit der Risikoprioritätenzahl aus dem Produkt dreier Bewertungen als eindimensionale Bewertung von Risiko.

Man kann - ob das sinnvoll ist oder nicht - weitere Eigenschaften von Risiko quantitativ bewerten und diese  Eigenschaften als weitere Koordinaten einer höherdimensionalen Matrix auffassen. Beispiele weiterer quantitativer Eigenschaften von Risiko können sein:

• Die zeitlich Nähe des Risikoereignisses.
• Das Ausmass der Vernetzung des Risikos mit anderen Risiken.

Ob Risiko mit Hilfe von ein, zwei, drei oder mehr Eigenschaften bewertet wird, ist keine Frage von richtig oder falsch. Die erste richtige Frage ist vielmehr:

• Welche Eigenschaften eines Risikos sind erforderlich, um es beurteilen zu können? Reicht die Bewertung einer einzigen Eigenschaft, oder braucht es die Bewertung mehrerer Eigenschaften?

Die zweite richtige Frage ist:

• Können die erforderlichen Eigenschaften mit angemessener Genauigkeit ermittelt werden?

Die dritte richtige Frage ist:

• Ist der Aufwand der Beurteilung und der Steuerung eines Risikos angemessen in Bezug auf den Nutzen des Risikomanagements?

  

Integriertes Risiko Management und Balanced Score Card

"Risiko ist", so die Definition der Norm ISO 31000:2009 2.1 "die Wirkung von Unsicherheit auf Ziele".
"Risikomanagement ist", so der Grundsatz 3.b der Norm ISO 31000:2009 "Bestandteil aller Organisationsprozesse."
Nichts liegt näher und nichts ist einfacher als aufgrund dieser zwei Definitionen oder zwei Grundsätze, Risikomanagement mit Hilfe des Konzepts der Balanced ScoreCard im Unternehmen zu integrieren. Bereits mit den einfachen und klassischen 4 Perspektiven nach Kaplan & Norton ist damit Risikomanagement in die entsprechenden 4 Zielkategorien integriert. Ein unternehmensweites Risikomanagement ist damit grundsätzlich angelegt.

25 Jahre ISO 9001

Vor 25 Jahren tauchte die erste Version dieser Norm für das Management von Qualität auf. Die Idee war, generische Merkmale des Managements von Unternehmen, die "gute Qualität" schaffen, als Anforderungen der Norm zu formulieren. Das war verbunden mit einem Verständnis einer "relativen Qualität" bezogen auf eine individuelle Festlegung des Unternehmens, was seine Qualität ist. Es ging und es geht nicht um dieses mythische Qualitätsverständnis eines "Made in Germany" oder "Made in Japan", genau so wenig wie um eine mythische 90 prozentige oder 99 prozentige oder 99,9 prozentige Kundenzufriedenheit als gemessene Reaktion auf die Qualität. Im Kern geht es darum, dass ein Unternehmen sich der Qualität seiner Produkte und seiner selbst bewusst ist und dafür etwas systematisches tut. Die ISO 9001 ist dafür was getan werden kann nicht mehr und nicht weniger als ein standardisiertes Angebot in Form einer Norm für das Management.

Der Kunden des ISO 9001 zertifizierten Supermarkts, der 1,25 l eines koffein-, zucker- und CO2-haltigen Getränks für 99 Cent erwirbt, hat von diesem Qualitätsmanagement eben so wenig Ahnung, wie der Käufer eines gebrauchten Turbodiesels mit TÜV und mit Qualitätsgarantie. Selbst der Einkäufer eines Konzerns sieht das Zertifikat des Zulieferers eher als formale denn als inhaltliche Qualifikation zur Lieferfähigkeit.

Älter als Qualitätsmanagement ist Risikomanagement. Anlagen von Werten auf Wagnis von Personen gab es bei den Fuggern und wahrscheinlich bereits viel früher seit mit der ungewissen Entwicklung der Zukunft ein spekulativer Umgang gepflegt wurde.

Die Normierung des Risikomanagements auf der Ebene der ISO fand für das generische und allgemeine Risikomanagement erst vor 2,5 Jahren mit der ISO 31000 statt. Spezifische Normierungen (Risikomanagement für Projekte und Produkte) gibt es auf dieser Ebene seit mehr als 10 Jahren.

Die Normen 9001 und ISO 31000 finden "aus sich heraus" nicht leicht zu einer Integration. Erst Risiko und Qualität auf Werte zu beziehen und der Verantwortung der Unternehmensleitung zu unterstellen, schafft ein einfaches Konzept für die Integration und bringt zusammen, was zusammen gehört: "Es ist ein Risiko, Qualität nicht zu managen.(Mit oder ohne Normen!)"

DIN EN ISO 50001:2011

Der sichere Weg zur zertifizierfähigen Dokumentation.

Die Norm hat - wie in vielen Normen der ISO zu finden - einen sogenannten Anhang A (informativ). In einigen Normen wird dieser Anhang selten gelesen, weil er mit dem Prädikat (informativ) suggeriert, er habe nicht mit dem zertifizierfähigem Hauptteil der Norm zu tun. Bei der DIN EN ISO 50001:2001 ist dieser Anhang der Schlüssel zur einfachen Umsetzung, denn er trägt im Sinne einer selbsterfüllenden Prophezeiung den Titel "Anleitung zur Anwengung dieser Internationalen Norm":

Man baue die Energiemanagementdokumentation exakt als Spiegelbild der Norm auf und nummeriere die Abschnitte der Dokumentation wie die Abschnitte der Norm. von 1 bis 4.7.3. Man nehme den Text des jeweiligen Abschnitts des Anhangs A der Norm, formuliere das DIN Normdeutsch in journalistisches Deutsch (falls ein Journalist zur Hand) oder in dudenkonformes Deutsch (falls ein Germanist zur Hand) oder in GermanMarketSpeech (falls ein Werbetexter zur Hand) um und reichere mit einem Dutzend "energetischer" Fakten des bezogenen Unternehmens an. Fertig ist die Dokumentation. Na ja nur fast, denn es ist sehr wohl inhaltlich über Energieplanung, Energiekennzahlen, ernergetische Ausgangsbasis, Energiepolitik nicht nur nachzudenken, sondern auch zu entscheiden und zwar unternehmerisch.

p. s. Man sollte mit dieser Arbeit an der Dokumentation keinen Ingenieur oder Physiker betrauen, denn beim Normbegriff "Energieleistungskennzahl" wird deren enges Verständnis von Energie und Leistung drastisch erweitert ...   

Chancenmanagement

Ist jedes Risiko zugleich eine Chance?

Ich könnte mit der statistischen Thermodynamik argumentieren,

mit Komplexität und mit Entropie, mit mehr oder weniger geordneten Zuständen, mit Konzepten der Systemtheorie. Ich würde zu dem Ergebnis kommen, Risiko und Chance sind keine entgegengesetzt symmetrischen und zusammengehörigen Paare. Also nix ist es mit dem geflügelten Wort "In jedem Risiko steckt eine Chance!"

Ich könnte mit der Norm ISO 31000:2009 argumentieren (Zitat):

2.1   risk
effect of uncertainty on objectives

NOTE 1 An effect is a deviation from the expected - positive and/or negative.

Wirkung kann eine positive oder negative Abweichung (des erreichten Ergebnisses vom geplanten Ziel) sein. Die Norm nennt diese mögliche positive Abweichung nicht (english) "chance" und auch nicht "opportunity". Der Begriff (english) "chance" kommt im Normtext nicht in diesem Zusammenhang vor. Der Begriff (english) "opportunity" kommt im Zusammenhang mit dem Begriff (english) "risk" vor,

2.25 risk treatment
- taking or increasing risk in order to pursue an opportunity;

als eine Art Legitimation, um Risiko aufzunehmen oder zu erhöhen.

Nicht zu allen Zielen gibt es eine positive Abweichung (z. B.: Mehr als 100% Uptime eines Prozesses gibt es nicht.).

Die ISO 31000 gibt keine Grundsätze und Leitlinien eines Chancenmanagements.

Ich könnte mit der Semantik von Risiko argumentieren:

Risiko ist - im allgemeinen Sprachgebrauch - sowohl das Risiko eines Verlusts als auch die Chance auf einen Gewinn. Ein besseres, aber wenig gebräuchliches Wort dafür ist Wagnis. Ich wage einen Einsatz in der Erwartung, dass der Gewinn (und die Eintrittswahrscheinlichkeit des Gewinnereignisses) größer ist als der Verlust (und die Eintrittswahrscheinlichkeit des Verlustereignisses). Ich mache Risikomanagement, um den Verlust (und die Eintrittswahrscheinlichkeit des Verlustereignisses) zu verkleinern. Ich mache Chancenmanagement, um den Gewinn (und die Eintrittswahrscheinlichkeit des Gewinnereignisses) zu vergrößern.

Risikomanagementsoftware

Risikomanagementsoftware ist Software, die Risiko managt. Quatsch!
Risikomanagementsoftware ist Software, die Daten, welche Risiko darstellen, managt. Schon besser!
Risikomanagementsoftware ist Software, die einen Risikomanagementprozess abbildet. Na ja!

Risikomanagementsoftware macht, was Software macht: Typische wiederkehrende Aktivitäten, wie Dokumentation, Kommunikation, Transformation. Wir gesagt, nicht von Risiken, sondern von Daten, die Risiken darstellen.

Ist Software, die aus 2-parametrigen Risikoeinträgen eine 2-dimensionale Risikomatrix nach der Norm ISO IEC 31010 erstellt, Risikomanagementsoftware? Ja aber ...

Ist eine Excel-basierte Monte-Carlo Simulation von Marktpreisen von Produkten eine Risikomanagementsoftware? Ist eine Berechnung eines Value@Risk für ein Portfolio von Risiken eine Risikomanagementsoftware? Ja aber ...

Ist eine GRC-Lösung (Govermance, Risk, Compliance) Risikomanagementsoftware? Aber ja ...

Ist Software, welche den Risikomanagemenprozess nach der Norm ISO 31000 in einem PDCA-Zyklus modelliert, Risikomanagementsoftware? Schon ...

Wenn es um RISIKOMANAGEMENTsoftware geht, dann ist wohl die Darstellung des MANAGEMENTprozesses (Prozessmodell) und die Darstellung von RISIKO als Daten (Datenmodell) die Grundlage. Der Managementprozess sollte ein "geregelter Prozess" (z. B. nach PDCA) sein. Mit ergänzenden Modulen für Auswertungen, Berichte, Kommunikation, Terminüberwachung usw.

Welche Software die richtige Software ist?
... Es hängt - wie alles - von den Anforderungen ab.
Darum: keine Empfehlung!