Risikomanagement - Vokabular des Standards ISO 31000:2009

Das Kapitel 2 des Standards ISO 31000:2009 "Risk Managemenmt - Principles and Guidelines" legt Definitionen und Semantik zu Risikomanagement fest.

Die Festlegung ist eine Empfehlung (wie der ganze Standard selbst) und keine Anforderung.

Es wird ein Vokabular von insgesamt 29 Begriffen erklärt in Form von knappen DEfinition und mit zusätzlichen Anmerkungen (im deutschen Normenentwurf auch mit deutschen / nationalen Fußoten).

Wie ist damit umzugehen?
a) Es macht viel Sinn, sich in einer Organisation auf ein festgelegtes, dokumentiertes und kommuniziertes Vokabular einzulassen.
b) Nicht alle 29 Begriffe des Normkapitels werden in einer Organisation benötigt -> Die nicht benötigten Begriffe einfach weglassen.
c) Nicht alle der 29 Begriffe werden entsprechend der Normdefinition verstanden und gebraucht -> Die entsprechenden Begriffe individuell definieren.
d) Andere als die 29 Begriffe der Normdefinition werden gebraucht und sind gebräuchlich -> Die anderen Begriffe definieren und listen.

Es macht Sinn, das eigene Vokabular zu Risikomanagement in einem WIKI zu führen.
Das gilt auch für das Management anderer Sachverhalte, z. B. Qualität, Umwelt, Energie, Information u.v.a. mehr.

PDCA - issn dat?

PDCA - die 4 Stufen des zyklischen Managementprozesses, egal was gemanagt wird ...

1. Plan: Planung
Geplant werden Ziele, Strategien und Maßnahmen.
Das Ensemble von Zielen, Strategien und Maßnahmen wird auch als Politik bezeichnet.

2. Do: Umsetzung
Umgesetzt werden Maßnahmen als Prozess oder als Projekt.
- Die Ziele werden nicht umgesetzt!
- Die Strategien (die von den Zielen abgeleitet werden) werden nicht umgesetzt!
- Die Maßnahmen (die von den Strategien abgeleitet werden) werden umgesetzt!

3. Check: Prüfung
Geprüft wird die Übereinstimmung von Ziel (gemäß Planung / Plan) und Ergebnis (gemäß Umsetzung / Do) z. B. in einem Audit und/oder mit einer Managementbewertung.
Die Prüfung / Check ergibt eine oder keine Abweichung zwischen Ziel und Ergebnis.

4. Act: Handlung
Bei einer Abweichung aus der Prüfung / Check bedarf es einer Entscheidung gefolgt von einer Handlung / Act:
- 1. Level - small act: Die Maßnahme wird verändert.
- 2. Level - medium act: Die Strategie wird verändert.
- 3. Level - big act: Das Ziel wird verändert.

So einfach ist das!

Das PDCA-Schema liegt explizit allen ISO-normierten Managementsystemen zugrunde.
Das PDCA-Schema liegt implizit vielen, sehr vielen Aktivitäten aller Art zugrunde.

Typische Probleme:
Es wird der Zyklus bereits nach Stufe 3, PDC, oder nach Stufe 2, PD oder gar nach Stufe 1, P abgebrochen.

Empfehlung:
Sprachhygiene: Ziele und Ergebnisse nicht durcheinander bringen.
Verstand: Ein Ziel ist ein Ziel und bleibt ein Ziel; insbesondere kann es nicht umgesetzt werden!
Praxis: PDCA wird im Qualitätsmanagement gepredigt. PDCA ist aber nicht auf Qualitätsmanagement beschränkt.

Definition von Risiko: Neu hinterfragt

Der Standard ISO 31000:2009 definiert in der deutschen Übersetzung des DIN:

Risiko ist die Wirkung von Unsicherheit auf Ziele.

Diese Definition steht unter heftiger Kritik.

• Anstelle des Negativworts Unsicherheit sollte ein Positivwort stehen.
• Nicht Ziele werden durch Unsicherheit beeinflusst, sondern Ergebnisse.
• Der Bezug zu Werten fehlt.
• Die Schlussfolgerung "kein Risiko ohne Ziel" ist schwer zu verstehen.

Eine alternative Definition, mit der in Unternehmen eine leicht verständliche und konsensfähige Semantik vorliegt, ist:

Risiko ist die zukünftige, mögliche Auswirkung einer Gefahr auf einen Wert in der Folge eines Ereignisses.

Die Definition unterstützt das Verständnis von Risiko.

• zukünftig: Risiko ist in der Zukunft.
• möglich: Bringt die Ungewissheit zum Ausdruck.
• möglich: Bringt eine (statistische) Wahrscheinlichkeit zum Ausdruck.
• Auswirkung: kann als Messgröße verstanden werden.
• Gefahr: erzeugt bei Anwesenheit Unsicherheit.
• Wert: bezeichnet das gefährdete Objekt.
• Ereignis: verknüpft ein Geschehnis mit Risiko.

Die Definition unterstützt das Verständnis von Risikomanagement.
Risiko wird reduziert durch:

• Reduzierung des "möglich": Ungewissheit / Wahrscheinlichkeit.
• Reduzierung der "Auswirkung".
• Reduzierung der "Gefahr".
• Schutz von Werten vor Gefahr.  

Risikomanagement ist durch den Bezug von Risiko auf Werte ohne weitere semantische Anstrengungen mit dem Wertemanagement zu integrieren.

  

Noch eine Filmempfehlung für Risikomanager ...

Next ist ein US-amerikanischer Actionfilm aus dem Jahr 2007 von Regisseur Lee Tamahori mit Nicolas Cage in der Hauptrolle. Cris Johnson wurde mit der Fähigkeit geboren, für genau zwei Minuten in seine eigene Zukunft sehen zu können. Diese zwei Minuten hat er als Vorlaufzeit, um entgegen der Vorsehung doch noch handeln zu können und die Zukunft beeinflussen zu können.

Zwei Minuten sind eine Zeitraum, in der sich operative Handlungen der schnelleren Art entwickeln und abspielen. Ein Actionfilm ist damit vom Zeitraum einzelner Handlungen angelegt.

Im Kern geht es um die Frage, "Was würde ich anders machen, wenn ich die nächsten zwei Minuten der Zukunft kenne?".

Damit geht es um ein operatives Risikomanagement für die folgenden zwei Minuten. Höchst amüsant, auch wenn man diese zwei Minuten Vorhersehbarkeit auf sich selbst bezieht.

Prognose und Ziel

Prognose und Ziel: Beide sind Begriffe, die sich auf einen Sachverhalt in der Zukunft beziehen.

Eine Prognose ist ein vorhergesehener Zustand eines Sachverhalts in der Zukunft.
Eine Ziel ist ein ausgewählter Zustands eines Sachverhalts in der Zukunft.

Beispiel zum Sachverhalt Jahresumsatz:
Die Prognose des Umsatzes in 2012 wird umso präziser, je näher der 31.12.2012 ist.
Das Ziel des Umsatzes in 2012 bleibt so wie es gesetzt wurde unabhängig von der zeitlichen Nähe zum 31.12.2012.

Praxis:
Das Ziel wird (oft) festgehalten, bis es erreicht oder nicht erreicht wird.
Die Prognose wird erneuert, wenn sich die Informationsgrundlage verändert hat.

Erfahrung:
Weichen Prognose und Ziel von einander ab, liegt ein Risiko vor.

Risikotragfähigkeit

... eigentlich ein ganz anschaulicher Begriff:

• Welches und wie viel Risiko kann ich tragen?

Tragen heißt, ich kann es ertragen, wenn das Risikoereignis eintritt und das virtuelle Risiko zu einem realen Schaden und Verlust wird. 

Konkret wird das an einem Szenario: Ich habe 1 Euro unter einer Gewinnerwartung von 10 Euro bei einem bestimmten zukünftigen Ereignis gesetzt. Ich bin mit einem Einsatz von 1 Euro in ein Wagnis gegangen. Die Risikobewertung sagt den Verlust des Einsatzes mit einer Wahrscheinlichkeit von 95 %, so das Szenario des Ereignisses, voraus. Bei Eintritt des Schadens- und Verlustereignisses ist der 1 Euro weg.  Bei Eintritt des Gewinnfalls beträgt der Gewinn 10 Euro. 

Wenn ich ein solches mit einem Spiel verbundenes Wagnis eingehe, sollte ich den Schaden von 1 Euro tragen können. Im schlimmsten Fall (worst case) ist 1 Euro der Totalverlust aus dem Wagnis. Im besten Fall (best case) tritt ein Zugewinn von 9 Euro ein. Nach der Risikobewertung ist die Verlustwahrscheinlichkeit 95 % und die Gewinnwahrscheinlichkeit 5 %. In jedem 20 Spiel würde ich 9 Euro zugewinnen. in 19 von 20 Spielen würde ich jeweils 1 Euro verlieren.

Der Spielkick ist der, dass das nächste Spiel ein Gewinnspiel für mich sein könnte.

Die Risikotragfähigkeit ist bei einem einmaligen Spiel der Totalverlust des Wagnisses.

ISO 31000:2009 - Die fünf Abschnitte des Standards Risikomanagement

Die fünf Abschnitte des Standards ISO 31000:2009 Risikomanagement

Es mag ganz nützlich sein, den Inhgalt der Normabschnitte jeweils auf eine W-Frage zu reduzieren:

1. Risikomanagement: Festlegung System
    Abgrenzung des Risikomanagements  (Was ist drin? Was ist draußen?)
2. Risikomanagement: Definition Begriffe
     Regelung einer Semantik von 29 Begriffen (Was ist Risiko? Was ist ... ?)
3. Risikomanagement: Normative Grundsätze
     Aufstellen von 11 (individuellen) Geboten als Grundlage (Was ist das Fundament?)
4. Risikomanagement: Strategischer Rahmen
     Einführung und Betreiben nach dem (generischen) PDCA-Konzept (Wie sieht der Rahmen mit Planung, Durchführung, Prüfung, Verbesserung aus?)
5. Risikomanagement: Operativer Prozess
     Tagesgeschäft der Umsetzung der Strategie (Wie erfolgt die Durchführung der Maßnahmen?)