ISO/IEC 31000

ISO/IEC 31000 - ISO-Norm zum Risikomanagement

Beschreibung

ISO 31000:2018 ist eine ISO-Norm, die sich mit Risikomanagement beschäftigt

Leitlinien zum Umgang mit Risiken in Organisationen

Allgemeines

Übersetzungen

• Englisch, Französisch und Deutsch

ISO 31000:2018 wurde in das deutsche DIN-Normenwerk übernommen

• ISO/TC 262 „Risk Management“

Zertifizierung

Die ISO Norm 31000 ist ausdrücklich nicht zu Zertifizierungszwecken geschaffen

Vielmehr sagt die Norm, dass

„die ISO 31000 Empfehlungen liefert, die an die spezifischen Organisationen angepasst werden können oder müssen und keine Anforderungen vorgibt.“

In Österreich stellt ONR 49001 (Österreichische Risikomanagement-Norm) eine gesetzliche Basis zur Zertifizierung.

Anwendung

ISO 31000 liefert allgemeine Ansätze

• Nicht industrie- oder sektorspezifisch
• Für jegliche Art von Risiken anwendbar
• Während der gesamten Lebensdauer eines Unternehmens verwendbar
• Auf allen Unternehmensebenen sowie im Prozess der Entscheidungsfindung implementierbar

Die spezielle Anwendung dieser Leitlinien kann an jedes Unternehmen in seiner spezifischen Umgebung angepasst werden.

Ziele

Risiken weltweit zunehmend

Organisationen aller Art und Größe

• Reputations- oder Markenschäden
• Cyberkriminalität
• politische Risiken
• Terrorismus, ...

ISO 31000:2018

• klarere, kürzere und prägnantere Anleitung
• Risikomanagement-Prinzipien nutzen
• Planung und Umsetzung verbessern
• bessere Entscheidungen treffen

Risikomanagementstrategie entwickeln

Effektiv Risiken identifizieren und abschwächen

Ziele erreichen und Vermögenswerte schützen

• ISO 31000 soll diese Wahrscheinlichkeit erhöhen

Entwicklung einer Risikomanagementkultur

• Übergeordnetes Ziel
• Mitarbeiter und Stakeholder sollen sich der Wichtigkeit des Risikomanagements bewusst sein

Chancen und Konsequenzen

Implementierung von ISO 31000

• Positive Chancen und negative Konsequenzen sehen
• Fundiertere und effektivere Entscheidungen bei der Zuteilung von Ressourcen treffen

Unternehmensführung

Ferner kann es eine aktive Komponente bei der Verbesserung der Unternehmensführung und letztlich seiner Leistung sein.

Besonderheiten

Option	Beschreibung
Top-down-Ansatz
Führungsaufgabe
Branchenübergreifend
Breit abgestütztes Konzept

Top-down-Ansatz

Risikomanagement folgt dem Top-down-Ansatz

• Risiken identifiziert, analysiert und behandeln, wobei die Details nicht von vornherein im Mittelpunkt stehen
• Allgemeine wichtigen Aspekte behandeln

Bottom-up-Ansatz

• Der ISO/IEC 31000 Ansatz unterscheidet sich von den Regulatoren der Finanzbranche, wie Basel III oder Solvency II
• Diese dienen auch dem Identifizieren von Risiken, sind jedoch eher als Bottom-up-Ansatz zu klassifizieren

Führungsaufgabe

Risikomanagement ist eine umfassende Führungsaufgabe mit einem gegebenen Regelkreis

Das Umgehen mit Risiken erfolgt iterativ und unterstützt Organisationen dabei, Strategien festzulegen, Ziele zu erreichen und fundierte Entscheidungen zu treffen.

• Das Umgehen mit Risiken ist Teil der Leitung und Führung und entscheidet darüber, wie diese Organisation auf allen Ebenen geführt wird.

Es handelt sich um eine Verpflichtung der obersten Leitung, das Risikomanagementsystem zu implementieren.

• Dabei wird iterativ nach dem Demingkreis vorgegangen.
• Dieser lässt sich nach dem „Plan – Do – Check – Act“-Prinzip zusammenfassen.

Branchenübergreifend

Branchenübergreifender Ansatz

Da Organisationen jeglicher Art und Größe externen und internen Faktoren und Einflüssen unterliegen, die das Erreichen ihrer Ziele ungewiss machen können, ist die ISO-Norm 31000 prinzipiell für alle Arten von Organisationen anwendbar.

• Sie lässt sich beispielhaft für Unternehmen der verarbeitenden Industrie sowie der Dienstleistungsbranche anwenden.
• Aber auch eine Implementierung für Unternehmen von öffentlichen Verwaltungen oder Nichtregierungsorganisationen ist möglich.

Funktionsübergreifend

ISO-Norm 31000:2018 geht über das Konzept des internen Kontrollsystems hinaus und trägt vielmehr zu der Verbesserung von Managementsystemen bei.

• Das Umgehen mit Risiken ist Teil aller Aktivitäten einer Organisation und umfasst die Interaktion mit Stakeholdern.
• Zusätzlich berücksichtigt die Norm das Umgehen mit Risiken im externen und internen Kontext der Organisation einschließlich menschlichen Verhaltens und kultureller Faktoren und ist somit funktionsübergreifend.

Breit abgestütztes Konzept

International breit abgestütztes Konzept

Die Norm besitzt ein besonderes Gewicht und internationale Aufmerksamkeit

• Entwickelt durch die ISO-Vereinigung
  • mit Sitz in Genf
• Experten aus Europa, Amerika und Asien

Aufbau und Inhalte

Umgang mit Risiken

• Begriffe
• Grundsätze
• Rahmenwerk
• Risikoprozess

Begriffsdefinition

ISO-Norm 31000 definiert acht Begriffe aus dem Kontext des Risikomanagements

• Dabei handelt es sich lediglich um die wichtigsten Begriffe
• In der vorhergehenden Norm waren noch 29 Begriffe definiert
  • womit durch die Überarbeitung eine deutliche Kürzung in diesem Bereich stattfand

Folgende Begriffe werden definiert und ggf. mit Anmerkungen versehen.

Begriff	Beschreibung	Erläuterung
Risiko	Auswirkung von Unsicherheit auf Ziele	Eine Auswirkung stellt dabei sowohl eine Abweichung in positiver oder negativer Richtung als auch in beide Richtungen dar. Üblicherweise wird Risiko anhand der Risikoursache, der potenziellen Ereignisse, ihrer Auswirkungen und ihrer Wahrscheinlichkeit dargestellt.
Risikomanagement	Koordinierte Aktivität zur Lenkung und Steuerung einer Organisation in Bezug auf Risiken.
Stakeholder	Person oder Organisation, die eine Entscheidung oder Aktivität beeinflussen kann, von dieser beeinflusst werden kann oder den Eindruck haben kann, davon beeinflusst zu werden.	Alternativ kann der Begriff interessierter Kreis verwendet werden.
Risikoquelle/Risikoursache	Element, das alleine oder gemeinsam mit anderen Faktoren potenziell zu Risiken führt.
Ereignis	Eintritt oder Veränderung einer bestimmten Kombination von Umständen.	Ein Ereignis kann einmal oder mehrmals eintreten und mehrere Ursachen sowie Auswirkungen haben.
Auswirkung	Ergebnis eines Ereignisses, welches die Ziele betrifft.	Eine Auswirkung kann gewiss oder ungewiss sein und qualitativ oder quantitativ beschrieben werden.
Wahrscheinlichkeit	Möglichkeit, dass etwas geschieht.	Eine Wahrscheinlichkeit muss nicht nach mathematischen Begriffen beschrieben werden, sondern kann auch allgemein gekennzeichnet werden.
Steuerung	Maßnahme, die das Risiko aufrechterhält und/oder verändert.

Begriffe

Option	Beschreibung
Risikoanalyse	Systematische Ermittlung und Gebrauch von Informationen, um ein Risiko zu verstehen und nach Eintrittswahrscheinlichkeit und Schadensauswirkung auf eine Organisation oder auf ein System einzuschätzen
Risikokommunikation	Andauernder oder wiederkehrender Prozess innerhalb einer Organisation, um Informationen bezüglich des Umgangs mit Risiken mit den interessierten Kreisen auszutauschen
Risikoszenario	Konkrete und bildhafte Darstellung eines Risikos mit Annahmen über mögliche Zusammenhänge von Ursachen und Abfolgen von Ereignissen oder Entwicklungen, die aufzeigt, wie sich Gefahren und Bedrohungen in einer Organisation oder in einem System darstellen und auswirken
Risikoszenario	Anzunehmen ist der schlimmst mögliche, aber dennoch glaubwürdige, Fall (credible worst case (cwc)) Frage: „Welcher Schaden kann im schlimmsten Fall eintreten?“ Ein Risikoszenario ist glaubwürdig, wenn es in der menschlichen Erfahrung bereits vorgekommen ist und ein erneutes Eintreten nicht ausgeschlossen werden kann. Des Weiteren kann ein Risikoszenario für möglich gehalten und begründet werden, auch wenn das Risikoszenario noch nie eingetroffen ist
Restrisiko	Beschreibt jenes Risiko, das nach der Umsetzung der Risikobehandlung verbleibt. Gegebenenfalls umfasst das Restrisiko zudem nicht bewertete Risiken und bewusst eingegangene Risiken
Risikomanagementsystem (RMS)	Beschreibt die Gesamtheit aller Maßnahmen zur Erkennung, Analyse, Bewertung, Kommunikation, Überwachung und Steuerung von Risiken und sollte angemessen sein und kontinuierlich verbessert werden. Das Risikomanagement ist zentraler Bestandteil der gängigsten ISO Normen.
Risikomanagementhandbuch (RMH)	Dient der Dokumentation der Grundsätze eines Systems zur Erkennung und Überwachung geschäftsspezifischer Risiken einer Organisation (Dokumentation des Risikomanagementsystems) Beschreibung der vorhandenen Systeme zur Risikofrüherkennung und Handhabung von Risiken Darstellung der relevanten Risiken für die Organisation. Das RMH erfüllt im Hinblick auf die Einhaltung des Gesetzes zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) folgende Funktionen Rechenschaftsfunktion Sicherungsfunktion Prüffunktion

Grundsätze

Die ISO-Norm 31000 legt Grundsätze fest, die helfen sollen, den Zweck des Risikomanagements (Werte zu schaffen und zu bewahren) zu erreichen.

• Dabei sollen die Grundsätze eine Grundlage dafür bilden, wie mit Risiken umzugehen ist, und sollten deshalb bei der Entwicklung des Rahmenwerkes und der Prozesse eines Risikomanagementsystems berücksichtigt werden.

Unter Beachtung der Grundsätze sollte ein effektives Risikomanagement somit integriert, strukturiert, umfassend, maßgeschneidert, einbeziehend und dynamisch sein.

• Zusätzlich sollten die besten verfügbaren Informationen verwendet und menschliche sowie kulturelle Faktoren berücksichtigt werden und eine fortlaufende Verbesserung des Risikomanagements stattfinden.

Rahmenwerk

Wirksamkeit des Risikomanagements

Die Wirksamkeit des Risikomanagements hängt davon ab, wie erfolgreich es in die internen Aktivitäten einer Organisation, vor allem von der Organisationsleitung, implementiert wird.

• Das Risikomanagement-Rahmenwerk fördert die Integration des Risikomanagements in die bedeutenden Funktionen und Prozesse der Organisation.
• In einem Rahmenwerk werden auch die existierenden Risikomanagementverfahren und -prozesse samt bestehender Lücken erfasst, behandelt und bewertet.

Komponenten des Risikomanagements

	Komponente
1	Integration
2	Gestaltung
3	Implementierung
4	Bewertung
5	Verbesserung

Implementierung

Komponenten an die Bedürfnisse der Organisation angepassen

Die Aufgaben der Organisationsführung und der internen Aufsichtsorgane sind die Integration des Risikomanagements in die Organisationsaktivitäten sowie der Nachweis einer erfolgreichen Implementierung.

• Dies umfasst die Anpassung der Komponenten des Rahmenwerks an die Bedürfnisse der Organisation, die Festlegung eines Plans, der alle erforderlichen Ressourcen umfasst, und das Zuweisen der Aufgaben auf allen Ebenen der Organisation.
• Die Unternehmensleitung ist im Prinzip für die Festlegung der allgemeinen Strategie zum Umgehen mit Risiken verantwortlich, während sich die Aufsichtsorgane mehr mit der Überwachung des Risikomanagements beschäftigen.

Integration

Integration des Risikomanagements

Verständnis der internen Organisation

• Wichtige Voraussetzung für die erfolgreiche Integration des Risikomanagements
• Die Teile der Organisationsstruktur des Unternehmens unterscheiden sich nach Zwecken, Zielen und Komplexität.
• Mit Risiko wird aber in jedem Teil umgegangen.
• Die Unternehmensleitung legt die allgemeine Strategie zum Umgang mit Risiken, den einzelnen Leitlinien sowie der Rechenschafts- und Aufsichtspflicht fest.
• Die Integration des Risikomanagements ist ein dynamischer Prozess, der an die Ziele und Abläufe des Unternehmens ständig angepasst werden muss.

Gestaltung

Interne und externe unternehmensspezifische Faktoren

Bei der Gestaltung des Rahmenwerkes müssen sowohl interne als auch externe unternehmensspezifische Faktoren berücksichtigt werden.

Externe Faktoren

Externe Faktoren

• sozialen
• rechtlichen
• finanziellen
• wirtschaftlichen Auseinandersetzungen auf lokaler, nationaler und internationaler Ebene, die die Ziele der Organisation beeinflussen.

Schlüsselfaktoren und Trends

• Zusätzlich müssen externe Schlüsselfaktoren und Trends berücksichtigt werden.
• Auch die Beziehungen zu externen Personen, vertragliche Verpflichtungen, die Komplexität der Netzwerke und Abhängigkeiten der Organisation sind zu den externen Faktoren zu zählen.

Interne Faktoren

Interne Faktoren

• Vision
• Mission
• Werte
• Kultur der Organisation
• interne Struktur

Ebenfalls relevante interne Faktoren

• Verteilung der Leitungs- und Aufsichtsfunktionen
• Übernommenen und angewandten Normen
• Leitlinien und Modelle
• Verfügbare Ressourcen und Kapital (auch Humankapital)

Zusätzlich

• Informations- und Datensysteme
• Beziehungen zu internen Stakeholdern
• Realisation der vertraglichen Beziehungen und Verpflichtungen

Langfristiges Risikomanagement

Organisationsleitung bzw. die Aufsichtsorgane müssen sich zu einem langfristigen Risikomanagement verpflichten

• Klar definierte Ziele
• Bedürfnisse
• Rechenschaftspflichten
• notwendige Ressourcen
• Vorgehensweisen sowie Maßnahmen zur Überprüfung und
• weitere Verbesserungen des Risikomanagementsystems im Unternehmen

Schriftlich verfassen und innerhalb der Organisation sowie mit den externen Unternehmenseignern kommunizieren

Rollen

Rollen bezüglich des Risikomanagements klar verteilen und kommunizieren

• auf allen Ebenen der Organisation
• zu verantwortlichen Beschäftigten

Ressourcen

Benötigten Ressourcen müssen sichergestellt und zugeteilt werden

Auch auf oberster Ebene (unter Berücksichtigung der Ressourcenknappheit)

• Fähigkeiten
• Kompetenzen
• Prozesse
• Methoden
• Werkzeuge

Wirksamkeit

Wirksamkeit des Risikomanagementsystems sicherstellen

Kommunikations- und Konsultationswege einrichten

• Allgemeinen Informationen
• Konkreten Aufgaben
• Feedback und Erwartungen der Stakeholder

Auf allen Ebenen der Organisation effizient und rechtzeitig zum Austausch bringen

Anpassen, mitgestalten und verbessern

Informationen, die innerhalb der Organisation effizient mitgeteilt, sortiert, verdichtet und analysiert werden, tragen dazu bei, dass alle Aktivitäten aneinander angepasst, mitgestaltet und verbessert werden können.

Implementierung

Die Implementierung des Risikomanagement-Rahmenwerks muss mit der Erarbeitung eines geeigneten Plans mit konkreten Maßnahmen und unter Berücksichtigung der notwendigen Ressourcen anfangen.

• Die wichtigsten Entscheidungen müssen festlegen, wann, wo, wie und von wem die anzuwendenden Prozesse geändert werden müssen.

Für die erfolgreiche Implementierung ist das Engagement der Stakeholder notwendig, damit das Auftreten von Unsicherheiten bei dem Entscheidungstreffen angesprochen werden kann.

Das richtig geplante und implementierte Risikomanagement-Rahmenwerk stellt sicher, dass der Risikomanagementprozess zum Teil der Aktivitäten der gesamten Organisation wird und an die Änderungen des internen und externen Kontext angepasst werden kann.

Bewertung

Um das Risikomanagement-Rahmenwerk möglichst nah an die Tätigkeiten und die internen und externen Faktoren der Organisation anzupassen, muss dessen Wirksamkeit regelmäßig bewertet werden.

• Die angebrachten Leistungen sind mit den geplanten Zwecken und Implementierungsplänen zu vergleichen, um danach zu ermitteln, ob das Rahmenwerk weiterhin zur Realisation der Organisationsziele geeignet ist oder ob eine Überarbeitung unter Berücksichtigung der veränderten Bedingungen stattfinden muss.

Verbesserung

Das Risikomanagement-Rahmenwerk muss fortlaufend überwacht und seine Eignung, Angemessenheit und Wirksamkeit an die externen und internen Veränderungen angepasst werden.

• Wenn wesentliche Lücken oder Verbesserungsmöglichkeiten bestehen, muss die Organisation zwecks Verbesserung neue konkrete Pläne und Aufgaben ausarbeiten sowie die für dessen Implementierung zuständigen Personen bestimmen.
• Nach der Verbesserung und Optimierung des Risikomanagementsystems muss dieses besser an die Bedürfnisse der Organisation angepasst werden und zur Risikobewältigung beitragen.

Risikomanagementprozess

Definition

Unter dem Risikomanagementprozess versteht man sowohl die systematische Anwendung von Grundsätzen, Verfahren und Prozessen auf die Aktivitäten der Kommunikation und Konsultation als auch das Einrichten des Kontextes sowie das Beurteilen, Behandeln, Überwachen, Überprüfen, Aufzeichnen und Berichten.

Kommunikation und Konsultation

Förderung des Risikobewusstseins

Während die Kommunikation der Förderung der Stakeholder bezüglich ihres Risikobewusstseins dient, erhalten Stakeholder durch Konsultation Informationen zur Unterstützung der Entscheidungsfindung.

• Durch Kommunikation und Konsultation lassen sich u. a. interdisziplinäre Fachkenntnisse in jedem Schritt des Risikomanagementprozesses vereinen sowie die unterschiedlichen Perspektiven bei der Definition der Risikokriterien und Bewertung der Risiken berücksichtigen.

Anwendungsbereich, Kontext und Kriterien

Der Anwendungsbereich der Risikomanagementaktivitäten lässt sich durch die Organisation festlegen.

• Dabei spielen relevante Ziele und Anpassungen an die Ziele der Organisation eine wichtige Rolle, denn der Risikomanagementprozess ist auf unterschiedlichen Ebenen anzuwenden.
• Dementsprechend sind externe und interne Kontexte des Umfelds bei der Festlegung der Ziele zu berücksichtigen.
• Organisationen ist das Verstehen der beiden Kontexte und deren Verknüpfung mit ihrem Risikomanagementprozess wichtig, da der Zweck und Anwendungsbereich des Risikomanagementprozesses mit den Gesamtzielen der Organisation verbunden sein kann.
• Die Festlegung von Risikokriterien sollte auf das Risikomanagement-Rahmenwerk abgestimmt und an den jeweiligen Zweck und Anwendungsbereich der Aktivitäten angepasst werden.
• Außerdem sollten die Risikokriterien die Werte, Ziele und Ressourcen der Organisation wiedergeben, da sie unter der Verpflichtung der Organisation sowie der Sichtweisen der Stakeholder festzulegen sind.

Risikobeurteilung

Die Risikobeurteilung umfasst den systematischen, iterativen und kollaborativen Prozess der Risikoidentifikation, Risikoanalyse und Risikobewertung unter Verwendung der Kenntnisse und Ansichten der Stakeholder.

• Die Risikoidentifizierung dient der Organisation dazu, eine möglichst vollständige Übersicht möglicher Risiken zur Verfügung stellen zu können.
• Jedes Risiko wird, abhängig vom jeweiligen Bereich, einem Risikoverantwortlichen zugeteilt.
• Die Identifizierung von Risiken geschieht in allen Bereichen und Prozessen einer Organisation.
• Bei der Risikoidentifizierung werden sowohl interne als auch externe Datenquellen verwendet.
• Dadurch, dass die Risikoanalyse eine ausführliche Betrachtung von Unsicherheiten, Risikoursachen, Auswirkungen, Wahrscheinlichkeit, Ereignissen, Szenarien, Steuerungen und deren Wirksamkeit durchführt, umfasst sie die Bestimmung der Art des Risikos, dessen Eigenschaften und ggf. die Risikohöhe.
• Die Risikoanalyse liefert einen Beitrag für die Risikobewertung und für Entscheidungen darüber, ob und wie Risiken zu behandeln sind.
• Die Risikobewertung ermöglicht eine Gewichtung der identifizierten Risiken und damit eine risikoorientierte Vorgehensweise: Bestandsgefährdende Risiken verlangen andere Steuerungsmaßnahmen als unwesentliche Risiken.
• Im Rahmen der Bewertung werden alle identifizierten Risiken analysiert und ihre Eintrittswahrscheinlichkeit sowie ihr Schadensausmaß bewertet.

Risikosteuerung

Die Risikomitigation bzw. Risikosteuerung ergreift Maßnahmen, um die potentielle Schadenshöhe und/oder Eintrittswahrscheinlichkeit der Risiken zu reduzieren.

Optionen zur Risikobehandlung bestehen aus

	Risikobehandlung	Beschreibung
A	Vermeidung	Ausstieg aus Aktivitäten, wenn Steuerungsmaßnahmen nicht kosteneffizient sind und/oder Nutzen in ungünstigem Verhältnis zum Risiko steht
B	Verminderung	Frühzeitige Entwicklung und Ergreifung von Maßnahmen zur Reduktion der Eintrittswahrscheinlichkeit und/oder des Schadensausmaßes
C	Transfer	Übertragung der Risikosteuerung und/oder der finanziellen Auswirkung des Risikos auf Dritte
D	Akzeptanz	Bewusstes Eingehen von Risiken

Risikoüberwachung

Durch eine regelmäßige Überwachung der Steuerungsmaßnahmen in allen Phasen des Prozesses wird die Wirksamkeit des Risiko-Managementsystems sichergestellt.

• Mithilfe risikospezifischer Frühwarnindikatoren können Risiken rechtzeitig Maßnahmen gegenübergestellt werden.

Risikoberichterstattung

Berichterstattung stellt sicher, dass relevante Risikoinformationen rechtzeitig an den richtigen Adressaten geleitet werden

Dies können interne oder externe Berichtsempfänger sein

Formen der Berichterstattung

Berichte	Beschreibung
Basis-Berichterstattung	Einheitlicher Bericht, mit eingeschränkten Möglichkeiten zur Auswertung der Daten
Adressatengerechte Berichterstattung	hierarchieabhängige Berichterstattung mit Unterscheidung zwischen Vorstandsbericht und Bereichsreports
Integrierte Berichterstattung	individualisierte Berichte und mögliche quantitative Auswertung

Grundschutz und ISO/IEC 31000

ISO/IEC 31000 belegt einige Begriffe anders als im deutschen Sprachraum

Begriffe aus ISO/IEC 31000 und BSI-Standard 200-3

ISO/IEC 31000:2009	IT-Grundschutz
Establishing the Context Kapitel 5.3	BSI-Standard 200-1 Managementprinzipien, Kapitel 4 Planung des Sicherheitsprozesses, Kapitel 7.1 BSI-Standard 200-2 Initiierung des Sicherheitsprozesses, Kapitel 3
Risk Assessment Kapitel 5.4 Risk Identification Risk Analysis Risk Evaluation	BSI-Standard 200-3 Risikobeurteilung, Kapitel 1 Erstellung einer Gefährdungsübersicht Risikoeinschätzung Risikobewertung
Risk Identification Kapitel 5.4.2	BSI-Standard 200-3 Erstellung einer Gefährdungsübersicht, Kapitel 4
Risk Analysis Kapitel 5.4.3	BSI-Standard 200-3 Risikoeinschätzung, Kapitel 5.1
Risk Evaluation Kapitel 5.4.4	BSI-Standard 200-3 Risikobewertung, Kapitel 5.2
Risk Treatment Kapitel 5.5	BSI-Standard 200-3 Risikobehandlung, Kapitel 6
Communication and Consultation Kapitel 5.2	BSI-Standard 200-1 Kommunikation und Wissen, Kapitel 4.2 BSI-Standard 200-2 Informationsfluss im Informationssicherheitsprozess, Kapitel 5.2
Monitoring and Review Kapitel 5.6	BSI-Standard 200-1 Aufrechterhaltung der Informationssicherheit, Kapitel 7.4 Kontinuierliche Verbesserung der Informationssicherheit, Kapitel 7.5 BSI-Standard 200-2 Aufrechterhaltung und kontinuierliche Verbesserung der Informationssicherheit, Kapitel 10 BSI-Standard 200-3 Risiken unter Beobachtung, Kapitel 6.2

Anhang

Versionen

Jahr	Beschreibung
2009	1. Ausgabe
2018	2. Ausgabe

Unterschiede zu ISO 31000:2009

Alle ISO-Standards werden alle fünf Jahre überprüft und bei Bedarf überarbeitet

• Dies hilft dabei, die Relevanz für den Markt sicherzustellen.
• Die Risikomanagement-Praktiken von gestern reichen nicht mehr aus, um mit den heutigen Bedrohungen umzugehen, weshalb sich diese weiterentwickeln müssen.
• Ein Beispiel dafür ist die erhöhte Komplexität von Wirtschaftssystemen und aufkommende Risikofaktoren, wie die digitale Währung.
• Beide können neue und verschiedene Arten von Risiken für eine Organisation darstellen.

Eine Überarbeitung zu ISO 31000 wurde Anfang 2018 veröffentlicht und ersetzt die erste Ausgabe (ISO 31000:2009)

• Die ISO 31000:2018 bietet mehr strategische Leitlinien und legt mehr Gewicht auf die Einbeziehung des Senior Managements und die Integration des Risikomanagements in die Organisation.
• Das übergeordnete Ziel ist die Entwicklung einer Risikomanagementkultur, in der sich Mitarbeiter und Stakeholder bewusst sind, wie wichtig es ist, Risiken zu überwachen und zu steuern.
• Der daraus resultierende Standard ist nicht nur eine neue Version von ISO 31000.
• Er geht über eine einfache Überarbeitung hinaus, denn es geht um die Art und Weise, wie morgen mit Risiken umgegangen wird.

Die wichtigsten Änderungen im Vergleich zur letzten Ausgabe sind Folgende

„Überprüfung der Grundsätze des Risikomanagements, welche die wichtigsten Kriterien für dessen Erfolg sind.“

Der überarbeitete Standard empfiehlt nun, dass das Risikomanagement Teil der Organisationsstruktur, Prozesse, Ziele, Strategie und Aktivitäten sein sollte.

• Es konzentriert sich mehr auf die Schaffung von Werten als Schlüsseltreiber des Risikomanagements und andere verwandte Prinzipien, wie kontinuierliche Verbesserung, der Einbezug von Stakeholdern, Anpassung an die Organisation und Berücksichtigung von Mensch und kulturellen Faktoren.

„Hervorhebung der Führung durch die oberste Leitung und der Integration des Risikomanagements, beginnend mit der Leitung der Organisation.“

Dies schließt die Empfehlung ein, eine Politik zu entwickeln, die ein Engagement für Risikomanagement unterstützt.

• Dabei geht es um die Zuweisung von Autorität, Verantwortung und Rechenschaftspflicht auf den entsprechenden Ebenen innerhalb der Organisation und die Sicherstellung, dass die notwendigen Ressourcen für das Risikomanagement bereitgestellt werden.

„Stärkere Betonung des iterativen Charakters des Risikomanagements.“

Dabei wird darauf hingewiesen, dass neue Erfahrungen, Kenntnisse und Analysen in jeder Phase des Prozesses zu einer Überarbeitung der Prozesselemente, Aktionen und Steuerungen führen können.

„Straffung des Inhalts mit stärkerem Fokus auf die Aufrechterhaltung eines offenen Systemmodells, das mehreren Bedürfnissen und Kontexten gerecht wird.“

Das Hauptziel besteht darin, die Dinge klarer und einfacher zu machen, wobei eine einfache Sprache verwendet wird, um die Grundlagen des Risikomanagements in einer Weise zu definieren, die der Leser leichter nachvollziehen kann.

Siehe auch

• ISO/IEC 31000

---

• Risikomanagement
• Risikocontrolling
• Risikomanagement/Standard
• Risikobewältigung

Links

Weblinks

1. https://de.wikipedia.org/wiki/ISO_31000
2. https://en.wikipedia.org/wiki/List_of_ISO_standards_30000%E2%80%9399999