ISO/IEC 31000

Grundschutz und ISO/IEC 31000

In den internationalen Normen zum Risikomanagement und zur Risikobeurteilung, insbesondere der ISO/IEC 31000, werden einige Begriffe anders belegt, als es im deutschen Sprachraum üblich ist. In der nachfolgenden Tabelle sind die wesentlichen Begriffe aus ISO/IEC 31000 und dem BSI-Standard 200-3 einander gegenübergestellt. Diese Gegenüberstellung dient der Zuordnung der Begriffe der ISO 31000 zu den Begriffen der BSI-Standards 200-2 und 200-3 (siehe Abbildung 7). ISO/IEC 31000 und IT-Grundschutz ISO/IEC 31000:2009 Establishing the Context, Kapitel 5.3 Risk Assessment, Kapitel 5.4

• Risk Identification
• Risk Analysis
• Risk Evaluation

Risk Identification, Kapitel 5.4.2 Risk Analysis, Kapitel 5.4.3 Risk Evaluation, Kapitel 5.4.4 Risk Treatment, Kapitel 5.5 Communication and Consultation, Kapitel5.2 IT-Grundschutz BSI-Standard 200-1 (siehe [BSI1]), Managementprinzipien, Kapitel 4 Planung des Sicherheitsprozesses, Kapitel 7.1 BSI-Standard 200-2 Initiierung des Sicherheitsprozesses, Kapitel 3 BSI-Standard 200-3 Risikobeurteilung, Kapitel 1

• Erstellung einer Gefährdungsübersicht
• Risikoeinschätzung
• Risikobewertung

BSI-Standard 200-3 Erstellung einer Gefährdungsübersicht, Kapitel 4 BSI-Standard 200-3 Risikoeinschätzung, Kapitel 5.1 BSI-Standard 200-3, Risikobewertung, Kapitel 5.2 BSI-Standard 200-3, Risikobehandlung, Kapitel 6 BSI-Standard 200-1, Kommunikation und Wissen, Kapitel 4.2 BSI-Standard 200-2 Informationsfluss im Informationssicherheitsprozess, Kapitel 5.2

ISO/IEC 31000:2009 Monitoring and Review, Kapitel 5.6 IT-Grundschutz BSI-Standard 200-1 Aufrechterhaltung der Informationssicherheit, Kapi­ tel 7.4 Kontinuierliche Verbesserung der Informati­ onssicherheit, Kapitel 7.5 BSI-Standard 200-2 Aufrechterhaltung und kontinuierliche Verbesserung der Informationssicherheit, Kapitel 10 BSI-Standard 200-3 Risiken unter Beobachtung, Kapitel 6.2 Tabelle 11: Gegenfberstellung der Begriffe aus ISO/IEC 31000 und dem BSI-Standard 200-3

TMP

Die ISO 31000:2018 ist eine ISO-Norm, die sich mit Risikomanagement beschäftigt. Dabei legt die Norm Leitlinien fest, die den Umgang mit Risiken in einer Organisation beschreiben. Die spezielle Anwendung dieser Leitlinien kann an jedes Unternehmen in seiner spezifischen Umgebung angepasst werden. Der Standard liefert einen sehr allgemeinen Ansatz, der nicht industrie- oder sektorspezifisch ist und gleichzeitig für jegliche Art von Risiken anwendbar ist. Darüber hinaus kann die Norm während der gesamten Lebensdauer eines Unternehmens verwendet werden und ist auf allen Unternehmensebenen sowie im Prozess der Entscheidungsfindung implementierbar.

Allgemeines

Die Norm 31000 ist in drei Sprachen veröffentlicht: Englisch, Französisch und Deutsch. Die deutsche Übersetzung wurde von dem technischen Komitee ISO/TC 262 „Risk Management“ erarbeitet. Nach dem Beschluss von 12/2017 des NA 175-00-04 AA wird die ISO 31000:2018 in das deutsche DIN-Normenwerk übernommen. Die Vorgängernorm wurde nach Ablauf des zweijährigen Norm-Entwurfs wieder ersatzlos zurückgezogen. Die ISO Norm 31000 ist ausdrücklich nicht zu Zertifizierungszwecken geschaffen. Vielmehr sagt die Norm aus, dass „die ISO 31000 Empfehlungen liefert, die an die spezifischen Organisationen angepasst werden können oder müssen und keine Anforderungen vorgibt.“ Eine gesetzliche Basis zur Zertifizierung stellt die ONR49001.

Ziele der Norm

Reputations- oder Markenschäden, Cyberkriminalität, politische Risiken und Terrorismus sind nur einige Risiken, die private und öffentliche Organisationen aller Art und Größe auf der ganzen Welt mit zunehmender Häufigkeit befürchten müssen. Die neueste Version der ISO 31000 wurde vorgestellt, um bei dem Umgang mit diesen Unsicherheiten zu helfen. Die ISO 31000:2018 liefert eine klarere, kürzere und prägnantere Anleitung, die Organisationen dabei hilft, Risikomanagement-Prinzipien zu nutzen und um die Planung und Umsetzung zu verbessern, um somit bessere Entscheidungen treffen zu können. Die ISO 31000 unterstützt Organisationen dabei, eine Risikomanagementstrategie zu entwickeln, die effektiv Risiken identifiziert und abschwächt, und erhöht damit die Wahrscheinlichkeit, dass eine Organisation ihre Ziele erreicht und ihre Vermögenswerte schützen kann. Das übergeordnete Ziel ist die Entwicklung einer Risikomanagementkultur, in der Mitarbeiter und Stakeholder sich der Wichtigkeit des Risikomanagements bewusst sind. Die Implementierung von ISO 31000 hilft ebenfalls Organisationen, sowohl die positiven Chancen als auch die negativen Konsequenzen zu sehen, die mit Risiken verbunden sind, und ermöglicht eine fundiertere und damit effektivere Entscheidungsfindung bei der Zuteilung von Ressourcen. Darüber hinaus kann es eine aktive Komponente bei der Verbesserung der Unternehmensführung und letztlich seiner Leistung sein.

Besonderheiten

Insgesamt lassen sich fünf Besonderheiten der ISO-Norm 31000:2018 beschreiben.

Top-down-Ansatz

Das Risikomanagement folgt dem Top-down-Ansatz. Das bedeutet, dass die wesentlichen Risiken eines Unternehmens identifiziert, analysiert und behandelt werden, wobei die Details nicht von vornherein im Mittelpunkt stehen. Vielmehr geht es darum, die allgemeinen wichtigen Aspekte zu behandeln. Dieser Ansatz unterscheidet sich zu den Regulatoren der Finanzbranche, wie etwa Basel III oder Solvency II. Diese dienen auch dem Identifizieren von Risiken, sind jedoch eher als Bottom-up-Ansatz zu klassifizieren.

Risikomanagement ist eine umfassende Führungsaufgabe mit einem gegebenen Regelkreis

Das Umgehen mit Risiken erfolgt iterativ und unterstützt Organisationen dabei, Strategien festzulegen, Ziele zu erreichen und fundierte Entscheidungen zu treffen. Das Umgehen mit Risiken ist Teil der Leitung und Führung und entscheidet darüber, wie diese Organisation auf allen Ebenen geführt wird. Es handelt sich um eine Verpflichtung der obersten Leitung, das Risikomanagementsystem zu implementieren. Dabei wird iterativ nach dem Demingkreis vorgegangen. Dieser lässt sich nach dem „Plan – Do – Check – Act“-Prinzip zusammenfassen.

Branchenübergreifender Ansatz

Da Organisationen jeglicher Art und Größe externen und internen Faktoren und Einflüssen unterliegen, die das Erreichen ihrer Ziele ungewiss machen können, ist die ISO-Norm 31000 prinzipiell für alle Arten von Organisationen anwendbar. Sie lässt sich beispielhaft für Unternehmen der verarbeitenden Industrie sowie der Dienstleistungsbranche anwenden. Aber auch eine Implementierung für Unternehmen von öffentlichen Verwaltungen oder Nichtregierungsorganisationen ist möglich.

Funktionsübergreifend

Die ISO-Norm 31000:2018 geht über das Konzept des internen Kontrollsystems hinaus und trägt vielmehr zu der Verbesserung von Managementsystemen bei. Das Umgehen mit Risiken ist Teil aller Aktivitäten einer Organisation und umfasst die Interaktion mit Stakeholdern. Zusätzlich berücksichtigt die Norm das Umgehen mit Risiken im externen und internen Kontext der Organisation einschließlich menschlichen Verhaltens und kultureller Faktoren und ist somit funktionsübergreifend.

International breit abgestütztes Konzept

Entwickelt durch die ISO-Vereinigung mit Sitz in Genf, an denen Experten aus Europa, Amerika und Asien mitwirkten, besitzt die Norm somit ein besonderes Gewicht sowie internationale Aufmerksamkeit.

Aufbau und Inhalte der Norm

Das Umgehen mit Risiken basiert auf den Grundsätzen, dem Rahmenwerk und dem Risikoprozess. Zusätzlich definiert die Norm noch wesentliche Begriffe des Risikomanagements.

Begriffsdefinition

Insgesamt definiert die ISO-Norm 31000 acht Begriffe aus dem Kontext des Risikomanagements. Dabei handelt es sich lediglich um die wichtigsten Begriffe. In der vorhergehenden Norm waren noch 29 Begriffe definiert, womit durch die Überarbeitung eine deutliche Kürzung in diesem Bereich stattfand. Folgende Begriffe werden definiert und ggf. mit Anmerkungen versehen.

1.)   Risiko = „Auswirkung von Unsicherheit auf Ziele“. Eine Auswirkung stellt dabei sowohl eine Abweichung in positiver oder negativer Richtung als auch in beide Richtungen dar. Üblicherweise wird Risiko anhand der Risikoursache, der potenziellen Ereignisse, ihrer Auswirkungen und ihrer Wahrscheinlichkeit dargestellt.

2.)   Risikomanagement = „Koordinierte Aktivität zur Lenkung und Steuerung einer Organisation in Bezug auf Risiken“.

3.)   Stakeholder = „Person oder Organisation, die eine Entscheidung oder Aktivität beeinflussen kann, von dieser beeinflusst werden kann oder den Eindruck haben kann, davon beeinflusst zu werden“. Alternativ kann der Begriff „interessierter Kreis“ verwendet werden.

4.)   Risikoquelle/Risikoursache = „Element, das alleine oder gemeinsam mit anderen Faktoren potenziell zu Risiken führt“.

5.)   Ereignis = „Eintritt oder Veränderung einer bestimmten Kombination von Umständen“. Ein Ereignis kann einmal oder mehrmals eintreten und mehrere Ursachen sowie Auswirkungen haben.

6.)   Auswirkung = „Ergebnis eines Ereignisses, welches die Ziele betrifft“. Eine Auswirkung kann gewiss oder ungewiss sein und qualitativ oder quantitativ beschrieben werden.

7.)   Wahrscheinlichkeit = „Möglichkeit, dass etwas geschieht“. Eine Wahrscheinlichkeit muss nicht nach mathematischen Begriffen beschrieben werden, sondern kann auch allgemein gekennzeichnet werden.

8.)   Steuerung = „Maßnahme, die das Risiko aufrechterhält und/oder verändert“.

Grundsätze

Die ISO-Norm 31000 legt Grundsätze fest, die helfen sollen, den Zweck des Risikomanagements (Werte zu schaffen und zu bewahren) zu erreichen. Dabei sollen die Grundsätze eine Grundlage dafür bilden, wie mit Risiken umzugehen ist, und sollten deshalb bei der Entwicklung des Rahmenwerkes und der Prozesse eines Risikomanagementsystems berücksichtigt werden.

Unter Beachtung der Grundsätze sollte ein effektives Risikomanagement somit integriert, strukturiert, umfassend, maßgeschneidert, einbeziehend und dynamisch sein. Zusätzlich sollten die besten verfügbaren Informationen verwendet und menschliche sowie kulturelle Faktoren berücksichtigt werden und eine fortlaufende Verbesserung des Risikomanagements stattfinden.

Rahmenwerk

Die Wirksamkeit des Risikomanagements hängt davon ab, wie erfolgreich es in die internen Aktivitäten einer Organisation, vor allem von der Organisationsleitung, implementiert wird. Das Risikomanagement-Rahmenwerk fördert die Integration des Risikomanagements in die bedeutenden Funktionen und Prozesse der Organisation. In einem Rahmenwerk werden auch die existierenden Risikomanagementverfahren und -prozesse samt bestehender Lücken erfasst, behandelt und bewertet.

Das Rahmenwerk umfasst folgende Komponenten des Risikomanagements:

1) Integration
2) Gestaltung
3) Implementierung
4) Bewertung
5) Verbesserung

Diese müssen an die Bedürfnisse der Organisation angepasst werden.

Die Aufgaben der Organisationsführung und der internen Aufsichtsorgane sind die Integration des Risikomanagements in die Organisationsaktivitäten sowie der Nachweis einer erfolgreichen Implementierung. Dies umfasst die Anpassung der Komponenten des Rahmenwerks an die Bedürfnisse der Organisation, die Festlegung eines Plans, der alle erforderlichen Ressourcen umfasst, und das Zuweisen der Aufgaben auf allen Ebenen der Organisation. Die Unternehmensleitung ist im Prinzip für die Festlegung der allgemeinen Strategie zum Umgehen mit Risiken verantwortlich, während sich die Aufsichtsorgane mehr mit der Überwachung des Risikomanagements beschäftigen.

Integration

Eine wichtige Voraussetzung für die erfolgreiche Integration des Risikomanagements ist das Verständnis der internen Organisation des Unternehmens. Die Teile der Organisationsstruktur des Unternehmens unterscheiden sich nach Zwecken, Zielen und Komplexität. Mit Risiko wird aber in jedem Teil umgegangen. Die Unternehmensleitung legt die allgemeine Strategie zum Umgang mit Risiken, den einzelnen Leitlinien sowie der Rechenschafts- und Aufsichtspflicht fest. Die Integration des Risikomanagements ist ein dynamischer Prozess, der an die Ziele und Abläufe des Unternehmens ständig angepasst werden muss.

Gestaltung

Bei der Gestaltung des Rahmenwerkes müssen sowohl interne als auch externe unternehmensspezifische Faktoren berücksichtigt werden.

Externe Faktoren umfassen sämtliche sozialen, rechtlichen, finanziellen und wirtschaftlichen Auseinandersetzungen auf lokaler, nationaler und internationaler Ebene, die die Ziele der Organisation beeinflussen. Zusätzlich müssen externe Schlüsselfaktoren und Trends berücksichtigt werden. Auch die Beziehungen zu externen Personen, vertragliche Verpflichtungen, die Komplexität der Netzwerke und Abhängigkeiten der Organisation sind zu den externen Faktoren zu zählen.

Interne Faktoren sind die Vision, Mission und Werte sowie die Kultur der Organisation und deren interne Struktur. Die Verteilung der Leitungs- und Aufsichtsfunktionen, die übernommenen und angewandten Normen, Leitlinien und Modelle sowie verfügbare Ressourcen und Kapital (auch Humankapital) sind ebenfalls relevante interne Faktoren. Zusätzlich nennt die Norm noch die Informations- und Datensysteme, die Beziehungen zu internen Stakeholdern sowie die Realisation der vertraglichen Beziehungen und Verpflichtungen.

Die Organisationsleitung bzw. die Aufsichtsorgane müssen sich zum langfristigen Risikomanagement verpflichten, indem sie klar definierte Ziele, Bedürfnisse, Rechenschaftspflichten, notwendige Ressourcen, Vorgehensweisen sowie Maßnahmen zur Überprüfung und weitere Verbesserungen des Risikomanagementsystems im Unternehmen schriftlich verfassen und diese innerhalb der Organisation sowie mit den externen Unternehmenseignern kommunizieren.

Die relevanten Rollen bezüglich des Risikomanagements müssen auf allen Ebenen in der Organisation verteilt und zu den verantwortlichen Beschäftigten klar kommuniziert werden. Die zum entsprechenden Umgehen mit den Risiken benötigten Ressourcen, Fähigkeiten, Kompetenzen, Prozesse, Methoden und Werkzeuge müssen auch auf der obersten Ebene unter Berücksichtigung der Ressourcenknappheit sichergestellt und zugeteilt werden.

Um die Wirksamkeit des Risikomanagementsystems in der Organisation sicherzustellen, müssen die entsprechenden Kommunikations- und Konsultationswege eingerichtet werden, die die allgemeinen Informationen, konkreten Aufgaben sowie das Feedback und die Erwartungen der Stakeholder auf allen Ebenen der Organisation effizient und rechtzeitig zum Austausch bringen. Die Informationen, die innerhalb der Organisation effizient mitgeteilt, sortiert, verdichtet und analysiert werden, tragen dazu bei, dass alle Aktivitäten aneinander angepasst, mitgestaltet und verbessert werden können.

Implementierung

Die Implementierung des Risikomanagement-Rahmenwerks muss mit der Erarbeitung eines geeigneten Plans mit konkreten Maßnahmen und unter Berücksichtigung der notwendigen Ressourcen anfangen. Die wichtigsten Entscheidungen müssen festlegen, wann, wo, wie und von wem die anzuwendenden Prozesse geändert werden müssen.

Für die erfolgreiche Implementierung ist das Engagement der Stakeholder notwendig, damit das Auftreten von Unsicherheiten bei dem Entscheidungstreffen angesprochen werden kann.

Das richtig geplante und implementierte Risikomanagement-Rahmenwerk stellt sicher, dass der Risikomanagementprozess zum Teil der Aktivitäten der gesamten Organisation wird und an die Änderungen des internen und externen Kontext angepasst werden kann.

Bewertung

Um das Risikomanagement-Rahmenwerk möglichst nah an die Tätigkeiten und die internen und externen Faktoren der Organisation anzupassen, muss dessen Wirksamkeit regelmäßig bewertet werden. Die angebrachten Leistungen sind mit den geplanten Zwecken und Implementierungsplänen zu vergleichen, um danach zu ermitteln, ob das Rahmenwerk weiterhin zur Realisation der Organisationsziele geeignet ist oder ob eine Überarbeitung unter Berücksichtigung der veränderten Bedingungen stattfinden muss.

Verbesserung

Das Risikomanagement-Rahmenwerk muss fortlaufend überwacht und seine Eignung, Angemessenheit und Wirksamkeit an die externen und internen Veränderungen angepasst werden. Wenn wesentliche Lücken oder Verbesserungsmöglichkeiten bestehen, muss die Organisation zwecks Verbesserung neue konkrete Pläne und Aufgaben ausarbeiten sowie die für dessen Implementierung zuständigen Personen bestimmen. Nach der Verbesserung und Optimierung des Risikomanagementsystems muss dieses besser an die Bedürfnisse der Organisation angepasst werden und zur Risikobewältigung beitragen.

Risikomanagementprozess

Definition

Unter dem Risikomanagementprozess versteht man sowohl die systematische Anwendung von Grundsätzen, Verfahren und Prozessen auf die Aktivitäten der Kommunikation und Konsultation als auch das Einrichten des Kontextes sowie das Beurteilen, Behandeln, Überwachen, Überprüfen, Aufzeichnen und Berichten.

Kommunikation und Konsultation

Während die Kommunikation der Förderung der Stakeholder bezüglich ihres Risikobewusstseins dient, erhalten Stakeholder durch Konsultation Informationen zur Unterstützung der Entscheidungsfindung. Durch Kommunikation und Konsultation lassen sich u. a. interdisziplinäre Fachkenntnisse in jedem Schritt des Risikomanagementprozesses vereinen sowie die unterschiedlichen Perspektiven bei der Definition der Risikokriterien und Bewertung der Risiken berücksichtigen.

Anwendungsbereich, Kontext und Kriterien

Der Anwendungsbereich der Risikomanagementaktivitäten lässt sich durch die Organisation festlegen. Dabei spielen relevante Ziele und Anpassungen an die Ziele der Organisation eine wichtige Rolle, denn der Risikomanagementprozess ist auf unterschiedlichen Ebenen anzuwenden. Dementsprechend sind externe und interne Kontexte des Umfelds bei der Festlegung der Ziele zu berücksichtigen. Organisationen ist das Verstehen der beiden Kontexte und deren Verknüpfung mit ihrem Risikomanagementprozess wichtig, da der Zweck und Anwendungsbereich des Risikomanagementprozesses mit den Gesamtzielen der Organisation verbunden sein kann. Die Festlegung von Risikokriterien sollte auf das Risikomanagement-Rahmenwerk abgestimmt und an den jeweiligen Zweck und Anwendungsbereich der Aktivitäten angepasst werden. Außerdem sollten die Risikokriterien die Werte, Ziele und Ressourcen der Organisation wiedergeben, da sie unter der Verpflichtung der Organisation sowie der Sichtweisen der Stakeholder festzulegen sind.

Risikobeurteilung

Die Risikobeurteilung umfasst den systematischen, iterativen und kollaborativen Prozess der Risikoidentifikation, Risikoanalyse und Risikobewertung unter Verwendung der Kenntnisse und Ansichten der Stakeholder. Die Risikoidentifizierung dient der Organisation dazu, eine möglichst vollständige Übersicht möglicher Risiken zur Verfügung stellen zu können. Jedes Risiko wird, abhängig vom jeweiligen Bereich, einem Risikoverantwortlichen zugeteilt. Die Identifizierung von Risiken geschieht in allen Bereichen und Prozessen einer Organisation. Bei der Risikoidentifizierung werden sowohl interne als auch externe Datenquellen verwendet. Dadurch, dass die Risikoanalyse eine ausführliche Betrachtung von Unsicherheiten, Risikoursachen, Auswirkungen, Wahrscheinlichkeit, Ereignissen, Szenarien, Steuerungen und deren Wirksamkeit durchführt, umfasst sie die Bestimmung der Art des Risikos, dessen Eigenschaften und ggf. die Risikohöhe. Die Risikoanalyse liefert einen Beitrag für die Risikobewertung und für Entscheidungen darüber, ob und wie Risiken zu behandeln sind. Die Risikobewertung ermöglicht eine Gewichtung der identifizierten Risiken und damit eine risikoorientierte Vorgehensweise: Bestandsgefährdende Risiken verlangen andere Steuerungsmaßnahmen als unwesentliche Risiken. Im Rahmen der Bewertung werden alle identifizierten Risiken analysiert und ihre Eintrittswahrscheinlichkeit sowie ihr Schadensausmaß bewertet.

Risikosteuerung

Die Risikomitigation bzw. Risikosteuerung ergreift Maßnahmen, um die potentielle Schadenshöhe und/oder Eintrittswahrscheinlichkeit der Risiken zu reduzieren.

Optionen zur Risikobehandlung bestehen aus:

1. Vermeidung: Ausstieg aus Aktivitäten, wenn Steuerungsmaßnahmen nicht kosteneffizient sind und/oder Nutzen in ungünstigem Verhältnis zum Risiko steht
2. Transfer: Übertragung der Risikosteuerung und/oder der finanziellen Auswirkung des Risikos auf Dritte
3. Verminderung: Frühzeitige Entwicklung und Ergreifung von Maßnahmen zur Reduktion der Eintrittswahrscheinlichkeit und/oder des Schadensausmaßes
4. Akzeptanz: Bewusstes Eingehen von Risiken

Risikoüberwachung

Durch eine regelmäßige Überwachung der Steuerungsmaßnahmen in allen Phasen des Prozesses wird die Wirksamkeit des Risiko-Managementsystems sichergestellt. Mithilfe risikospezifischer Frühwarnindikatoren können Risiken rechtzeitig Maßnahmen gegenübergestellt werden.

Risikoberichterstattung

Die Berichterstattung stellt sicher, dass relevante Risikoinformationen rechtzeitig an den richtigen Adressaten geleitet werden. Dies können interne oder externe Berichtsempfänger sein. Bei Organisationen finden sich verschiedene Formen der Berichterstattung. Diese lassen sich wie folgt einstufen:

1. Basis-Berichterstattung: einheitlicher Bericht, jedoch mit eingeschränkten Möglichkeiten zur Auswertung der Daten
2. Adressatengerechte Berichterstattung: hierarchieabhängige Berichterstattung mit Unterscheidung zwischen Vorstandsbericht und Bereichsreports
3. Integrierte Berichterstattung: individualisierte Berichte und mögliche quantitative Auswertung

Überarbeitung der Norm und Unterschiede zu ISO 31000:2009

Alle ISO-Standards werden alle fünf Jahre überprüft und bei Bedarf überarbeitet. Dies hilft dabei, die Relevanz für den Markt sicherzustellen. Die Risikomanagement-Praktiken von gestern reichen nicht mehr aus, um mit den heutigen Bedrohungen umzugehen, weshalb sich diese weiterentwickeln müssen. Ein Beispiel dafür ist die erhöhte Komplexität von Wirtschaftssystemen und aufkommende Risikofaktoren, wie die digitale Währung. Beide können neue und verschiedene Arten von Risiken für eine Organisation darstellen.

Eine Überarbeitung zu ISO 31000 wurde Anfang 2018 veröffentlicht und ersetzt die erste Ausgabe (ISO 31000:2009). Die ISO 31000:2018 bietet mehr strategische Leitlinien und legt mehr Gewicht auf die Einbeziehung des Senior Managements und die Integration des Risikomanagements in die Organisation. Das übergeordnete Ziel ist die Entwicklung einer Risikomanagementkultur, in der sich Mitarbeiter und Stakeholder bewusst sind, wie wichtig es ist, Risiken zu überwachen und zu steuern. Der daraus resultierende Standard ist nicht nur eine neue Version von ISO 31000. Er geht über eine einfache Überarbeitung hinaus, denn es geht um die Art und Weise, wie morgen mit Risiken umgegangen wird.

Die wichtigsten Änderungen im Vergleich zur letzten Ausgabe sind Folgende:

„Überprüfung der Grundsätze des Risikomanagements, welche die wichtigsten Kriterien für dessen Erfolg sind.“

Der überarbeitete Standard empfiehlt nun, dass das Risikomanagement Teil der Organisationsstruktur, Prozesse, Ziele, Strategie und Aktivitäten sein sollte. Es konzentriert sich mehr auf die Schaffung von Werten als Schlüsseltreiber des Risikomanagements und andere verwandte Prinzipien, wie kontinuierliche Verbesserung, der Einbezug von Stakeholdern, Anpassung an die Organisation und Berücksichtigung von Mensch und kulturellen Faktoren.

„Hervorhebung der Führung durch die oberste Leitung und der Integration des Risikomanagements, beginnend mit der Leitung der Organisation.“

Dies schließt die Empfehlung ein, eine Politik zu entwickeln, die ein Engagement für Risikomanagement unterstützt. Dabei geht es um die Zuweisung von Autorität, Verantwortung und Rechenschaftspflicht auf den entsprechenden Ebenen innerhalb der Organisation und die Sicherstellung, dass die notwendigen Ressourcen für das Risikomanagement bereitgestellt werden.

„Stärkere Betonung des iterativen Charakters des Risikomanagements.“

Dabei wird darauf hingewiesen, dass neue Erfahrungen, Kenntnisse und Analysen in jeder Phase des Prozesses zu einer Überarbeitung der Prozesselemente, Aktionen und Steuerungen führen können.

„Straffung des Inhalts mit stärkerem Fokus auf die Aufrechterhaltung eines offenen Systemmodells, das mehreren Bedürfnissen und Kontexten gerecht wird.“

Das Hauptziel besteht darin, die Dinge klarer und einfacher zu machen, wobei eine einfache Sprache verwendet wird, um die Grundlagen des Risikomanagements in einer Weise zu definieren, die der Leser leichter nachvollziehen kann.

Geschichte

Jahr	Beschreibung
2009	ISO 31000 (1. Ausgabe)
2018	ISO 31000 (2. Ausgabe)

Literatur

• ISO Norm 31000:2018.
• Werner Gleißner: Grundlagen des Risikomanagements. 3. Auflage. Vahlen, 2017, ISBN 978-3-8006-3767-6.

Siehe auch

• Risikomanagement
• Risikocontrolling
• Risikomanagement-Standard
• Risikobewältigung