ONR Risikomanagement für Organisationen und Systeme. Begriffe und Grundlagen. Umsetzung von ISO in die Praxis ICS ;

Transkript

1 ICS ; ONR Risikomanagement für Organisationen und Systeme Begriffe und Grundlagen Umsetzung von ISO in die Praxis Risk Management for Organizations and Systems Terms and basics Implementation of ISO Gestion du risque pour organisations et systèmes Notions et bases Application de l'iso Ausgabedatum:

2 Inhalt Vorwort Anwendungsbereich Begriffe Begriffe zum Risiko Begriffe zum Risikomanagement Begriffe zum Risikomanagement-System Grundlagen Anwendungen Systemischer Ansatz Zusammenwirken mit anderen Führungsinstrumenten Ziele und Grundsätze Ziele des Risikomanagements Grundsätze des Risikomanagements Anhang A (informativ) Europäische Risikomanagement-Konzepte Literaturhinweise Stichwortverzeichnis

3 Vorwort Die vorliegende Ausgabe ersetzt die Ausgabe ONR 49000:2010, die technisch überarbeitet wurde. Die wesentlichen Änderungen sind nachfolgend angeführt, wobei diese Zusammenstellung keinen Anspruch auf Vollständigkeit erhebt. Die Schlüsselbegriffe Risiko, Szenario, Risikoszenario, Unsicherheit, wurden erweitert, als neue Begriffe wurden Querschnittsrisiko und Risikokonsolidierung aufgenommen, die Begriffe Ziel, Audit, dokumentierte Information, Kompetenz, ständige Verbesserung, Korrekturmaßnahmen, Widerstandsfähigkeit und Wirksamkeit wurden auf Basis von ISO/IEC Directives, Part 1, Annex SL ergänzt, Tabelle A.1 Internationale Konzepte und Literaturverzeichnis wurde aktualisiert. Risikomanagement befähigt Organisationen und Führungskräfte, mit Risiken umzugehen, um die Erreichung der Ziele zu verbessern, die operationellen Tätigkeiten sicherzustellen, die Anforderungen von Gesetzen und Normen zu erfüllen und die Sicherheit von Menschen, der Umwelt und von Systemen zu erhöhen. Die Anwendungsbereiche von Risikomanagement sind vielfältig: Die international anerkannten Grundsätze zur Führung von Unternehmen und Organisationen (Corporate Governance) bezeichnen das Risikomanagement als Verantwortung der obersten Leitung von Organisationen. Branchen- und sektorspezifische Gesetze und Normen verweisen auf das Risikomanagement, um die Sicherheit von exponierten Personengruppen wie Konsumenten, Patienten und Mitarbeitern sicherzustellen und den internationalen Warenaustausch zu erleichtern. Die Aufsichtsgesetze für Banken und Versicherungen fordern, dass die Eigenmittel nach Maßgabe des gegebenen Gesamtrisikos der Geschäftstätigkeit bestimmt werden müssen. Für all diese Anwendungsgebiete sind umfangreiche Grundlagen, insbesondere terminologischer und konzeptioneller Art, bereits erarbeitet worden. In der internationalen Normung sind Bestrebungen im Gang, ein gemeinsames Verständnis für die Anwendung und Umsetzung des Risikomanagements zu schaffen. Dazu sind nicht nur ein einheitlicher Prozess und anerkannte Methoden erforderlich, um die Risiken zu beurteilen, zu bewältigen und zu überwachen. Es ist auch darzulegen, wie das Risikomanagement als Verantwortung der obersten Leitung und der Führungskräfte von Organisationen wahrgenommen, getragen und in das Managementsystem eingebettet werden soll. Austrian Standards Institute veröffentlicht mit der Serie ONR 4900x:2014 Risikomanagement für Organisationen und Systeme ein Regelwerk, das die Umsetzung des Internationalen Standards ISO Risk management Principles and guidelines in die Praxis unterstützt. Die ONR-Serie Risikomanagement für Organisationen und Systeme besteht aus folgenden Dokumenten (siehe auch Bild 1): ONR 49000, Risikomanagement für Organisationen und Systeme Begriffe und Grundlagen Umsetzung von ISO in die Praxis ONR 49001, Risikomanagement für Organisationen und Systeme Risikomanagement Umsetzung von ISO in die Praxis ONR , Risikomanagement für Organisationen und Systeme Teil 1: Leitfaden für die Einbettung des Risikomanagements ins Managementsystem Umsetzung von ISO in die Praxis ONR , Risikomanagement für Organisationen und Systeme Teil 2: Leitfaden für die Methoden der Risikobeurteilung Umsetzung von ISO in die Praxis 3

4 ONR , Risikomanagement für Organisationen und Systeme Teil 3: Leitfaden für das Notfall-, Krisen- und Kontinuitätsmanagement Umsetzung von ISO in die Praxis ONR 49003, Risikomanagement für Organisationen und Systeme Anforderungen an die Qualifikation des Risikomanagers Umsetzung von ISO in die Praxis Bild 1 Risikomanagement für Organisationen und Systeme Die ISO gibt generische Grundsätze und Richtlinien für die Anwendung des Risikomanagements vor. Die ONR-Serie Risikomanagement für Organisationen und Systeme zeigt auf, wie die ISO in die Praxis umgesetzt werden kann. Einzelne Teile dieser ONR enthalten Textstellen der ISO Diese Textstellen sind ins Deutsche übersetzt und werden farbig (RGB rot: 0/grün: 128/blau: 128) dargestellt. Die Begriffe wurden aus dem ISO Guide 73 übernommen und in Einzelfällen an die erweiterten Erfordernisse dieser ONR angepasst. Begriffe im Zusammenhang mit dem Managementsystem sowie die Strukturierung des Risikomanagement-Systems in ONR 49001:2014, Abschnitt 4 werden übernommen von den ISO/IEC Directives [38]. Die ONR-Serie Risikomanagement für Organisationen und Systeme kann keine Gewissheit geben, dass sämtliche Risiken einer Organisation erkennbar sind oder durch die Anwendung der Regeln tatsächlich erkannt worden sind. Die ONR-Serie Risikomanagement für Organisationen und Systeme wurde vom Austrian Standards Institute in Zusammenarbeit mit dem Netzwerk Risikomanagement der Schweiz und Österreichs erstellt. Folgende Personen waren an der Erarbeitung der ONR-Serie beteiligt: Prof. Dr. Bruno Brühwiler, Zürich (Projektleitung); Eckehard Bauer, Msc, Linz; Dipl.-Sozialarb./Sozialpäd. (FH) Ivonne Enseleit, Innsbruck; Dr. MMag. André Gaszò, Wien; Alexander Glaser, MBA, Wien; Mag. Thomas Hofer, Wien; Mag. Oliver Neuper, Graz; Dr. Peter Schweppe, Graz. Geschlechtsbezogene Aussagen in dieser ÖNORM sind auf Grund der Gleichstellung für beiderlei Geschlecht aufzufassen bzw. auszulegen 4

5 1 Anwendungsbereich Die vorliegende ONR legt die Terminologie für den Bereich Risikomanagement fest und beschreibt seine Grundlagen. Darunter fallen die Anwendung von Risikomanagement, der systemische Ansatz und das Zusammenwirken mit anderen Führungsinstrumenten. Zudem werden die Ziele und die Grundsätze für das Risikomanagement dargestellt. 2 Begriffe Für die Anwendung dieser ONR gelten die folgenden Begriffe: 2.1 Begriffe zum Risiko Auswirkung en consequence fr conséquence Ausgang eines Ereignisses oder einer Entwicklung, welcher die Ziele, Tätigkeiten und Anforderungen beeinträchtigt Auswirkungen können auf unterschiedliche Art und Weise die Ziele, Tätigkeiten und Anforderungen beeinträchtigen: Ein Ereignis oder eine bestimmte Veränderung von Umständen (Entwicklung) kann zu vielfältigen Auswirkungen führen. Eine Auswirkung kann gewiss oder ungewiss sein und sich positiv (Gewinn, Vorteil, Nutzen) oder negativ (Verlust, Nachteil, Schaden) auf Ziele einer Organisation auswirken. Auswirkungen können quantitativer oder qualitativer Art sein. Zu den besonderen Auswirkungen von Risiken zählen Personen-, Sach- und Vermögensschäden, unabhängig davon, ob und wie sie versichert werden können Bedrohung en threat fr menace potentielle Quelle eines Risikos, die zu einer ungünstigen Entwicklung (gemäß 2.1.5) führen kann Das Gegenteil der Bedrohung ist die Chance (gemäß 2.1.3) Chance en opportunity fr chance potentielle Quelle eines Risikos, die zu einer positiven Entwicklung (gemäß 2.1.5) führen kann Das Gegenteil von Chance ist die Bedrohung (gemäß 2.1.2) Exposition; Risikoexposition en exposure fr exposition Zustand, in dem Menschen, Sachen oder die Umwelt einer oder mehreren Gefahren ausgesetzt sind 5