Ris sikoma anagem ment. Risikomanagement

Transkript

1 Risikomanagement Sylvie Spahr 16. November 2011, Zürich

2 Agenda Risikomanagement > Begriffe und Definitionen > Risikomanagement kritischer Infrastrukturen > Risikomanagement im Krankenhaus > Das Notfall-, Krisen- und Kontinuitätsmanagement als Teil eines umfassenden Risikomanagements 16. Nov Ulrich Swiss Workshop 2011 / Sylvie Spahr Seite 2

3 Begriffe und Definitionen 16. Nov Ulrich Swiss Workshop 2011 / Sylvie Spahr Seite 3

4 Begriffe und Definitionen Risiko > Wortherkunft: > aus dem Griechischen rhizikon "Klippe" > aus dem Arabischen rizq "von Gottes Gnade oder Geschick abhängigen Lebensunterhalt" > Synonyme (?): > Gefahr - Chance - Ungewissheit- Zufall - Wagnis - Gegenteil von Sicherheit - Unglück - > Was ist ein Risiko? > Risiko = Auswirkungen von Unsicherheit auf Ziele 6. März 2011 Sylvie Spahr Seite 4

5 Begriffe und Definitionen Risikomanagement > Risikomanagement ist der planvolle Umgang mit Risiken. Risikomanagement ist die systematische Erfassung und Bewertung von Risiken sowie die Steuerung von Reaktionen auf festgestellte Risiken. Es ist ein systematisches Verfahren, das in vielfältigen Bereichen Anwendung findet (aus:wikipedia) > Prozesse und Verhaltensweisen, die darauf ausgerichtet sind, eine Organisation bezüglich Risiken zu steuern. (aus:onr 49000:2010) > Beim Risikomanagement werden Gefahren, die sich aus einer Abweichung der realen Entwicklung von einem Plan ergeben könnten, frühzeitig identifiziert, bewertet und in einem Prozess kontinuierlich gehandhabt. (aus: 6. März 2011 Sylvie Spahr Seite 5

6 Begriffe und Definitionen Risikomanagement ist ein Prozess! aus: 8. April Jürg 2011 Liechti: Risikomanagement für KMU 6. März 2011 Sylvie Spahr Seite 6

7 Risikomanagement-Methoden Risiken identifizieren - analysieren - bewerten Risiken identifizieren > Welche Risiken gibt es? Risiken analysieren > Wie gross sind die Risiken? Risiken bewerten > Welche Risiken sind relevant? 6. März 2011 Sylvie Spahr Seite 7

8 Risiko-Identifikation Risiko-Identifikation Instrumente zur Risikoidentifikation > Befragungen, Beobachtungen und Recherchen > Brainstorming (spontan und ohne Bewertung oder Kritik) > Checklisten (Gefahrenlisten) > Frühinformationssysteme (Kennzahlen auswerten) > FMEA (Fehlermöglichkeits- und Einflussanalyse) > FTA (Fehlerbaumanalyse) 6. März 2011 Sylvie Spahr Seite 8

9 Risikoanalysen Risikoanalysen Es werden im Allgemeinen drei Arten von Risikoanalysen unterschieden: > die numerisch-quantitative Risikoanalyse > die numerisch-halbquantitative Risikoanalyse > die qualitative Risikoanalyse 6. März 2011 Sylvie Spahr Seite 9

10 Risikobewertung Risikobewertung "You can only manage, what you can measure" (R. S. Kaplan, A. A. Aktinson: Advanced Management Accounting) Die Bewertung von Risiken (= Risikowert) ergibt sich aus: > der (Eintritts-) Wahrscheinlichkeit eines Risiko-Szenario > dem (Schadens-) Ausmass eines Risiko-Szenario R = W A 6. März 2011 Sylvie Spahr Seite 10

11 Risikobewertung (Eintritts-) Wahrscheinlichkeit Beispiele von Stufen und Arten von Wahrscheinlichkeiten: > unwahrscheinlich einmal in 3 Jahren / einmal in 100 Jahren / 1 % / 0.01 > sehr selten einmal pro Jahr / einmal in 30 Jahren / 3 % / 0.03 > selten einmal pro Quartal / einmal in 10 Jahren / 10 % / 0.1 > möglich einmal pro Monat / 30 % / 0.33 > häufig einmal pro Woche / einmal pro Jahr / 100% / 1.00 logarithmische Skalierung! 6. März 2011 Sylvie Spahr Seite 11

12 Risikobewertung (Schadens-) Ausmass Beispiele von Stufen und Arten von Auswirkungen: > unbedeutend < CHF 100'000 Budget wird kaum/nicht beeinträchtigt kritischer Vorfall ohne Personenschaden Unzufriedenheit eines Patienten > gering < CHF 300'00 Schadensfolgen können aus dem Cash Flow finanziert werden Leichte Verletzung Längere Hospitalisierung eines Patienten > spürbar < CHF 1'000'000 Jahresergebnis wird beeinträchtigt, geringerer Gewinn Schwere Verletzung mit bleibender Schädigung dauernde Schädigung des Patienten 6. März 2011 Sylvie Spahr Seite 12

13 Risikobewertung (Schadens-) Ausmass Beispiele von Stufen und Arten von Auswirkungen: > kritisch < CHF 3'000'000 Jahresgewinn wird verzehrt, nachhaltige Beeinflussung Schwere, bleibende Gesundheitsschädigung mit Todesfall eines Patienten, Reputation nachhaltig beeinträchtigt > katastrophal Existenz der Organisation ist bedroht Schuldhaft verursachter Todesfall Schuldhaft verursachte Morbidität, nachhaltiger Vertrauensverlust 6. März 2011 Sylvie Spahr Seite 13

14 Risikobewertung Die Risikomatrix (W/A-Diagramm) 6. März 2011 Sylvie Spahr Seite 14

15 Risikomanagement Vertretbares Risiko - Schutzziel - Restrisiko (nach ONR 49000) Ein vertretbares Risiko ist ein Risiko, das nicht nach weiteren mindernden Massnahmen verlangt, sondern bei der Verfolgung der Ziele der Organisation oder der Zweckbestimmung des Systems getragen werden kann. ( ) Ein Schutzziel ist ein maximales vertretbares Risiko. Ein Schutz- ziel für eine bestimmte Gefahr gibt die Risiko-Toleranz-grenze an, oberhalb derer das Risiko nicht mehr vertretbar ist und durch Massnahmen gemindert werden muss. Unter dem Restrisiko versteht man das verbleibende Risiko nach Realisierung aller Minderungsmassnahmen. Die Forderung der Vertretbarkeit der Risiken bedeutet, dass das Restrisiko unterhalb des des Schutzziels zu liegen kommt. 6. März 2011 Sylvie Spahr Seite 15

16 Risikomanagement Akzeptanz und Akzeptabilität Akzeptanz: ich akzeptiere, dass subjektive Einschätzung abhängig von Emotionen, Erwartungen, Erfahrungen, etc. Akzeptabilität: es ist akzeptabel, dass objektive Einschätzung basiert auf Fakten, gesicherten Erfahrungswerten, Statistiken, etc. 6. März 2011 Sylvie Spahr Seite 16

17 Risikobewältigung Risikobewältigung Verschiebung des Risikos aufgrund von Massnahmen 6. März 2011 Sylvie Spahr Seite 17

18 Risikomanagement kritischer Infrastrukturen Kritische Infrastrukturen Definition: > Kritische Infrastrukturen sind Organisationen und Einrichtungen mit wichtiger Bedeutung für das Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden. (nach: KRITIS, Bundesministerium des Innern, 2003 Sektoren kritischer Infrastrukturen: > Energie > Wasser > Information und Telekommunikation > Verkehr > Gesundheit > Nahrung > Finanzen > 8. April März 2011 Sylvie Spahr Seite 18

19 Risikomanagement kritischer Infrastrukturen Kritische Infrastrukturen Eigenschaften kritischer Infrastrukturen: > Infrastrukturleistungen werden über physische, virtuelle oder logische Netzwerke zur Verfügung gestellt, wobei diese Netze an Grösse und Komplexität laufend zunehmen. > Die einzelnen Infrastrukturen beeinflussen sich gegenseitig und sind zunehmend von einander abhängig. > Die rasante technologische Entwicklung einzelner Infrastrukturen führt zu Parallelexistenzen neuer und bisheriger Systeme und damit zu Sicherheitslücken und Schwachpunkten Zunehmende Verwundbarkeit der kritischen Infrastrukturen 6. März 2011 Sylvie Spahr Seite 19

20 Risikomanagement kritischer Infrastrukturen Kritische Infrastrukturen Gefährdungen kritischer Infrastrukturen: > Naturgefahren (z.b. wetterbedingte Extremereignisse) > Gesundheitsgefahren (z.b. Influenzapandemie) > Gefahren aus der Informationstechnologie (z.b. Stuxnet) > Gefahren aus demografischen Veränderungen (z.b. Verstädterung) > Gefahren aus Veränderungen ökonomischer Rahmenbedingungen (z.b. Privatisierungen) > Gefahren aus internationalem Terrorismus ( ) > Gefahren aus der subjektiven Risikowahrnehmung Immer extremere und komplexere Ereignisse (Dominoeffekt) 6. März 2011 Sylvie Spahr Seite 20

21 Risikomanagement kritischer Infrastrukturen Das CH Programm zum Schutz kritischer Infrastrukturen Zur Grundstrategie des SKI gehören: > Priorisierung der kritischen Infrastrukturen > Erfassung und Analyse von Gefährdungen, Risiken, Abhängigkeiten und bestehenden Schutzmassnahmen > Ermittlung von Schutzdefiziten > Erarbeitung von Massnahmen Risikomanagement zum Schutz kritischer Infrastrukturen 6. März 2011 Sylvie Spahr Seite 21

22 Risikomanagement im Krankenhaus Kritische Infrastruktur Krankenhaus > Krankenhäuser gehören zu den unverzichtbarsten und zugleich störungsanfälligsten sozialen Infrastrukturen mit besonderer Bedeutung für den Bevölkerungsschutz. Grossereignisse weiten sich immer dann zu humanitären Katastrophen aus, wenn auch das Gesundheitswesen zusammenbricht. > Das Krankenhaus ist nicht nur selber eine kritische Infrastruktur, sondern als sensibles und komplexes System von einer Vielzahl anderer kritischer Infrastrukturen abhängig. 6. März 2011 Sylvie Spahr Seite 22

23 Risikomanagement im Krankenhaus Die vier Ebenen der Gesundheitsversorgung (aus: Schutz kritischer Infrastrukturen Risiko- und Krisenmanagement, Bundesministerium des Innern, 2011) 6. März 2011 Sylvie Spahr Seite 23

24 Risikomanagement im Krankenhaus Risikomanagement in 4 Phasen: Plan Do Check Act > Plan: Rahmenbedingungen festlegen und Schutzziele definieren > Do: Möglichst objektive Analyse der gegenwärtigen Risikosituation ik i i > Check: Bewertung der ermittelten Risikosituation und Vergleich mit den definierten i Schutzzielen > Act: (Evaluieren und) Umsetzen geeigneter Massnahmen Risikomanagement ist Chefsache! 6. März 2011 Sylvie Spahr Seite 24

25 Risikomanagement im Krankenhaus Plan Do Check Act > Risikomanager ernennen interdisziplinär zusammengesetztes Team mit konkretem Auftrag > Krankenhaus charakterisieren Aufgaben und Eigenschaften dokumentieren und Untersuchungs- bereich abgrenzen. Zusammenstellen vorhandener Berichte von bereits durch- geführten Analysen und Untersuchungen > Rahmenbedingungen festlegen Organisationsformen, Strukturen, Prozesse und Funktions- bereiche, Abhängigkeiten, gesetzliche Anforderungen,... > Schutzziele definieren 6. März 2011 Sylvie Spahr Seite 25

26 Risikomanagement im Krankenhaus Plan Do Check Act > Kritikalitätsanalyse kritische Prozesse identifizieren und alle Prozessbausteine erfassen, die direkt oder indirekt für die Gewährleistung der kritischen Prozesse notwendig sind. > Gefährdungsanalyse relevante (plausible) Gefahren identifizieren und Szenarien formulieren, um die daraus resultierende Gefährdung des Krankenhauses möglichst realistisch darzustellen. > Verwundbarkeitsanalyse Verwundbarkeitskriterien definieren und anhand derer die Verwundbarkeit kritischen Prozesse und Prozessbausteine mit und ohne Massnahmen bewertet werden kann. > Risikomatrix Ergebnisse der Gefährdungs- und Verwundbarkeitsanalyse in Form einer Risikomatrix dokumentieren. 6. März 2011 Sylvie Spahr Seite 26

27 Risikomanagement im Krankenhaus Plan Do Check Act > Überpüfung der Ergebnisse Ergebnisse der Risikoanalyse plausibilisieren (Einschätzung, Risikowahrnehmung) > Interpretieren der Ergebnisse Formulieren klarer Aussagen. > Vergleichen der Ergebnisse Ergebnisse (IST-Zustand) mit den Schutzzielen (SOLL-Zustand) vergleichen > Handlungsbedarf ermitteln Massnahmen basierend auf der Risikomatrix ermitteln und priorisieren 6. März 2011 Sylvie Spahr Seite 27

28 Risikomanagement im Krankenhaus Plan Do Check Act > Vermeiden Risikovermeidung durch Substitution risikoreicher Prozesse (Präservation). > Vermindern Risikoverminderung durch Reduktion der Verwundbarkeit oder Eingrenzung der Wirkung (Schadensausmass). > Überwälzen Finanzielle Folgen von Risiken können auf Versicherungen oder Lieferanten überwälzt werden. > Akzeptieren Ist eine Reduktion des Risikos nicht möglich oder besteht nach Umsetzung der Massnahmen ein Restrisiko, ist es als solches zu akzeptieren. 6. März 2011 Sylvie Spahr Seite 28

29 Risikomanagement im Krankenhaus Präventive Schadensbewältigung Die präventive Schadensbewältigung umfasst: > Präservation (Verhüten) > Prävention (Zuvorkommen, Prophylaxe, Präparieren) > Intervention (Dazwischengehen, Einschreiten, Parieren) > Postvention (Nachbearbeitung, Rehabilitation, Reparieren) nach Swiss Re: Präventive Schadenbewältigung, 2001 Die präventive Schadensbewältigung ist die Bewältigung des Restrisikos! 6. März 2011 Sylvie Spahr Seite 29

30 Notfallplanung und Krisenmanagement Notfallplanung und Krisenmanagement Notfall oder Krise? > Notfall: ein Notfall ist ein Geschehen, das durch ein meist plötzlich eintretendes Ereignis ausgelöst wird und existenzbedrohende Ausmasse annehmen kann. Notfälle verlangen schnelles und wirksames Handeln! > Krise: Die Krise bezeichnet dem Wortursprung nach einen Wendepunkt, an dem sich ein Geschehen zum Guten aber auch zum Schlechten wenden kann. Sie entwickelt sich meist aus einer Vielzahl von kleineren Ereignissen und Fehlern und hat somit verschiedene Ursachen Krisen verlangen Entscheidungen! nach Swiss Re: Präventive Schadenbewältigung, März 2011 Sylvie Spahr Seite 30

31 Notfallplanung Notfallplanung Bereitstellen von Informationund Hilfsmitteln für das Ergreifen von Sofortmassnahmen. Sofortmassnahmen sind klare Handlungsanweisungen. Sie nehmen im Ereignisfall den Betroffenen die Entscheidung ab. 6. März 2011 Sylvie Spahr Seite 31

32 Krisenmanagement Krisenmanagement "Krisenmanagement ist eine besondere Form der Führung von höchster Priorität, deren Aufgabe es ist, alle jene Prozesse in der Unternehmung zu vermeiden (Krisenvermeidung) oder zu bewältigen (Krisenbewältigung), die ansonsten in der Lage wären, den Fortbestand der Unternehmung substanziell zu gefährden oder sogar unmöglich zu machen." (Krysteck, Ulrich in wirtschaftslexikon.gabler.de) 6. März 2011 Sylvie Spahr Seite 32

33 Sicherheitskonzepte Sicherheitskonzepte Das Sicherheitskonzept hält die aus Risikoanalyse und Standortbestimmung gewonnen Erkenntnisse fest und beschreibt die notwendigen Sicherheitsvorkehrungen. Das Sicherheitskonzept einer Organisation kann aus verschiedenen Konzepten bestehen, welche die Sicherheit einzelner Güter oder Werte im Fokus haben: > Datenschutzkonzept > Brandschutzkonzept > Epidemiekonzept > Evakuierungskonzept > Zutrittskonzept > Alarmierungskonzept > 6. März 2011 Sylvie Spahr Seite 33

34 Danke! Risikomanagement