Peter Meier. Die Umsetzung von Risikomanagement nach ISO Leseprobe -

Transkript

1 Peter Meier Die Umsetzung von Risikomanagement nach ISO 31000

2 Bibliografische Information der Deutschen Nationalbibliothek Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie. Detaillierte bibliografische Daten sind im Internet über abrufbar. ISBN by TÜV Media GmbH, TÜV Rheinland Group, TÜV, TUEV und TUV sind eingetragene Marken der TÜV Rheinland Group. Eine Nutzung und Verwendung bedarf der vorherigen Zustimmung durch das Unternehmen. Gesamtherstellung: TÜV Media GmbH, Köln 2013 Den Inhalt dieses E-Books finden Sie auch in dem Handbuch Der Qualitätsmanagement-Berater, TÜV Media GmbH, Köln. Die Inhalte dieses E-Books wurden von Autor und Verlag nach bestem Wissen und Gewissen erarbeitet und zusammengestellt. Eine rechtliche Gewähr für die Richtigkeit der einzelnen Angaben kann jedoch nicht übernommen werden. Gleiches gilt auch für Websites, auf die über Hyperlinks verwiesen wird. Es wird betont, dass wir keinerlei Einfluss auf die Inhalte und Formulierungen der verlinkten Seiten haben und auch keine Verantwortung für sie übernehmen. Grundsätzlich gelten die Wortlaute der Gesetzestexte und Richtlinien sowie die einschlägige Rechtssprechung.

3 Die Umsetzung von Risikomanagement nach ISO von Peter Meier Zum Inhalt Das Risikomanagement (RM) ist Bestandteil eines Integrierten Managements des Unternehmens. Es ist kein Stand- Alone- System, sondern eine unternehmerisch notwendige Perspektive auf die Wertschöpfung des Unternehmens. In diesem E-Book wird die Umsetzung eines unternehmensweiten Risikomanagements nach den Grundsätzen und Richtlinien der ISO [1] beschrieben, ergänzt um weitere Standards und Konzepte außerhalb dieser Norm. Hierbei werden die Inhalte der Norm erläutert und Empfehlungen für die Umsetzung formuliert. Aspekte der Integration von Risikomanagement und des Nutzens von Risikomanagementsoftware runden das E-Book ab. 1 Grundlegendes zur ISO ISO wird im Folgenden als Kurzform für ISO 31000: 2009 bzw. den Normentwurf DIN ISO 31000: verwendet. Die Ausführungen dieses E-Books beziehen sich auf den Normentwurf von Bevor Sie die Umsetzung eines Risikomanagements nach der ISO beginnen, sollten Sie die folgenden Aussagen und Empfehlungen beherzigen: Nicht die ISO wird umgesetzt, sondern ein Risikomanagementsystem nach der ISO TÜV Media GmbH Seite 1

4 Problem: Begriffe Problem: Übersetzung ins Deutsche Nicht die Existenz der Norm, sondern unternehmerische Gründe entscheiden und bestimmen die Umsetzung eines Risikomanagements. Ein Risikomanagementsystem wird in der Praxis immer Elemente und Funktionen enthalten, die nicht in der ISO beschrieben sind. Verschiedene normierte, standardisierte und anderweitig dokumentierte Vorschriften und Praktiken kommen in einem tatsächlichen Risikomanagement zusammen. Allein mit der Umsetzung einer Norm, wie die ISO 31000, lässt sich in der Praxis kein funktionierendes und erfolgreiches Risikomanagement realisieren. Natürlich kann ein Risikomanagement auch nach anderen Vorgaben als der ISO umgesetzt werden. Eine Norm oder ein normenähnlicher Standard sollte dann gewählt werden, wenn eine Vergleichbarkeit der Umsetzung angestrebt wird und wenn dieser Standard eine Sammlung von aktuellen Best Practice -Beispielen enthält, die bei der Umsetzung von Nutzen sein können. Ein erstes Problem der ISO ist die fehlende Eindeutigkeit der Begriffe [3]. So kann z. B. der Begriff Ungewissheit wegen fehlender Definition unterschiedlich verstanden und interpretiert werden. Eine einheitliche gängige Praxis ist noch nicht zu erkennen. Auch die Norm liefert in der derzeitigen Fassung keine Lösung dieses Problems. Ein zweites Problem der ISO sowie aller mehrsprachiger und internationaler Normen zum Management ist die Uneindeutigkeit der Übersetzung einzelner Begriffe und ganzer Sätze [3]. Ob (englisch) uncertainty mit (deutsch) Ungewissheit oder mit Unsicherheit übersetzt wird, macht durchaus einen Unterschied. Erst recht, ob (englisch) TÜV Media GmbH Seite 2

5 Problem: Kompromiss der Interessen Problem: Zertifizierung risk treatment mit (deutsch) Risikobehandlung, Risikobeherrschung, Risikobewältigung, Risikosteuerung oder Risikomanagement übersetzt wird. Es ist eine Tatsache, dass ein Wort und ein Text nicht so eindeutig und objektiv sind, wie eine Zahl oder eine mathematische Berechnung. Die Norm ist diesbezüglich in der derzeitigen deutschen Version nicht eindeutig. Ein drittes Problem der ISO sowie vieler anderer Normen liegt in ihrem Entstehungsprozess bei den Normenorganisationen. Eine Norm ist ein Kompromiss aus vielen einzelnen Interessen und damit nicht das maximal Mögliche oder das best Machbare. Die Norm ist auch als Konsens von Interessen nicht aus einem Guss. Ein viertes Problem der ISO ist, dass es in vielen Unternehmen eine existierende und bewährte Umsetzung eines Risikomanagements gibt, die mehr oder weniger den Grundsätzen und Richtlinien der Norm implizit folgt, ohne sie explizit zu berücksichtigen. Da die Norm keine Zertifizierung vorsieht, besteht für Unternehmen nur eine geringe Veranlassung, eine Konformität ihres Risikomanagements mit der Norm nachzuweisen. Es ist in der Tat so, dass viele Unternehmen, die bereits ein Risikomanagement betreiben, aktuell einen Abgleich mit der Norm prüfen, ohne eine volle Umsetzung zu planen. Die Norm ist keine Forderungsnorm wie die ISO 9001:2008. Im Folgenden wird die Umsetzung eines Risikomanagements nach den Grundsätzen und Richtlinien der ISO entlang der einzelnen Normkapitel 1 bis 5 beschrieben. Es ist in der Praxis leider oft so, dass man sich bei der Umsetzung eines Managementsystems nach einer Norm gleich zu Beginn auf den Managementprozess stürzt. Bei der ISO befasst sich das letzte Normkapitel 5 mit dem Prozess. Vor TÜV Media GmbH Seite 3

6 Umsetzung von Risikomanagement nach ISO ISO 31000:2009 Clause/Normkapitel (1 5) 1. Scope/Anwendungsbereich 2. Terms and definitions/begriffe - 3. Principles/Grundsätze be 4. Framework/Rahmen -L es ep ro 5. Process/Prozess normative / normativ strategic / strategisch operative / operativ Abb. 1: Übersicht über die ISO diesem Vorgehen wird gewarnt, da es zu einem blinden Aktionismus führt, weil der Prozess ohne eine Risikomanagementpolitik (Normkapitel 3 Grundsätze und Normkapitel 4 Rahmen ) und ohne ein Risikomanagementsystem (Normkapitel 4) nicht im Unternehmen verankert ist und das TÜV Media GmbH Seite 4

7 Risikomanagement nicht im Management integriert ist. Ein solches Vorgehen liefert zwar schnelle, aber keine nachhaltigen Ergebnisse. Anwendbar auf alle Bereiche, alle Risiken Die Abbildung 1 bezieht sich auf die Normkapitel 1 bis 5 der ISO Sie gibt eine bildliche Übersicht über die Normstruktur und ist angelehnt an Bild 1 Beziehungen zwischen den Grundsätzen des Risikomanagements, dem Rahmen des Risikomanagements und dem Prozess des Risikomanagements des Normtextes. Die folgenden Abschnitte 2.1 bis 2.5 korrespondieren mit den fünf Normkapiteln 1 bis 5. 2 Inhalt der ISO und Empfehlungen für die Umsetzung 2.1 Normkapitel 1: Anwendungsbereich Was steht im Normtext? Die Norm ist auf keinen spezifischen Wirtschaftszweig, Sektor oder Tätigkeitsbereich ausgerichtet. Sie kann auf jegliche Art von Risiken, z. B. finanzielle, operative und strategische Risiken, und gleichgültig, ob diese positive oder negative Auswirkungen haben, angewendet werden. Die Norm ist nicht als Grundlage für eine Zertifizierung vorgesehen Was ist bei der Umsetzung zu tun? Einige typische Risiken sollten identifiziert werden, um an ihnen exemplarisch Zweck, Ziel und Anwendungsbereich des Risikomanagements zu entwickeln. Das Ergebnis ist ein kurzes Textdokument, in dem konkrete Festlegungen über Zweck, Ziel und Anwendungsbereich des Risikomanagements im Unternehmen enthalten sind. TÜV Media GmbH Seite 5

8 Empfehlung: Workshop Empfehlung: Glossar oder Wiki Was ist bei der Umsetzung besonders zu beachten? Die konkreten Festlegungen sind ein erster strategischer Teil der Risikomanagementpolitik entsprechend Normkapitel Der Zweck, das Ziel und der Anwendungsbereich des Risikomanagements werden in groben Zügen festgelegt. Die Festlegung erfolgt üblicherweise in einem Projekt mit Workshops im Unternehmen. Probleme gibt es, wenn dieser Planungsschritt nicht sorgfältig durchgeführt wird und Zweck, Ziel und Anwendungsbereich unklar sind. 2.2 Normkapitel 2: Begriffe Was steht im Normtext? Die Norm enthält ein Wörterbuch mit 29 Begriffen aus den Themenbereichen Risiko und Risikomanagement Was ist bei der Umsetzung zu tun? Bei der Umsetzung empfiehlt es sich, die Begriffe der Themenbereiche Risiko und Risikomanagement, so weit erforderlich und nützlich, in die Terminologie des Unternehmens zu übernehmen. Bei Bedarf werden weitere Bergriffe definiert und festgelegt. Natürlich können Begriffe auch anders benannt werden. Nicht alle deutschen Übersetzungen der englischen Begriffe der internationalen Norm ISO sind für jeden Nutzer gleichermaßen akzeptabel und verständlich. Das Ergebnis ist ein kurzes, schriftliches Textdokument als Teil der Risikomanagementpolitik nach Normkapitel 4.3.2, in dem die für das Unternehmen wesentlichen Begriffe zu Risiko und Risikomanagement konkret enthalten sind. Das Dokument kann wie eine Art Glossar oder wie ein Wiki aufgebaut sein. TÜV Media GmbH Seite 6

9 2.2.3 Was ist bei der Umsetzung besonders zu beachten? Die konkreten Festlegungen sind der definitorische Teil des Risikomanagements und Bestandteil der Risikomanagementpolitik nach Normkapitel Empfehlung: Workshop Nicht jede Definition ist für jeden Zusammenhang geeignet. Das trifft bereits für die Definition des Begriffs Risiko zu. Die Definition der Norm ist: Risiko ist die Wirkung von Ungewissheit auf Ziele. Diese Definition von Risiko ist sehr allgemein und abstrakt. Sie hat jedoch das Verdienst, Ziele, Prozesse und Ergebnisse zusammenzubringen. Mit dieser Definition wird das Unternehmen gezwungen, in Prozessen und Zielen zu denken. Die Forderungen nach Prozessorientierung und Zielorientierung werden damit aufgegriffen. Diese Definition von Risiko ist zunächst abstrakt und theoretisch. Für das Verständnis kann es nützlich und erforderlich sein, sie an einem Arbeitsplatz in den jeweiligen Zusammenhang zu stellen und konkreter zu formulieren. Die Festlegung erfolgt üblicherweise in einem Projekt mit Workshops im Unternehmen. 2.3 Normkapitel 3: Grundsätze Die Abbildung 2 bezieht sich auf das Normkapitel 3. Die Abbildung hat in der Norm keine Entsprechung. Die Abbildung zeigt eine Auswahl von fünf der elf Grundsätze des Risikomanagements, die von besonderer Bedeutung für das Verständnis, für die Beurteilung und für die Bewältigung von Risiken sind. Auf diese fünf Grundsätze 3a bis 3d sowie 3h wird in diesem Beitrag explizit eingegangen. TÜV Media GmbH Seite 7