ISO 31000 – Risikomanagement als Managementdisziplin

Wie der internationale Leitfaden Risikomanagement zu einer festen Führungs- und Wertschöpfungsdisziplin macht.

Risiken zu erkennen, zu bewerten und gezielt zu steuern gehört heute zu den Kernaufgaben jeder Organisation. Die internationale Norm ISO 31000 liefert dafür einen anerkannten Leitfaden, der Risikomanagement nicht als isolierte Kontrollfunktion, sondern als integrierte Managementdisziplin versteht. In ihrer aktuellen Fassung ISO 31000:2018 gibt sie einen branchenneutralen Orientierungsrahmen, der sich in bestehende Führungs- und Managementsysteme einfügt.

Was ISO 31000 ist – und was nicht

Die ISO 31000:2018 wurde am 15. Februar 2018 veröffentlicht; die deutsche Fassung erschien als DIN ISO 31000 im Oktober 2018. Sie liefert Grundsätze, ein Rahmenwerk und einen Prozess für den Umgang mit Risiken – anwendbar für Organisationen jeder Größe, Branche und Rechtsform.

Ein wichtiger Unterschied zu Normen wie ISO 9001 oder ISO 14001: ISO 31000 ist eine Leitfaden-Norm und nicht zertifizierbar. Sie enthält keine verpflichtenden Anforderungen ("shall"), sondern Empfehlungen und gute Praxis, die jede Organisation an ihren Kontext anpassen kann. Ziel ist nicht ein Zertifikat, sondern ein wirksames, in die Entscheidungsprozesse eingebettetes Risikomanagement.

Die drei Säulen: Grundsätze, Rahmenwerk, Prozess

ISO 31000 strukturiert Risikomanagement in drei aufeinander bezogene Bestandteile.

Grundsätze

Die Norm nennt acht Grundsätze, die wirksames Risikomanagement kennzeichnen. Ihr gemeinsamer Zweck: Werte schaffen und erhalten. Dazu zählen unter anderem:

• Integriert – Risikomanagement ist Teil aller organisatorischen Aktivitäten, keine Nebenaufgabe.
• Strukturiert und umfassend – ein systematischer Ansatz liefert konsistente, vergleichbare Ergebnisse.
• Auf die Organisation zugeschnitten – abgestimmt auf Kontext, Ziele und Rahmenbedingungen.
• Inklusiv – relevante Interessengruppen werden angemessen einbezogen.
• Dynamisch – Risiken werden fortlaufend an Veränderungen angepasst.
• Beste verfügbare Informationen – Entscheidungen stützen sich auf aktuelle, auch unsichere Datenlagen.
• Menschliche und kulturelle Faktoren – Verhalten und Unternehmenskultur werden berücksichtigt.
• Kontinuierliche Verbesserung – das System entwickelt sich durch Lernen und Erfahrung weiter.

Rahmenwerk

Das Rahmenwerk sorgt dafür, dass Risikomanagement fest in Führung und Governance verankert wird – getragen von einem klaren Bekenntnis der obersten Leitung. Es folgt der Logik des kontinuierlichen Verbesserungszyklus (Plan-Do-Check-Act) und umfasst die Elemente Führung und Verpflichtung, Integration, Gestaltung, Umsetzung, Bewertung und Verbesserung. Damit wird Risikomanagement zur Führungsaufgabe, nicht zur Angelegenheit einer einzelnen Abteilung.

Prozess

Der Risikomanagementprozess beschreibt die praktische Anwendung im Tagesgeschäft. Zentrale Schritte sind:

• Anwendungsbereich, Kontext und Kriterien festlegen – Rahmen, Ziele und Bewertungsmaßstäbe klären.
• Risikobeurteilung aus Risikoidentifikation, Risikoanalyse und Risikobewertung.
• Risikobehandlung – Maßnahmen auswählen und umsetzen (vermeiden, vermindern, übertragen oder bewusst akzeptieren).
• Überwachung und Überprüfung sowie Aufzeichnung und Berichterstattung.

Begleitet wird der gesamte Prozess durch fortlaufende Kommunikation und Konsultation mit den relevanten Beteiligten.

Zusammenspiel mit anderen Normen

ISO 31000 steht nicht allein. Die begleitende Norm IEC 31010:2019 "Risikomanagement – Verfahren zur Risikobeurteilung" beschreibt konkrete Methoden und Techniken – von einfachen Checklisten und FMEA bis zu Szenarioanalysen –, mit denen sich Risiken systematisch identifizieren und bewerten lassen.

Für Organisationen mit einem Managementsystem ist die Nähe zur ISO 9001:2015 besonders wertvoll: Deren Anforderung an "risikobasiertes Denken" bleibt bewusst offen. ISO 31000 liefert die passende Methodik, um dieses Denken zu strukturieren und auf Qualitäts-, Prozess-, Umwelt- oder Lieferantenrisiken anzuwenden. So wird aus einer allgemeinen Forderung eine belastbare, nachvollziehbare Praxis.

Nutzen für kleine und mittlere Unternehmen

Gerade KMU profitieren vom pragmatischen Charakter der Norm: Sie müssen kein aufwendiges Parallelsystem aufbauen, sondern können Risikomanagement schlank in vorhandene Abläufe integrieren. Vorteile sind unter anderem:

• fundiertere Entscheidungen durch eine transparente, einheitliche Risikobetrachtung,
• höhere Widerstandsfähigkeit gegenüber Störungen und veränderten Rahmenbedingungen,
• klare Verantwortlichkeiten und ein gemeinsames Risikoverständnis über Abteilungen hinweg,
• eine belastbare Grundlage für Audits, Nachweise gegenüber Kunden und die Erfüllung gesetzlicher Sorgfaltspflichten.

Wie der VQB unterstützt

Der VQB begleitet Sie dabei, Risikomanagement nach ISO 31000 praxisnah aufzubauen und in bestehende Managementsysteme – etwa nach ISO 9001 oder ISO 14001 – zu integrieren. Wir unterstützen bei der Ausgestaltung des Rahmenwerks, der Auswahl passender Methoden aus IEC 31010 und der Verankerung des Risikoprozesses im Tagesgeschäft. So wird Risikomanagement bei Ihnen von der Pflichtübung zu einer wirksamen Führungsdisziplin, die Werte schützt und schafft.