Plattform
Module
Nach Branche
By sector
Normen, die wir unterstützen
Blog
Neuigkeiten
Unternehmen
Veranstaltungen
Normen · Risikomanagement
ISO 31000 und die Techniken der IEC 31010, und wie jede Branche denselben Prozess nennt: ISO/IEC 27005, ISO 14971, ICH Q9, NIST, COSO, FMEA und HAZOP. In klaren Worten erklärt, in einem Katalog, mit jedem Eintrag verlinkt auf seine Quelle.
Überblick
Vier Dinge, die Sie vorab wissen sollten. Die Branchennormen unterscheiden sich im Vokabular und in der geforderten Aufzeichnung, nicht im Prozess.
Kontext, Identifikation, Analyse, Bewertung, Behandlung, Überwachung und Überprüfung. Ein Leitfaden, kein Zertifikat: Ein Auditor achtet darauf, dass der Prozess läuft, und auf seine Aufzeichnungen.
FMEA, HAZOP, Bow-Tie, Fehler- und Ereignisbäume, Monte-Carlo und FAIR, mit einer Tabelle, welche Technik zu welchem Schritt passt. Die meistgenutzten haben eigene Methodennormen.
ISO/IEC 27005 für Sicherheit, ISO 14971 für Medizinprodukte, ICH Q9 für Pharma, NIST RMF und COSO für Systeme und das Unternehmen, risikobasiertes Denken für ISO 9001 und AQAP 2110.
Jeder von ihnen endet in einer Aufzeichnung: das Risiko, sein Eigentümer, die Analyse, die Behandlung, das Restrisiko und das Datum der Überprüfung. Suchen Sie unten im Katalog nach Ihren.
Jede Managementsystemnorm auf dieser Website verlangt von Ihnen, Risiken zu steuern, und jede Branche hat ihre eigene Norm dafür, wie. ISO 9001 und AQAP 2110 nennen es risikobasiertes Denken. Die Informationssicherheit hat ISO/IEC 27005 und das NIST Risk Management Framework. Medizinprodukte haben ISO 14971, Pharma hat ICH Q9, die Unternehmensführung hat COSO, und die Sicherheitsdisziplinen haben die funktionale Sicherheit und die Prozessgefahrenanalyse. Es ist ein Prozess in verschiedenen Namen, und die Norm, die den Prozess selbst beschreibt, ist ISO 31000. Diese Seite erklärt diesen Prozess, die Techniken, auf die er zurückgreift, was jede Branche ergänzt und woher die Dokumente stammen. Der Explorer weiter unten findet dann die, die für Sie gelten.
ISO 31000 in der Ausgabe von 2018 ist ein Leitfaden für den Umgang mit Risiken jeder Art. Sie legt Grundsätze fest, einen Rahmen, um das Risikomanagement in der Unternehmensführung zu verankern, und den Prozess selbst: Anwendungsbereich, Kontext und Kriterien festlegen; identifizieren, was geschehen kann und wie; Wahrscheinlichkeit und Auswirkung analysieren; anhand der Kriterien bewerten; das Risiko behandeln, indem Sie es vermeiden, verringern, teilen oder akzeptieren; und überwachen, überprüfen, aufzeichnen und berichten. Sie ist bewusst nicht zertifizierbar. Worauf ein Auditor oder ein Inspektor achtet, ist, dass der Prozess läuft, und auf seine Aufzeichnungen, und jede Branchennorm unten ist dieser Prozess mit eigenem Vokabular und eigenen geforderten Ergebnissen. Siehe ISO 31000.
IEC 31010 ist der begleitende Katalog der Techniken, rund vierzig davon, mit einer Tabelle, welche zu welchem Schritt passen. Manche erheben Einschätzungen: Brainstorming, strukturierte Interviews, die Delphi-Methode. Manche identifizieren: Checklisten, Gefahren- und Betriebsfähigkeitsstudien, strukturierte Was-wäre-wenn-Analysen, Szenarioanalysen. Manche analysieren: Fehlermöglichkeits- und Einflussanalyse mit oder ohne Kritikalität, Fehlerbaum- und Ereignisbaumanalyse, Bow-Tie-Analyse, Bayessche Netze, Markov-Analyse, Monte-Carlo-Simulation. Manche bewerten: so gering wie vernünftigerweise praktikabel, Kosten-Nutzen-Analyse, Risikomatrizen. Die meistgenutzten haben eigene Methodennormen. IEC 60812 ist die Norm für FMEA und FMECA, die Technik hinter der Zuverlässigkeitsarbeit an Konstruktion und Prozess. IEC 61882 ist die Norm für HAZOP, die strukturierte Teamuntersuchung von Abweichungen in einem Prozessdesign, die die Chemie- und Pharmaindustrie durchführt. IEC 61508 ist die funktionale Sicherheit, der Sicherheitslebenszyklus und die Sicherheitsintegritätslevel, von denen die Branchennormen für Maschinen, Bahn, Automobil und Prozessanlagen abgeleitet sind.
Im Qualitätsmanagement verlangt ISO 9001 risikobasiertes Denken bei der Planung des Systems und seiner Prozesse, und AQAP 2110 macht daraus eine Anforderung: Ein Verteidigungslieferant identifiziert und steuert Risiken über den gesamten Vertrag, und der Kunde kann verlangen, die Analyse zu sehen. In der Informationssicherheit beschreibt ISO/IEC 27005 die Beurteilung und Behandlung, die ISO/IEC 27001 verlangt, NIST SP 800-30 beschreibt eine Beurteilung und SP 800-37 den siebenstufigen Rahmen, der Kategorisierung, Auswahl der Maßnahmen, Beurteilung und Freigabe verbindet, und FAIR quantifiziert Cyberrisiken in Verlusthäufigkeit und Verlusthöhe statt in Farben. Für Medizinprodukte führt ISO 14971 den Prozess über Gefährdungen, Gefährdungssituationen und Schaden, verlangt Risikobeherrschung und eine Nutzen-Risiko-Abwägung und läuft durch Produktion und Nachproduktionsphase weiter; jede Konstruktionsentscheidung in der technischen Dokumentation lässt sich darauf zurückführen. In der Pharmazie ist ICH Q9 das Qualitätsrisikomanagement, 2023 überarbeitet, um festzulegen, wie formell der Prozess sein soll und wie Subjektivität herauszuhalten ist, und ihr Anhang listet dieselben Techniken wie die IEC 31010. In der Unternehmensführung verbindet der COSO-Rahmen das unternehmensweite Risiko mit Strategie und Leistung und ist das, was ein Vorstand und ein externer Prüfer wiedererkennen. Die Betriebskontinuität, ISO 22301, ist derselbe Prozess, auf Störungen gerichtet, mit einer Business-Impact-Analyse anstelle der Gefährdungsliste. Und der jüngste Name ist KI: ISO/IEC 23894 und das NIST AI Risk Management Framework wenden den Prozess auf Systeme künstlicher Intelligenz an, und die KI-Verordnung der EU macht ein Risikomanagementsystem für die Hochrisikosysteme verbindlich. Siehe ISO/IEC 27005 und die Seiten zu Verteidigung, Cybersicherheit und Pharma und Medizinprodukte für die Branchennormen selbst.
Wie die Branche es auch nennt, der Prozess endet in einer Aufzeichnung, und diese Aufzeichnung ist das, was ein Auditor, ein Inspektor, eine benannte Stelle oder ein Kunde liest. Ein Risikoregister enthält jedes Risiko, seinen Eigentümer, die Analyse in der Skala, die die Norm vorschreibt, die gewählte Behandlung, das Restrisiko danach und den Zeitpunkt der letzten Überprüfung. Die Risikomanagementakte eines Medizinprodukts, ein Risikobehandlungsplan der Informationssicherheit, die Risikoanalyse eines Verteidigungsvertrags und eine pharmazeutische Qualitätsrisikobeurteilung sind dasselbe Register mit anderen Spalten. Die Überprüfungshistorie zählt ebenso viel wie die Einträge: Ein Register, das einmal geschrieben und nie angefasst wurde, zeigt einen Prozess, der einmal lief.
ISO 31000, IEC 31010, ISO 14971 und ISO/IEC 27005 kaufen Sie bei ISO, IEC oder Ihrem nationalen Normungsinstitut, die IEC-Methodennormen ebenso. Jede NIST-Veröffentlichung, einschließlich SP 800-30, SP 800-37 und des AI Risk Management Framework, ist bei NIST kostenfrei. ICH Q9 ist bei ICH kostenfrei, die Open-FAIR-Norm bei The Open Group nach Registrierung, und der COSO-Rahmen wird bei COSO gekauft. Jeder Eintrag im Explorer weiter unten verweist auf seine Quelle.
Nicht diese Seite und nicht wir. Die Managementsystemnorm, die Sie halten, benennt den Risikoprozess, den sie erwartet, der Vertrag benennt die Norm, und die Verordnung benennt die Akte. Was der Explorer leisten kann, ist, Ihnen die ganze Landkarte zu zeigen: Durchsuchen Sie sie nach Namen, blättern Sie nach Familie, oder beantworten Sie vier Fragen dazu, woher Ihre Anforderung kommt, und sehen Sie, nach welchen Normen und Techniken Unternehmen wie Sie üblicherweise gefragt werden. Jeder Eintrag verweist auf seine Quelle, auf seine ComplyTrain-Seite, wo es eine gibt, und andernfalls auf eine Anfrage. ComplyTrain hält eine Norm als Anforderungsbaum mit den Nachweisen zu jeder Anforderung, und ein Risikoregister ist eine der Aufzeichnungen, die es führt.
Standards-Explorer
Durchsuchen Sie ISO 31000 und IEC 31010, die Methodennormen, die Branchen-Risikonormen und die Rahmenwerke gemeinsam, blättern Sie nach Familie, oder beantworten Sie vier Fragen dazu, woher Ihre Anforderung kommt.
Dazu passt nichts. Versuchen Sie eine Nummer, ein Kürzel, oder stöbern Sie nach Familie.
Welche Risikonorm für Sie gilt, legen die Managementsystemnorm, die Sie halten, der Vertrag, der sie nennt, und die Verordnung, die die Akte verlangt, fest. Verstehen Sie dies als Landkarte, nicht als Urteil.
Vier Fragen, wählen Sie alles Zutreffende. Nichts wird gespeichert.
Die Normen und Techniken, nach denen Unternehmen wie Sie üblicherweise gefragt werden. Gleichen Sie sie mit Ihrem Managementsystem und Ihrem Vertrag ab.
Welche Risikonorm für Sie gilt, legen die Managementsystemnorm, die Sie halten, der Vertrag, der sie nennt, und die Verordnung, die die Akte verlangt, fest. Verstehen Sie dies als Landkarte, nicht als Urteil.
Jede Seite legt dar, was die Norm von Ihnen verlangt und wie ein ComplyTrain-Arbeitsbereich um sie herum aufgebaut ist. Der Katalog oben enthält weit mehr als diese, und jeder Eintrag darin kann angefragt werden. Eine Norm in einen Arbeitsbereich aufzunehmen dauert in der Regel Tage, kein Projekt.
ISO 31000
ISO 31000 ist der internationale Leitfaden für das Risikomanagement. Das Risikomanagement von ComplyTrain folgt dem darin beschriebenen Prozess. So bleibt das Risikomanagement in der gesamten Organisation lebendig und wird nicht zu einer Tabelle, die man einmal im Jahr durchsieht.
ISO 27005
ISO 27005 gibt Orientierung für das Management von Informationssicherheitsrisiken. Sie beschreibt die Bewertung und Behandlung der Risiken, die ISO 27001 fordert, aber selbst nicht ausführt. ComplyTrain führt dieses Register laufend fort, statt es einmal im Jahr als Dokument zu erstellen.
Eine Norm kommt meist als Vertragsbedingung oder als Schreiben einer Behörde, nicht als Projekt, das jemand geplant hat, und oft in einem Unternehmen ohne Qualitätsmanager. Software ist die halbe Antwort. Die Beraterinnen und Berater von Skylen sind die andere Hälfte, und weil sie vom ersten Tag an auf ComplyTrain aufbauen, behalten Sie ein lebendes System, das Ihrem Team gehört, statt eines Ordners und eines abgereisten Beraters.
Eine klauselweise Bestandsaufnahme, wo Sie gegenüber der Norm stehen, die Ihr Vertrag oder Ihre Behörde nennt, übersetzt in einen priorisierten Plan, den Sie mit uns oder allein umsetzen können.
Was eine Analyse umfasstUnsere Beraterinnen und Berater bauen das System gemeinsam mit Ihrem Team auf - Verfahren, Dokumentenlenkung, die Aufzeichnungen, die Sie führen müssen, und den Rhythmus der Bewertung - und bereiten Sie auf das Audit oder die Inspektion vor.
Wie eine Zusammenarbeit abläuftWir betreiben und pflegen das System für Sie, damit ein kleines Team eine Norm erreichen und halten kann, ohne einen Qualitätsmanager einzustellen.
Was Full Service bedeutetNein. ISO 31000 ist ein Leitfaden, so geschrieben, dass sie nicht für eine Zertifizierung verwendet werden kann, und ein Zertifikat, das etwas anderes behauptet, ist das Papier nicht wert. Zertifiziert wird das Managementsystem, das den Prozess nutzt, ISO 9001, ISO/IEC 27001 oder ISO 13485, und der Auditor prüft, dass der vom System verlangte Risikoprozess läuft und aufgezeichnet wird. Siehe ISO 31000.
Einen Prozess, und so viele Sichten darauf, wie Ihre Normen verlangen. Ein Unternehmen, das ISO 9001 und ISO/IEC 27001 hält und ein Medizinprodukt herstellt, hat Qualitätsrisiken, Informationssicherheitsrisiken und eine Risikomanagementakte für das Produkt, jede mit den Spalten, die ihre Norm vorschreibt, und ein Auditor für die eine wird die anderen nicht lesen wollen. Sie in einem System mit einer Methode und einem Überprüfungsrhythmus zu halten, ist das, was das handhabbar macht.
Die, die zur Frage passt und die Ihre Norm oder Ihr Kunde erwartet. FMEA ist für die Fehlermöglichkeiten einer Konstruktion oder eines Prozesses und ist das, was ein Zuverlässigkeitsingenieur oder eine benannte Stelle für Medizinprodukte zu sehen erwartet. HAZOP ist für Abweichungen in einem Prozessdesign und ist in Chemie- und Pharmaanlagen üblich. Bow-Tie zeigt Barrieren zwischen Ursachen und Folgen und liest sich gut für die Leitung. Quantitative Methoden wie FAIR und Monte-Carlo sind für den Fall, dass eine Zahl gebraucht wird, im Cyberrisiko und im Finanzwesen. IEC 31010 enthält die vollständige Tabelle.
Eine Gefährdung ist eine Quelle möglichen Schadens; ein Risiko ist die Kombination aus der Wahrscheinlichkeit des Schadens und seiner Schwere. ISO 14971 fügt einen dritten Begriff hinzu, die Gefährdungssituation, den Umstand, unter dem Menschen der Gefährdung ausgesetzt sind, und verlangt, das Risiko jeder einzelnen abzuschätzen. Die meisten Vokabularunterschiede zwischen Branchennormen sind von dieser Art: derselbe Prozess, mit mehr oder weniger fein benannten Schritten.
Nein. Eine Zertifizierung wird von einer akkreditierten Zertifizierungsstelle erteilt, eine Zulassung von Ihrer Behörde, und die staatliche Qualitätssicherung übt die Beschaffungsbehörde aus. ComplyTrain ist das System, in dem Sie Ihre Compliance aufbauen, betreiben und nachweisen, und die Beraterinnen und Berater von Skylen können Sie durch die Arbeit führen. Das Zertifikat müssen Sie selbst erlangen.
Ja, und genau dafür ist die Schaltfläche „Zugang anfragen“ bei jedem Eintrag da. Nennen Sie uns die Norm und woher die Anforderung kommt, und wir melden uns dazu, was es bedeutet, sie in Ihrem Arbeitsbereich zu halten, in der Regel innerhalb eines Werktags. Eine Norm in einen Arbeitsbereich aufzunehmen dauert in der Regel Tage, kein Projekt. ComplyTrain hält eine Norm als Anforderungsbaum mit Ihren Nachweisen zu jeder Anforderung, und dieser Baum ist das, was wir bauen.