ISO 31000 Risikomanagement

Was ISO 31000 ist

ISO 31000 ist die internationale Norm mit Leitlinien für das Management von Risiken. Sie enthält keine Anforderungen, gegen die zertifiziert wird. Stattdessen beschreibt sie Grundsätze, einen Rahmen zur Verankerung des Risikomanagements in einer Organisation und einen Prozess für die praktische Arbeit. Sie gilt für jede Art von Risiko (strategisch, operativ, finanziell, sicherheitsbezogen, projektbezogen) und für jede Organisation. Deshalb ist sie der gemeinsame Bezugspunkt, wann immer von „unternehmensweitem Risikomanagement“ die Rede ist.

Eine Norm wie ISO 27001 legt fest, was ein Informationssicherheits-Managementsystem enthalten muss. ISO 31000 zeigt dagegen, wie man das Risikomanagement selbst betreibt und wie man darüber denkt. Diese Disziplin liegt jedem Managementsystem zugrunde, das verlangt, „Risiken zu identifizieren und zu behandeln“.

Warum es ISO 31000 gibt

Die meisten Organisationen managen Risiken in Bruchstücken: ein Register, das eine Abteilung vor der Vorstandssitzung aktualisiert, eine separate Sicherheitsbewertung, ein eigenes Risikoprotokoll je Projekt. Keines davon spricht mit dem anderen, und keines steuert Entscheidungen. ISO 31000 macht Risikomanagement zu einer zusammenhängenden, organisationsweiten Disziplin, die Entscheidungen tatsächlich beeinflusst, statt zu einem reinen Pflichtritual. Die Kernaussage: Risikomanagement soll integriert, strukturiert und laufend verbessert werden. Es ist Teil der Art, wie Sie Ihre Organisation führen, und nicht ein Dokument, das Sie erstellen.

Wer ISO 31000 nutzt

Jede Organisation, die Risiken bewusst steuern will. Besonders wertvoll ist die Norm dort, wo Risiko vertraglich oder regulatorisch bindet. Lieferanten im Verteidigungsbereich müssen Risiken für die Vertragserfüllung managen (AQAP 2110). ISO 27001 verlangt einen Prozess für Informationssicherheitsrisiken. NIS2 und branchenspezifische Aufsichtsbehörden erwarten zunehmend ein nachweisbares Risikomanagement. ISO 31000 gibt all diesen eine gemeinsame Sprache und Methode. So kann ein einziger Risikorahmen die gesamte Organisation tragen, statt dass jede Norm ihren eigenen hervorbringt.

Wie die Norm aufgebaut ist

ISO 31000 gliedert sich in drei Teile, die aufeinander aufbauen:

• Grundsätze: wie gutes Risikomanagement aussieht - integriert, strukturiert, maßgeschneidert, einbeziehend, dynamisch und gestützt auf die bestmöglichen Informationen.
• Rahmen: wie die Leitung das Risikomanagement in der Organisation verankert - Zweck, Integration, Gestaltung, Umsetzung, Bewertung und Verbesserung.
• Prozess: der Arbeitszyklus - Anwendungsbereich und Kontext festlegen, dann Risiken identifizieren, analysieren und bewerten, sie behandeln sowie durchgehend überwachen, überprüfen und kommunizieren.

Die Norm ist bewusst nicht vorschreibend: Es gibt keine vorgegebene Risikomatrix und keine feste Skala. Es geht um eine konsistente, mit Nachweisen belegte Methode, die zu Ihrer Organisation passt, und nicht um ein Formular zum Ausfüllen.

Zertifizierung: es gibt keine

Eine „Zertifizierung nach ISO 31000“ ist nicht möglich. Jeder Anbieter, der Ihnen eine solche Zertifizierung anbietet, hat die Norm falsch verstanden. ISO 31000 ist eine Leitlinie. Organisationen übernehmen sie, um ihr Risikomanagement zu strukturieren und zu verbessern, und sie belegen das über ihren Risikorahmen und ihre Aufzeichnungen. Genau das prüft ein Auditor für ISO 9001, ISO 27001 oder AQAP 2110, wenn er sich ansieht, wie Sie Risiken managen.