Für alle Arten von Organisationen besteht die Gefahr, die Ziele nicht zu erreichen. Dafür verantwortlich sind eine Reihe von Faktoren, die entweder in der Organisation selbst begründet sind, oder externe Faktoren, die die Abläufe, Prozesse und die damit verbundenen Entscheidungen beeinflussen.

Es ist daher wichtig, richtige Entscheidungen schnell zu treffen. Negative Einflüsse durch Fehlentscheidungen des Managements oder durch externe, scheinbar nicht beherrschbare Faktoren können in dieser dynamischen Umgebung sehr schnell zu einer Gefährdung der Wettbewerbsfähigkeit und des Fortbestands eines Unternehmens führen.

Die Rolle der Schutzfunktionen

Schutzfunktionen haben in diesem Zusammenhang eine große Bedeutung. Ihre Funktion besteht im Schutz des Unternehmens vor den Unwägbarkeiten. Sei es der Schutz vor Unfällen und kritischen Situationen, sei es der Schutz vor der negativen Beeinflussung der Umwelt, dem Schutz vor Datenmissbrauch oder Katastrophen im Allgemeinen.

Dennoch nehmen diese Schutzfunktionen noch immer eine Sonderstellung in der betrieblichen Organisation ein. Teils durch Gesetze und Verordnungen vorgeschrieben, teils durch Normen bestimmt, sind sie oft noch nicht Bestandteil der allgemeinen Unternehmenskultur.

Betriebsbeauftragte sind oft auf Grund von gesetzlichen Vorgaben bestellt. Sie bedurften in dieser Schutzfunktion nicht einer Rechtfertigung, noch wurde ihr Beitrag zum Unternehmenserfolg eingefordert. Eine Quantifizierung der Leistung erfolgt in der Regel nicht und so ist eine Kosten-Nutzenabwägung nicht möglich.

Risiko als Effekt der Unsicherheit auf Ziele

Mit der im November 2009 erschienen ISO 31000 erhält die Quantifizierung der Leistung von Schutzfunktionen eine neue und erweiterte Bedeutung.

Mit der ISO 31000 ist eine Norm geschaffen worden, die die Grundsätze für das Risikomanagement weltweit erstmalig einheitlich beschreibt.

Sowohl die internen wie auch die externen Faktoren sind oft unbekannt und bergen daher eine Unsicherheit zur Erreichung von Zielen. Dies ist das Verständnis des Risikos nach der neuen Norm ISO 31000, die Risiko als Effekt der Unsicherheit auf die Ziele definiert.

Schutzfunktionen im Rahmen von Managementsystemen

Im Rahmen der Managementsysteme werden die relevanten Parameter erfasst und einer allgemeinen Beurteilung unterzogen. Die Art und Weise, wie diese Beurteilung durchgeführt werden soll, ist im Detail nicht geregelt. Daher werden in der Praxis oft selbst entworfene Methoden angewendet.

Die hohe Bedeutung einer exakten und werthaltigen Bewertung liegt insbesondere darin begründet, dass sich aus den beurteilten Aspekten alle wesentlichen weiteren Maßnahmen und daraus folgende Ergebnisse ableiten.

Dem allgemeinen Ablauf folgend, wird aus den Aspekten und deren Beurteilung eine Rangfolge der wichtigen Aspekte abgeleitet. Aus dieser Liste der wichtigen Aspekte leiten sich im Folgenden die Zielsetzungen und Ziele und daraus wiederum die Planungen und Maßnahmen ab. Mit den anschließenden Phasen der Korrekturmaßnahmen und der Managementbewertung schließt sich der Kreislauf mit einer Neubewertung der Aspekte. Durch den Vergleich der Bewertungen in den verschiedenen Zyklen lässt sich das Maß der kontinuierlichen Verbesserung bestimmen.

Abbildung 1: PDCA Zyklus nach Deming

Risikomanagement befasst sich mit Unsicherheit

Das Risikomanagement zielt nicht in erster Linie auf die Veränderung der Prozesse ab, sondern setzt praktisch schon in der grundlegenden Überlegung der Prozesse an. So wird im Risikomanagement nicht der Prozess, sondern die mit dem Prozess verbundene Unsicherheit betrachtet. Damit ist Risikomanagement wertfrei und objektiv.
Mit einem neu strukturierten Risikomanagementprozess ist es nun grundlegende möglich, Leistungen zu messen und einer qualifizierten Bewertung zu unterziehen. Damit ist es erstmalig möglich, basierend auf einer weltweit verbindlichen Grundlage den Nutzen zu bestimmen.

Die Wertung der Aspekte ist das systembestimmende Element

Was aber geschieht, wenn die Beurteilung fehlerhaft oder unvollständig ist?

Wenn die Ist-Analyse und die Bewertung fehlerhaft oder unvollständig durchgeführt werden, dann werden falsche Ziele definiert, die falschen Maßnahmen ergriffen und schließlich die kontinuierliche Verbesserung falsch bestimmt. Mit einer falschen, fehlerhaften Beurteilung ist das gesamte System infrage gestellt. Gebraucht man nun die in der ISO 31000 verwendete Systematik und die vorgeschlagenen Methoden zur Risikobeurteilung, erhält man eine vollständige Identifikation und Analyse der Risiken sowie ein vollständiges und eindeutiges Ergebnis. Je nach der verwendeten Methode erhält man qualitative oder quantitative Ergebnisse.

Abbildung 2: Risikomanagementprozess nach ISO 31000

Die vorliegende Datensicherheit wird berücksichtigt, so dass sich selbst bei einer unsicheren Datenlage und großen Standardabweichungen gute Ergebnisse erzielen lassen. Selbst komplexe Systeme lassen sich gut bearbeiten, bei Fragestellungen niederer Komplexität kann man einfachere Methoden anwenden. Der Aufwand kann durch die Wahl der Methode individuell an die Fragestellung angepasst werden. Das Ergebnis der Verwendung der ISO 31000 in bestehenden Managementsystemen führt zu einer eindeutigen, vollständigen und gesicherten Bewertung der IST-Situation.

Abbildung 3: Integration des Risikomanagementprozesses in die Managementsystematik

Risikomanagement schafft und schützt Werte

Risikomanagement verbessert die Leistungen in vielen Schutzbereichen und macht sie messbar. Rechtssicherheit, Gesundheits- und Arbeitsschutz, Umweltschutz oder Produktqualität und Brandschutz sind nur einige der traditionellen Schutzbereiche. Aber auch immaterielle Schutzbereiche wie Image, öffentliche Akzeptanz sind Faktoren, an denen sich ein Unternehmenswert orientiert. Gerade in einer globalisierten Welt, in der allseits Informationen zum Zustand von Unternehmen verfügbar sind, sind Unternehmen besonders in diesen Bereichen verwundbar.

Risikomanagement mindert das Risikopotential

Als Folge eines Risikomanagementsystems nach ISO 31000 wird das Risikopotenzial verringert. Werden Abläufe und Verfahren regelmäßig einer Bewertung unterzogen und werden daraus Verbesserungen kontinuierlich abgeleitet, so wird sich die Organisation dahingehend wandeln, dass risikobehaftete Abläufe zunehmend durch diejenigen ausgetauscht werden, die ein geringeres Risiko bergen. Folgen dieser Risikoabsenkung sind ein verbesserter Umweltschutz, ein verbesserter Arbeits- und Gesundheitsschutz, eine bessere Schadensverhütung oder qualitätsbezogene Produktverbesserungen. Alle diese genannten Verbesserungen führen zu einer robusten und belastbaren Organisation, die somit langfristig über ein stabiles Fundament für weitere Geschäftsaktivitäten verfügt.

Prof. Dr. Udo Weiss

Nächster Artikel in der Serie „Risikomanagement mit ISO 31000“:
Entscheidungen in unsicheren Situationen

Risikomanagement nach ISO 31000: System -  Ist-Analyse - Methoden Diese Praxislösung macht Sie mit den Anforderungen und Nutzen der neuen Norm vertraut. Sie hilft Ihnen, den Stand des Risikomanagements in Ihrem Unternehmen zu bewerten und stellt Ihnen einfache Risikomanagement-Methoden für den Einstieg vor. Einführungspreis bis 31.12.2009: 128 Euro, dann 148 Euro.