Risiko Management

Veröffentlicht auf 4. Juni 2018

Risiko Management ist die Identifikation, Analyse, Minimierung und Steuerung von nicht akzeptablen Risiken in einer Organisation, als gesamtwirtschaftliche Aufgabe aller betroffenen Personen. Es sollte ein integraler Bestandteil der Unternehmensprozesse und bei Entscheidungen sein, nur so kann es langfristig Wert erzeugen.

In ISO 31000 sind Richtlinien für den Aufbau, die Implementierung, Durchführung und Verbesserung eines Risiko Management Prozesses definiert. Der Standard beschreibt, ähnlich wie ISO 9001, Risiko als negative Auswirkungen von Ungewissheit auf die eigenen Ziele. Die ISO 31010 beschreibt dazu mögliche Techniken wie z.B. Brainstorming, Checklisten, Entscheidungsbaum, FMEA, Fehlerbaum Analyse, HAZOP, Ishikawa, Root Cause Analyse etc. Für Zertifizierungen sind beide Standards nicht gedacht.

Der Prozess sollte folgende Themen abdecken:
* Den Ablauf des Prozesses im Risiko Management im Rahmen der Organisationsprozesse.
* Die Einstufung von Risiken
* Die Aufzeichnung und das Berichtswesen
* Die Kommunikation und Abstimmung mit anderen Stakeholdern
* Die Verfolgung und regelmäßige Bewertung der Risiken

Risiken können als vermeidbar oder akzeptiert beschrieben und ausgeschlossen, minimiert oder weitergegeben werden. Entsprechende Werkzeuge priorisieren aber sehr oft nicht nach diesen Themen, sondern nach dem größtmöglichem Schaden und der Eintrittswahrscheinlichkeit.
Eine Bewertung, als Risikoliste, findet sehr oft in Tabellenform mit ID, Kategorie, Beschreibung, Schaden, Eintrittswahrscheinlichkeit, bewerteter Risikozahl, Rückstellungen, Verantwortlichem und geplanter bzw. umgesetzter Maßnahmen statt. Damit einher geht meist eine einfache Risikomatrix zur besseren Einschätzung, welche aber keine Wechselwirkungen und nur eine vereinfachte Sicht bieten kann.

Ein Risiko Management Plan (RMP) kann bei der Umsetzung des Prozesses helfen. Dieser kann auf Unternehmensebene angesiedelt sein, wird somit vom Top Management gefordert, und muss dann nur bei Bedarf projektspezifisch angepasst werden. Er sollte effektive und anwendbare Praktiken, Aufgaben, Verantwortliche und Ansprechpartner benennen.

Beispielvorlage:
* Titelseite mit Freigabe
* Historie und Änderungen
* Einführung
Geltungsbereich, Integration, Tailoring
* Ziele
* Risiko Management Prozessbeschreibung
- Identifizierung
- Analyse und Bewertung
- Minimierung
- Steuerung und Verfolgung
* Rollen und Verantwortlichkeiten
* Berichtswesen
* Kommunikation und Eskalation
* Praktiken und Werkzeuge
* Anhang und Verweise

Gefahren dabei sind natürlich, dass nur ein Pseudo-Prozess, der zwar definiert, aber nicht etabliert ist installiert wird, sowie eine einfache Auflistung der Risiken. Fehlende Kommunikation, keine gewissenhafte oder sogar falsche Bearbeitung mindern den Nutzen.

Risiko Management ist tot, wenn es nicht ständig gelebt wird.