Risikomanagement nach ISO 31000:2018 und ÖNORM-Reihe D 490x:2021. Bruno Brühwiler

zugenommen hat. Die Durchdringung der Führung von privaten Unternehmen und öffentlichen Organisationen mit diesem Instrument ist deutlich gestiegen, die Anwendung von Risikomanagement für die Steuerung von Organisationen und Systemen hat sich weit verbreitet. Viele mittlere und obere Führungskräfte haben sich in Risikomanagement weitergebildet und verstanden, wie mit Risiken umzugehen ist, um einen konkreten Nutzen zu erzielen. Als Positivum ist auch zu werten, dass sich das Risikomanagement in der Welt der Standards weiterentwickelt hat, sowohl auf der internationalen wie auch auf der regionalen oder nationalen Ebene.

      Aber es gibt auch Negatives festzustellen. Es treten zu viele Risiken ein, die durchaus vermeidbar gewesen wären. Die Analyse von eingetretenen Schadenfällen führt selten zur Erklärung mit den „schwarzen Schwänen“, die als Symbol für nicht im Voraus erkennbare Risikoereignisse bzw. Fehlentwicklungen gelten. Besorgniserregend ist zusätzlich die Feststellung, dass die Auswirkungen von voraussehbaren Risiken immer größer werden. Nachfolgend werden wir uns mit solchen Risiken beschäftigen und dabei die Frage stellen, warum das Risikomanagement in diesen Fällen versagt oder gar gefehlt hat.

      Wer sich heute mit Risikomanagement befasst, stößt auf den Standard ISO 31000 „Risk Management – Guidelines“ (revidierte Fassung von 2018) und die ONR-Reihe 4900x „Risikomanagement für Organisationen und Systeme“ (Fassung von 2014). Letztere wurde zwischenzeitlich zur soeben publizierten ÖNORM-Reihe D 490x:2021 „Risikomanagement für Organisationen und Systeme“ weiterentwickelt.

Bei der ISO 31000 handelt es sich um Empfehlungen zum Risikomanagement. Der Standard zeigt auf, was internationale Experten unter Risikomanagement verstehen. Es werden Hinweise und Ratschläge für seine Anwendung und Umsetzung in Organisationen verschiedenster Art gegeben. In Österreich wurde der Standard als ÖNORM ISO 31000[1] veröffentlicht.

      Die ISO 31000 stellt das Ergebnis eines breiten Konsenses unter maßgebenden Fachexperten in einem generischen, allgemein gehaltenen Dokument dar. Es ist ein großer Nutzen für unsere Gesellschaft, dass eine einheitliche Auffassung darüber besteht, was Risiko ist und wie man mit Risiko umgehen kann.

      Bereits die ONR 49000 verstand sich als Spezifikation der ISO 31000 und präzisierte die Empfehlungen des internationalen Standards im ausführlichen Regelwerk. Nachdem die Gemeinschaft der Risikomanagement-Experten und -Anwender dieses Regelwerk mit größtem Interesse vor allem in Österreich, Deutschland und der Schweiz aufgenommen hatte, stellte sich die Frage, wie es weiterentwickelt werden sollte.

Dabei sind noch zwei andere Aspekte zu berücksichtigen. In der internationalen Standardisierung gibt es inzwischen neue Anforderungen an Managementsystem-Standards. ISO hat die sogenannte „High Level Structure“[2] vorgegeben, nach deren Begriffen und Struktur Managementsysteme aufgebaut werden sollen. Die ISO 9001 als wichtigster Managementsystem-Standard wurde in der Ausgabe von 2015 konsequent dieser Struktur angepasst. ISO 31000 ist diesem Beispiel in der Revision von 2018 leider nicht gefolgt, sondern hat sich an diese Strukturen nur lose angelehnt. Der zweite Aspekt bezieht sich auf die Verbindlichkeit von Risikomanagement-Standards. Empfehlungen reichen nicht mehr aus, wenn Risikomanagement immer häufiger von Gesetzen gefordert wird.

      Für die Arbeitsgruppe AG 252.07 „Risikomanagement“ von Austrian Standards International standen zu Beginn der Revision der ONR 49000:2014 zwei Beschlüsse fest. Einerseits sollte die Weiterentwicklung konsequent der High Level Structure von ISO folgen. Andererseits sollte ein zertifizierbares Risikomanagement als ÖNORM erarbeitet werden, damit Organisationen, welche die Wirksamkeit ihres Risikomanagements mit eindeutigen Anforderungen bewerten wollen, eine entsprechende Vorgabe zur Hand haben.

      In die Erstellung der 3., überarbeiteten und erweiterten Auflage dieses Buches habe ich meinen langjährigen Kollegen, Alexander Glaser, MBA, als Mitautor einbezogen. Er hat seine umfassende Kompetenz und Erfahrung im Risiko- und Qualitätsmanagement eingebracht. Wir haben zusammen die Gestaltung der neuen ÖNORM-Reihe D 490x in die Wege geleitet und die Redaktion an die Hand genommen, sodass die Arbeitsgruppe von einem bereits weit fortgeschrittenen Entwurf ausgehen konnte.

      Die fünf Praxisbeispiele (2) „Risikomanagement in der Produktentwicklung (Automotive)“, (3) „Projektrisiken managen“, (7) „Klimawandel – Schneesicherheit für Skigebiete“, (8) „Krisenmanagement zur Pandemie Covid-19 an einer Hochschule“ und (10) „Risikomanagement-Audits“ stammen von Alexander Glaser.

      Meinen herzlichen Dank spreche ich meinem Kollegen, Prof. Dr. Dr. Viktor Zorn aus, der mich bzw. die Arbeitsgruppe im Komitee 252 unterstützt hat.

      In dieser Publikation werden die grundlegende Philosophie, die Prozesse und Instrumente sowie die Integration des Risikomanagements in die Führung einer Organisation dargestellt. Die Ausführungen orientieren sich deshalb in kompakter Form an den Inhalten der ÖNORM-Reihe D 490x von 2021 und bereichern die Ausführungen mit den Praxisbeispielen.

      Und nun wünschen wir den Lesern anregende Lektüre, viele neuen Ideen und Energie für die praktische Umsetzung von Risikomanagement.

      Zürich/Wien, im März 2021

      Prof. Dr. Bruno Brühwiler

      Alexander Glaser, MBA

      1ÖNORM ISO 31000, Risikomanagement – Leitlinien

      2International Organization for Standardization, International Electrotechnical Commission (Hrsg.): ISO/IEC Directives, Part 1 – Consolidate ISO Supplement – Procedures specific to ISO, Annex SL (normative) Proposals for management system standards, 9th ED. 2018

1 Warum fehlte das Risikomanagement?

      1 WARUM FEHLTE DAS RISIKOMANAGEMENT?

      Eine wichtige Aufgabe des Risikomanagements besteht in der Prävention von Schäden. Wenn aus den Restrisiken trotzdem ein Schadenfall eintritt, können im Zuge einer Schadenfallanalyse die Ursachen ermittelt werden, die zum Eintritt des Ereignisses geführt haben.

      In den nachfolgenden, dramatischen Schadenfällen der letzten Jahre fehlte offenbar das konsequente Risikomanagement weitgehend.

      1.1 FINANZKRISE 2008/2009

      In den Jahren 2008 und 2009 brach das globale Finanzsystem weitgehend zusammen. Nach der Überhitzung folgte der Einbruch des amerikanischen Immobilienmarktes. Dadurch wurden zuerst einige Investmentbanken, dann aber auch eine Anzahl anderer Finanzinstitute, auch Versicherer, in ihren Grundfesten erschüttert. Einige sind untergegangen, andere konnten nur dank staatlicher Stützungsmaßnahmen und Eingriffen überleben.

Viele der betroffenen Institute haben ihr Risikomanagement nach dem „COSO Enterprise Risk Management Framework“[3] gestaltet und betrieben. Der Fokus richtete sich dabei auf finanzorientierte Interne Kontrollsysteme. Die betroffenen Finanzinstitute unterstanden zudem der staatlichen Aufsicht. Diese hätte die Aufgabe gehabt, die Stabilität des Finanzsystems zu gewährleisten. Die Tragweite und die Herausforderungen, die mit dieser Aufgabe verbunden waren, wurden unterschätzt.

      Die Finanzkrise erfasste bald auch die Realwirtschaft, die im ersten Halbjahr 2009 in noch nie dagewesenem Ausmaß einbrach, sich dann glücklicherweise aber in relativ kurzer Zeit wiederbelebte. Bevor sich die Weltwirtschaft von der Finanz- und Wirtschaftskrise richtig erholt hatte, brach im Jahr 2010 in Europa die Krise der Staatsverschuldung aus. Griechenland, Portugal und Irland wurden mithilfe eines massiven Mitteleinsatzes des Europäischen Rettungsschirms vor dem Staatsbankrott bewahrt. Auch hier war es verwunderlich, dass es bei den vorgegebenen Grenzwerten der Staatsverschuldung so weit kommen konnte. Wir wissen, dass es Jahre gedauert hat, bis diese Ungleichgewichte korrigiert werden konnten.

      1.2 FUKUSHIMA

      Dann, am 11. März 2011 geschah das Unglaubliche: Das Erdbeben der Stärke 9 auf der Richterskala im nördlichen Teil der japanischen Inseln löste einen