Den Risikomanagement-Kreislauf schließen

Die aktuelle ViewPoint-Umfrage von DNV deutet daraufhin, dass viele Unternehmen durch ihre Managementsysteme bereits über eine Grundlage für risikobasierte Entscheidungen verfügen. Managementsystemnormen enthalten Anforderungen zum Umgang mit Risiken und Chancen. Sieben von zehn Befragten geben an, dass diese Anforderungen einen wesentlichen oder grundlegenden Beitrag zur Risikomanagementkultur ihres Unternehmens leisten.

Gleichzeitig geben lediglich 18 % an, dass das Risikomanagement vollständig in die strategischen und operativen Entscheidungsprozesse integriert ist. Für viele Unternehmen bietet sich daher die Chance, Risikoinformationen über den gesamten Managementzyklus hinweg konsequenter zu nutzen.

Die Grundlagen sind möglicherweise bereits vorhanden

Risikobasiertes Denken ist in ISO-Managementsystemnormen keine separate Aktivität. Von Unternehmen wird erwartet, dass sie ihren Kontext berücksichtigen, relevante Risiken und Chancen identifizieren, daraus konkrete Maßnahmen ableiten und die Ergebnisse zur Unterstützung der fortlaufenden Verbesserung nutzen.

In ISO-Managementsystemnormen wie ISO 9001 (Qualität), ISO 14001 (Umwelt) und ISO 45001 (Sicherheit und Gesundheit bei der Arbeit) behandelt Abschnitt 6.1 Maßnahmen zum Umgang mit Risiken und Chancen. Er legt Anforderungen fest, nach denen Unternehmen relevante Risiken und Chancen identifizieren und den Umgang damit planen müssen. Ziel ist nicht allein die Pflege eines Risikoregisters, sondern die Integration von Risikoaspekten in Planung und betriebliche Abläufe, die Umsetzung geeigneter Maßnahmen sowie die Bewertung ihrer Wirksamkeit.

ISO 31000, die internationale Norm mit Leitlinien für das Risikomanagement, kann spezifische Managementsystemnormen durch einen konkreteren Rahmen zur Identifizierung, Steuerung, Minderung und Überwachung von Risiken ergänzen.

Was Auditergebnisse zeigen

Auditergebnisse aus der Benchmarking-Datenbank Lumina von DNV zeigen, in welchen Bereichen Unternehmen bei der praktischen Umsetzung dieser Anforderungen am häufigsten auf Herausforderungen stoßen. Die häufigsten Feststellungen unterscheiden sich je nach Norm.

• Bei ISO 9001 entfallen rund ein Drittel der analysierten Nichtkonformitäten zu Abschnitt 6.1 auf unzureichende Planungen oder Maßnahmen zum Umgang mit Risiken und Chancen.
• Bei ISO 14001 beziehen sich die häufigsten Feststellungen auf bindende Verpflichtungen sowie auf die Ermittlung von Umweltaspekten und -auswirkungen.
• Bei ISO 45001 betrifft mehr als ein Viertel der Feststellungen Prozesse zur Gefährdungsermittlung und Risikobeurteilung, die relevante Tätigkeiten, Funktionen oder Standorte nicht ausreichend abdecken.

Bei den zugrunde liegenden Ursachen zeigt sich ein einheitlicheres Bild. Normübergreifend stehen rund vier von zehn Nichtkonformitäten mit einem unzureichenden Verständnis oder mangelndem Bewusstsein für die Anforderungen in Zusammenhang. Rund jede fünfte Nichtkonformität ist darauf zurückzuführen, dass Verfahren nicht ausreichend verstanden oder befolgt werden.

Auch die Korrekturmaßnahmen weisen in eine ähnliche Richtung: Prozesse zur Ermittlung und Behandlung von Risiken sollten gestärkt, die Ermittlung von Gefährdungen oder Umweltrisiken – sofern relevant – verbessert und sichergestellt werden, dass die verantwortlichen Personen sowohl die Anforderungen als auch die anzuwendenden Verfahren verstehen.

Dies deutet darauf hin, dass die Priorität nicht einfach auf mehr Dokumentation liegen sollte. Unternehmen müssen die Anforderungen verstehen, relevante Risiken und Chancen identifizieren, daraus geeignete Maßnahmen ableiten und konsequent überprüfen, ob diese Maßnahmen wirksam sind.

Den Kreislauf in der Praxis schließen

Der Plan-Do-Check-Act-Zyklus (PDCA) bietet einen praxisnahen Ansatz, um die verschiedenen Phasen des Risikomanagements miteinander zu verknüpfen.

• In der Phase Plan identifizieren Unternehmen Risiken und Chancen und legen geeignete Maßnahmen fest.
• In der Phase Do werden die geplanten Maßnahmen umgesetzt und die festgelegten Verantwortlichkeiten wahrgenommen.
• In der Phase Check überwachen Unternehmen die Ergebnisse, bewerten Risiken erneut und prüfen, ob die umgesetzten Maßnahmen wirksam waren.
• In der Phase Act werden die gewonnenen Erkenntnisse genutzt, um Steuerungsmaßnahmen anzupassen, Lücken zu schließen und den Ansatz kontinuierlich zu verbessern.

Dies ist vor dem Hintergrund der ViewPoint-Ergebnisse besonders relevant. Unternehmen berichten von stärker strukturierten Prozessen bei der Identifikation und Analyse als bei der Neubewertung, Überwachung und Berichterstattung – also in jenen Phasen, in denen die Bewertung der Wirksamkeit und das Lernen aus den Ergebnissen entscheidend sind.

Den Kreislauf zu schließen, erfordert daher nicht zwangsläufig einen zusätzlichen Rahmen oder mehr Dokumentation. Vielmehr liegt die Chance darin, bestehende Managementsystemprozesse gezielter zu nutzen: Risiken und Chancen werden von der Planung in die Umsetzung überführt, die Wirksamkeit der Maßnahmen wird bewertet und die Ergebnisse fließen in die fortlaufende Verbesserung sowie in fundiertere unternehmerische Entscheidungen ein.

Wie ein strukturierterer Ansatz in der Praxis aussieht

Leader – also die Unternehmen, die in der Umfrage über den gesamten Prozess hinweg einen sehr gut strukturierten Ansatz angeben – integrieren das Risikomanagement deutlich häufiger in ihre Entscheidungsprozesse. Zudem berichten sie wesentlich häufiger von Vorteilen wie einer verbesserten Compliance, fundierteren Entscheidungen sowie einer höheren Resilienz und Kontinuität. Unternehmen mit einem höheren Reifegrad im Risikomanagement stützen ihre Wirksamkeit offenbar auf mehrere Elemente:

• Managementsysteme schaffen Struktur und eine gemeinsame Sprache.
• Kompetente Mitarbeitende wenden risikobasiertes Denken in der Praxis an.
• Assurance-Aktivitäten liefern unabhängige Erkenntnisse zur Umsetzung und Wirksamkeit.
• Digitale Tools unterstützen klare Verantwortlichkeiten, Rückverfolgbarkeit, Überwachung und Nachverfolgung.

Wenn diese Elemente ineinandergreifen, können Unternehmen Compliance-Anforderungen besser mit fundierten unternehmerischen Entscheidungen verknüpfen.