Impressum

ISBN 978-3-85402-428-6

Auch als Buch verfügbar

ISBN 978-3-85402-427-9

3., aktualisierte und erweiterte Auflage 2021

Das Werk ist urheberrechtlich geschützt.

Alle Rechte vorbehalten.

Nachdruck oder Vervielfältigung, Aufnahme

auf oder in sonstige Medien oder Datenträger,

auch bei nur auszugsweiser Verwertung,

sind nur mit ausdrücklicher Zustimmung der

Austrian Standards plus GmbH gestattet.

Alle Angaben in diesem Fachbuch erfolgen

trotz sorgfältiger Bearbeitung ohne Gewähr

und eine Haftung der Autoren und des Verlages

ist ausgeschlossen.

Aus Gründen der besseren Lesbarkeit wird in vorliegendem

Werk die Sprachform des generischen Maskulinums angewendet.

Es wird an dieser Stelle darauf hingewiesen, dass die ausschließliche Verwendung der männlichen Form geschlechtsunabhängig verstanden werden soll.

© Austrian Standards plus GmbH, Wien 2021

Die Austrian Standards plus GmbH ist ein

Unternehmen von Austrian Standards International.

AUSTRIAN STANDARDS PLUS GMBH

1020 Wien, Heinestraße 38

T +43 1 213 00-300

F +43 1 213 00-818

E service@austrian-standards.at

www.austrian-standards.at/fachliteratur

PROJEKTBETREUUNG

Gertraud Reznicek

LEKTORAT

Johanna Zechmeister

COVER – FOTOCREDIT

© AdobeStock/Jamrooferpix

GESTALTUNG

Alexander Mang

DRUCK

Prime Rate Kft., H-1044 Budapest

Inhalt

Abkürzungsverzeichnis

Vorwort

1 Warum fehlte das Risikomanagement?

1.1 Finanzkrise 2008/2009

1.2 Fukushima

1.3 Dieselskandal

1.4 Morandi-Brücke

1.5 Pandemie Covid-19

1.6 Erklärungen

2 Weiterentwicklung ONR 4900x zur ÖNORM-Reihe D 490x

2.1 Revision hin zur ISO 31000:2018

2.2 Erfolgsgeschichte der ONR-Reihe 4900x

2.3 ISO High Level Structure als Orientierung

2.4 Anforderungen statt Empfehlungen

2.5 Neuerungen auf einen Blick

3 Risikomanagement ist Führungsaufgabe

3.1 Risikomanagement in Governance verankert

3.1.1 Verantwortungsvolle Unternehmensführung

3.1.2 Corporate Governance – Grundsätze der OECD

3.1.3 Risikomanagement im deutschen Aktienrecht

3.1.4 Risikomanagement in Österreich

3.1.5 Corporate Governance in den USA

3.1.6 Zusammenfassung

3.2 Strategisches Management

3.2.1 Gestaltung und Lenkung von Organisationen

3.2.2 Aufgaben und Konzeptionen des strategischen Managements

3.2.3 Wissenschaftliche Standortbestimmung

3.2.4 Praktische Standortbestimmung

3.3 Risiko definiert

3.3.1 Risiko nach ÖNORM D 4900

3.3.2 Wahrscheinlichkeit

3.3.3 Positive und negative Auswirkungen

3.3.4 Kombination aus Wahrscheinlichkeit und Auswirkung

3.3.5 Ziele der Organisation

3.3.6 Ereignisse und Entwicklungen

3.3.7 Erkenntnisse

4 Anwendungen des Risikomanagements

4.1 Organisations-Risikomanagement

4.2 Risikobasierte Teilbereiche

4.3 Anwendungen definieren

5 Risikomanagementprozess

5.1 Prozesselemente

5.2 Bedeutung der Risikokriterien

6 Einbettung des Risikomanagements

6.1 Prozesslandschaft und Produktentwicklung

6.2 Risikomanagement in Anlagenprojekten

7 Risikomanagementsystem

7.1 Integration von Managementsystemen

7.2 Bedeutung der Risikopolitik

8 Methoden Der Risikobeurteilung

8.1 Methodenüberblick

8.2 Szenarioanalyse

8.3 Horizon Scanning

9 Notfall-, Krisen- Uund Kontinuitätsmanagement

9.1 Bestandteil des Risikomanagements

9.2 Kontinuitätsmanagement

10 Zertifizierung des Risikomanagements

11 Fazit und Ausblick

Anhang

Anhang 1: Begriffe nach ÖNORM D 4900:2021

Anhang 2: Beispiel einer Gefahrenliste

Literaturverzeichnis

Internetquellen

Die Autoren

Abbildungsverzeichnis

Abbildung 1 Struktur der ÖNORM-Reihe D 490x:2021

Abbildung 2 Balanced-Scorecard-Zielsystem

Abbildung 3 Quellen von Risiken

Abbildung 4 Organisations-Risikomanagement und seine Teilbereiche

Abbildung 5 Risikomanagementprozess

Abbildung 6 Prozesslandschaft mit Risikomanagement

Abbildung 7 Risikomanagement in der Produktentwicklung

Abbildung 8 Herstellbarkeitsbewertung und Risikoanalyse

Abbildung 9 Qualitätssichernde und risikoreduzierende Methoden

Abbildung 10 Besondere Merkmale

Abbildung 11 DVP&R-Auszug „Stossfänger E-Mobile Supercar“

Abbildung 12 Einsatzkriterien für DFMEA und PFMEA

Abbildung 13 Design-FMEA

Abbildung 14 Prozess-FMEA

Abbildung 15 Prozessfähigkeit

Abbildung 16 Auszug aus der PPF-Nachweisführung

Abbildung 17 Einsatzkriterien, Kriterien der Auswirkung für die projektbezogene Risikoanalyse

Abbildung 18 Praktische Anwendung der Risikomatrix

Abbildung 19 Zusammenspiel von Projekt- und Risikomanagementprozessen

Abbildung 20 Risikomanagementsystem

Abbildung 21 Gegenüberstellung von ISO 9001 Und ÖNORM D 4901

Abbildung 22 Gegenüberstellung Von ISO 9001 Und ÖNORM D 4901

Abbildung 23 Gegenüberstellung Von ISO 9001 Und ÖNORM D 4901

Abbildung 24 Methoden im Überblick

Abbildung 25 Risiken Geschäftsbereiche und Konzern

Abbildung 26 Vergleich von gemessenen und berechneten saisonalen Schneehöhen in den letzten 55 Jahren am Feuerkogel

Abbildung 27 ÖKS15-Projektion für einen Bereich in ca. 1 800 M Seehöhe. Entwicklung der Lufttemperatur und Niederschlagsmenge im Winter (NDJFMA; November bis April)

Abbildung 28 Entwicklung Naturschnee bis 2050, abgebildet durch die mittlere saisonale Gesamtschneehöhe und Saisonlänge in ca. 1 600 m bis 1 700 m Seehöhe im Untersuchungsraum

Abbildung 29 Entwicklung Naturschnee + technischer Schnee bis 2050, abgebildet durch die mittlere saisonale Gesamtschneehöhe und Saisonlänge In ca. 1 200 m bis 1 300 m Seehöhe im Untersuchungsraum

Abbildung 30 Covid-19-Krisenmanagement Fachhochschule Burgenland

Abbildung 31 Safe-FH Prevention Cycle

Abbildung 32 Plan Lockdown

Abbildung 33 Piktogramme zur Kommunikation der Covid-19-Massnahmen

Abbildung 34 Corona-Ampel des Gesundheitsministeriums mit Lehrbetrieb

Abbildung 35 Notfall-, Krisen- und Kontinuitätsmanagement

Abbildung 36 Risikoprofil für das Kontinuitätsmanagement

Abbildung 37Auditplan

Vorwort

Seit 2012, dem Erscheinen der 2. Auflage dieser QuickInfo, blieben Risiken und Risikomanagement in ihrem Wesenskern grundsätzlich unverändert. Schaut man aber genauer hin, lässt sich erkennen, dass erhebliche Veränderungen im Positiven wie auch im Negativen eingetreten sind.

Das Positive besteht darin, dass die Akzeptanz von Risikomanagement in unserer wirtschaftlichen und politischen Welt deutlich zugenommen hat. Die Durchdringung der Führung von privaten Unternehmen und öffentlichen Organisationen mit diesem Instrument ist deutlich gestiegen, die Anwendung von Risikomanagement für die Steuerung von Organisationen und Systemen hat sich weit verbreitet. Viele mittlere und obere Führungskräfte haben sich in Risikomanagement weitergebildet und verstanden, wie mit Risiken umzugehen ist, um einen konkreten Nutzen zu erzielen. Als Positivum ist auch zu werten, dass sich das Risikomanagement in der Welt der Standards weiterentwickelt hat, sowohl auf der internationalen wie auch auf der regionalen oder nationalen Ebene.

Aber es gibt auch Negatives festzustellen. Es treten zu viele Risiken ein, die durchaus vermeidbar gewesen wären. Die Analyse von eingetretenen Schadenfällen führt selten zur Erklärung mit den „schwarzen Schwänen“, die als Symbol für nicht im Voraus erkennbare Risikoereignisse bzw. Fehlentwicklungen gelten. Besorgniserregend ist zusätzlich die Feststellung, dass die Auswirkungen von voraussehbaren Risiken immer größer werden. Nachfolgend werden wir uns mit solchen Risiken beschäftigen und dabei die Frage stellen, warum das Risikomanagement in diesen Fällen versagt oder gar gefehlt hat.

Wer sich heute mit Risikomanagement befasst, stößt auf den Standard ISO 31000 „Risk Management – Guidelines“ (revidierte Fassung von 2018) und die ONR-Reihe 4900x „Risikomanagement für Organisationen und Systeme“ (Fassung von 2014). Letztere wurde zwischenzeitlich zur soeben publizierten ÖNORM-Reihe D 490x:2021 „Risikomanagement für Organisationen und Systeme“ weiterentwickelt.

Bei der ISO 31000 handelt es sich um Empfehlungen zum Risikomanagement. Der Standard zeigt auf, was internationale Experten unter Risikomanagement verstehen. Es werden Hinweise und Ratschläge für seine Anwendung und Umsetzung in Organisationen verschiedenster Art gegeben. In Österreich wurde der Standard als ÖNORM ISO 31000[1] veröffentlicht.

Die ISO 31000 stellt das Ergebnis eines breiten Konsenses unter maßgebenden Fachexperten in einem generischen, allgemein gehaltenen Dokument dar. Es ist ein großer Nutzen für unsere Gesellschaft, dass eine einheitliche Auffassung darüber besteht, was Risiko ist und wie man mit Risiko umgehen kann.

Bereits die ONR 49000 verstand sich als Spezifikation der ISO 31000 und präzisierte die Empfehlungen des internationalen Standards im ausführlichen Regelwerk. Nachdem die Gemeinschaft der Risikomanagement-Experten und -Anwender dieses Regelwerk mit größtem Interesse vor allem in Österreich, Deutschland und der Schweiz aufgenommen hatte, stellte sich die Frage, wie es weiterentwickelt werden sollte.

Dabei sind noch zwei andere Aspekte zu berücksichtigen. In der internationalen Standardisierung gibt es inzwischen neue Anforderungen an Managementsystem-Standards. ISO hat die sogenannte „High Level Structure“[2] vorgegeben, nach deren Begriffen und Struktur Managementsysteme aufgebaut werden sollen. Die ISO 9001 als wichtigster Managementsystem-Standard wurde in der Ausgabe von 2015 konsequent dieser Struktur angepasst. ISO 31000 ist diesem Beispiel in der Revision von 2018 leider nicht gefolgt, sondern hat sich an diese Strukturen nur lose angelehnt. Der zweite Aspekt bezieht sich auf die Verbindlichkeit von Risikomanagement-Standards. Empfehlungen reichen nicht mehr aus, wenn Risikomanagement immer häufiger von Gesetzen gefordert wird.

Für die Arbeitsgruppe AG 252.07 „Risikomanagement“ von Austrian Standards International standen zu Beginn der Revision der ONR 49000:2014 zwei Beschlüsse fest. Einerseits sollte die Weiterentwicklung konsequent der High Level Structure von ISO folgen. Andererseits sollte ein zertifizierbares Risikomanagement als ÖNORM erarbeitet werden, damit Organisationen, welche die Wirksamkeit ihres Risikomanagements mit eindeutigen Anforderungen bewerten wollen, eine entsprechende Vorgabe zur Hand haben.

In die Erstellung der 3., überarbeiteten und erweiterten Auflage dieses Buches habe ich meinen langjährigen Kollegen, Alexander Glaser, MBA, als Mitautor einbezogen. Er hat seine umfassende Kompetenz und Erfahrung im Risiko- und Qualitätsmanagement eingebracht. Wir haben zusammen die Gestaltung der neuen ÖNORM-Reihe D 490x in die Wege geleitet und die Redaktion an die Hand genommen, sodass die Arbeitsgruppe von einem bereits weit fortgeschrittenen Entwurf ausgehen konnte.

Die fünf Praxisbeispiele (2) „Risikomanagement in der Produktentwicklung (Automotive)“, (3) „Projektrisiken managen“, (7) „Klimawandel – Schneesicherheit für Skigebiete“, (8) „Krisenmanagement zur Pandemie Covid-19 an einer Hochschule“ und (10) „Risikomanagement-Audits“ stammen von Alexander Glaser.

Meinen herzlichen Dank spreche ich meinem Kollegen, Prof. Dr. Dr. Viktor Zorn aus, der mich bzw. die Arbeitsgruppe im Komitee 252 unterstützt hat.

In dieser Publikation werden die grundlegende Philosophie, die Prozesse und Instrumente sowie die Integration des Risikomanagements in die Führung einer Organisation dargestellt. Die Ausführungen orientieren sich deshalb in kompakter Form an den Inhalten der ÖNORM-Reihe D 490x von 2021 und bereichern die Ausführungen mit den Praxisbeispielen.

Und nun wünschen wir den Lesern anregende Lektüre, viele neuen Ideen und Energie für die praktische Umsetzung von Risikomanagement.

Zürich/Wien, im März 2021

Prof. Dr. Bruno Brühwiler

Alexander Glaser, MBA

1ÖNORM ISO 31000, Risikomanagement – Leitlinien

2International Organization for Standardization, International Electrotechnical Commission (Hrsg.): ISO/IEC Directives, Part 1 – Consolidate ISO Supplement – Procedures specific to ISO, Annex SL (normative) Proposals for management system standards, 9th ED. 2018

1 Warum fehlte das Risikomanagement?

1 WARUM FEHLTE DAS RISIKOMANAGEMENT?

Eine wichtige Aufgabe des Risikomanagements besteht in der Prävention von Schäden. Wenn aus den Restrisiken trotzdem ein Schadenfall eintritt, können im Zuge einer Schadenfallanalyse die Ursachen ermittelt werden, die zum Eintritt des Ereignisses geführt haben.

In den nachfolgenden, dramatischen Schadenfällen der letzten Jahre fehlte offenbar das konsequente Risikomanagement weitgehend.

1.1 FINANZKRISE 2008/2009

In den Jahren 2008 und 2009 brach das globale Finanzsystem weitgehend zusammen. Nach der Überhitzung folgte der Einbruch des amerikanischen Immobilienmarktes. Dadurch wurden zuerst einige Investmentbanken, dann aber auch eine Anzahl anderer Finanzinstitute, auch Versicherer, in ihren Grundfesten erschüttert. Einige sind untergegangen, andere konnten nur dank staatlicher Stützungsmaßnahmen und Eingriffen überleben.

Viele der betroffenen Institute haben ihr Risikomanagement nach dem „COSO Enterprise Risk Management Framework“[3] gestaltet und betrieben. Der Fokus richtete sich dabei auf finanzorientierte Interne Kontrollsysteme. Die betroffenen Finanzinstitute unterstanden zudem der staatlichen Aufsicht. Diese hätte die Aufgabe gehabt, die Stabilität des Finanzsystems zu gewährleisten. Die Tragweite und die Herausforderungen, die mit dieser Aufgabe verbunden waren, wurden unterschätzt.

Die Finanzkrise erfasste bald auch die Realwirtschaft, die im ersten Halbjahr 2009 in noch nie dagewesenem Ausmaß einbrach, sich dann glücklicherweise aber in relativ kurzer Zeit wiederbelebte. Bevor sich die Weltwirtschaft von der Finanz- und Wirtschaftskrise richtig erholt hatte, brach im Jahr 2010 in Europa die Krise der Staatsverschuldung aus. Griechenland, Portugal und Irland wurden mithilfe eines massiven Mitteleinsatzes des Europäischen Rettungsschirms vor dem Staatsbankrott bewahrt. Auch hier war es verwunderlich, dass es bei den vorgegebenen Grenzwerten der Staatsverschuldung so weit kommen konnte. Wir wissen, dass es Jahre gedauert hat, bis diese Ungleichgewichte korrigiert werden konnten.

1.2 FUKUSHIMA

Dann, am 11. März 2011 geschah das Unglaubliche: Das Erdbeben der Stärke 9 auf der Richterskala im nördlichen Teil der japanischen Inseln löste einen Tsunami aus, der die Nuklearkatastrophe von Fukushima herbeiführte. Die Flutwelle betrug 13 bis 15 Meter, die 5,7 Meter hohe Mauer, welche das Kernkraftwerk hätte schützen sollen, wurde vollständig überspült. Die Flut zerstörte die elektrischen Schaltanlagen und die Notstromaggregate. Auch die Notkühlsysteme fielen aus oder konnten nicht richtig bedient werden. Drei Kernreaktoren überhitzten und schmolzen. Schließlich traten große Mengen an Radioaktivität aus. Diese zwangen die Bevölkerung zur Evakuierung, zuerst in einem Radius von 20 km, der später auf bis zu 40 km ausgeweitet wurde. Viele Tausend Menschen waren gefährlichen Strahlenbelastungen ausgesetzt. Es wird noch Jahre dauern, bis die materiellen Folgen der Nuklearkatastrophe von Fukushima auf Vermögenswerte und auf die Umwelt behoben oder zumindest eingegrenzt werden können. Auch hier stellt sich die Frage: Warum war eine solche Nuklearkatastrophe überhaupt möglich, nachdem sich die Wissenschaft und die Nuklearindustrie seit Jahrzehnten in umfassenden und professionellen Risikostudien mit der Sicherheit von Kernkraftwerken befassten?

1.3 DIESELSKANDAL

Den Hintergrund der Dieselaffäre bildete der globale Wettbewerb zwischen den beiden Automobil-Weltmarktführern Volkswagen und Toyota. Beide Hersteller versuchten, mittels spezieller Technologien Wettbewerbsvorteile im riesigen amerikanischen Markt zu generieren: die Japaner mit Hybrid-Fahrzeugen, die Deutschen mit der Dieseltechnologie. Die Abgasnorm Euro 6d galt ab 2013. Die dafür gebauten Abgasreinigungsanlagen (mit dem Additiv AdBlue) waren früh ausgereift und wurden von Volkswagen mit dem Slogan „Clean Diesel“ in den USA vermarktet.

Es muss vermutet werden, dass bei der Einführung der neuen Dieseltechnologie noch Versorgungsengpässe für AdBlue bei Tankstellen bestanden und man den potenziellen Kunden nicht zumuten wollte, dass die Serviceintervalle für Dieselfahrzeuge kürzer werden sollten. Dieser Schwierigkeit begegnete man – wohl nur als vorübergehende Maßnahme gedacht – mit einer Abschaltvorrichtung. Dadurch wurde ein schwerer Verstoß gegen Umweltvorschriften, die in den Vereinigten Staaten und auch in Europa galten, in Kauf genommen. Das dürfte auch in obersten Führungskreisen nicht unbekannt gewesen sein. Doch weil die Einhaltung der Rechtsvorschriften die globale Wettbewerbsstrategie hätte unterlaufen könnten, wurde der Verstoß gegen Umweltgesetze nicht thematisiert und vor sich hergeschoben, bis die amerikanischen Behörden den Betrug aufdeckten.

Im Konzernlagebericht 2014 von Volkswagen befindet sich der Risiko- und Chancenbericht mit einer umfassenden Darstellung des Risiko- und Chancenmanagements mit der abschließenden Feststellung: „Nach den uns heute bekannten Informationen bestehen keine Risiken, die den Fortbestand wesentlicher Konzerngesellschaften oder des Volkswagen Konzerns gefährden könnte“. Mittlerweile hat der VW-Konzern 28 Milliarden Euro an Bußgeldern und Schadenersatzforderungen in den USA bezahlt. Schadenersatzforderungen in Deutschland sind noch in Diskussion. Das Ende der Klagen und der damit verbundenen Kosten ist somit noch nicht erreicht[4]. Dazu kommen nun noch weitere rechtliche Konsequenzen. So wurde der Ex-VW-Chef Martin Winterkorn zusammen mit weiteren Führungskräften im März 2019 des Betrugs und der Untreue angeklagt[5]. Den Angeschuldigten drohen Haftstrafen von bis zu 10 Jahren und hohe Geldbußen.

1.4 MORANDI-BRÜCKE

Am 14. August 2018 stürzte ein Teil der nach seinem Erbauer benannten Morandi-Brücke in Genova ein und riss 43 Menschen in den Tod. Die Schrägseilbrücke wurde zwischen 1962 und 1967 geplant und errichtet. Die Ursache des Einsturzes ist in den Stahlseilen zu finden, die nach 50 Jahren bis zur Hälfte durchgerostet waren. Es besteht die Vermutung, dass die Überwachung und der Unterhalt der Brücke nicht ordnungsgemäß stattgefunden haben. Die italienische Staatsanwaltschaft nahm deshalb involvierte Personen fest oder suspendierte sie zumindest von ihren Ämtern. Es wird den Beschuldigten der Autobahngesellschaft Dokumentenfälschung bei Sicherheitskontrollen sowie den Funktionären der Straßenverwaltungsgesellschaft Fahrlässigkeit vorgeworfen[6]. Ingenieure sollen bereits 2014 vor dem Einsturz der Brücke gewarnt haben[7].

1.5 PANDEMIE COVID-19

Pandemien, wie wir sie gegenwärtig mit COVID-19 erleben, sind keineswegs eine Überraschung. Im Dokument „Deutscher Bundestag – 17. Wahlperiode“[8] von 2013 wird das Szenario überraschend genau antizipiert. Auch das Schweizerische Bundesamt für Bevölkerungsschutz BABS hat bereits 2015 im „Gefährdungsdossier Epidemie/Pandemie“[9] mehrere Szenarien beschrieben, welche die heutigen Verhältnisse mit überraschender Vorstellungskraft frühzeitig darstellten.

In Österreich hingegen konzentrierten sich die Risikoanalysen zum Bevölkerungsschutz in den vergangenen Jahren schwerpunktmäßig auf Hochwasserschutz, Brandschutz, Geldwäsche und Terrorismusbekämpfung. Die Risiken durch SARS wurden zwar ebenfalls analysiert, jedoch betreffend Wahrscheinlichkeit und Auswirkung stark unterschätzt[10].

Mittlerweise – Stand Mitte Januar 2021 – sind weltweit rund 100 Millionen Infektionsfälle nachgewiesen, 55 Millionen Menschen davon wieder genesen und fast 2 Millionen Menschen daran verstorben[11]. Erst 9 Monate nach dem ersten Lockdown in Europa um Mitte März 2020 stehen getestete Impfstoffe bereit, um ab Januar 2021 zuerst die Risikogruppen in der Bevölkerung in großem Ausmaß zu impfen. Die wirtschaftlichen Schäden sind enorm und werden die Staatshaushalte noch über Jahre hinweg beschäftigen. Die Krise der Staatsverschuldung nach der Finanzkrise von 2009 ist kaum abgeschlossen, so steht nun eine noch dramatischere Situation an, welche die Stabilität des Finanzsystems wohl noch lange herausfordern wird.

1.6 ERKLÄRUNGEN

Für das Risikomanagement stehen angesichts der vorangehend aufgezeichneten Beispiele, die nur stellvertretend für viele andere Risiken stehen, einige Erkenntnisse im Mittelpunkt:

+Offensichtlich ist es heute u. a. durch wissenschaftliche Studien möglich, die Risiken in den Bereichen von Technologie, Bevölkerungsschutz, Volkswirtschaft, Unternehmen und öffentlichen Institutionen usw. ziemlich genau zu antizipieren. Es gibt kaum mehr „schwarze Schwäne“.

+Entscheidungsträger neigen dazu, Expertenwissen und Erkenntnisse aus dem Stand der Technik gering zu schätzen, wenn sie in Konflikt mit ihren eigenen Zielen und Ambitionen geraten. Strategie geht vor, Risiken müssen vermeintlich eingegangen werden, um den geplanten Erfolg zu erreichen.

+Die Risikowahrnehmung wird ausgeblendet: „Think positive“ ist das oberflächliche Motto von angeblich erfolgreichen Machern.

+Risikomanagement ist nicht kostenfrei. Wer Risikomanagement betreibt, braucht dazu personelle und finanzielle Ressourcen. Diese fallen sicher an, der Eintritt von Risiken ist jedoch unsicher. Solange alles gut geht, scheint die Rechnung beim Sparen auf Kosten der Risiken aufzugehen.

Offensichtlich haben in den fünf dargestellten Fällen die Risikowahrnehmung und das Risikomanagement gefehlt oder versagt. Man muss sich deshalb erneut ernsthaft die Frage stellen, was die Anforderungen und die Merkmale eines wirksamen Risikomanagements sind und wie man dieses Führungsinstrument einsetzen muss, um sich darauf verlassen zu können. Angesichts der Tatsache, dass heute in sehr vielen Organisationen und Institutionen Elemente von Risikomanagement vorhanden sind, ist die Antwort nicht ganz einfach: Es braucht in unserer heutigen Welt nicht unbedingt mehr, sondern vor allem ein besseres, sprich verbindlicheres und durchgängigeres Risikomanagement, um damit ein zuverlässiges Führungsinstrument verfügbar zu haben.

3COSO Enterprise Risk Management Framework, Jersey City 2004, revidierte Fassung 2017

4https://www.faz.net/aktuell/wirtschaft/diesel-affaere/diesel-skandal-kosten-fuer-vw-steigen-auf-28-milliarden-euro-16028772.html [letzter Zugriff: Januar 2021]

5https://www.nzz.ch/wirtschaft/frueherer-vw-chef-winterkorn-im-dieselskandal-angeklagt-ld.1475388 [letzter Zugriff: Januar 2021]

6https://www.nzz.ch/panorama/einsturz-der-morandi-bruecke-in-genua-weitere-festnahmen-ld.1508480, vom 13. 9.2019 [letzter Zugriff: Januar 2021]

7https://www.nzz.ch/panorama/ingenieure-warnten-schon-2014-vor-dem-einsturz-der-bruecke-von-genua-ld.1523162 vom 20.11.2019 [letzter Zugriff: Januar 2021]

8Deutscher Bundestag – 17. Wahlperiode, Drucksache 17/12051 vom 3. 1. 2013: Unterrichtung durch die Bundesregierung, Bericht zur Risikoanalyse im Bevölkerungsschutz 2012, S. 5f

9Bundesamt für Bevölkerungsschutz: Nationale Gefährdungsanalyse – Gefährdungsdossier Epidemie / Pandemie vom 30. Juni 2015

10Beitrag zur gesamtstaatlichen Risikoanalyse für Österreich – Biologische, Chemische, Radiologische und Nukleare Bedrohungen, 2015-2016, KSÖ, BMI, BMLVS, BMASGK

11https://en.wikipedia.org/wiki/Template:COVID-19_pandemic_data [letzter Zugriff: Januar 2021]

2 Weiterentwicklung ONR 4900x zur ÖNORM-Reihe D 490x

2 WEITERENTWICKLUNG ONR 4900X ZUR ÖNORM-REIHE D 490X
2.1 REVISION HIN ZUR ISO 31000:2018

Es mag den Leser erstaunen, dass die erste Version der ONR-Reihe 4900x „Risikomanagement für Organisationen und Systeme“[12] schon weit vor der ISO 31000 „Risk Management – Principles and Guidelines“ geschaffen und im Jahr 2004 veröffentlicht wurde. Sie diente dann im Jahr 2005 als Input für den internationalen Standard, welcher in seiner ersten Ausgabe erst 2009 veröffentlicht wurde.

Der höchste Wert eines ISO-Standards besteht darin, dass er einen globalen Expertenkonsens darstellt und dadurch seine Anerkennung gewinnt. Der Konsens ist der Ertrag einer aufwendigen und zeitraubenden Entwicklung. Gerade das Thema Risikomanagement zeichnet sich auf der einen Seite durch einen hohen Abstraktionsgrad aus. Andererseits erfordert das Zusammentreffen von oft unterschiedlichen Meinungen in einer Arbeitsgruppe viel Diskussion und Austausch, um am Ende zu einem Kompromiss zu gelangen, der von den Entscheidungsgremien, das sind die nationalen Normungsorganisationen, akzeptiert wird.

Jeder ISO-Standard muss nach einigen Jahren auf Aktualität und Revisionsbedarf geprüft werden. Im Jahr 2013 startete die Arbeitsgruppe mit der Revision der ISO 31000. Es bestand ein großer Bedarf an redaktioneller Vereinfachung und inhaltlicher Präzisierung. Da die ISO 31000 inzwischen eine hohe internationale Anerkennung erhalten hatte, stellte sich die Frage nach einer technischen Überprüfung eigentlich (noch) nicht. So wurde im Frühjahr 2018 die revidierte Fassung der ISO 31000 „Risk Management – Guidelines“ veröffentlicht.

Die ISO 31000 enthält Empfehlungen, wie eine Organisation das Risikomanagement planen und umsetzen soll. Eine gewisse Anlehnung an die Managementsystem-Welt von ISO bestand bereits in der Version von 2009, in der die Elemente des Deming-Kreises Plan-Do-Check-Act enthalten sind. Die inzwischen von ISO entwickelte High Level Structure (HLS) für Managementsysteme sollte gemäß den Experten nicht vollständig übernommen werden. Dahinter verbarg sich ein Missverständnis und eine von den vielen Experten getragene Angst vor einer Zertifizierung des Risikomanagements, obwohl Zertifizierung und HLS einander nicht bedingen.

2.2 ERFOLGSGESCHICHTE DER ONR-REIHE 4900X

Seit der Veröffentlichung der ersten Version der ONR-Reihe 4900x „Risikomanagement für Organisationen und Systeme“ begleitet eine beispiellose Erfolgswelle das Regelwerk im deutschen Sprachraum. Es wurden Tausende von Risikomanagern in mehrtägigen Lehrgängen ausgebildet und nach Bestehen von zwei anspruchsvollen Qualifikationsschritten zertifiziert. Zwei Ausprägungen bildeten sich heraus: Der „Business Risikomanager“ auf der einen und der „klinische Risikomanager“ auf der anderen Seite. In Österreich wurde der Business Risikomanager ab 2004 bis etwa 2010 intensiv geschult und zertifiziert, der klinische Risikomanager ab 2005 bis etwa 2018 fast flächendeckend über das ganze Land verbreitet.

In der Schweiz stieß der Business Risikomanager ab 2004 bis etwa 2015 auf großes Interesse. Der klinische Risikomanager wurde hier jedoch kaum wahrgenommen.

In Deutschland fand umgekehrt der Business Risikomanager kaum Interesse. Ab 2010 wurden jedoch Hunderte von klinischen Risikomanagern ausgebildet und zertifiziert. Das Interesse am Regelwerk ging über die Ausbildung hinaus. Das in der ONR-Reihe 4900x niedergeschriebene Risikomanagementkonzept ist in den Beschluss des Gemeinsamen Bundesausschusses (G-BA Beschluss)[13] und in viele Publikationen des Aktionsbündnisses Patientensicherheit[14] eingeflossen.

Die ONR-Reihe 4900x war aber auch die grundlegende Konzeption für die Planung, Umsetzung, Bewertung und Verbesserung von Risikomanagement in Organisationen.

2.3 ISO HIGH LEVEL STRUCTURE ALS ORIENTIERUNG

Die internationale Standardisierung hat sich in den vergangenen Jahren ebenfalls bewegt. Der Standard ISO 9001 erreichte weltweit eine Spitzenstellung und wurde inzwischen mehr als eine Million Mal zertifiziert. Diese Harmonisierung hat einen unschätzbaren Beitrag zum internationalen Güteraustausch und zur Globalisierung geleistet. Vom ursprünglich einfachen Deming-Kreis Plan-Do-Check-Act (P-D-C-A) bildete sich ein Managementsystem-Standard heraus, der sich inzwischen auf eine 10-Punkte-Struktur mit vereinheitlichter Terminologie erweiterte, welche sich zunehmend auf andere ISO-Standards ausdehnt. Alle Managementsystem-Standards sollen nun auf der gleichen Terminologie und Struktur basieren, eben der High Level Structure (HLS), welche in den ISO Directives festgelegt worden sind.[15]

Die ONR 49001 hat bereits in ihrer Ausgabe 2014 die HLS angewendet, allerdings noch nicht in gänzlicher formeller Übereinstimmung mit den ISO-Vorgaben. Dies wurde nun mit dem Übergang von der ONR-Reihe 4900x zur ÖNORM-Reihe D 490x abschließend vollzogen. Damit könnte die ÖNORM D 4901 als vollwertiges Familienmitglied in den ISO-Managementsystemen bezeichnet werden.

Der große Vorteil dieser Harmonisierung besteht darin, dass nun Managementsysteme ineinander integriert werden können, ohne dabei Doppelgleisigkeiten zu schaffen. Es drängt sich geradezu auf, die ISO 9001 „Qualitätsmanagementsysteme – Anforderungen“ mit der ÖNORM D 4901 „Anforderungen an das Risikomanagementsystem“ abzugleichen bzw. gegenüberzustellen. Bei einer solchen Synopse können auch andere Managementsysteme einbezogen werden.

2.4 ANFORDERUNGEN STATT EMPFEHLUNGEN

Die Anwendung von Standards ist grundsätzlich freiwillig. Niemand kann eine Organisation dazu zwingen, einen Standard anzuwenden, außer es gibt dazu eine gesetzliche Forderung.

Innerhalb der Welt der Standards wird eine weitere Unterscheidung vorgenommen: Standards mit nur empfehlendem Charakter (Typus B) und Standards, die Anforderungen festschreiben (Typus A). Nur letztere können durch eine akkreditierte Organisation zertifiziert werden, wenn die betriebliche Wirklichkeit zeigt, dass die Systemgestaltung mit den formulierten wesentlichen Anforderungen des Standards übereinstimmt. Man spricht dabei auch von einer „Konformitätserklärung“.

Ein Standard, der Anforderungen festschreibt, muss diese präzise formulieren, damit die Konformität eindeutig festgestellt werden kann. Demgegenüber bieten empfehlende Standards einen viel größeren Spielraum für Erklärungen und Beschreibungen.

In der neuen ÖNORM-Reihe D 490x wurde der Weg gewählt, dass nur im normativen Kerntext der ÖNORM D 4901 überprüfbare Anforderungen stehen. Alle erklärenden und empfehlenden Aussagen wurden in den Leitfäden aufgenommen.

Braucht es für das Risikomanagement Anforderungen? Ja natürlich! Nicht nur Corporate Governance, sondern auch dessen konkrete Umsetzung in Gesetzen (z. B. Aktiengesetze) verlangt verbindlich von bestimmten Organisationen die Umsetzung eines wirksamen Risikomanagements. Es besteht ein dringender Bedarf für eine Festlegung der Komponenten eines Risikomanagementsystems, damit auch verbindlich festgestellt werden kann, ob eine Organisation die dazu notwendigen Anforderungen erfüllt.

Es unterstützt das Risikomanagement, wenn es gesetzlich direkt oder indirekt verlangt wird. Viel wichtiger hingegen ist die Feststellung, dass Risikomanagement Führungsaufgabe ist. Dazu mehr in den folgenden Ausführungen.

2.5 NEUERUNGEN AUF EINEN BLICK

Fassen wir die Neuerungen zusammen, die der ÖNORM-Reihe D 490x zugrunde liegen:

+Die Begriffe in ÖNORM D 4900 werden erweitert durch „Sicherheitskultur“ und „Risikotragfähigkeit“.

+Das neue Konzept des Organisations-Risikomanagements lehnt sich an das englischsprachige Enterprise Risk Management (ERM) an.

+Das in ÖNORM D 4901 dargestellte Risikomanagementsystem folgt der ISO High Level Structure (HLS) und enthält nur noch überprüfbare Anforderungen.

+Der Leitfaden – Teil 1: Einbettung des Risikomanagements ins Managementsystem (ÖNORM D 4902-1) wird um das Thema Organisationskultur ergänzt.

+Der Leitfaden – Teil 2: Methoden der Risikobeurteilung (ÖNORM D 4902-2) wird um die Methode des „Horizon Scanning“ für die Früherkennung von Risiken ergänzt.

+Der Leitfaden – Teil 3: Notfall-, Krisen- und Kontinuitätsmanagement (ÖNORM D 4902-3) wird durch die Krisenstabsorganisation für kritische Infrastrukturen ergänzt.

ABBILDUNG 1

STRUKTUR DER ÖNORM-REIHE D 490X:2021

(QUELLE: ÖNORM D 4900:2021, VORWORT)

12Eine ONR (ON-Regel) ist ein Dokument, aus dessen Anwendung Erfahrungen für eine mögliche spätere Normung gesammelt werden sollen oder das den Stand einer neuen oder sich schnell verändernden Entwicklung dokumentiert.

13Beschluss des Gemeinsamen Bundesauschusses über eine Qualitätsmanagement-Richtlinie, BAnz AT 15.11.2016 B2

14APS Handlungsempfehlung: Anforderungen an klinische Risikomanagementsysteme im Krankenhaus, Berlin 2016

15ISO/IEC Directives, Part 1: Consolidated ISO Supplement – Procedures specific to ISO, 9. Auflage, 2018; https://www.iso.org/management-system-standards.html [letzter Zugriff: Januar 2021]

3 Risikomanagement ist Führungsaufgabe

Конец ознакомительного фрагмента.

Текст предоставлен ООО «ЛитРес».

Прочитайте эту книгу целиком, купив полную легальную версию на ЛитРес.

Безопасно оплатить книгу можно банковской картой Visa, MasterCard, Maestro, со счета мобильного телефона, с платежного терминала, в салоне МТС или Связной, через PayPal, WebMoney, Яндекс.Деньги, QIWI Кошелек, бонусными картами или другим удобным Вам способом.