ISO 31000 bezeichnet eine Familie von Risikomanagementstandards, die von der Internationalen Organisation für Normung kodifiziert wurden . Ziel der Norm ISO 31000 ist es, Grundsätze und Richtlinien für das Risikomanagement sowie die Umsetzungsprozesse auf strategischer und operativer Ebene bereitzustellen. Ziel ist es nicht, die Standardisierung des Risikomanagements innerhalb von Organisationen zu fördern, sondern die Vielzahl bestehender Ansätze, Standards und Methoden im Hinblick auf das Risikomanagement zu harmonisieren .
Derzeit umfasst die ISO 31000-Familie:
Im November 2009 wurde der internationale Risikomanagementstandard ISO 31000 veröffentlicht, bevor er von AFNOR unter der Referenz NF ISO 31000: 2018 schnell in einen französischen Standard umgesetzt wurde. Dieser Standard enthält Grundsätze und Richtlinien für das Risikomanagement sowie für die Einrichtung von Implementierungsprozessen auf strategischer und operativer Ebene.
Ziel der Norm ISO 31000: 2018 ist die Anwendung und Anpassung an „alle Zielgruppen, alle öffentlichen oder privaten Unternehmen, Gemeinschaften, Verbände, Gruppen und Einzelpersonen. ""
Es geht weder um die Standardisierung von Praktiken noch um die Schaffung eines parallelen Managementsystems. Im Gegenteil, der ISO 31000-Standard bietet, obwohl er ein einziges Repository bietet, anpassungsfähig und flexibel.
Der vorgeschlagene Ansatz besteht darin, die Risikomanagementpraktiken zu formalisieren und es den Unternehmen zu ermöglichen, ein ERM-Framework ( Enterprise Risk Management ) einzurichten, wodurch ein Risikomanagementansatz durch „Silos“ vermieden wird.
Die neue Definition gibt die Vision des Ingenieurs auf ( „Risiko ist die Kombination der Wahrscheinlichkeit eines Ereignisses und seiner Konsequenz“ ), Risiken mit den Zielen der Organisation in Beziehung zu setzen: „Risiko ist die Auswirkung von Unsicherheit auf die Erreichung von Zielen. ""
Das Europäische Zentrum für Normung hat rund 60 Normen aufgelistet, die sich auf das Wort „Risiko“ beziehen. Dies ist eine "Nichtkonformität" in Bezug auf Qualität, eine "Verschmutzung" der Umwelt, ein "Versagen" eines Geräts, eine "Vergiftung" oder eine "Körperverletzung" in Bezug auf die persönliche Sicherheit, aber auch eine " Rendite “in Finanzen oder eine„ Gelegenheit “für den Business Manager. Aus diesem Grund wurde gleichzeitig eine Überarbeitung des „ISO-Leitfadens 73 - Risikomanagement-Vokabular“ durchgeführt, um die Diskussion zwischen Risikofachleuten in allen Sektoren zusammen zu erleichtern.
1 - Risikomanagement schafft Wert und bewahrt ihn .
Das Risikomanagement leistet einen konkreten Beitrag zur Erreichung der Ziele und zur Verbesserung der Leistung der Organisation durch die Überprüfung ihres Managementsystems und ihrer Prozesse.2 - Das Risikomanagement ist in organisatorische Prozesse integriert .
Das Risikomanagement muss sowohl auf strategischer als auch auf operativer Ebene in das bestehende Managementsystem integriert werden.3 - Das Risikomanagement ist in den Entscheidungsprozess integriert .
Das Risikomanagement ist eine Entscheidungshilfe, um begründete Entscheidungen zu treffen, Prioritäten zu definieren und die am besten geeigneten Maßnahmen auszuwählen4 - Das Risikomanagement befasst sich explizit mit Unsicherheit .
Durch die Identifizierung potenzieller Risiken kann die Organisation Instrumente zur Risikominderung und -finanzierung einrichten, um die Erfolgschancen zu maximieren und die Verlustmöglichkeiten zu minimieren.5 - Das Risikomanagement ist systematisch, strukturiert und wird rechtzeitig eingesetzt .
Risikomanagementprozesse sollten im gesamten Unternehmen konsistent sein, um Effizienz, Relevanz, Konsistenz und Zuverlässigkeit der Ergebnisse sicherzustellen.6 - Das Risikomanagement basiert auf den besten verfügbaren Informationen .
Für ein effektives Risikomanagement ist es wichtig, alle verfügbaren und für eine Aktivität relevanten Informationen zu berücksichtigen und zu verstehen und dabei die Einschränkungen der verwendeten Daten und Modelle zu berücksichtigen.7 - Das Risikomanagement wird angepasst .
Das Risikomanagement einer Organisation muss an die verfügbaren Ressourcen - Personal-, Finanz- und Zeitressourcen - sowie an das interne und externe Umfeld angepasst werden.8 - Das Risikomanagement integriert menschliche und kulturelle Faktoren .
Das Risikomanagement muss den Beitrag von Menschen und kulturellen Faktoren zur Erreichung der Ziele der Organisation anerkennen.9 - Das Risikomanagement ist transparent und partizipativ .
Durch die Einbeziehung interner und externer Stakeholder in Risikomanagementprozesse erkennt die Organisation die Bedeutung der Kommunikation und Beratung in den Phasen der Identifizierung, Bewertung und Behandlung von Risiken an.10 - Das Risikomanagement ist dynamisch, iterativ und reagiert auf Veränderungen .
Das Risikomanagement muss flexibel sein. Das Wettbewerbsumfeld zwingt die Organisation, sich an den internen und externen Kontext anzupassen, insbesondere wenn neue Risiken auftreten, wenn sich einige Risiken ändern, während andere verschwinden.11 - Risikomanagement erleichtert die kontinuierliche Verbesserung der Organisation .
Unternehmen mit Reife im Risikomanagement sind Unternehmen, die langfristig investieren und die regelmäßige Erreichung ihrer Ziele nachweisen.Der Standard gliedert sich in drei Teile, nämlich die Grundsätze, den organisatorischen Rahmen und den Managementprozess (siehe Abbildung):
Der Standard schlägt einen Ansatz zur Entwicklung eines Rahmens vor, der es Unternehmen ermöglicht, das Risikomanagement zu integrieren. Der Einstiegspunkt besteht darin, die Ziele der Organisation, die Risikomanagementpolitik sowie die rechtlichen und vertraglichen Verantwortlichkeiten aufeinander abzustimmen. Das Risikomanagement-Framework muss in die Entscheidungs- und Organisationsprozesse aller Aktivitäten des Unternehmens integriert werden und dabei die internen und externen Kontexte, die jeweiligen Verantwortlichkeiten und die auf strategischer und operativer Ebene verfügbaren Ressourcen berücksichtigen.
1 - Strategische Ziele
Die Geschäftsleitung und ihr Vorstand sind für die strategischen Entscheidungen des Unternehmens verantwortlich. Der im Allgemeinen langfristige Ansatz beschreibt seine Vision des Risikomanagements und die zu erreichenden Gesamtziele.2 - Betriebsziele
In der Regel sind leitende Angestellte dafür verantwortlich, umfassende strategische Ziele in Organisationspläne umzusetzen, um Ergebnisse zu erzielen. Die auf dieser Ebene für jeden Geschäftsbereich entwickelten Pläne definieren die zu erzielenden Ergebnisse.3 - Produktionsziele
Ebenso haben die Manager die Verantwortung, spezifischere Betriebspläne zu entwickeln, mit denen kurzfristige Ergebnisse erzielt werden sollen. Diese Pläne legen detailliert fest, wie die Ergebnisse der Geschäftsprozesse oder Aktivitäten umgesetzt und erzielt werden.ISO 31000 ist kein zertifizierbarer Standard, sondern eine Anleitung, die für die Entwicklung und Durchführung interner oder externer Auditprogramme sowie für die Bewertung von Managementpraktiken und Risiken nützlich ist.