![\"Implementierung](\"https:\/\/www.m-q.ch\/wp-content\/uploads\/2021\/02\/Implementierung-von-IS0-31000-2009.jpg\")
<\/p>\n<\/p>\n
<\/p>\n
<\/p>\n
<\/p>\n
<\/p>\n
Im Risikomanagement hat in den letzten zehn Jahren eine sehr dynamische Entwicklung stattgefunden, insbesondere in den letzten f\u00fcnf Jahren. Bis 2009 gab es keinen internationalen ISO-Standard im Risikomanagement. Sehr oft war das Risikoma-<\/p>\n
<\/p>\n
GenerischerRM-Standard<\/strong><\/em><\/p>\n <\/p>\n nagement in Unternehmen eine Landschaft von Insell\u00f6sungen: Neben den gesetzlich vorgeschriebenen Risikobereichen Arbeits-, Produkte- und Prozesssicherheit existierte ein Risikomanagement im operativen Bereich, das in der Regel eine Unternehmensinterne L\u00f6sung war. Bei gr\u00f6sseren Unternehmen wurde zus\u00e4tzlich noch ein COSO-Ansatz parallel gef\u00fchrt. Eine einheitliche Erfassung, Bewertung und Aggregation der Unternehmensrisiken wurde dadurch sehr erschwert resp. verunm\u00f6glicht. Die Integration der unterschiedlichen Risikodaten war oft ein Desiderat, aber nicht die Realit\u00e4t. Die ISO 31000:2009 hat diese Problematik erfolgreich gel\u00f6st.<\/p>\n Probleme der Implementierung<\/strong><\/p>\n <\/p>\n Rasch wurden der Nutzen und die Bedeutung erkannt, dass das Risikomanagement auf der Grundlage von ISO 31000:2009 mit anderen Managementsystemen (zum Beispiel ISO 9000, ISO 14000, HSE [Health, Safety & Environment]) sehr gut in einem Gesamtmanagementsystem integriert werden kann. Allerdings gab es eine Schwierigkeit: Das Delta zwischen dem urspr\u00fcnglichen, einfachen Risikomanagement, welches in Unternehmen implementiert war, und dem Gesamtansatz von ISO 31000:2009 war oft recht gross. Diese Problematik f\u00fchrte immer wieder dazu, dass der neue Standard nicht eingef\u00fchrt wurde. Einen wichtigen methodischen L\u00f6sungsansatz f\u00fcr diese Problemstellung im Risikomanagement liefern Maturity Models. Die<\/p>\n <\/p>\n Richtung und Stufenh\u00f6he<\/strong><\/em><\/p>\n <\/p>\n Grundidee des Maturity Models ist, dass die Entwicklung und Implementierung von Risikomanagement- Systemen stufenweise vorgenommen wird. Genau wie es im Alltag wichtig ist, dass Treppen H\u00f6hendifferenzen \u00fcberwinden helfen, ist es bei Maturity Models: Sie m\u00fcssen in die richtige Richtung angelegt sein und auch die richtige Stufenh\u00f6he aufweisen.<\/p>\n Maturity Models: alte Bekannte<\/strong><\/p>\n <\/p>\n Dieser methodische Ansatz findet sich in sehr unterschiedlichen Bereichen wie etwa beim Safety- und Security-Management und beim Projekt- und Qualit\u00e4tsmanagement. Auch im Umfeld der internen und externen Revision sind Maturity Models sehr verbreitet, so zum Beispiel beim Internen Kontrollsystem (IKS). Insofern handelt es sich um einen bekannten und erprobten methodischen Ansatz.<\/p>\n <\/p>\n Die Entwicklung der ISO 31000:2009 wurde sehr stark durch den australisch-neuseel\u00e4ndischen Standard AS\/NZ 4360:2004 gepr\u00e4gt. Der nationale Standard war im ganzen angels\u00e4chsischen Bereich der Referenzstandard im Risikomanagement. Dieser Vorsprung findet sich auch heute noch bei den nationalen \u00abImplementation Guidelines\u00bb zur ISO 31000:2009 und insbesondere auch beim Einsatz vom Maturity Modelen im Risikomanagement. Stellvertretend seien folgende nationale \u00abImplementation Guidelines \u00bb erw\u00e4hnt:<\/p>\n <\/p>\n \u2022 Grossbritannien: BS 31100:2011: Risk management. Code of practice and guidance for the implementation of BS ISO 31000<\/p>\n \u2022 Kanada: Q31001-11 \u2013 Implementation guide to CAN\/CSA-ISO 31000, Risk management \u2013 Principles and guidelines<\/p>\n \u2022 Australien: HB 158-2010: Delivering assurance based on ISO 31000:2009 \u2013 Risk management \u2013 Principles and guidelines.<\/p>\n <\/p>\n Da Maturity Models im Risikomanagement oft die grossen \u00abbekannten Unbekannten\u00bb sind, lohnt es sich, sich zu \u00fcberlegen, welchen konkreten Nutzen Maturity Models im Risikomanagement haben. Es sind insbesondere drei Nutzenpotenziale, die durch Maturity Models aktiviert werden:<\/p>\n <\/p>\n 1. Massgeschneidertes Risikomanagement<\/strong> <\/em><\/p>\n Eine wichtiger Grundsatz der ISO 31000:2009 ist, dass jedes Risikomanagement- System \u00abmassgeschneidert \u00bb sein soll: \u00abrisk management is tailored\u00bb (Principle 7, ISO 31000:2009). Dieser Grundsatz wird einerseits dadurch eingel\u00f6st, dass die Risikodefinition nach ISO 31000:2009 sich explizit auf die internen und externen Unternehmensziele fokussiert. Der Fokus der Risikobewertung umfasst somit also auch die Stakeholder mit ihren teilweise divergierenden Erwartungen.<\/p>\n <\/p>\n Da diese erweiterte Perspektive komplex und anspruchsvoll sein kann, ist es zwingend notwendig, sich zu \u00fcberlegen, wie das Risikomanagement zielf\u00fchrend implementiert werden kann. Maturity Models erm\u00f6glichen es, diese Aufgabenstellung gut umzusetzen.<\/p>\n <\/p>\n Bei einer solchen Implementierung geht es nicht darum, dass alle Unternehmensbereiche zur h\u00f6chsten RM-Stufe gef\u00fchrt werden, sondern auch hier gilt, dass Risikomanagement \u00abmassgeschneidert \u00bb sein soll. Bei einem f\u00fcnfstufigen Maturity Model kann<\/p>\n <\/p>\n DreifacherNutzen<\/strong><\/em><\/p>\n <\/p>\n es durchaus sein, dass gewisse Unternehmensbereiche auf Stufe 4 verbleiben k\u00f6nnen, in gewissen F\u00e4llen sogar auf Stufe 3.<\/p>\n <\/p>\n 2. Messbarkeit, Vergleichbarkeit und Konsistenz<\/strong> <\/em><\/p>\n Durch das Maturity Model wird erm\u00f6glicht, dass die Implementierung eines Risikomanagement- Systems mess- und vergleichbar wird. Im RM-Prozess von ISO 31000 ist der Parallelprozess \u00abMonitor und Review\u00bb darum sehr wichtig. Nur mit diesem Ansatz kann das Risikomanagement im Unternehmen l\u00e4ngerfristig seine Bedeutung und auch Legitimation behalten. Last, but not least erm\u00f6glicht ein Maturity Model die Beurteilung, ob ein Risikomanagement in sich konsistent ist. Es verhindert somit, dass das Risikomanagement im Laufe der Zeit zu einem Patchwork wird, wie das fr\u00fcher oft der Fall war.<\/p>\n <\/p>\n 3. Implementierung und Investition<\/strong> <\/em><\/p>\n Risikomanagement ist f\u00fcr jedes Unternehmen immer auch eine Investition. In Zeiten der knappen finanziellen und zeitlichen Ressourcen ist es besonders wichtig, mit einem Konzept zu arbeiten, das sinnvolle und praktikable Implementierungsschritte aufweist.<\/p>\n <\/p>\n Zuerst k\u00f6nnen zum Beispiel die Risiken erfasst und bew\u00e4ltigt werden, die dringlich und auch wichtig sind. Auf der Grundlage solcher \u00abQuick Wins\u00bb wird ersichtlich, was der konkrete Nutzen eines Risikomanagements ist. Die Freigabe f\u00fcr die n\u00e4chsten Maturity- Model-Stufen wird dadurch beg\u00fcnstigt.<\/p>\n Methodik<\/strong><\/p>\n <\/p>\n Maturity Models verfolgen das Ziel, auf der Grundlage von definierten RM-Schwerpunkten aufzuzeigen, wie diese stufenweise implementiert werden k\u00f6nnen. Diese Schwerpunkte werden mittels Risiko-Eigenschaften (risk attributes) genauer charakterisiert. Wichtig bei solchen Maturity Models ist, dass die Wahl dieser Risiko- Eigenschaften und die Wahl des Maturity Models, im Regelfall mit drei bis max. zehn Stufen, eine konzeptionelle Arbeit des\/ der verantwortlichen Risikomanagers\/ in ist. Nur wenn die Risk Attributes optimal auf die spezifischen Vorgaben und Ziele eines Unternehmens abgestimmt werden, ist das Maturity Model ein zielf\u00fchrendes Instrument.<\/p>\n <\/p>\n Viele nationale \u00abImplementation Guidelines\u00bb zur ISO 31000:2009 enthalten Maturity Models, die aber in jedem Fall adaptiert werden m\u00fcssen. Ein einfaches Beispiel eines solchen Maturity Models findet sich im Draft des kanadischen Standards \u00abQ31001-11 \u2013 Implementation guide to CAN\/ CSA-ISO 31000, Risk management \u2013 Principles and guidelines\u00bb (vgl. Grafik 1).<\/p>\n <\/p>\n Dieses Beispiel mit drei Maturity- Stufen ist die einfachste m\u00f6gliche Konkretisierung. In vielen F\u00e4llen kommt ein f\u00fcnfstufiges Modell zum Einsatz. Dieses erweiterte Modell erlaubt durch die gr\u00f6ssere Granularit\u00e4t eine genauere Aussage im Bezug auf den Maturit\u00e4ts- Level. Die f\u00fcnf Levels werden wie folgt definiert:<\/p>\n <\/p>\n 1. Inital <\/strong><\/em><\/p>\n 2. Repeatable <\/strong><\/em><\/p>\n 3. Defined<\/strong><\/em><\/p>\n 4. Managed <\/strong><\/em><\/p>\n 5. Optimized <\/strong><\/em><\/p>\n <\/p>\n Wie f\u00fcr die ISO 31000:2009 allgemein gilt bei einem Maturity Model ganz besonders: Risikomanagement ist massgeschneidert. Nur dann ist es auch wirkungsorientiert.<\/p>\n Trends im Risikomanagement<\/strong><\/p>\n <\/p>\n Das Institut of Internal Auditors (IIA) hat in den letzten Jahren sehr interessante Publikationen zum Risikomanagement ver\u00f6ffentlicht, die aufzeigen, wie Risikomanagement nach ISO 31000:2009 und Internes Audit aufeinander abgestimmt werden k\u00f6nnen. Dabei spielen Maturity Models eine zentrale Rolle. Durch diese gegenseitige Bezugnahme wird die Relevanz der ISO 31000:2009 klar gest\u00e4rkt.<\/p>\n <\/p>\n Seit 2012 ist eine gr\u00f6ssere Anzahl Standards im BCM (Business Continuity Management) erschienen, so zum Beispiel die ISO 22301:2012. Dieser neue BCMStandard ist mit der ISO 31000:2009 vollst\u00e4ndig abgeglichen worden. Das zeigt sich nicht nur bei den Definitionen und wichtigen Schnittstellen, sondern auch beim Einsatz von Maturity Models.<\/p>\n <\/p>\n Zusammenfassend kann festgehalten werden, dass in Zukunft sowohl im Risikomanagement als auch im BCM und im Internen Kontrollsystem (IKS) der methodische Ansatz der Maturity Models immer mehr zu einem entscheidenden Erfolgsfaktor bei der Implementierung werden wird.<\/p>\n <\/p>\n","protected":false},"excerpt":{"rendered":" Im Risikomanagement hat in den letzten zehn Jahren eine sehr dynamische Entwicklung stattgefunden, insbesondere in den letzten f\u00fcnf Jahren. Bis 2009 gab es keinen internationalen ISO-Standard im Risikomanagement. Sehr oft war das Risikoma- GenerischerRM-Standard nagement in Unternehmen eine Landschaft von Insell\u00f6sungen: Neben den gesetzlich vorgeschriebenen Risikobereichen Arbeits-, Produkte- und […]<\/p>\n","protected":false},"author":62,"featured_media":12980,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[4],"tags":[4820],"class_list":["post-12939","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-risikomanagement","tag-12-2013"],"acf":[],"yoast_head":"\n