Definition
Systematischer Umgang mit Chancen und Bedrohungen, die das Erreichen organisatorischer Ziele beeinflussen. ISO 31000 liefert den allgemeinen Rahmen. In Managementsystemen seit ISO 9001:2015 verpflichtend („risikobasiertes Denken"). Methoden: FMEA, Fishbone, Bowtie, SWOT, Risiko-Matrix.
In der Praxis
In Audits sehe ich Risikomanagement meist in zwei Extremen: Entweder hängt die Risiko-Matrix als buntes Poster an der Wand, ohne dass ein einziger Eintrag mit Zielen, Maßnahmen oder der Managementbewertung verknüpft ist — oder es existiert ein 80-seitiges Register, das niemand pflegt. Beides ist wirkungslos. Der häufigste Denkfehler: ISO 9001 verlangt risikobasiertes Denken, aber keinen zertifizierbaren Risikomanagement-Prozess nach ISO 31000 — das wird regelmäßig durcheinandergeworfen und treibt Unternehmen in Bürokratie, die kein Auditor fordert. Wer es richtig macht, nutzt ISO 31000 als Rahmen und Werkzeuge wie die FMEA dort, wo sie hingehören: auf Produkt- und Prozessebene, während die Matrix Unternehmensrisiken bündelt. Entscheidend ist die geschlossene Schleife: Risiken müssen in Maßnahmen münden, Maßnahmen brauchen Verantwortliche und Termine, und die Wirksamkeit gehört in die Managementbewertung. Alles andere ist Deko — und der Auditor merkt das spätestens, wenn er nach dem letzten Wirksamkeitsnachweis fragt.
Verwandte Begriffe
Häufige Fragen zu Risikomanagement
Was ist der Unterschied zwischen Risikomanagement nach ISO 31000 und dem „risikobasierten Denken" der ISO 9001?
ISO 9001 fordert seit 2015, dass Organisationen Risiken und Chancen bestimmen und Maßnahmen dazu in ihre Prozesse integrieren — sie schreibt aber weder eine Methodik noch ein Risikoregister noch einen Risikomanager vor (Kapitel 6.1). ISO 31000 ist dagegen ein vollständiger Leitlinien-Rahmen mit Prinzipien, Rahmenbedingungen und Prozess für ein systematisches, unternehmensweites Risikomanagement (ISO 31000:2018). Wichtig: ISO 31000 ist eine Leitlinie und als solche nicht zertifizierbar. Wer ISO 9001 erfüllen will, braucht kein ISO-31000-konformes System — ein pragmatischer, dokumentierter Umgang mit Risiken genügt. Wer umgekehrt professionelles Enterprise-Risikomanagement aufbauen will, findet in ISO 31000 den dafür gedachten Ordnungsrahmen.
Ist ein formaler Risikomanagement-Prozess gesetzlich oder normativ Pflicht?
Das hängt vom Kontext ab. Für ein ISMS nach ISO 27001 ist die systematische Beurteilung und Behandlung von Informationssicherheitsrisiken zwingender Kern der Norm (ISO/IEC 27001:2022, Kapitel 6.1) — ohne dokumentierte Risikobeurteilung kein Zertifikat. Gesetzlich wird es mit NIS-2: Betroffene Einrichtungen müssen nach § 30 Abs. 1 BSIG n.F. Risikomanagementmaßnahmen ergreifen, die auf einem gefahrenübergreifenden Ansatz beruhen. In der Automobilindustrie verlangt die IATF 16949 zusätzlich eine Risikoanalyse mit „Lessons learned" aus Reklamationen und Rückrufen. Für ein reines ISO-9001-QMS gilt dagegen weiterhin: risikobasiert denken ja, formaler Prozess nein. Prüfen Sie also, welche Normen und Gesetze auf Ihr Unternehmen anwendbar sind, bevor Sie den Formalitätsgrad festlegen.
Wie oft müssen wir unsere Risikobewertung aktualisieren — und wie halten wir den Aufwand im Griff?
Bewährt hat sich ein zweigleisiges Modell: eine planmäßige Überprüfung mindestens jährlich, idealerweise als Input für die Managementbewertung, plus anlassbezogene Aktualisierung bei relevanten Änderungen — neue Anlagen, neue Produkte, Vorfälle, neue rechtliche Anforderungen. Der Änderungsmanagement-Prozess ist dabei der natürliche Auslöser: Jede wesentliche Änderung triggert die Frage, ob sich das Risikobild verändert hat. Halten Sie das Register schlank: lieber zwanzig gepflegte Risiken mit klaren Verantwortlichen und Maßnahmen als dreihundert Zeilen, die niemand liest. Und verzichten Sie auf Scheingenauigkeit — eine ehrlich begründete qualitative Bewertung schlägt jede pseudoexakte Punktzahl. ISO 31000 betont zu Recht, dass Risikomanagement iterativ und in die Entscheidungsprozesse integriert sein muss, nicht ein jährliches Ritual (ISO 31000:2018).