Risikobehandlung ist der Schritt, in dem tatsächlich etwas geschieht. Nach der Risikobewertung steht fest, welche Risiken nicht hinnehmbar sind. Die Behandlung wählt dafür Optionen aus, legt Maßnahmen fest, setzt sie um und prüft, ob das verbleibende Risiko nun im akzeptierten Bereich liegt.
Die Optionen sind mehr als „Maßnahme einführen“
In der Praxis wird Behandlung fast immer als Hinzufügen einer Schutzmaßnahme verstanden. Das ist nur eine von mehreren Möglichkeiten:
- Meiden — die Tätigkeit wird nicht begonnen oder beendet. Der Verzicht auf ein Produkt, einen Markt oder einen Prozessschritt ist eine legitime und oft die wirksamste Behandlung.
- Quelle beseitigen — nicht das Ereignis abfangen, sondern seine Ursache entfernen. Ein Arbeitsstoff wird ersetzt statt eingehaust.
- Wahrscheinlichkeit ändern — Prüfungen, Wartung, Schulung, Redundanz.
- Auswirkung ändern — Notfallpläne, Rückfalllösungen, Begrenzung der betroffenen Menge.
- Teilen — Versicherung, vertragliche Regelung, Konsortium.
- Behalten — bewusst, dokumentiert, mit benanntem Träger.
Die Rangfolge ist nicht beliebig. Im Arbeitsschutz gilt der Vorrang technischer vor organisatorischen vor persönlichen Maßnahmen; eine ISO 45001 prüft genau diese Reihenfolge. Wer Gehörschutz ausgibt, ohne vorher die Lärmquelle betrachtet zu haben, hat die Rangfolge verletzt, auch wenn der Gehörschutz wirkt.
Der Irrtum mit dem übertragenen Risiko
„Wir haben das versichert“ taucht in Risikoaufstellungen häufig als abgeschlossene Behandlung auf. Eine Versicherung ersetzt Geld. Sie ersetzt keine Lieferfähigkeit, keine Zulassung, keinen Kundenvertrag und keine verlorene Reputation. Der Betriebsausfall dauert genauso lang wie ohne Police.
Sinnvoll ist die Trennung: Der finanzielle Schaden ist geteilt, der operative bleibt und braucht eine eigene Behandlung. Dieselbe Logik gilt für Auslagerungen. Wer die IT betreiben lässt, hat den Betrieb ausgelagert, nicht die Verantwortung für die Verfügbarkeit.
Was ISO 27001 zusätzlich verlangt
Der Ablauf ist dort enger vorgegeben als in anderen Normen. Nach der Beurteilung werden Optionen gewählt und Maßnahmen bestimmt. Anschließend wird die eigene Auswahl gegen Anhang A abgeglichen, um Lücken zu finden — 93 Maßnahmen in vier Gruppen. Das Ergebnis dieses Abgleichs steht in der Erklärung zur Anwendbarkeit, mit Begründung für jede eingeschlossene und jede ausgeschlossene Maßnahme. Die Umsetzungsdetails liefert ISO 27002. Zuletzt genehmigen die Risikoeigentümer den Behandlungsplan und akzeptieren das Restrisiko.
Woran es scheitert
Maßnahmen, die es schon gibt. In vielen Behandlungsplänen stehen bestehende Regelungen als neue Maßnahme. Das senkt das Restrisiko rechnerisch, ändert real nichts.
Kein Wirksamkeitsnachweis. Eine umgesetzte Maßnahme ist nicht automatisch eine wirksame. Die Prüfung gehört als eigener Termin in den Plan, nicht in eine spätere Managementbewertung.
Behandlung ohne Ende. Maßnahmen bleiben jahrelang auf „in Umsetzung“. Ein Plan ohne Statusdisziplin ist im internen Audit einer der schnellsten Wege zu einer Feststellung.
Hilfreich ist zuletzt die Unterscheidung zwischen Maßnahmen, die ein Risiko dauerhaft verändern, und solchen, die es nur überbrücken. Eine zusätzliche Sichtprüfung im Wareneingang senkt das Risiko, solange sie jemand durchführt. Eine geänderte Konstruktion beseitigt die Ursache. Beides ist zulässig, aber die überbrückende Maßnahme braucht eine Nachfolgeentscheidung mit Datum. Sonst wird das Provisorium zum Dauerzustand, und die Ursache steht in fünf Jahren unverändert im Register.