ISO 31000 beschreibt, wie eine Organisation Risikomanagement aufbauen und betreiben kann. Sie ist eine Leitlinie, keine Anforderungsnorm — und das ist keine Formalie, sondern die wichtigste Information über diese Norm.
Was sie verlangt, lässt sich kurz sagen: nichts, was ein Dritter prüfen könnte. Sie empfiehlt einen Rahmen, sie beschreibt einen Ablauf, sie definiert Begriffe. Sie enthält keine einzige Bestimmung, gegen die eine Organisation verstoßen könnte. Wer einen Nachweis gegenüber Kunden, Versicherern oder Aufsichtsbehörden braucht, bekommt ihn hier nicht.
Nützlich ist die Norm trotzdem — nur für einen anderen Zweck als den, für den sie meistens angefragt wird. Sie ist die gemeinsame Struktur für Risikoarbeit, die sonst in jedem Managementsystem getrennt erfunden wird.
Warum es kein ISO-31000-Zertifikat gibt
Anforderungsnormen enthalten prüfbare Muss-Bestimmungen. Leitlinien enthalten Empfehlungen. Ohne Muss-Bestimmungen fehlt der Maßstab, an dem ein Auditor eine Auditfeststellung festmachen könnte. Der Unterschied zwischen beiden Normtypen ist im Eintrag zur zertifizierbaren Norm ausführlicher beschrieben.
Die Norm sagt das selbst ausdrücklich: Sie ist nicht für Zertifizierungszwecke bestimmt. Wer trotzdem ein Angebot über ein „ISO 31000 Zertifikat” auf dem Tisch hat, sollte nach der Akkreditierung der ausstellenden Stelle fragen. Eine Akkreditierung dafür existiert nicht, weil es keine akkreditierbaren Anforderungen gibt.
Verkauft wird in solchen Fällen fast immer eines von zwei anderen Dingen:
Eine Personenzertifizierung. Qualifizierungen zum Risikomanager auf Basis der Norm sind verbreitet und durchaus sinnvoll. Sie bestätigen die Kompetenz einer Person, nicht das System einer Organisation. Auf ein Firmenprofil oder in eine Ausschreibungsunterlage gehört ein solcher Nachweis mit genau dieser Einschränkung.
Ein Beratungssiegel. Eine Beratung prüft ihr eigenes Ergebnis und stellt darüber eine Bestätigung aus. Das ist keine Konformitätsbewertung durch eine unabhängige dritte Seite, sondern eine Eigenerklärung mit fremdem Briefkopf. Ein Einkäufer, der solche Nachweise regelmäßig sieht, erkennt den Unterschied.
Der Aufbau: drei Ebenen statt Kapitel 4 bis 10
ISO 31000 folgt nicht der High Level Structure der zertifizierbaren Managementsystemnormen. Sie ist in drei Ebenen gegliedert, die aufeinander aufbauen.
| Ebene | Inhalt | Praktische Frage dahinter |
|---|---|---|
| Grundsätze | Integriert, strukturiert, zugeschnitten, inklusiv, dynamisch, auf bester verfügbarer Information beruhend, menschliche und kulturelle Faktoren berücksichtigend, fortlaufend verbessert | Woran erkennt man, dass Risikomanagement mehr ist als eine Tabelle? |
| Rahmenwerk | Führung und Verpflichtung, Integration in Abläufe, Gestaltung, Umsetzung, Bewertung, Verbesserung | Wo im Unternehmen ist das Thema verankert, und wer entscheidet? |
| Prozess | Der operative Ablauf von der Kontextklärung bis zur Berichterstattung | Wie läuft eine einzelne Risikobeurteilung konkret ab? |
Der Prozess selbst besteht aus fünf Schritten, begleitet von Kommunikation und Konsultation über die gesamte Dauer:
- Anwendungsbereich, Kontext und Kriterien festlegen
- Risiken identifizieren
- Risiken analysieren
- Risiken bewerten
- Risiken behandeln — vermeiden, vermindern, übertragen oder bewusst akzeptieren
Danach folgen Überwachung, Überprüfung, Aufzeichnung und Bericht. Dieser Ablauf findet sich in praktisch jeder Managementsystemnorm wieder: bei ISO 27001 für Informationsrisiken, bei ISO 45001 für Gefährdungen, bei ISO 22301 für Betriebsunterbrechungen.
Die drei Festlegungen, an denen alles hängt
Auch ohne Zertifizierung entscheidet sich der Nutzen an wenigen Dokumenten. Wer diese drei sauber hat, hat ein funktionierendes Verfahren — unabhängig davon, wie umfangreich der Rest ist.
Die Risikokriterien. Sie legen vorab fest, wie Eintrittswahrscheinlichkeit und Auswirkung eingestuft werden und ab wann ein Risiko behandelt werden muss. Ohne diese Festlegung wird nach der Bewertung darüber diskutiert, welches Ergebnis akzeptabel ist — und das Ergebnis richtet sich dann nach dem Budget statt nach der Sachlage. Die übliche Darstellung ist eine Risikomatrix; entscheidend ist nicht ihre Farbgebung, sondern dass die Stufen mit Beispielen hinterlegt sind.
Das Risikoinventar. Eine Liste der bewerteten Risiken mit Eigentümer, Einstufung, beschlossener Behandlung und Termin. Der Eigentümer ist der kritische Teil: Ein Risiko ohne benannte Person ist ein Risiko, das niemand bearbeitet. In der Praxis fehlt diese Spalte am häufigsten oder enthält Abteilungsnamen statt Personen.
Die Entscheidung über das Restrisiko. Nach der Behandlung bleibt ein Restrisiko. Es zu akzeptieren ist zulässig — aber es muss jemand tun, der dafür zuständig ist, und die Entscheidung gehört dokumentiert. Diese Mechanik ist der Kern der Risikoakzeptanz und in den zertifizierbaren Normen eine ausdrückliche Anforderung.
Der Weg zu einem Verfahren, das trägt
- Zweck klären. Sollen unternehmerische Risiken gesteuert werden, oder geht es darum, die Risikokapitel einer Zertifizierungsnorm zu erfüllen? Die Antwort bestimmt Zuschnitt und Detailtiefe.
- Kriterien und Skalen festlegen — einmal, für alle Systeme gemeinsam.
- Kontext bestimmen. Interne und externe Themen sowie die Erwartungen der interessierten Parteien sind der Ausgangspunkt jeder Identifikation.
- Risiken identifizieren, mit Beteiligung derer, die die Abläufe kennen — nicht in einer Runde aus drei Führungskräften.
- Analysieren und bewerten, Methodenwahl nach IEC 31010, etwa FMEA für Prozess- und Produktrisiken.
- Behandeln, Eigentümer benennen, Termine setzen.
- Wirksamkeit prüfen und berichten, mindestens im Rahmen der Managementbewertung.
Zeitbedarf und kritischer Pfad
Die Ersteinrichtung ist in wenigen Wochen möglich, wenn Kriterien und Skalen entschieden sind. Genau daran hängt es aber: Die Einigung auf eine gemeinsame Skala über Qualität, Umwelt, Arbeitsschutz und Informationssicherheit hinweg ist eine Führungsentscheidung, keine Fleißaufgabe. Sie zieht sich, weil jede Fachabteilung ihre gewohnte Bewertung behalten will.
Der zweite Engpass ist die Zuordnung von Risikoeigentümern. Sie legt offen, dass Verantwortlichkeiten in vielen Organisationen ungeklärt sind. Dieser Teil lässt sich nicht abkürzen und nicht delegieren.
Woran es in der Praxis scheitert
Die Norm wird als Zertifizierungsziel behandelt. Es entsteht ein Handbuch, das eine nicht zertifizierbare Norm nachbildet. Aufwand ohne Ertrag.
Zwei Skalen im selben Haus. Das Qualitätsmanagement bewertet dreistufig, die Informationssicherheit fünfstufig. Beim integrierten Managementsystem müssen die Ergebnisse später zusammengeführt werden — dann fängt die Umrechnerei an.
Nur Risiken, keine Chancen. Die Norm versteht Risiko als Auswirkung von Ungewissheit auf Ziele, in beide Richtungen. Die Managementsystemnormen greifen das auf, siehe Chancen und Risiken. Wer nur Bedrohungen erfasst, liefert die halbe Anforderung.
Das Inventar wird einmal jährlich vor dem Audit aktualisiert. Ein Verfahren, das nur zum Audittermin läuft, erzeugt keine Entscheidungen. Auditoren erkennen das an identischen Bewertungsdaten über Dutzende Zeilen hinweg.
Die Bewertung ersetzt die Entscheidung. Eine gepflegte Liste ist kein Risikomanagement. Erst die dokumentierte Behandlung mit Termin und Verantwortlichem macht daraus eines.
Abgrenzung zu verwandten Normen und Anforderungen
| Dokument | Charakter | Wann es das richtige ist |
|---|---|---|
| ISO 31000 | Leitlinie, nicht zertifizierbar | Sie wollen einen einheitlichen Rahmen und eine gemeinsame Begriffswelt. |
| IEC 31010 | Methodensammlung, nicht zertifizierbar | Sie brauchen ein konkretes Verfahren zur Risikobeurteilung. |
| ISO 9001, Kapitel 6.1 | Zertifizierbare Anforderung | Sie müssen risikobasiertes Denken nachweisen — ohne vorgeschriebene Methode. |
| ISO 27001, Kapitel 6.1 und 8.2 | Zertifizierbare Anforderung | Sie brauchen ein Verfahren mit wiederholbaren Ergebnissen für Informationsrisiken. |
| ISO 22301 | Zertifizierbare Anforderung | Der Nachweis betrifft die Fortführung des Betriebs, nicht die Risikobetrachtung allgemein. |
Der Vergleich zeigt die sinnvolle Arbeitsteilung: ISO 31000 liefert Struktur und Sprache, IEC 31010 die Methode, und den prüfbaren Nachweis liefert die jeweils geforderte zertifizierbare Norm.