Die Fülle von heute existierenden Regelwerken (und Problemlösungsrezepturen) im Bereich Risiko- und Qualitätsmanagement führt dazu, dass Unternehmen auf einzelnen Inseln mit unterschiedlichen Managementsystemen arbeiten. Dies mündet nicht selten in Doppelarbeit, Ineffizienz und Kompetenzproblemen, welche die Unternehmen nicht mehr tragen wollen. Diese Entwicklungen führten bereits in den vergangenen Jahren zu der Forderung, die verschiedenen Managementsysteme durch ein gemeinschaftlich betriebenes "integriertes Managementsystem" zu ersetzen.

So empfiehlt das Österreichische Normungsinstitut (ON) in den im Jahr 2004 veröffentlichten ON-Regeln "Risikomanagement" (siehe Abbildung 3) die Integration des Risikomanagements in ein ganzheitliches Managementsystem (vgl. ON-Regel 49002-2 Leitfaden für die Einbettung des Risikomanagements in ein integriertes Managementsystem).

Eine ON-Regel bietet sich immer dann an, wenn der Stand einer neuen, sich schnell verändernden Entwicklung dokumentiert werden soll oder eine rasche Lösung mit geringem Aufwand in Bereichen gesucht wird, in denen es für Normen (noch) keine Legitimation gibt. So kann mit einer ON-Regel auch ein späterer Einstieg zur Normung vorbereitet werden. ON-Regeln legen – analog zu Normen – Anforderungen an Produkte und Dienstleistungen fest, regeln Abläufe, beschreiben Verfahren und Prüfmethoden; kurz: Sie sagen, was "State of the art" ist. Ein wesentlicher Bestandteil einer ONR ist der Ziel- und Motivenbericht. Er

• steht als "Vorbemerkung" in jeder ONR;
• erläutert Ziel und Zweck der ONR;
• führt Mitarbeiter und/oder Institutionen an, die an der Erstellung beteiligt waren und die für den Inhalt verantwortlich sind;
• gibt an, ob und in welchem Umfang ein Einspruchsverfahren durchgeführt wurde;
• berichtet über das Beratungsergebnis, falls nicht Einstimmigkeit erzielt wurde.

Abbildung: Aufbau des ON-Regelwerks "Risikomanagement" des Österreichischen Normungsinstituts

Die Positionierung der unterschiedlichen Dokumente (Spezifikationen, Normen, Rechtsvorschriften) nach ihrem Status (von "informativ" bis "verbindlich") und nach der Zugänglichkeit des Prozesses (von einer kleinen Gruppe, die nur aus wenigen Mitarbeitern und einer Interessensgruppe besteht, bis zum vollständigen demokratischen Prozess für Gesetze) sind in der folgenden Abbildung skizziert.

Abbildung: Spezifikationen, Normen, Rechtsvorschriften

Die ON-Regeln "Risikomanagement für Organisationen und Systeme" enthalten:

• Risikomanagement für Organisationen und Systeme – Begriffe und Grundlagen (ONR 49000),
• Risikomanagement für Organisationen und Systeme – Elemente des Risikomanagement-Systems (ONR 49001) im Sinne von überprüfbaren Systemanforderungen,
• Risikomanagement für Organisationen und Systeme – Teil 1: Leitfaden für das Risikomanagement (ONR 49002-1 mit "Anhang A: Beispiel einer Gefahrenliste", "Anhang B: Anpassung der Risikolandschaft" und "Anhang C: Wertorientiertes Risikomanagement"),
• Risikomanagement für Organisationen und Systeme – Teil 2: Leitfaden für die Einbettung des Risikomanagements in das Managementsystem (ONR 49002-2), wobei ein enger Zusammenhang mit den Normen der Normenfamilie ISO 9000 besteht,
• Risikomanagement für Organisationen und Systeme – Anforderungen an die Qualifikation des Risikomanagers (ONR 49003) als Fachkraft.

Der Anwendungsbereich der ON-Regeln "Risikomanagement" erstreckt sich auf Organisationen und Systeme. Es wird aufgezeigt, wie

• die Gesamtheit der wesentlichen Risiken einer Organisation oder eines Systems in einem Risikoportfolio ermittelt, als Risikolandschaft dargestellt und systematisch bewältigt werden kann.
• Der Anwendungsbereich umfasst auch eine Einbettung des Risikomanagements in die Führung einer Organisation.
• Organisationen umfassen kleine, mittlere und große Unternehmen des privaten und öffentlichen Sektors, Behörden und Institutionen, die nicht gewinnorientiert sind.
• Systeme umfassen technische Systeme, wie Produkte und Anlagen einschließlich deren Betrieb, Dienstleistungen, Prozesse (etwa Fabrikationsprozesse) und Projekte.

Die vorliegende ON-Regel 49000 definiert die Begriffe, beschreibt das Konzept, die Anwendung, die Abgrenzungen und die Ziele des Risikomanagements und gibt eine Anleitung für die Anwendung der ON-Regeln "Risikomanagement für Organisationen und Systeme". In der folgenden Abbildung sind beispielsweise die Zusammenhänge der unterschiedlichen Begrifflichkeiten dargestellt.

Abbildung: Die Zusammenhänge der unterschiedlichen Begrifflichkeiten nach ON-Regel 49000 (Quelle: ON-Regel 49000)

Ausgehend von der allgemeinen Beschreibung eines Managementprozesses mit "Plan-Do-Check-Act" lässt sich der Risikomanagement-Prozess als Bestandteil des übergeordneten Managementprozesses darstellen. Er wird im Rahmen der Politik der Organisation auf die Risikopolitik angewendet. Das Ganze ist das Risikomanagement-System. In der folgenden Abbildung ist beispielhaft ein in den Managementprozess integriertes Risikomanagement dargestellt.

Abbildung: Integration des Risikomanagements in den gesamten Managementprozess

Die Methode der Risikobeurteilung für Organisationen und Systeme geht bei der Risikoerkennung von den Zielen der Organisation aus und von den Erwartungen, die von außen an sie gestellt werden. Gefahren, die eine tatsächliche und erhebliche Bedrohung der Organisation darstellen, werden als Szenario formuliert und mit Wahrscheinlichkeit und Auswirkung eingeschätzt. Es entsteht daraus das Risikoportfolio einer Organisation oder eines Systems, das in der Risikolandschaft dargestellt wird. Risiko-Toleranzbereiche und Risiko-Toleranzgrenzen unterstützen den Entscheid, ein Risiko zu akzeptieren. Nicht vertretbare Risiken müssen vermieden oder vermindert werden.

Tabelle: Methoden der Risikoanalyse im Überblick

ON-Regel 49001 legt die allgemein gültigen Elemente fest, die zu einem Risikomanagement-System gehören. Die Ausprägung der einzelnen Elemente hängt von der Größe der Organisation, von der Komplexität der Prozesse und von ihren Tätigkeiten und ihrem Umfeld ab. Die ON-Regel empfiehl, die Elemente des Risikomanagement-Systems so festzulegen, dass sie objektiv nachgewiesen und überprüft werden können. Damit lässt sich feststellen, ob eine Organisation über ein angemessenes Risikomanagement-System verfügt.

ON-Regel 49002 – Teil 1 gibt einen Überblick über den Risikomanagement-Prozess. Nach ON-Regel 49002 Das Risikomanagement umfasst die Systemdefinition, die Risikobeurteilung (Risikoanalyse und Risikobewertung), die Risikobewältigung und die Risikoüberwachung. Hinweise im Sinne eines Leitfadens sind dabei vor allem für jene Elemente angebracht, die gegenüber alltäglichem operativem Management Besonderheiten aufweisen. Organisationen und Systeme bergen eine Vielzahl von Risiken in sich. Wenn diese nach gleichartigen Maßstäben für die Wahrscheinlichkeit und die Auswirkung eingeschätzt werden, ergibt sich ein Risikoportfolio, das sich in einem zweidimensionalen Schaubild darstellen lässt. Dieses Schaubild wird als Risiko-Matrix, Risk Map, W/A-Diagramm oder Risikolandschaft bezeichnet. In diesem Schaubild können auch die elementaren Regeln der Risikobewertung eingetragen und aufgezeigt werden.

ON-Regel 49002 – Teil 2 gibt einen Überblick über die  Einbettung des Risikomanagements in das Managementsystem. Damit Organisationen über ein wirksames Risikomanagement verfügen, muss der Risikomanagement-Prozess in Wechselwirkung mit den übrigen Prozessen der Organisation stehen wie etwa mit dem Strategie- und Planungsprozess, mit dem Produkt- und Dienstleistungs-Realisierungsprozess bzw. mit dem Projektmanagement-Prozess. Insbesondere der prozessorientierte Ansatz von ISO 9000 ist geeignet, die Wechselwirkungen zwischen den übrigen Prozessen und dem Risikomanagement-Prozess zu erkennen und darzustellen. Damit wird die Verträglichkeit des Risikomanagements mit Managementsystemen, die auf ISO 9000, ISO 9001 und ISO 9004 aufbauen, zum Vorteil der Anwender sichergestellt.

Die ON-Regel 49002-2 lässt insbesondere bei kleineren und mittelgroßen Unternehmen, die über kein formalisiertes Managementsystem verfügen, das Risikomanagement-System als selbständiges Managementsystem zu. Mit dem Risikomanagement-System kann die Existenzsicherung und Zukunftssteuerung wirksam und einfach unterstützt werden. Bei anderen Unternehmen sollte der Risikomanagement-Prozess in die Führungsprozesse eingebettet werden (siehe folgende Abbildung).

Der Risikomanagement-Prozess steht immer in Wechselbeziehungen zu anderen Prozessen und identifiziert und bewertet vor allem die Risiken der anderen Prozesse. Möglicherweise bewirkt das Risikomanagement auch eine Anpassung der Risikolandschaft basierend auf der Risikolandkarte des Unternehmens.

Abbildung: Integration des Risikomanagements in die Führungsprozesse (Quelle: ON-Regel 49002-2, Risikomanagement für Organisationen und Systeme, Teil 2: Leitfaden für die Einbettung des Risikomanagements in das Managementsystem.)

Die ON-Regel 49003 legt die Anforderungen an die Qualifikation von Risikomanagern als Einzelpersonen fest.

Bei der Integration des Risikomanagements und des Qualitätsmanagement zu einem Integrierten Managementsystem kann insbesondere die Balanced Scorecard eine wesentliche Unterstützung liefern. Die Balanced Scorecard stellt zum einen, ausgehend von den Visionen und Strategien des obersten Managements, die diversen Aspekte der Unternehmensführung in einen Gesamtzusammenhang und stellt auf der anderen Seite ein ausgewogenes (balanced) Verhältnis zwischen den verschiedenen Messgrößen bei der Operationalisierung der Visionen und Strategien (externe, interne, vergangenheitsbezogene, zukunftsorientierte, objektive, quantifizierbare, subjektive Messgrößen bzw. Leistungstreiber) dar.

Wettbewerbsvorteile entstehen dann, wenn die Unternehmen nicht auf Insellösungen setzen, sondern die Synergien eines ganzheitlichen Managementsystems nutzen. Denn ein solch integriertes Managementsystem rückt sehr dicht an die unternehmerische Realität. Denn im Wesentlichen geht es immer darum, die Prozesse im Unternehmen zu planen, zu steuern und zu verbessern, um eine effiziente und qualitätsgerechte Leistung bei optimierten Risiko- bzw. Kapitalkosten anzubieten. Bleibt zu hoffen, dass die gelegentlich anzutreffenden Papiertiger – sowohl im Qualitäts- als auch im Risikomanagement – langsam vom Aussterben bedroht sind.

Weitere Informationen finden Sie hier: www.on-norm.at