ISO 31000 im Projekt: Grundsätze, Rahmen und Prozess praktisch umsetzen

Was ist ISO 31000?

ISO 31000 «Risk management — Guidelines» ist die internationale Leitlinie für das Risikomanagement in Organisationen. Die aktuelle zweite Ausgabe erschien am 15. Februar 2018, umfasst 16 Seiten und wurde vom Technischen Komitee ISO/TC 262 erarbeitet; sie ersetzt die erste Ausgabe von 2009 ^[1]. Die Norm bietet einen gemeinsamen Ansatz für jede Art von Risiko, ist nicht branchenspezifisch und kann während der gesamten Lebensdauer einer Organisation und für jede Tätigkeit angewendet werden, einschliesslich Entscheidungen auf allen Ebenen.

ISO weist darauf hin, dass ISO 31000 eine Leitlinie mit guter Praxis ist und nicht für Zertifizierungen verwendet werden kann, aber Orientierung für interne und externe Auditprogramme bietet ^[2]. Laut der Statusseite von ISO befindet sich die Norm inzwischen in Überarbeitung ^[3]. Für Anwender heisst das: Die Ausgabe 2018 ist gültig, eine Nachfolgeausgabe ist in Vorbereitung, die Grundstruktur dürfte bestehen bleiben.

Wie definiert ISO 31000 Risiko?

Risiko ist nach ISO 31000 die Auswirkung von Unsicherheit auf Ziele. Eine Auswirkung ist eine Abweichung vom Erwarteten; sie kann positiv, negativ oder beides sein und Chancen wie Bedrohungen schaffen. Risiko wird üblicherweise über Risikoquellen, mögliche Ereignisse, ihre Konsequenzen und ihre Wahrscheinlichkeit ausgedrückt ^[1]. Dieser Begriff unterscheidet sich vom Alltagsverständnis, in dem Risiko meist nur Gefahr bedeutet. Für Projekte ist der neutrale Begriff ein Vorteil, weil er Chancen ausdrücklich einschliesst und den Blick auf die Projektziele lenkt.

Welche acht Grundsätze nennt ISO 31000?

Die Grundsätze beschreiben laut Norm die Merkmale wirksamen und effizienten Risikomanagements; Zweck des Risikomanagements ist die Schaffung und der Schutz von Wert ^[1]. Für Projekte ist der Grundsatz «massgeschneidert» besonders wichtig: Ein kleines internes Projekt braucht kein aufwendiges Risikomanagement, ein grosses Beschaffungsprojekt dagegen schon. Der Aufwand soll dem Risiko entsprechen.

Was beschreibt der Rahmen?

Der Rahmen dient dazu, Risikomanagement in wesentliche Tätigkeiten und Funktionen einer Organisation zu integrieren. Er umfasst Führung und Verpflichtung, Integration, Gestaltung, Umsetzung, Bewertung und Verbesserung. Die oberste Leitung soll unter anderem eine Grundsatzerklärung zum Risikomanagement abgeben, Ressourcen bereitstellen und Befugnisse, Verantwortlichkeiten und Rechenschaftspflichten auf den passenden Ebenen zuweisen; dazu gehört, Personen mit Verantwortung und Befugnis für die Steuerung von Risiken zu bestimmen, die Risikoeigner ^[1].

Für Projekte bedeutet der Rahmen: Das Risikomanagement eines Projekts ist eingebettet in die Vorgaben der Organisation. Gibt es organisationsweite Skalen, Risikoappetit und Berichtswege, übernimmt das Projekt diese. Gibt es keine, legt das Projekt sie im Projektauftrag oder Projekthandbuch fest. Wie ein Projekthandbuch aufgebaut ist, beschreibt der Beitrag Projekthandbuch erstellen.

Wie sieht der Prozess der Norm aus?

1. 1Kommunikation und Konsultation: Stakeholder in allen Schritten einbeziehen.
2. 2Anwendungsbereich, Kontext und Kriterien: Umfang festlegen, Umfeld verstehen, Risikokriterien definieren.
3. 3Risikoidentifikation: Risiken finden, erkennen und beschreiben.
4. 4Risikoanalyse: Art und Niveau der Risiken verstehen, qualitativ oder quantitativ.
5. 5Risikobewertung: Ergebnisse mit Kriterien vergleichen und über Behandlung entscheiden.
6. 6Risikobehandlung: Optionen auswählen, Behandlungspläne erstellen und umsetzen.
7. 7Überwachung und Überprüfung: in allen Phasen, mit klaren Verantwortlichkeiten.
8. 8Aufzeichnung und Berichterstattung: dokumentieren und an die Entscheidungsträger berichten.

Die Norm hält fest, dass der Prozess auf strategischer, operativer, Programm- oder Projektebene angewendet werden kann und dass er in der Praxis iterativ ist, auch wenn er oft als Abfolge dargestellt wird ^[1]. Die Projektmanagementnorm ISO 21502 behandelt Risikomanagement ebenfalls als Praxis, die über die gesamte Projektdauer angewendet wird ^[5]. Die einzelnen Schritte vertiefen die Beiträge Projektrisiken identifizieren, Risikobewertung und Risikostrategien.

Was hat sich 2018 gegenüber 2009 geändert?

• Überarbeitung der Grundsätze als zentrale Erfolgskriterien.
• Stärkere Betonung der Führung durch die oberste Leitung und der Integration in die Unternehmensführung.
• Grössere Betonung des iterativen Charakters: Neue Erfahrungen und Analysen können Prozesselemente, Massnahmen und Kontrollen in jedem Schritt verändern.
• Gestraffter Inhalt mit Fokus auf ein offenes Systemmodell für unterschiedliche Bedürfnisse und Kontexte.

Diese Änderungen nennt das Vorwort der Ausgabe 2018 ^[1]. Für Anwender ist vor allem der iterative Charakter relevant: Risikomanagement wird nicht als lineare Abfolge verstanden, die einmal durchlaufen wird, sondern als Kreislauf, der auf neue Erkenntnisse reagiert. Das passt gut zu agilen und hybriden Projekten.

Wie hängen ISO 31000 und IEC 31010 zusammen?

ISO 31000 beschreibt Grundsätze, Rahmen und Prozess, aber nicht die einzelnen Techniken. Diese ergänzt die Norm IEC 31010:2019 «Risk management — Risk assessment techniques», die in der Bibliografie von ISO 31000 aufgeführt ist ^[4]. Sie beschreibt eine Vielzahl von Verfahren zur Risikobeurteilung, von Brainstorming und strukturierten Interviews über Szenarioanalysen und Ursache-Wirkungs-Analysen bis zu Simulationen. Für Projekte genügt meist ein kleiner Teil davon; die Norm hilft aber, bei Bedarf eine passende Technik zu finden.

Wie setzen Sie ISO 31000 im Projekt um?

Diese Schritte setzen die Kernanforderungen der Norm schlank um. Für kleinere Projekte genügt ein einfaches Register mit zehn bis zwanzig Risiken, das in jeder Projektsitzung kurz angeschaut wird. Für grössere Projekte kommen quantitative Bewertungen, Frühwarnindikatoren und ein formelles Berichtswesen hinzu. Vorlagen bietet flenio.ch unter Risikoregister und für die Verwaltung unter HERMES QS- und Risikobericht.

Typische Missverständnisse über ISO 31000

• «Wir sind nach ISO 31000 zertifiziert.» Die Norm ist nicht zertifizierbar.
• «ISO 31000 schreibt eine Risikomatrix vor.» Die Norm schreibt keine bestimmte Technik vor.
• «Risiko heisst nur Gefahr.» Die Norm definiert Risiko neutral, einschliesslich Chancen.
• «Risikomanagement ist Sache der Risikoabteilung.» Laut Norm hat jede Person in der Organisation Verantwortung für den Umgang mit Risiken.
• «Einmal eingeführt, fertig.» Die Norm verlangt Überwachung, Überprüfung und kontinuierliche Verbesserung.

ISO 31000 im Werkzeug abbilden

Die Norm schreibt kein Werkzeug vor. Wichtig sind ein zentrales Register, nachvollziehbare Bewertungen mit Datum, verantwortliche Eigner, Massnahmen mit Terminen und eine einfache Berichterstattung. In Flenio lassen sich Risiken und Massnahmen im Projekt führen, Massnahmen als Aufgaben planen und Risiken im Projektstatus berichten. Den Gesamtzusammenhang zeigt der Leitfaden Risikomanagement im Projekt; den Umgang mit positiven Abweichungen der Beitrag Chancenmanagement.

Lohnt sich ISO 31000 für kleine Organisationen?

ISO 31000 richtet sich ausdrücklich an Organisationen jeder Art und Grösse und verlangt, Rahmen und Prozess an den Kontext anzupassen und verhältnismässig zu gestalten. Für kleine und mittlere Unternehmen bedeutet das: Es braucht keine eigene Risikoabteilung und kein umfangreiches Handbuch. Eine kurze Grundsatzerklärung, einheitliche Skalen, ein Register für die wichtigsten Projekte und eine regelmässige Überprüfung in der Geschäftsleitung genügen oft, um die Kernidee der Norm umzusetzen. Wer später wächst oder von Kunden nach seinem Risikomanagement gefragt wird, kann auf dieser Grundlage aufbauen. Der Grundsatz der Verhältnismässigkeit schützt dabei vor Bürokratie: Der Aufwand soll dem Nutzen entsprechen.

Viele Organisationen beginnen mit einem einzelnen Pilotprojekt, sammeln Erfahrungen mit Skalen, Register und Berichterstattung und übertragen das Vorgehen danach auf weitere Projekte. So entsteht schrittweise ein Rahmen im Sinne der Norm, ohne dass von Anfang an eine umfassende Struktur aufgebaut werden muss.

Wer die Norm im Original lesen möchte, findet sie bei ISO und den nationalen Normenorganisationen; sie ist mit 16 Seiten vergleichsweise kurz und gut zugänglich, auch für Personen ohne Vorkenntnisse im Risikomanagement.

Die Lektüre lohnt sich, weil viele Aussagen präziser sind als ihre verbreiteten Zusammenfassungen. Das gilt besonders für die Behandlungsoptionen und das Restrisiko.

So wird die Norm zum praktischen Werkzeug im Projektalltag.