Risikomanagement: Definition, Methoden, Ziele & ISO 31000

Stillstand in der Produktion, der Ausfall eines IT-Systems oder fehlende Lieferung eines Lieferanten? Ein übersehenes oder nicht richtig gemanagtes Risiko kann ein Unternehmen Millionen kosten oder das Vertrauen wichtiger Stakeholder zerstören. Damit dies in der Praxis nicht passiert, setzen Unternehmen häufig aufs Risikomanagement.

Was verbirgt sich hinter dem Begriff, welche Rolle spielen Gesetze und Normen bei der Umsetzung und wie stellen Sie sicher, dass Risikomanagement in der Praxis wirklich effizient ist? In diesem Artikel beleuchten wir die wichtigsten Aspekte, die Umsetzung sowie den Inhalt der gängigsten ISO-Normen. Außerdem haben wir einige Tipps für Sie, wie Sie das Risikomanagement in Ihrem Unternehmen verbessern können.

Was ist Risikomanagement?

Risikomanagement (auch Risiko-Management) bedeutet, Risiken systematisch zu erkennen, zu bewerten und zu steuern, statt sich von ihnen überraschen zu lassen. Der Begriff beschreibt damit die Gesamtheit aller koordinierten Aktivitäten. Ziel ist es, Entwicklungen frühzeitig zu analysieren, ihre Auswirkung einzuschätzen und Rückschlüsse für Maßnahmen und Steuerung zu ziehen.

Führen Sie Risikomanagement nicht in isolierten Abteilungen durch, sondern im Sinne eines ganzheitlichen strategischen Ansatzes über das gesamte Unternehmen hinweg? Dann ist die Rede vom Enterprise Risk Management (ERM).

Entscheidend dabei sind die Definition von Risiken, die korrekte Zielsetzung, die Abgrenzung zu Compliance und IKS, die Bedeutung für Unternehmen sowie die gesetzliche Grundlage.

Was ist ein Risiko?

Ein Risiko beschreibt eine mögliche zukünftige Entwicklung, die Ihre Unternehmensziele beeinflussen kann. Es entsteht durch Unsicherheit – also durch Faktoren, deren Eintritt oder Auswirkung Sie nicht vollständig vorhersagen können.

Das Risikomanagement identifiziert solche Unsicherheiten frühzeitig, bewertet ihre möglichen Auswirkungen und hilft Ihnen, mit diesen umzugehen.

Welches Ziel hat das Risikomanagement?

Risikomanagement soll verhindern, dass unerwartete Entwicklungen Ihr Unternehmen unvorbereitet treffen. Es hilft Ihnen, herauszufinden, wo Gefahren entstehen können, damit Sie sich frühzeitig mit diesen auseinandersetzen und mit Maßnahmen reagieren können.

Sie können dadurch:

• kritische Risiken rechtzeitig erkennen
• die Auswirkung der Risiken realistisch beurteilen
• Ziele auch unter unsicheren Bedingungen erreichen
• Reputationsschäden und finanzielle Verluste eindämmen

Kein erfolgreiches Unternehmen kann es sich daher leisten, auf eine Einführung eines Risikomanagements zu verzichten.

Abgrenzung: Wie unterscheidet sich Risikomanagement von Compliance und IKS?

Während Risikomanagement vorausschauend steuert, sichern Compliance und das interne Kontrollsystem (IKS) die regelkonforme und ordnungsgemäße Durchführung bestehender Abläufe:

• Risikomanagement identifiziert und steuert zukünftige Risiken, die Ihre Unternehmensziele beeinflussen können.
• Compliance sorgt dafür, dass Sie gesetzliche Vorgaben und interne Richtlinien einhalten.
• Das IKS überprüft Ihre operativen Prozesse und stellt sicher, dass Kontrollen im Tagesgeschäft funktionieren.

Auch wenn die Schwerpunkte sich unterscheiden, so greifen doch alle ineinander. Schließlich können Sie Regelverstöße nur vermeiden und wirksame Kontrollen etablieren, wenn Sie Risiken rechtzeitig erkennen.

Welche Bedeutung haben Risikomanagement-Prozesse für Unternehmen?

Ein gutes Risikomanagement ist gleichzeitig auch ein Erfolgsfaktor für Unternehmen und Organisationen. Zahlreiche Studien belegen die Wirksamkeit.

So zeigte auch eine empirische Analyse von Hasan Makkawi (2021), dass strukturiertes Risikomanagement messbar zur Verbesserung der Unternehmensleistung beiträgt. Das Ergebnis? Die Unternehmen erzielen höhere Gewinne, senken Kosten und steigern ihre wirtschaftliche Effizienz.

Im operativen Betrieb zeigt sich die Wirksamkeit durch:

• weniger ungeplante Ausfälle
• stabilere Prozesse
• bessere Grundlagen für Entscheidungen
• höhere Transparenz

Dabei geht es beim Risikomanagement zu keinem Zeitpunkt darum, wie Unternehmen alle Risiken vermeiden können. Es geht darum, blinde Flecken zu beseitigen, Aktionismus zu vermeiden und wirkungsvolle Strategien auf die Beine zu stellen.

Schon der einflussreiche Ökonom Peter Drucker brachte das auf den Punkt:

„Risikomanagement bedeutet nicht, Risiken zu vermeiden, sondern die richtigen Risiken bewusst einzugehen“

Gesetze und Vorschriften zum Risikomanagement

Risikomanagement ist heutzutage mehr als eine Empfehlung für Organisationen. Mittlerweile schreiben zahlreiche Normen und Gesetze die Anwendung als Standard vor – sowohl indirekt, als auch direkt.

So gut wie jedes Unternehmen unterliegt indirekt der Verpflichtung, Risikomanagementprozesse einzuführen. So müssen Geschäftsleiter zum Beispiel nach § 93 AktG bzw. § 43 GmbHG mit der nötigen Sorgfalt handeln. Dazu gehört nun mal auch, wesentliche Risiken zu erkennen und angemessen zu steuern.

Für einige Unternehmen und Branchen gibt es konkretere gesetzliche Grundlagen. Hier sind einige Beispiele:

• Aktiengesellschaften und kapitalmarktorientierte Unternehmen: Für Aktiengesellschaften schreibt § 91 Abs. 2 AktG vor, dass der Vorstand ein System einrichten muss, mit dem sich existenzgefährdende Risiken frühzeitig erkennen lassen. Das KonTraG (Gesetz zur Kontrolle und Transparenz im Unternehmensbereich) hat diese Pflicht bereits 1998 eingeführt und die Verantwortung des Vorstands ausdrücklich betont.
• Finanzbranche und Versicherungen: Das Kreditwesengesetz (KWG) verpflichtet Institute in § 25a zur Einrichtung eines angemessenen Risikomanagementsystems. Ergänzend konkretisieren die MaRisk (Mindestanforderungen an das Risikomanagement) der BaFin die organisatorischen Anforderungen.
• Medizinbranche: Hersteller von Medizinprodukten müssen nach der europäischen Medical Device Regulation (MDR) ein systematisches Risikomanagement über den gesamten Produktlebenszyklus durchführen. Auch Qualitätsmanagementnormen wie ISO 13485 verlangen ein dokumentiertes Verfahren zur Risikobewertung und -steuerung.
• Unternehmen ab 1.000 Mitarbeiter: Unternehmen mit in der Regel mehr als 1.000 Beschäftigten unterliegen seit 2024 dem Lieferkettensorgfaltspflichtengesetz (LkSG). Sie müssen menschenrechtliche und umweltbezogene Risiken entlang ihrer Lieferkette identifizieren, bewerten und geeignete Präventionsmaßnahmen implementieren.

Auch andere Branchen und Unternehmen sind betroffen, und diese Beispiele zeigen, welchen Stellenwert Risikomanagement wirklich einnimmt.

Welche Rolle spielt die Norm DIN ISO 31000 beim Risikomanagement?

Während Gesetze Unternehmen zum Risikomanagement verpflichten, liefert die Norm DIN ISO 31000 einen Rahmen für die tatsächliche Umsetzung in Organisationen. Als Leitlinie beschreibt DIN ISO 31000:2018 den Aufbau, die Struktur, grundlegende Prinzipien und das Framework eines Risikomanagementprozesses und ist international anerkannt.

DIN ISO 31000 dient daher als Orientierung, wie Sie Risikomanagement in Ihre Führung, Strategie und operativen Abläufe integrieren können – unabhängig von Unternehmensgröße oder Branche. Die Implementierung kann die Entscheidungsfindung verbessern und die Resilienz der Organisation stärken.

Die 8 Grundsätze für Risikomanagement nach DIN ISO 31000

Die Basis der Norm bilden die 8 Grundsätze, die beschreiben, wie effizientes Risikomanagement im Unternehmen aussehen sollte:

1. Feste Integration in Prozesse, Führung und Strategien der Organisation.
2. Strukturierter und umfassender Umgang mit Risiken.
3. Maßgeschneidertes Vorgehen, passend zur Organisation.
4. Einbeziehen von relevanten Stakeholdern.
5. Dynamische Prozesse, die auf Veränderungen reagieren.
6. Die besten verfügbaren Informationen dienen als Basis.
7. Berücksichtigung von menschlichen und kulturellen Faktoren.
8. Kontinuierliche Verbesserung.

Framework

Das Framework hilft Unternehmen, Risikomanagement wirksam zu integrieren und zu verankern. Die Norm DIN ISO 31000 stellt an dieser Stelle klar: Die Unternehmensführung und die Führungskräfte haben die Verantwortung für diesen Prozess (Top-Down-Führung).

Ihre Aufgabe ist es, klare Rahmenbedingungen zu schaffen, Verantwortlichkeiten festzulegen und Risikomanagement verbindlich in Strategie und operative Abläufe einzubetten.

Das Framework selbst folgt dabei der Natur des PDCA-Zyklus. Durch das Wiederholen der Planung, Umsetzung, Überwachung und Verbesserung entsteht ein dauerhaftes Steuerungssystem.

Der Risikomanagementprozess

Der eigentliche Risikomanagementprozess ist dann keine Frage der Führung, sondern eine operative Aufgabe. ISO 31000 schreibt hierfür einen strukturierten Ablauf vor, den Unternehmen jedoch auf ihre Bedürfnisse anpassen können.

Die nachfolgenden Prozessschritte sollten sich jedoch wiederfinden. Bedenken Sie, dass auch dieser Prozess nicht einmalig stattfindet, sondern wiederkehrend ist.

Risikoidentifikation

Bei diesem Schritt betrachten Sie bewusst, welche Entwicklungen Ihre Ziele gefährden könnten. Risiken können sich in allen möglichen Bereichen verbergen, etwa in:

• technischen Schwachstellen
• Prozesslücken
• Abhängigkeiten
• Marktveränderungen
• regulatorischen Anforderungen
• usw.

Entscheidend ist, diesen Schritt immer wieder zu wiederholen, denn Risiken verändern sich ständig, neue entstehen und alte verlieren an Bedeutung.

Risikoanalyse und Risikobewertung

Als Nächstes geht es darum, den tatsächlichen Handlungsbedarf offenzulegen. In der Risikoanalyse untersuchen Sie Ursachen, Zusammenhänge und mögliche Folgen. Sie klären, was das Risiko konkret auslösen könnte und welche Bereiche betroffen wären.

Anschließend folgt die Risikobewertung zur Priorisierung der Risiken. Schließlich verdient nicht jedes Risiko die gleiche Aufmerksamkeit. Manche haben eine geringe Eintrittswahrscheinlichkeit, andere hätten massive Auswirkungen.

Risikosteuerung

Nach der Risikoanalyse und der Bewertung legen Sie fest, wie Sie mit einem Risiko umgehen wollen. Dieser Schritt wird in der Praxis auch als Risikosteuerung bezeichnet.

Ihnen stehen verschiedene Optionen zur Verfügung, unter anderem:

• Risikovermeidung: Um das Risiko zu vermeiden, verzichten Sie bewusst auf eine Aktivität, eine Maßnahme oder eine Entscheidung.
• Risikoverminderung: Sie entwickeln Maßnahmen, um die Eintrittswahrscheinlichkeit des Risikos zu reduzieren.
• Risikoüberwälzung: Sie übertragen die Folgen eines Risikos auf einen Dritten, etwa einen Stakeholder (Lieferant, Produzent, u.a.).
• Risikoteilung: Sie teilen die Folgen eines Risikos mit einem Partner oder Stakeholder, etwa durch Kooperationen oder gemeinsame Projekte.
• Risikoübertragung: Sie übertragen das Risiko ganz oder teilweise auf externe Parteien, etwa eine Versicherung.
• Risikoakzeptanz: Sie nehmen das Risiko bewusst in Kauf. Dies kann eine mögliche Strategie sein, wenn der Aufwand oder Nutzen möglicher Maßnahmen im unangemessenen Verhältnis steht.

Hier ist es besonders wichtig, dass Sie die Maßnahmen passend zu Ihrem Unternehmen und zu Ihrer Situation wählen.

Monitoring und Kommunikation

Für das erfolgreiche Steuern von Risiken benötigen Sie ein klares Monitoring, das auf aktuelle Informationen und klare Kennzahlen zurückgreift. Damit überwachen Sie die Entwicklung von Risiken und die Wirksamkeit der Maßnahmen, die Sie ergreifen.

Im Mittelpunkt aller Prozesse steht aber auch die Kommunikation. Kommunizieren Sie nicht nur Entscheidungen, sondern etablieren Sie einen transparenten Prozess, der die Grundlage für ein effizientes Managementsystem darstellt.

Risikomanagement in der Praxis: Risikokategorien, Risikoarten, Methoden und Vorgehen

Um Risikomanagement tatsächlich im Unternehmen zu etablieren, gehört aber mehr dazu als das Wissen um Grundprinzipien, Prozesse oder Frameworks. Organisationen sehen sich mit verschiedenen Risikokategorien und Risikoarten konfrontiert. Zudem müssen sie aus verschiedenen Methoden das richtige Vorgehen auswählen, damit die Umsetzung in der Praxis gelingt.

Wir zeigen daher als Nächstes, was Risikomanagement in der Praxis bedeutet.

Mit welchen Risikoarten/Risikokategorien sehen sich Organisationen konfrontiert?

Da jedes Unternehmen auf einem anderen Markt agiert und mit unterschiedlichen Unternehmensrisiken zu kämpfen hat, gibt es verschiedene Arten von Risiken, die sie bestimmten Kategorien zuordnen können. Je nach Branche und Geschäftsfeld könnten sie nicht unterschiedlicher sein.

Hier sind einige gängige Beispiele für verschiedene Arten von Risiken, zusammengefasst in übergeordneten Kategorien:

Welche Methoden sieht die Norm DIN ISO 31000 fürs Risikomanagement vor?

Die Norm DIN ISO 31000 selbst schreibt keine Methoden vor. Es gibt jedoch eine andere Norm, die Methoden zum Risikomanagement vorstellt: die ISO/IEC 31010. Der Katalog umfasst über 40 spezifische Methoden, aus denen Unternehmen die passende für ihren Risikomanagementprozess auswählen können.

Dazu zählen unter anderem:

• Brainstorming
• Delphi-Methode
• Bow-Tie-Analyse
• HAZOP (Hazard and Operability Study)
• Ishikawa-Diagramm (Fischgräten-Diagramm)
• Fehlerbaumanalyse (FTA)
• u.a..

Sie können die Methoden in unterschiedlichen Prozessschritten anwenden. Etwa bei der Risikoidentifikation, bei der Risikobewertung oder bei der Ursachenanalyse. Achten Sie immer darauf, dass die Methode sich für den jeweiligen Prozessschritt eignet, und wählen Sie gegebenenfalls andere, nicht genannte Methoden aus.

Wie können Organisationen Risikomanagement in der Praxis umsetzen?

Die DIN ISO 31000 liefert ein branchenübergreifendes Rahmenwerk. Sie beschreibt, wie Risikomanagement strukturiert sein sollte – nicht jedoch, wie Unternehmen Risiken konkret analysieren, priorisieren und operativ absichern. Dies haben Unternehmen selbst in der Hand.

Neben klassischen Einzelmethoden setzen erfolgreiche Unternehmen in der Praxis auch auf strukturierte Entscheidungs- und Analyseprozesse wie die von Kepner-Tregoe. Diese unterstützen Sie nicht nur bei der Bewertung einzelner Risiken, sondern helfen dabei, Risiken systematisch zu beschreiben, Ursachen sauber zu trennen und geeignete Maßnahmen vorausschauend abzusichern. Perfekt, wenn Sie eine nachhaltige Steuerung von Risiken setzen wollen.

Tipps: Verbessern Sie das Risikomanagement in der Praxis

Für den Erfolg Ihres Unternehmens ist ein effizientes Risikomanagement eine Grundvoraussetzung. Sie wollen wissen, wie Sie Ihr Risikomanagement in der Praxis verbessern können? Dann haben wir hier einige Tipps:

• Rollenzuordnung: Damit Prozesse nahtlos ineinandergreifen und keine blinden Flecken entstehen, sollten sie Verantwortlichkeiten klar definieren.
• Risikokultur etablieren: Für eine transparente Risikokultur sollten Sie alle Ebenen einbinden. Silo-Denken hat damit keine Chance, und sie schaffen eine Transparenz, bei der alle Beteiligten Entscheidungen gut nachvollziehen können.
• Struktur statt Aktionismus: Auch unter Zeitdruck sollten Sie Entscheidungen nicht aus dem Bauch heraus treffen, sondern auf Basis einer systematischen Analyse. Das senkt mögliche Fehler, Fehlentscheidungen und führt zu geringeren Kosten im Prozess.
• Branchenspezifische Anpassungen: Ein Vorgehen, das in einem Unternehmen funktioniert, kann in einem anderen in eine Sackgasse führen. Setzen Sie daher eigene Schwerpunkte und wählen Sie Methoden so aus, dass sie zu Ihren eigenen Prozessen passen.
• Überprüfung: Überprüfen Sie regelmäßig Ihr Risikomanagementsystem, denn nur so können Sie sicherstellen, dass Sie alle relevanten Risiken effizient erfassen und kommunizieren. Dabei sollten Sie auch die Wirksamkeit der Maßnahmen beobachten und eine regelmäßige Berichterstattung an die Geschäftsführung einplanen.
• Kompetenzen: Ihr Risikomanagement ist nur so gut, wie die Kenntnisse und Fähigkeiten der Beteiligten. Das bedeutet: Investieren Sie in Trainings, Workshops und Coaching für Ihre Mitarbeiter, um ihre Analysefähigkeit, ihr strukturiertes Denken und ihre Entscheidungskompetenz im Umgang mit Risiken gezielt zu stärken. Das kommt dem gesamten Risikomanagementprozess zugute.

Last, but not least: Setzen Sie die Grundprinzipien und das Framework nicht nur einmalig um, sondern kontrollieren Sie regelmäßig, ob Sie noch nach diesen handeln.

Mit Kepner-Tregoe das Risikomanagement verbessern

Ein starkes und effizientes Risikomanagement lebt nicht von einzelnen Methoden oder Tools, sondern von einem gemeinsamen, strukturierten Vorgehen. Seit über 65 Jahren unterstützt Kepner-Tregoe Unternehmen weltweit dabei, komplexe Situationen zu meistern. Mit unserem Vorgehen können Sie Situationen klar analysieren, fundierte Entscheidungen treffen und potenzielle Risiken so absichern, dass sich Unsicherheiten in kontrolliertes Handeln verwandeln.

Buchen Sie unser Training „Problemlösung und Entscheidungsfindung“, um Klarheit in komplexe Situationen zu bringen, oder sorgen Sie durch das Training „Analyse potentieller Probleme“ dafür, dass Risiken nicht zu späteren Störungen werden. Wir beraten Sie gerne und bieten Ihnen auch Inhouse-Trainings an.

FAQ: Die häufigsten Fragen rund ums Risk Management

Welche Vorteile haben Unternehmen und Organisationen durch Risikomanagement?

Risikomanagement erhöht die Transparenz über mögliche Entwicklungen, verbessert die Analyse von Risiken und macht deren Eintrittswahrscheinlichkeit sichtbar. Unternehmen erkennen frühzeitig, wo ein kritischer Eintritt droht – und wo sich sogar Chancen ergeben. Das stärkt die Entscheidungsfindung, sorgt für mehr Sicherheit im Handeln und führt damit zu einer besseren Steuerbarkeit der Organisation.

Zusätzlich unterstützt Risikomanagement dabei, gesetzliche Vorgaben einzuhalten, Risiken zu bewältigen und die Kosten zu optimieren.

Wie können Unternehmen den Umgang mit Risiken verbessern?

Unternehmen verbessern den Umgang mit Risiken, wenn sie im Organisationshandbuch eine klare Zielsetzung, verbindliche Aussagen und konkrete Handlungen festlegen. Eine strukturierte Risikobeurteilung, konsequentes Risikocontrolling und transparente Risikokommunikation erhöhen die Übersicht über alle relevanten Aspekte.

Definieren Sie klare Rollen, stärken Sie Kenntnisse und Fähigkeiten, etablieren Sie eine offene Risikokultur und setzen Sie auf Struktur statt Aktionismus. Passen Sie Ihr Vorgehen branchenspezifisch an und stellen Sie durch regelmäßige Überprüfung sicher, dass Ihr Risikomanagement nicht an Wirksamkeit einbüßt.

Was ist der Unterschied zwischen strategischem und operativem Risikomanagement?

Strategisches Risikomanagement bewertet langfristige Gefahren, die die Basis und Grundlage eines Unternehmens betreffen (z. B. Marktveränderungen oder disruptive Ereignisse).

Operatives Risikomanagement konzentriert sich hingegen auf die tägliche Arbeit, die aktuelle Risikosituation und übernimmt die konkrete Bewertung dieser Risiken auf operativer Seite. Dazu zählen etwa Ausfälle oder Prozessstörungen.

Welche Rolle spielt der Top-Down-Ansatz bei der Etablierung einer wirksamen Risikokultur?

Der Top-down-Ansatz stellt sicher, dass die Unternehmensführung klare Leitlinien vorgibt und Risikomanagement zur Chefsache macht. Sie trifft die zentralen Entscheidungen, stellt relevante Informationen bereit und stößt die Einführung verbindlicher Maßnahmen an.

Welche Unternehmen müssen ein Risikomanagementsystem nachweisen?

Unternehmen müssen ein Risikomanagementsystem nachweisen, wenn Risiken erhebliche Auswirkungen auf ihren Fortbestand oder ihre Produkte haben können. Das betrifft unter anderem Aktiengesellschaften, regulierte Branchen und Hersteller von Medizinprodukten, die einen dokumentierten Aufbau ihres Systems vorlegen müssen.

Welche Konsequenzen drohen bei fehlendem Risikomanagement?

Fehlendes Risikomanagement erhöht den negativen Einfluss unerkannt bleibender Risiken auf das Unternehmen. Ohne strukturierte Managementsysteme fehlt eine wirksame Risikobewältigung, was Fehlentscheidungen begünstigt und auch das Projektmanagement beeinträchtigt – im schlimmsten Fall mit finanziellen oder rechtlichen Folgen.

Schreibt die Norm DIN ISO 31000 Methoden fürs Risikomanagement vor?

Nein, die DIN ISO 31000 ist ein internationaler Standard, der Grundsätze und einen Rahmen für die Anwendung von Risikomanagement beschreibt. Sie definiert Risikomanagement als festen Bestandteil guter Unternehmensführung, schreibt jedoch keine konkreten Methoden vor.

Unternehmen müssen selbst entscheiden, welche Aktivitäten und Verfahren sie für ihre Umsetzung wählen. Die Norm gibt lediglich die Richtung für strukturiertes Handeln im Sinne einer systematischen Entwicklung vor.