Erfolgreiche Risikokartierung: Welche Methoden?
Im Rahmen eines Risikomanagementprozesses ist es immer sinnvoll, die Risiken der Organisation zu kartieren. Es gibt jedoch verschiedene Methoden, dies zu tun. Welche Methode Sie wählen sollten, erfahren Sie von unserem Experten für Risikomanagement, Grégoire Mottier.
Eine Risikokartierung des Unternehmens dient in erster Linie dazu, die Risiken in Form von Tabellen und Grafiken zu visualisieren, was die Analyse der Risiken einfacher und verständlicher macht. Ja, aber wie und womit soll man beginnen?
Wie gehen Sie vor?
Um diese Frage zu beantworten, ist es nicht unnütz, auf die grundlegenden Konzepte der ISO 31000 zurückzukommen, die die folgenden Phasen umfasst:
Die Analyse- und Zuschlagskriterien sind von besonderer Bedeutung, da es darum geht, Punkte zu vergeben (Analyse, Häufigkeit und Schweregrad), die mit den Risikokriterien verglichen werden, um zu entscheiden, wie sie behandelt werden sollen. Diese Kriterien werden von der Organisation auf der Grundlage des Toleranzniveaus (Akzeptanz), der gesetzlichen Anforderungen, der Unternehmensziele und der Praktiken oder Standards, die in der betreffenden Aktivität gelten, festgelegt.
Die Analysemaßstäbe
Für den Teil „Analyse“ werden in der Literatur „qualitative, quantitative oder numerische“ Maßstäbe genannt. Diesbezüglich haben wir auf dem Markt Methoden beobachtet, die sich einfach auf Begriffe des Auftretens beziehen, ohne sich auf zeitliche Begriffe zu beziehen, indem sie einfach angeben, dass ein Risiko „häufig“ oder „selten“ ist, ohne weitere Einzelheiten oder zeitliche Anhaltspunkte. Unserer Erfahrung nach ist dies zu vermeiden und wir würden eine Notierung vorziehen, die einen Zeitbezug wie diesen verwendet:
- Täglich: Risiko, das täglich auftreten kann.
- Monatlich: Risiko, das jeden Monat eintreten kann.
- Jährlich: Risiko, das einmal im Jahr eintreten kann.
- Zehnjährlich: Risiko, das einmal in zehn Jahren eintreten kann.
Der Begriff der Schwere
In Bezug auf den Begriff der Schwere erwähnen einige Autoren Skalen mit eher allgemeinen Definitionen, wie das folgende Beispiel zeigt:
- Geringfügig: Geringe oder vernachlässigbare Auswirkungen. Geringe oder keine Auswirkungen auf den Betrieb, die Sicherheit oder den Ruf.
- Mäßig: Erhebliche, aber kontrollierbare Auswirkungen. Beeinträchtigt bestimmte Operationen mit begrenzten Auswirkungen auf die Sicherheit oder den Ruf.
- Signifikant: Große Auswirkungen. Unterbrechung von Operationen, hohes Sicherheitsrisiko oder Rufschädigung.
- Schwer: Sehr hohe Auswirkungen. Größere Unterbrechungen, ernsthafte Sicherheitsrisiken oder erhebliche Rufschädigung.
- Katastrophisch: Extreme Auswirkungen. Schwere Schäden, Gefährdung von Menschenleben oder irreparable Schädigung des Rufs.
Wir bevorzugen eine Klassifizierung nach Bereichen, die in folgende Bereiche unterteilt sind:
- Umweltauswirkungen,
- die finanziellen Folgen,
- Schädigung des Images oder des Rufs,
- Gesundheitsschäden von Mitarbeitern (diese letzte Kategorie ist oft in den finanziellen Folgen enthalten).
Mit einer Klassifizierung nach Bereichen werden die Maßnahmen zur Risikobehandlung weitaus umfangreicher sein, als wenn beispielsweise nur die finanziellen Auswirkungen berücksichtigt werden.
Erteilung einer Punktzahl für jedes Risiko
Sobald die Bewertungen für Häufigkeit (f) und Schwere (g) bestimmt sind, können wir die Operation fxg anwenden, um eine Punktzahl zu erhalten, die es der Organisation ermöglicht, das Risiko so effektiv wie möglich zu behandeln. Aber genauer gesagt, warum ist es nützlich, den verschiedenen Risiken eine Punktzahl zuzuweisen? Nun, um
- Ermöglichen Sie eine möglichst objektive Quantifizierung.
- Erleichterung der Priorisierung von Behandlungsmaßnahmen
- Ermöglichen Sie es, sie zu verfolgen und ihre Entwicklung im Laufe der Zeit zu beobachten.
Diese Punktzahlen können beispielhaft wie folgt dargestellt werden, mit einer Skala von 1 bis 25:
Aber wie werden die verschiedenen Scores bestimmt? Während einige von ihnen von objektiven Kriterien oder KPIs abhängen können (Abwesenheitsrate, Fehler in einer Produktlinie und andere), hängen andere zwangsläufig von der manchmal subjektiven Wahrnehmung der Stakeholder ab, ohne auf statistische Elemente zurückgreifen zu können. In diesem Rahmen und wenn mehrere Personen als Stakeholder an den Elementen des Risikomanagements beteiligt sind, besteht eine starke Versuchung, über die Elemente Häufigkeit und Qualität abzustimmen, um ein Endergebnis auszudrücken. Unserer Ansicht nach ist diese Strategie unbefriedigend und wird letztendlich zu einer Quelle der Frustration für mehrere Personen werden. Vielmehr ist es sinnvoll, einen echten Konsens zwischen den „Risikoeigentümern“ zu verwenden, um die fraglichen Scores zu vergeben:
- Bessere Übereinstimmung mit den Zielen der Organisation
- Besseres Verständnis der Risiken und der Faktoren, die sie bestimmen
- Reduzierung von Spannungen und Meinungsverschiedenheiten zwischen den Interessengruppen
- Engagement und verstärkte Einbeziehung der Risikoeigentümer
In jedem Fall und unabhängig von der verwendeten Methode bleiben die Vermeidung von Verleugnung und das Risikomanagement in einer Organisation, die eine „Fehlerkultur“ pflegt, unerlässliche Rahmenbedingungen für eine erfolgreiche Risikokartierung!