CSR und Risikomanagement - Institute for Sustainability

Loew, Clausen, Rohde (2011)
CSR und Risikomanagement
jeweiligen Ausführungen unterschiedlich. Als am besten ausgearbeitet stufte er die Österreichische
Normenreihe ONR 49.00x, (Fassung 2004) ein. Diese war bis dato die bislang einzige
Norm nach der ein Risikomanagementsystem zertifiziert werden konnte. Zudem konnte auch die
Qualifikation des Risikomanagers extern bestätigt werden. Um die Kompatibilität zu der Ende
2009 erschienenen ISO 31000 herzustellen, wurden die Normen der ONR 49000er Reihe angepasst.
Die im Vergleich zur ISO 31000 detaillierten ONR 49000er Normen verstehen sich nun
als eine Umsetzung dieser ISO-Norm in die Praxis. So bleiben die offensichtlich guten Normungsarbeiten,
an denen neben Österreichischen auch Schweizer Fachleute mitgearbeitet haben,
weiterhin erhalten.
Bemerkenswert ist, dass die ONR 49000er Normen auch
• einen Leitfaden für die Einbettung in das Unternehmensmanagementsystem und
• Anforderungen an die Qualifikation des Risikomanagers umfassen.
Zu beachten ist, dass die ONR 49000er nicht den Status einer österreichischen Norm haben
sondern nur ON-Regeln sind. ON-Regeln dienen dazu den Entwicklungsprozess zu verkürzen,
indem sie nicht alle Anforderungen an eine "klassische" Norm erfüllen müssen. Sie sind das
Pendant zu Public Available Standards (PAS) auf ISO Ebene (Austrian Standards Institute
2010). Aufgrund dieser niedrigen Positionierung in der Normenhierarchie, mangelt es nach Auffassung
von Krause und Borens (2009) der ONR 49000er Reihe an „Stärke“.
3.2 Kernelemente von Risikomanagementsystemen und üblicher
Ablauf des Risikomanagements
3.2.1 Kernelemente von Risikomanagementsystemen
Die Kernelemente von Risikomanagementsystemen sind in der ISO 31000 nicht so deutlich zu
erkennen. Hier ist die Österreichische ONR 49002-1, die einen Leitfaden für die Einbettung des
Risikomanagements ins Managementsystem zum Gegenstand hat, aussagekräftiger. Daraus
sowie aus ISO 31000 und Winter (2008) lassen sich folgende Kernelemente für das Risikomanagementsystem
ableiten:
• Risikopolitik und Strategie: Beschreibung, welche grundsätzlichen Zielsetzungen die Organisation
mit dem Risikomanagement erreichen will, wie risikofreudig das Unternehmen ist,
welche grundsätzlichen Strategien in Bezug auf Risiken verfolgt werden.
• Aufbauorganisation: Definierte Zuständigkeiten samt Entscheidungs- und Kommunikationsstrukturen.
• Risikomanagement-Prozesse:
- Vorgehensweise bei der allgemeinen Risikoeinschätzung einschließlich der Steuerung
und Überwachung der Risiken,
- Vorgehensweisen der integrierten Risikoeinschätzung einschließlich der Steuerung
und Überwachung der Risiken im Rahmen von Geschäftsprozessen.
- Notfall-, Krisen- und Kontinuitätsmanagement.
• Interne Systemüberwachung
32