CSR und Risikomanagement - Institute for Sustainability

Loew, Clausen, Rohde (2011)
CSR und Risikomanagement
dort anwendbaren Methoden (Risc assessment techniques) in der ergänzenden ISO 31010 zusammengestellt.
Risikoidentifizierung: In diesem Schritt sollen alle möglichen Ereignisse oder Entwicklungen
identifiziert werden, die sich negativ oder auch positiv auf das erreichen von Zielen des Unternehmens
auswirken können. „The aim of this step is to generate a comprehensive list of risks
based on those events that might create, enhance, prevent, degrade, accelerate or delay the
achievement of objectives.“ In der Norm wird darauf hingewiesen, dass eine vollständige Identifikation
aller Risiken wichtig ist, da hier nicht aufgenommene Risiken natürlich auch in den Folgeschritten
nicht mehr berücksichtigt werden. „Comprehensive identification is critical, because
a risk that is not identified at this stage will not be included in further analysis.”
Risikoanalyse: Jedes identifizierte Risiko muss gut verstanden werden. Was sind die Quellen
und Ursachen des Risikos? Welche Konsequenzen können sich für das Unternehmen insbesondere
seine Ziele ergeben? Wie wahrscheinlich ist es, dass diese Konsequenzen eintreten?
Die Analyse kann je nach Zweck und je nach Risiko unterschiedlich detailliert ausfallen.
Risikobewertung: Die Bewertung der Risiken soll Entscheidungen unterstützen. Auf Basis der
vorgenommenen Analyse soll die Relevanz des jeweiligen Risikos eingeschätzt werden. Es ist
zu prüfen, ob die Risiken behandelt also ob Maßnahmen ergriffen werden müssen.
Risikobehandlung: Die Risikobehandlung dient dazu Gefahren zu reduzieren. Die Maßnahmen
können vereinfachend gesagt an den Ursachen für Ereignisse (z.B. durch Senkung des Energieverbrauchs
und damit Reduzierung des Energiepreisrisikos) oder an den potentiellen Auswirkungen
(z.B. Reduzierung des Energiepreisrisikos durch Hedging) ansetzen.
Monitoring und Review: Schließlich soll der Risikomanagementprozess regelmäßig intern
überprüft werden um sicher zu stellen, dass die Abläufe eingehalten wurden, Lernprozesse aus
Risikoereignissen sicherzustellen und neue Erkenntnisse z.B. zu neu aufkommenden Risiken
frühzeitig zu erkennen. Dieses Monitoring soll schriftlich dokumentiert und sofern angemessen
intern wie extern kommuniziert werden.
3.3 Risikomanagement nach ISO 31000
Die ISO 31000 sieht im Kern ein Managementsystem mit klaren Zuständigkeiten (Aufbauorganisation)
und Abläufen wie Methoden (Ablauforganisation) vor. Dass mit dem „Framework for managing
Risk“ die Aufbauorganisation gemeint ist, lässt sich nicht auf den ersten Blick erkennen,
denn die Norm beschreibt unter „Framework for managing Risk“ den Prozess zur Implementation
einer Aufbauorganisation und deren kontinuierliche Verbesserung. Nur in dem Abschnitt
„Accountabiliy“ wird die Norm dann deutlich und fordert, dass Zuständigkeiten und Verantwortlichkeiten
für das Risikomanagement klar geregelt sind. Diese etwas versteckte Beschreibung
des Managementsystems korrespondiert damit, dass die Norm nicht für Zertifizierungen vorgesehen
ist.
Ein wesentlicher Schwerpunkt der Norm sind der Ablauf und die angewandten Methoden/Techniken
(Ablauforganisation). Dies wird in der Norm mit „Risikomanagement Prozess“
bezeichnet. Dieser wird in der ISO 31000 skizziert. Die dazu verfügbaren Techniken werden in
ISO 31010 (Risc assessment techniques) vorgestellt.
35