Vereinfachter Prozess: Risk Management
Der Prozess beginnt, sobald ein neues Vorhaben geplant wird, sich wesentliche Rahmenbedingungen ändern oder ein bestehendes Risiko überprüft werden muss. Die verantwortliche Führungskraft legt gemeinsam mit dem Risk-Management-Team fest, welcher Bereich, welches Projekt oder welcher Geschäftsprozess betrachtet wird. Außerdem werden Ziele, Umfang und relevante interne sowie externe Rahmenbedingungen geklärt.
Anschließend sammeln die beteiligten Mitarbeitenden mögliche Risiken. Dazu prüfen sie beispielsweise frühere Vorfälle, Projektunterlagen, gesetzliche Anforderungen und Rückmeldungen von Kunden oder Fachabteilungen. Jedes erkannte Risiko wird verständlich beschrieben: Was könnte passieren, wodurch könnte es ausgelöst werden und welche Ziele oder Personen wären betroffen? Die Risiken werden in einer zentralen Übersicht dokumentiert.
Danach bewertet das Team jedes Risiko. Es schätzt ein, wie wahrscheinlich der Eintritt ist und wie schwerwiegend die möglichen Folgen wären. Dabei berücksichtigt es auch, welche Schutzmaßnahmen bereits bestehen. Aus diesen Einschätzungen wird die Bedeutung des Risikos abgeleitet. Die Risiken mit der höchsten Bedeutung werden zuerst behandelt. Falls wichtige Informationen fehlen, fordert das Team sie bei den zuständigen Personen an und ergänzt anschließend die Bewertung.
Für jedes relevante Risiko entscheidet die verantwortliche Führungskraft, wie damit umgegangen wird. Sie kann das Risiko vermeiden, indem die riskante Tätigkeit beendet oder geändert wird. Sie kann es verringern, etwa durch zusätzliche Kontrollen, Schulungen, technische Schutzmaßnahmen oder klarere Zuständigkeiten. In manchen Fällen wird ein Teil des Risikos übertragen, beispielsweise durch eine Versicherung oder eine vertragliche Regelung. Ist das Risiko ausreichend gering oder sind weitere Maßnahmen unverhältnismäßig, kann es innerhalb der festgelegten Grenzen bewusst akzeptiert werden.
Für beschlossene Maßnahmen werden eine verantwortliche Person, ein Termin und ein erwartetes Ergebnis festgelegt. Die Führungskraft prüft, ob die Maßnahmen angemessen sind und ob dafür ausreichend Zeit und Ressourcen zur Verfügung stehen. Ist der Vorschlag nicht geeignet, überarbeitet das Team ihn und legt ihn erneut zur Prüfung vor. Bei Risiken, die festgelegte Toleranzgrenzen überschreiten, wird die nächsthöhere zuständige Führungsebene einbezogen. Sie entscheidet, ob zusätzliche Maßnahmen erforderlich sind oder das Vorhaben angepasst beziehungsweise gestoppt werden muss.
Nach der Freigabe setzt die jeweils verantwortliche Person die Maßnahmen um und dokumentiert den Fortschritt. Das Risk-Management-Team verfolgt offene Aufgaben und erinnert bei Verzögerungen die zuständigen Personen. Nach der Umsetzung wird geprüft, ob die Maßnahmen wie geplant funktionieren. Dazu werden Nachweise ausgewertet, Kontrollen durchgeführt und Rückmeldungen eingeholt.
Ist das Risiko ausreichend reduziert, wird die Übersicht aktualisiert und die Entscheidung dokumentiert. Bleibt das Risiko zu hoch oder zeigen sich neue Nebenwirkungen, plant das Team weitere Maßnahmen und lässt diese erneut prüfen. Auch bei Veränderungen, neuen Erkenntnissen oder einem Vorfall wird das Risiko neu bewertet.
Der Prozess endet, wenn alle vereinbarten Maßnahmen umgesetzt und überprüft wurden und eine zuständige Führungskraft die verbleibenden Risiken akzeptiert hat. Die Dokumentation bleibt verfügbar und wird bei der nächsten regelmäßigen Überprüfung sowie bei wesentlichen Änderungen erneut herangezogen.
