Compliance-Risikomanagement nach ISO 31000 einfuehren: Vom Leitbild zur audit-festen Risikomatrix

ISO 31000:2018 ist der internationale Leitfaden fuer Risikomanagement. Anders als ISO 9001 oder ISO 27001 ist ISO 31000 keine zertifizierbare Norm, sondern ein Rahmenwerk. Sie ist die Referenzarchitektur fuer ISO 37301:2021 (Compliance-Management-Systeme), ISO/IEC 27005 (Informationssicherheits-Risikomanagement) und zahlreiche branchenspezifische Standards. Wer Compliance-Risikomanagement heute aufbaut, kommt an ISO 31000 nicht vorbei.

Die operative Wirkung entfaltet sich erst durch die Verzahnung mit nationalen Pflichten. § 130 OWiG (Verletzung der Aufsichtspflicht) verlangt von der Geschaeftsleitung, die zur Verhinderung von Pflichtverletzungen erforderlichen Aufsichtsmassnahmen zu treffen. § 91 Abs. 2 AktG verlangt vom Vorstand ein Ueberwachungssystem zur fruehzeitigen Erkennung bestandsgefaehrdender Risiken. Dieser Leitfaden zeigt, wie Sie ISO 31000:2018 als Compliance-Risikomanagement audit-fest einfuehren und in Bestellurkunde, Berichtslinie und Audit-Vorlagen verankern.

ISO 31000:2018 wurde im Februar 2018 als Nachfolger der Fassung von 2009 veroeffentlicht. Sie ist ein Leitfaden (Guidance Standard), keine Anforderungsnorm. Sie ist nicht zertifizierbar. Sie liefert acht Prinzipien, einen Rahmen (Framework) und einen Prozess (Process), die zusammen das Risikomanagement strukturieren.

Die acht Prinzipien (Abschnitt 4) lauten: integriert, strukturiert und umfassend, angepasst, inklusiv, dynamisch, beste verfuegbare Information, menschliche und kulturelle Faktoren, kontinuierliche Verbesserung. Sie ersetzen die elf Prinzipien der Vorgaengerversion und sind das Herzstueck der Norm.

Der Rahmen (Abschnitt 5) folgt einem Plan-Do-Check-Act-Zyklus mit Fuehrung und Engagement im Mittelpunkt. Der Prozess (Abschnitt 6) beschreibt Anwendungsbereich, Risikobeurteilung (Identifikation, Analyse, Bewertung), Risikobehandlung, Monitoring und Kommunikation.

ISO 31000 ist keine Schritt-fuer-Schritt-Anleitung. Sie ist ein Bezugsrahmen, der branchenspezifisch konkretisiert werden muss. ISO 37301 fuer Compliance, ISO/IEC 27005 fuer IT-Sicherheit, ISO 22301 fuer Business Continuity nutzen ISO 31000 als Architektur.

CIVAC modelliert ISO 31000 als Workspace-Struktur, in der der Compliance-Beauftragte und der Risikoeigner gemeinsam arbeiten. Audit-Vorlagen, Risikoregister, Berichtslinie liegen in einem System.

Wer ISO 31000 als zertifizierbare Norm einfuehren will, missversteht sie. Wer sie als Architekturreferenz nutzt, baut die Basis fuer ISO 37301, ISO 27001 und branchenspezifische Anforderungen.

ISO 37301:2021 loest die ISO 19600 ab und ist die zertifizierbare Norm fuer Compliance-Management-Systeme. Abschnitt 4.6 verlangt eine Compliance-Risikoanalyse, Abschnitt 6 die risikobasierte Planung, Abschnitt 9 die Bewertung der Wirksamkeit. ISO 31000 liefert die methodische Grundlage.

§ 130 OWiG sanktioniert die Verletzung der Aufsichtspflicht in Unternehmen mit Bussgeldern bis 10 Mio. Euro fuer juristische Personen (§ 30 OWiG). Die Aufsichtspflicht umfasst die Auswahl, Anweisung und Ueberwachung der Mitarbeiter. Ein dokumentiertes Compliance-Risikomanagement ist die zentrale Entlastung in Bussgeldverfahren.

§ 91 Abs. 2 AktG verlangt vom Vorstand ein angemessenes Risikomanagement zur fruehzeitigen Erkennung bestandsgefaehrdender Risiken. Der BGH hat in mehreren Urteilen klargestellt, dass dies auch fuer GmbH-Geschaeftsfuehrer ueber § 43 GmbHG analog gilt.

FCPA (USA), UK Bribery Act 2010 (UK) und das Sapin-II-Gesetz (Frankreich) verlangen zusaetzlich risikobasiertes Compliance-Management fuer international taetige Unternehmen. ISO 31000 plus ISO 37301 erfuellen die methodischen Erwartungen dieser Regime.

CIVAC fuehrt das Compliance-Risikomanagement als Workspace mit dokumentierter Berichtslinie zwischen Compliance-Beauftragtem, Geschaeftsleitung und Aufsichtsorgan. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Andere fuehren Compliance wie einen Aktenschrank. Wir fuehren sie wie Software. Wer das Risikomanagement nur fuer ISO-Audits aufstellt, verpasst die OWiG-Entlastung. Der Pruefer ruft an, der Nachweis liegt bereit.

Der erste Schritt nach ISO 31000 Abschnitt 5.4 ist die Bestimmung des Geltungsbereichs (Scope). Welche Einheiten, Prozesse, Regionen und Risikotypen fallen unter das Compliance-Risikomanagement. Die Antwort haengt von Unternehmensstruktur, regulatorischem Umfeld und vorhandenen Teilsystemen ab.

Typische Scope-Definitionen unterscheiden zwischen Pflichtrisiken (Datenschutz, IT-Sicherheit, Geldwaeschepraevention, Steuern, Arbeitssicherheit, Lieferkette, Umwelt) und marktbezogenen Risiken (Reputation, Vertragsrisiken). Compliance-Risikomanagement fokussiert auf Pflichtrisiken plus Reputationsrisiken aus Compliance-Verstoessen.

Die Rahmenbedingungen umfassen den internen Kontext (Strategie, Werte, Strukturen, Ressourcen) und den externen Kontext (Regulierung, Wettbewerb, Stakeholder). Beide werden in einer Context-Statement-Dokumentation festgehalten, jaehrlich aktualisiert und an die Geschaeftsleitung berichtet.

Risikokriterien (Abschnitt 6.3.4) legen die Schwellenwerte fest, ab denen ein Risiko als wesentlich gilt und welche Behandlung erforderlich ist. Sie muessen mit der Risikobereitschaft (Risk Appetite) der Geschaeftsleitung uebereinstimmen, die schriftlich fixiert wird.

CIVAC bietet vorkonfigurierte Scope-Templates fuer KMU und Konzerne, die die typischen Compliance-Risikotypen abbilden. Audit-Vorlagen umfassen Context-Statement, Risk-Appetite-Statement und Risikokriterien.

Wer den Scope zu eng zieht, riskiert Luecken. Wer ihn zu weit zieht, ueberlastet den Prozess. Die zwei Werktage SLA bei CIVAC umfasst eine Scope-Workshop-Session mit dem externen Compliance-Beauftragten.

ISO 31000 Abschnitt 6.4.2 verlangt eine systematische Risikoidentifikation. Methoden umfassen Workshops mit Prozessverantwortlichen, Dokumentenanalyse, Interviews, Brainstorming-Techniken, Szenarioanalyse und externe Quellen (Branchenberichte, Aufsichtsmitteilungen, Verbandsinformationen).

Das Risikoregister ist die zentrale Dokumentation. Pro Risiko werden mindestens erfasst: Risiko-ID, Risikobezeichnung, Risikoeigner (Risk Owner), Risikoursache, moegliche Auswirkung, betroffene Compliance-Felder, Datum der Erfassung, Verweis auf gesetzliche Grundlage.

Compliance-spezifische Risiken sollten nach Pflichtenfeldern strukturiert werden. Datenschutz (DSGVO, BDSG), IT-Sicherheit (NIS-2, BSIG, IT-SiG 2.0), Arbeitsschutz (ArbSchG), Umwelt (BImSchG, KrWG), Geldwaesche (GwG), Lieferkette (LkSG), Korruption (StGB, OECD-Konvention), Hinweisgeberschutz (HinSchG).

Die 25 Beauftragten-Rollen, die CIVAC live abdeckt, korrespondieren mit diesen Pflichtenfeldern. Jede Rolle bringt ein Standard-Risikoset mit, das im Workspace als Ausgangspunkt geladen werden kann.

Das Risikoregister wird mindestens jaehrlich vollstaendig durchgesehen und bei wesentlichen Aenderungen ad-hoc aktualisiert. Frist laeuft ab Kenntnis: ein neues Gesetz, ein interner Vorfall oder ein Aufsichtsschreiben triggert die Aktualisierung.

CIVAC fuehrt das Risikoregister mit Audit-Trail. Jede Aenderung wird mit Zeitstempel, Autor und Begruendung versioniert. Audit-fest, dokumentiert, OWiG-fest.

Die Risikoanalyse (Abschnitt 6.4.3) bestimmt Eintrittswahrscheinlichkeit und Auswirkung. Die Risikobewertung (Abschnitt 6.4.4) vergleicht das Ergebnis mit den Risikokriterien und entscheidet ueber Behandlung. Methoden reichen von qualitativ (niedrig/mittel/hoch) bis quantitativ (Geldbetrag mal Wahrscheinlichkeit).

Fuer Compliance-Risiken ist semi-quantitative Methodik typisch. Auswirkung wird auf einer 5-stufigen Skala kategorisiert (Bussgeldhoehe, regulatorische Konsequenzen, Reputationsfolgen). Wahrscheinlichkeit ebenfalls 5-stufig (sehr unwahrscheinlich bis sehr wahrscheinlich, mit Zeitfenster).

Die Risikomatrix kombiniert beide Achsen zu Risikoklassen. Typisch sind vier Klassen: niedrig (Akzeptanz mit Monitoring), mittel (Massnahmen bei Gelegenheit), hoch (Massnahmen mit Frist), kritisch (sofortige Massnahmen und Geschaeftsleitungsbefassung).

Die Methodik muss vor Anwendung schriftlich fixiert werden. Aenderungen sind versioniert und begruendet. Die BaFin und andere Aufsichten erwarten, dass die Methodik nicht ad hoc oder rueckwirkend angepasst wird, um problematische Risiken in akzeptable Klassen zu verschieben.

CIVAC bietet eine konfigurierbare Risikomatrix mit branchenspezifischen Vorlagen. Die Methodik wird im Workspace dokumentiert und versioniert. Die Bestellurkunde des Compliance-Beauftragten verweist auf die geltende Methodik-Version.

Wer die Methodik nicht dokumentiert, verliert die OWiG-Entlastung im Bussgeldverfahren. Der Pruefer fragt: wie kam dieses Risiko zu dieser Bewertung an diesem Datum. Die Antwort muss reproduzierbar sein.

ISO 31000 Abschnitt 6.5 listet vier Behandlungsoptionen: Risikovermeidung (Aktivitaet einstellen), Risikoreduktion (Wahrscheinlichkeit oder Auswirkung senken), Risikoteilung (Versicherung, Vertragsklauseln), Risikoakzeptanz (bewusste Inkaufnahme bei niedrigem Risiko).

Compliance-Risiken werden meist durch Risikoreduktion behandelt. Praeventivmassnahmen umfassen Richtlinien, Schulungen, Prozesskontrollen, IT-Kontrollen, Audits, Reporting-Linien. Die Wirksamkeit der Massnahmen wird im Monitoring (Abschnitt 6.6) periodisch geprueft.

Die Massnahmenliste enthaelt pro Massnahme: Massnahmen-ID, Beschreibung, Verantwortlicher, Frist, geplanter Aufwand, Wirksamkeitskriterium, Statusverfolgung. Sie wird mit dem Risikoregister verknuepft, damit die Belegkette zwischen Risiko und Massnahme nachvollziehbar bleibt.

Eskalationsregeln definieren, wann ein Risiko oder eine nicht umgesetzte Massnahme an die naechste Berichtslinie wandert. Typische Regeln: Hoch-Risiko ohne Massnahme nach 30 Tagen eskaliert an die Geschaeftsleitung, Kritisches Risiko sofort.

CIVAC verknuepft Risikoregister, Massnahmenliste und Berichtslinie in einem Workspace. Wiedervorlagen werden automatisch erzeugt, Eskalationen mit Zeitstempel protokolliert. Der Pruefer ruft an, der Nachweis liegt bereit.

Lizenzieren Sie den Workspace fuer Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Modelle teilen die gleiche Datenstruktur und liefern die OWiG-Entlastung in einem System.

ISO 31000 Abschnitt 6.6 verlangt fortlaufendes Monitoring und Review. Die Risikomatrix wird mindestens jaehrlich, in dynamischen Branchen quartalsweise aktualisiert. Wirksamkeitspruefungen erfolgen risikoorientiert: hohe Risiken haeufiger, niedrige seltener.

Das Berichtswesen ist mehrstufig. Operative Risikoeigner berichten an den Compliance-Beauftragten, dieser an die Geschaeftsleitung, die Geschaeftsleitung an das Aufsichtsorgan (Aufsichtsrat, Beirat). Frequenzen typisch: monatlich operativ, quartalsweise an die Geschaeftsleitung, halbjaehrlich an das Aufsichtsorgan.

Berichtsformate sind nicht in ISO 31000 vorgeschrieben, sollten aber Risikolandkarte, Top-Risiken, Massnahmenstatus, Vorfaelle, KPIs und neue regulatorische Anforderungen enthalten. Ein Compliance-Dashboard im Workspace bringt die Daten in ein konsistentes Format.

Kontinuierliche Verbesserung (Abschnitt 5.7) heisst, dass das Risikomanagement selbst regelmaessig bewertet wird. Interne Audits, Management-Review, externes Benchmarking und Vorfallanalysen liefern die Inputs. Aenderungen werden dokumentiert und kommuniziert.

CIVAC liefert vorkonfigurierte Berichtsformate fuer Compliance-Beauftragten-Quartalsbericht, Geschaeftsleitungs-Halbjahresbericht und Aufsichtsorgan-Jahresbericht. Die Datenbasis ist das Risikoregister und die Massnahmenliste, nicht eine separate Praesentation.

Wer das Berichtswesen aus Powerpoint kompiliert, verliert Konsistenz und Reproduzierbarkeit. Das System ist die Quelle der Wahrheit, der Bericht ist die Sicht darauf.

Fehler 1: Risikomanagement als Stabsaufgabe ohne Geschaeftsleitungsanbindung. Die OWiG-Entlastung setzt aktive Wahrnehmung der Aufsichtspflicht voraus, nicht Delegation. Die Geschaeftsleitung muss den Risk Appetite freigeben und die Top-Risiken kennen.

Fehler 2: Risikomatrix ohne dokumentierte Methodik. Wer die Bewertungskriterien nicht vor Anwendung schriftlich fixiert, riskiert, dass Pruefer die Bewertung als willkuerlich einstufen. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Fehler 3: Risiko und Massnahme entkoppelt. Wenn das Risikoregister in Excel und die Massnahmen in einem Ticketsystem ohne Verknuepfung liegen, kann der Beleg der Wirksamkeitspruefung nicht reproduziert werden. CIVAC verbindet beides im Workspace.

Fehler 4: Risikomanagement nur zur Zertifizierung. Wer ISO 37301 nur fuer das Zertifikat aufstellt und ISO 31000 als reines Werkzeug betrachtet, verpasst die OWiG-Entlastung und die unternehmerische Steuerungswirkung.

Fehler 5: Versionierung und Audit-Trail fehlen. Bei einem Bussgeldverfahren oder einer Behoerdenpruefung muss der Stand eines Risikos zu einem bestimmten Datum reproduzierbar sein. Excel-Dateien mit Datum im Dateinamen reichen nicht.

CIVAC liefert Compliance-Beauftragten-Rolle als Officer-as-a-Service mit Berichtslinie und Audit-Trail in einem System. Andere fuehren Compliance wie einen Aktenschrank. Wir fuehren sie wie Software.

CIVAC ist eine Compliance-Plattform und Officer-as-a-Service fuer Compliance, Datenschutz, IT-Sicherheit und 22 weitere Beauftragten-Rollen. Risikoregister, Massnahmenliste, Berichtslinie, Audit-Trail und Reporting-Vorlagen liegen in einem Workspace.

Lizenzieren Sie den Workspace fuer Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Modelle teilen die gleiche Datenstruktur: 93 Controls nach ISO/IEC 27001:2022, 490 einsatzbereite Audit-Vorlagen, Bestellurkunde, Berichtslinie, EU-Datenresidenz.

Konkret fuer ISO 31000: vorkonfigurierte Scope-Templates, Context-Statement-Vorlagen, Risk-Appetite-Statement, konfigurierbare Risikomatrix mit Versionierung, Massnahmenverfolgung mit Eskalationsregeln, Berichtsformate fuer Compliance-Beauftragten, Geschaeftsleitung und Aufsichtsorgan.

Die Verzahnung mit ISO 37301:2021 fuer Compliance-Management und ISO/IEC 27001:2022 fuer Informationssicherheit ist im Workspace abgebildet. Ein Risiko aus dem Compliance-Register kann mit ISO-27001-Controls und LkSG-Praeventivmassnahmen verknuepft werden.

Die CIVAC-SLA betraegt 2 Werktage fuer Bestellung und Onboarding, statt klassischer 2 bis 6 Wochen. Der Compliance-Beauftragte erhaelt Bestellurkunde, Berichtslinie und Audit-Vorlagen am ersten Werktag. Audit-fest, dokumentiert, OWiG-fest.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Der Einstieg ist eine Lueckenanalyse: Wir mappen Ihre bestehende Risikomanagement-Praxis gegen ISO 31000:2018, ISO 37301:2021 und § 130 OWiG und liefern eine Massnahmenliste mit Aufwand und Frist.