ISO 9001 vs. ISO 31000: Unterschied zwischen risikobasiertem Denken und Risikomanagement

Risikobasiertes Denken nach ISO 9001 ist ein integrierter Bestandteil des Qualitätsmanagementsystems. ISO 31000 ist ein eigenständiger, umfassender Standard für professionelles Risikomanagement im ganzen Unternehmen. Die beiden werden in der Praxis häufig verwechselt, weil beide von Risiken handeln, dabei aber unterschiedliche Ziele und Detailtiefen verfolgen. Dieser Beitrag zeigt die wichtigsten Unterschiede, wie die beiden zusammenspielen und wann sich eine vollständige Einführung von ISO 31000 überhaupt lohnt.

Zwei unterschiedliche Ausgangspunkte

ISO 9001 verlangt seit der Revision 2015 in Kapitel 6.1, dass Organisationen Risiken und Chancen im Zusammenhang mit ihrem Qualitätsmanagementsystem berücksichtigen. Die Norm schreibt dabei keine bestimmte Methode vor – Sie entscheiden selbst, wie detailliert Sie Risiken analysieren.

ISO 31000 dagegen ist kein Zertifizierungsstandard, sondern ein Leitfaden für Risikomanagement als eigenständige Disziplin. Die Norm beschreibt Grundsätze, einen Rahmen und einen Prozess, um Risiken jeder Art – finanziell, operativ, strategisch, reputationsbezogen – systematisch zu managen, unabhängig von einem Qualitätsmanagementsystem. Während ISO 9001 also einen klar begrenzten Anwendungsbereich hat – Risiken im Zusammenhang mit der Fähigkeit, normkonforme Produkte und Dienstleistungen zu liefern –, betrachtet ISO 31000 die gesamte Risikolandschaft eines Unternehmens, von Cyberrisiken über Reputationsrisiken bis zu strategischen Fehlentscheidungen.

Die wichtigsten Unterschiede im Überblick

• Geltungsbereich: ISO 9001 bezieht Risiken auf die Fähigkeit, Kund:innenanforderungen zu erfüllen. ISO 31000 betrachtet alle Risikoarten eines Unternehmens, auch ausserhalb der Qualität.
• Zertifizierbarkeit: ISO 9001 ist zertifizierbar. ISO 31000 ist ein Leitfaden ohne Zertifizierungsmöglichkeit.
• Detailtiefe: ISO 9001 verlangt risikobasiertes Denken als Grundhaltung im gesamten System. ISO 31000 liefert einen ausführlichen Prozess mit eigenen Begriffen, Rollen und Dokumentationsanforderungen.
• Einsatzzweck: ISO 9001 reicht für die meisten kleineren und mittleren Unternehmen. ISO 31000 lohnt sich, wenn Risikomanagement als eigene Funktion mit dediziertem Team aufgebaut werden soll. Begrifflichkeit: ISO 9001 verwendet die einfachen Begriffe Risiko und Chance, während ISO 31000 ein umfangreicheres Vokabular mit Begriffen wie Risikokriterien, Risikoeigentum und Residualrisiko einführt, das für ein KMU meist unnötig komplex ist.

Wie die beiden Normen zusammenspielen

ISO 9001 und ISO 31000 schliessen sich nicht aus. Viele Organisationen nutzen die Grundsätze und den Prozess aus ISO 31000, um das in ISO 9001 geforderte risikobasierte Denken methodisch zu unterlegen. Der ISO-31000-Prozess – Kontext festlegen, Risiken identifizieren, analysieren, bewerten, behandeln, überwachen – lässt sich direkt auf die Risikoanalyse im Qualitätsmanagementsystem anwenden.

Für ein integriertes Managementsystem mit mehreren Normen (etwa ISO 9001, ISO 14001 und ISO 27001) bietet sich ISO 31000 als gemeinsamer methodischer Rahmen für alle Risikobetrachtungen an, statt für jede Norm eine eigene Vorgehensweise zu entwickeln. So lässt sich etwa eine einzige Risikomatrix führen, die Umweltrisiken nach ISO 14001, Informationssicherheitsrisiken nach ISO 27001 und Qualitätsrisiken nach ISO 9001 gemeinsam abbildet, statt drei parallele, schwer vergleichbare Systeme zu pflegen.

Brauchen Sie ISO 31000 zusätzlich zu ISO 9001?

Für die meisten Organisationen mit ISO-9001-Zertifizierung reicht ein pragmatisches risikobasiertes Denken ohne formelle ISO-31000-Einführung. Eine vollständige Einführung von ISO 31000 lohnt sich vor allem, wenn:

• Risikomanagement in mehreren Bereichen gleichzeitig professionalisiert werden soll,
• eine Geschäftsleitung oder ein Verwaltungsrat ein einheitliches Risikoreporting über die ganze Organisation verlangt,
• regulatorische Anforderungen ausserhalb der Qualitätsnorm ein strukturiertes Risikomanagement vorschreiben.

Typische Missverständnisse zwischen den beiden Normen

• "ISO 31000 ersetzt das risikobasierte Denken in ISO 9001": Falsch – ISO 31000 kann die Methodik liefern, ersetzt aber nicht die Anforderung aus ISO 9001 selbst.
• "Ohne ISO 31000 ist die Risikoanalyse nach ISO 9001 unvollständig": Falsch – ISO 9001 verlangt keine bestimmte Methode, ein einfaches, dokumentiertes Vorgehen genügt.
• "ISO 31000 kann zertifiziert werden": Falsch – die Norm dient als Leitfaden, nicht als Zertifizierungsgrundlage. Wer sich extern zertifizieren lassen möchte, kann lediglich eine Konformitätsprüfung oder ein internes Assessment gegen die Norm durchführen lassen, aber keine offizielle ISO-31000-Zertifizierung erwerben, wie das bei ISO 9001 der Fall ist.

Der ISO-31000-Prozess im Detail

ISO 31000 beschreibt einen sechsstufigen Prozess, der sich unabhängig von einer formellen Einführung als Denkraster nutzen lässt:

1. Kontext festlegen: interne und externe Rahmenbedingungen sowie Ziele definieren.
2. Risiken identifizieren: mögliche Ereignisse und deren Ursachen erfassen.
3. Risiken analysieren: Ursachen, Folgen und Eintrittswahrscheinlichkeit verstehen.
4. Risiken bewerten: gegen die festgelegten Akzeptanzkriterien abgleichen.
5. Risiken behandeln: vermeiden, vermindern, übertragen oder akzeptieren.
6. Überwachen und überprüfen: den gesamten Prozess laufend aktuell halten.

Dieser Prozess deckt sich inhaltlich stark mit dem, was viele Organisationen ohnehin schon informell für ihre Risikoanalyse nach ISO 9001 tun – ISO 31000 macht daraus lediglich eine explizite, benannte Struktur.

Für wen sich ISO 31000 besonders eignet

ISO 31000 entfaltet den grössten Nutzen in grösseren Organisationen mit komplexer Risikolandschaft: Finanzdienstleister, Unternehmen mit umfangreichen Lieferketten, Organisationen im öffentlichen Sektor oder Unternehmen, die von Investor:innen oder Aufsichtsbehörden ein dokumentiertes, unternehmensweites Risikomanagement verlangt bekommen. Für ein KMU mit übersichtlicher Struktur und einem einzigen Managementsystem nach ISO 9001 reicht in aller Regel das im Rahmen der Norm geforderte risikobasierte Denken vollkommen aus. Ein Anzeichen dafür, dass sich der zusätzliche Aufwand lohnen könnte, ist, wenn mehrere Abteilungen unabhängig voneinander ähnliche Risiken auf unterschiedliche Weise bewerten – hier schafft ein einheitlicher ISO-31000-Rahmen Konsistenz.

Ein Beispiel aus der Praxis: Eine Schweizer Kantonalbank mit mehreren Geschäftsbereichen führt neben dem ISO-9001-Qualitätsmanagement zusätzlich ein Risikomanagement nach ISO 31000 ein, weil die Finanzmarktaufsicht ein konzernweit einheitliches Rahmenwerk verlangt und Kredit-, Betriebs- und Reputationsrisiken über mehrere Abteilungen hinweg vergleichbar bewertet werden müssen. Ein regionales Ingenieurbüro mit zehn Mitarbeitenden dagegen deckt dieselben Risikothemen vollständig über das risikobasierte Denken nach ISO 9001 ab, da eine einzige Geschäftsleitung die Übersicht behält und kein zusätzliches Rahmenwerk nötig ist.

Weitere verwandte Normen im Überblick

Neben ISO 9001 und ISO 31000 begegnen Ihnen im Zusammenhang mit Risikomanagement gelegentlich weitere Normen:

• ISO 27001 (Informationssicherheit): verlangt eine eigene, detaillierte Risikobewertung für Informationswerte, die sich methodisch stark an ISO 31000 orientiert.
• ISO 14001 (Umweltmanagement): verlangt ebenfalls risikobasiertes Denken, bezogen auf Umweltaspekte statt auf Qualität.
• ISO 45001 (Arbeitsschutz): verlangt eine spezialisierte Gefährdungsbeurteilung, die strengeren, teils gesetzlich vorgeschriebenen Kriterien folgt als die allgemeine Risikoanalyse nach ISO 9001.

Für ein integriertes Managementsystem mit mehreren dieser Normen lohnt sich ein gemeinsamer methodischer Rahmen – hier kann ISO 31000 tatsächlich seinen grössten Nutzen entfalten, da sie branchen- und normenübergreifend anwendbar ist.

Häufige Verwechslungen klären und Entscheidungshilfe: reicht ISO 9001 allein aus?

In Ausschreibungen oder Kundenanfragen wird gelegentlich "Zertifizierung nach ISO 31000" verlangt – ein Missverständnis, da die Norm gar nicht zertifizierbar ist. Klären Sie in solchen Fällen frühzeitig mit der anfragenden Partei, ob tatsächlich ein dokumentiertes Risikomanagement nach den Prinzipien von ISO 31000 gemeint ist, oder ob eine ISO-9001-Zertifizierung mit belegtem risikobasiertem Denken bereits ausreicht. Diese Klärung erspart unnötigen Aufwand und Missverständnisse im weiteren Verlauf der Zusammenarbeit.

Entscheidungshilfe: Reicht ISO 9001 allein aus?

Stellen Sie sich vor der Einführung von ISO 31000 folgende Fragen: Verlangt eine übergeordnete Stelle (Konzernmutter, Aufsichtsbehörde, Investoren) ausdrücklich ein Risikomanagement nach anerkanntem Standard? Betreiben Sie mehrere Managementsysteme, deren Risikobetrachtungen Sie vereinheitlichen möchten? Wird Risikomanagement bei Ihnen bereits als eigene, dedizierte Funktion mit eigenem Budget geführt? Beantworten Sie alle drei Fragen mit Nein, genügt das risikobasierte Denken nach ISO 9001 in aller Regel vollständig.

Häufig gestellte Fragen zu ISO 9001 und ISO 31000

Ersetzt ISO 31000 das risikobasierte Denken nach ISO 9001?

Nein, dieser Gedanke ist ein häufiges Missverständnis. ISO 31000 kann die Methodik für die Risikoanalyse liefern, ersetzt aber nicht die eigenständige Anforderung aus ISO 9001. ISO 9001 verlangt zudem keine bestimmte Methode – ein einfaches, dokumentiertes Vorgehen genügt bereits, auch ohne formelle Einführung von ISO 31000. Wer ISO 31000 als methodische Inspiration nutzt, profitiert von einer bewährten Struktur, ohne den zusätzlichen Dokumentationsaufwand einer vollständigen Einführung tragen zu müssen.

Kann ein Unternehmen nach ISO 31000 zertifiziert werden?

Nein, ISO 31000 ist kein Zertifizierungsstandard, sondern ein Leitfaden für Risikomanagement als eigenständige Disziplin. Wer sich extern prüfen lassen möchte, kann lediglich eine Konformitätsprüfung oder ein internes Assessment gegen die Norm durchführen lassen, aber keine offizielle ISO-31000-Zertifizierung erwerben, wie das bei ISO 9001 der Fall ist. In Ausschreibungen wird "Zertifizierung nach ISO 31000" gelegentlich fälschlich verlangt – hier lohnt sich eine frühzeitige Klärung mit der anfragenden Partei. Meist reicht eine ISO-9001-Zertifizierung mit belegtem risikobasiertem Denken bereits vollständig aus.

Für welche Unternehmen lohnt sich eine formelle Einführung von ISO 31000?

ISO 31000 entfaltet den grössten Nutzen in grösseren Organisationen mit komplexer Risikolandschaft, etwa Finanzdienstleistern, Unternehmen mit umfangreichen Lieferketten oder Organisationen, die von Investor:innen oder Aufsichtsbehörden ein dokumentiertes, unternehmensweites Risikomanagement verlangt bekommen. Ein Anzeichen dafür, dass sich der zusätzliche Aufwand lohnen könnte, ist, wenn mehrere Abteilungen unabhängig voneinander ähnliche Risiken auf unterschiedliche Weise bewerten. Für ein KMU mit übersichtlicher Struktur und einem einzigen Managementsystem nach ISO 9001 reicht in aller Regel das im Rahmen der Norm geforderte risikobasierte Denken vollkommen aus.

Wie lassen sich ISO 9001 und ISO 31000 sinnvoll kombinieren?

Viele Organisationen nutzen die Grundsätze und den sechsstufigen Prozess aus ISO 31000 – Kontext festlegen, Risiken identifizieren, analysieren, bewerten, behandeln, überwachen –, um das in ISO 9001 geforderte risikobasierte Denken methodisch zu unterlegen, ohne die Norm formell einzuführen. Für ein integriertes Managementsystem mit mehreren Normen, etwa ISO 9001, ISO 14001 und ISO 27001, bietet sich ISO 31000 zudem als gemeinsamer methodischer Rahmen für alle Risikobetrachtungen an. So lässt sich eine einzige Risikomatrix führen, die Risiken aus mehreren Normen gemeinsam abbildet, statt mehrere parallele Systeme zu pflegen.

Worin unterscheidet sich der Geltungsbereich der beiden Normen konkret?

ISO 9001 bezieht Risiken auf die Fähigkeit, Kund:innenanforderungen zu erfüllen und normkonforme Produkte oder Dienstleistungen zu liefern. ISO 31000 betrachtet dagegen die gesamte Risikolandschaft eines Unternehmens, von Cyberrisiken über Reputationsrisiken bis zu strategischen Fehlentscheidungen, unabhängig von einem Qualitätsmanagementsystem. Entsprechend verwendet ISO 9001 die einfachen Begriffe Risiko und Chance, während ISO 31000 ein umfangreicheres Vokabular mit Begriffen wie Risikokriterien oder Residualrisiko einführt. Für die meisten KMU ist dieses zusätzliche Vokabular unötig komplex und ohne praktischen Mehrwert.

Fazit

ISO 9001 und ISO 31000 verfolgen mit dem risikobasierten Denken dasselbe Grundanliegen, unterscheiden sich aber in Tiefe und Verbindlichkeit: Während ISO 9001 Risikobetrachtung als integralen, aber schlank gehaltenen Teil des Managementsystems verlangt, bietet ISO 31000 einen umfassenden, aber nicht zertifizierbaren Rahmen für ein eigenständiges Risikomanagement. Für die meisten KMU genügt die in ISO 9001 verankerte Risikobetrachtung vollständig, ohne dass ein paralleles Risikomanagementsystem nach ISO 31000 aufgebaut werden muss. Sinnvoll wird der Blick auf ISO 31000 vor allem dann, wenn ein Unternehmen sein Risikomanagement vertiefen, mit anderen Normen wie ISO 27001 oder ISO 45001 verzahnen oder gegenüber Kund:innen und Kapitalgebern besonders ausführlich dokumentieren möchte. Wer unsicher ist, sollte zunächst prüfen, ob die bestehende Risikomatrix und das Risikoregister die tatsächlichen Risiken des Unternehmens abdecken, bevor ein zusätzliches Rahmenwerk eingeführt wird.

Wie Sie das risikobasierte Denken nach ISO 9001 in der Praxis umsetzen, lesen Sie im Beitrag Risikobasiertes Denken nach ISO 9001: Risiken und Chancen erkennen. Für die systematische Erfassung von Risiken samt Verantwortlichkeiten siehe Risikoregister und Risikoeigner: Risiken systematisch erfassen.