Governance, Compliance and Risk Standards

1 Governance-, Compliance- und Risiko Management-Standards

+ IRM - AIRMIC - PRMA Risk Management Standards
Dieser Risk Management Standard wurde vom “Institute of Risk Management” (IRM), von der “Association of Insurance and Risk Managers” (AIRMIC) und Alarm (The Public Risk Management Association) 2002 veröffentlicht. Der Standard (auch in Deutsch verfügbar) verkörpert Risk Management Best Practices, woran Organisationen sich messen können. Er verwendet nach die Risikoterminologie, welche die Internationale Organisation für Normung (ISO) in ihrem aktuellen Dokument „ISO/IEC Guide 73 Risk Management - Vocabulary - Guidelines for Use in standards“ aufgestellt hat. Mehr Informationen gibt es hier: Quelle: www.theirm.org.

+ AS/NZS 4360:2004
Der “Australian/New Zealand Risk Management Standard” „bietet einen allgemeinen Leitfaden zum Risiko Management. Dieser Standard kann auf ein breites Spektrum von Aktivitäten, Entscheidungen oder Abläufen von staatlichen, privaten oder gemeinschaftlichen Unternehmen, Gruppen oder Einzelpersonen angewandt werden. … [er] präzisiert die Komponenten des Risiko-Management-Prozesses, will aber keine Uniformität von Risiko-Management-Systemen auferlegen. Er ist allgemein gehalten und unabhängig von speziellen Industrie- und Wirtschaftszweigen“.
Quelle: www.riskmanagement.com.au. Mehr Informationen gibt es hier.

+ ITGI Risk IT Framework 2009 (COBIT)
Das “Risk IT Framework” „ergänzt ITGIs COBIT, ein unfassendes Framework für qualitativ hochwertige IT-Services. Während COBIT Good Practice für die Möglichkeiten des Risiko Managements festsetzt, bietet “Risk IT” ein Framework für Unternehmen zu Erkennung, Governance und Management von IT-Risiken“. Quelle: www.isaca.org. Mehr Informationen gibt es hier.

+ COBIT 4.1 2009
COBIT ist ein „IT-Governance Framework und unterstützendes Toolset, das es Managern erlaubt, die Kluft zwischen Kontrollanforderungen, technischen Fragen und Unternehmensrisiken zu überbrücken. COBIT ermöglicht klare politische Entwicklung und Good Practice für IT-Kontrolle in ganzen Organisationen. COBIT legt Wert auf die Einhaltung gesetzlicher Vorschriften, hilft Organisationen, den Nutzen aus IT zu vergrößern, macht IT-Alignment möglich und erleichtert die Anwendung des COBIT Framework.” Quelle: www.isaca.org. Mehr Informationen gibt es hier.

+ COSO 2009 Guidance on Monitoring Internal Control Systems
“Guidance on Monitoring Internal Control Systems” (2009) basiert auf einem dreibändigen 2008 Exposure Draft, welcher die wichtige Bedeutung von interner Kontrolle als Bestandteil der fünf Säulen des COSO Risk Management Frameworks im Detail ausführt. Mehr Informationen gibt es hier.

+ COSO 2009 Guidance on Monitoring Internal Control Systems
Das integrierte Framework zum Enterprise Risk Management „geht näher auf interne Kontrolle ein, indem es sich stärker und umfassender auf das breite Gebiet des Risiko Managements für Unternehmen konzentriert. Da es das interne Kontroll-Framework eher integriert anstatt es ersetzen zu wollen, können Unternehmen dieses Framework zum Risiko Management einerseits dafür nutzen, ihren internen Kontrollbedarf zu stillen, aber auch, um sich an den ganzen Risiko-Management-Prozess anzunähern.” Quelle: www.coso.org. Mehr Informationen gibt es hier.

+ COSO 1992 Internal Control — Integrated Framework
Das “Committee of Sponsoring Organizations of the Treadway Commission” (COSO) hat “Internal Control – Integrated Framework” herausgegeben. Es ist ein Framework, „das Unternehmen und anderen Organisationen hilft, ihre internen Kontrollsysteme zu bewerten und zu verbessern.” Es wurde mit zusätzlichen Standards weiterentwickelt und präzisiert. Quelle: www.coso.org.

• Kontrollumfeld — Kontrollumfeld — Diese Komponente konzentriert sich auf das Risiko Management innerhalb von Organisationen. Folgende wichtige Fragen werden gestellt: Sind sich die Menschen in dieser Organisation darüber bewusst, wie wichtig Risiko Management ist, und verstehen sie das Risikoprofil der Organisation? Setzten das Management und der Verwaltungsrat den “Tone at the Top”? Sind Risikobewusstsein und -minderung in den Werten der Organisation, der Integrität und der Kompetenz der Mitarbeiter eingebettet? Ist Risiko Management Teil der Philosophie des Managements, der Arbeitsweise und der Art, wie das Management Autorität und Verantwortung zuweist?
• Risikobewertung — Jede Organisation wird mit internen und externen Risiken konfrontiert, welche die Ziele der Organisation beeinträchtigen können. Risikobewertung erkennt die Risiken, die diese Ziele beeinflussen können, und bestimmt, wie die Organisation diesen Risiken begegnen kann.
• Kontrolltätigkeiten — Diese beziehen sich auf das interne Kontrollsystem der Organisation. Sie schließen Strategien und Vorgehensweisen mit ein, welche Genehmigungsprozesse, Autorisierungsebenen, Vermögenssicherheit, Aufgabentrennung, etc. bestimmen.
• Information und Kommunikation — Diese Komponente bezieht sich auf die Informations- und Kommunikationssysteme einer Organisation, einschließlich der Erstellung von operationellen und finanziellen Berichten.
• Monitoring — Diese Komponente wird oft mit der Komponente “Kontrolltätigkeiten” verwechselt. Während Kontrolltätigleiten das interne Kontrollsystem einer Organisation festlegen, konzentriert sich die “Monitoring” Komponente auf die Überwachung dieser Systeme, z.B. auf die die unmittelbare Aufsicht und Auswertung.

Mehr Informationen gibt es hier.

+ ISO/IEC Guide 73- Risk Management – Vocabulary
Dieser Leitfaden bietet einen Basiswortschatz der Definitionen von Oberbegriffen des Risiko Managements. Die erste Ausgabe des “ISO/IEC Guide 73” wurde von der „ISO Technical Management Board Working Group 2“ über Risiko Management Terminologie erstellt. In der zweiten Ausgabe haben sie Risiko Management in Verbindung mit der Entwicklung von ISO 31000 erarbeitet, um Veränderungen im Risiko Management und Feedback von Usern zu reflektieren. Quelle: www.iso.org. Mehr Informationen gibt es hier.

+ ISO 31000 Risk Management
Risiko Management spielt eine wesentliche Rolle bei der Realisierung von Programmentwicklung. Um eine nützliche Zusammenstellung von Richtlinien und Grundsätzen hat sich die Internationale Organisation für Normung (ISO) gekümmert. Im Jahre 2005 stellte die ISO das “New Work Item Proposal” (NWIP) vor, ein Orientierungsstandard zum Risiko Management. Nach der Zustimmung von ISO Mitgliedern entwickelte eine ISO Arbeitsgruppe den Komitee-Entwurf (Commitee Draft) ISO CD31000. Der Standard „bietet allgemeine Richtlinien für die Prinzipien und adäquate Durchführung von Risiko Management. Er ist nicht für die Nutzung zur Zertifizierung gedacht.“ Quelle: www.iso.org. Mehr Informationen gibt es hier.

+ BIP 2121:2006
Ein Risiko-Management-Ansatz zur Unternehmenskontinuität. Er bringt Unternehmenskontinuität in Einklang mit der Unternehmensführung.

+ BS 7799-3:2006
Informationssicherheits-Management-Systeme. Richtlinien für Informationssicherheits-Risiko-Management.

+ BS 8555:2003
Leitfaden für die Anwendung eines Umweltmanagementsystems einschließlich Ökobilanz.

+ BS-6079-3:2000 Project management
Richtlinie zum geschäftsbezogenen Projektrisiko(UK 2000). Dieser britische Standard, Teil der BS 6079 Reihe, bietet eine Orientierungshilfe für die Erkennung und Kontrolle von geschäftsbezogenen Risiken, auf die man bei der Durchführung von Projekten stoßen kann. Diese Richtlinien sind auf ein breites Spektrum von Projektorganisationen anwendbar, die auf industriellem, gewerblichem, öffentlichem oder ehrenamtlichem Gebiet tätig sind. Der Standard wurde für Projektträger und Projektmanager geschrieben, denn sie sind fast immer auf einem höheren Level verantwortlich für ein oder mehrere Projekte von verschiedener Art und Größe.

+ BS8800:1996 Leitfaden zur Errichtung von Arbeitsschutzmanagementsystemen
BVQI SafetyCert: Standard für Arbeitsschutz- und Gesundheitsmanagement

+ IAS 39 International Accounting Standard 39
Das Ziel dieses Standards ist die Erkennung und die Bewertung von finanziellen Vermögenswerten, finanziellen Verbindlichkeiten und bestimmten Verträgen über den Kauf oder Verkauf nicht finanzieller Posten. Anforderungen an die Präsentation von Informationen über Finanzinstrumente finden sich in „IAS 32 Financial Instruments: Presentation“. Anforderungen an die Offenlegung von Informationen über Finanzinstrumente finden sich in „IFRS 7 Financial Instruments: Disclosures“.

+ IEC/DIS 31010 Risk management
Risikobewertungsrichtlinien (international, Veröffentlichungsdatum steht noch nicht fest).

+ ISO 14001:2004
ISO 14001:2004 benennt Anforderungen an ein Umweltmanagementsystem, um eine Organisation dazu zu befähigen, eine Strategie und Ziele zu entwickeln und zu verwirklichen, die gesetzliche Bestimmungen und andere Bestimmungen berücksichtigen, zu deren Einhaltung sich die Organisation verpflichtet. Außerdem werden Informationen über wichtige Umweltaspekte gegeben.

+ ISO 14121-1 (EN 1050)
ISO 14121-1:2007 bietet Orientierungshilfe für die Informationen, die benötigt werden, um die Durchführung von Risikobewertung möglich zu machen. Es werden Verfahrensweisen für die Erkennung von Gefahren und die Einschätzung und Bewertung von Risiken an die Hand gegeben. Der Standard hilft auch bei der Entscheidungsfindung in Bezug auf die Sicherheit von Maschinen und bei der Dokumentation, die benötigt wird, um die durchgeführte Risikobewertung nachzuweisen.

+ ISO 14971
ISO 14971:2007 benennt Verfahrensweisen für Hersteller, um Gefahren in Verbindung mit Medizinprodukten zu erkennen, einschließlich In-vitro-Diagnostik (IVD), um damit verbundene Risiken einzuschätzen und zu bewerten, sie zu kontrollieren und die Effektivität dieser Kontrollen zu überwachen.

+ ISO 17666:2003
ISO 17666:2003 erweitert die Anforderungen aus ISO 14300-1, die Grundsätze und Anforderungen für ganzheitliches Risiko Management bei einem Weltraumprojekt. Es wird erklärt, was man braucht, um ein projekteingebundenes Risiko Management durch jeden Akteur auf jedem Level durchzuführen (d.h. Kunde, First-Level Supplier oder Lower-Level Suppliers).

+ ISO 22000:2005
Dieser Standard benennt Anforderungen an ein Lebensmittelsichterheit-Management-System, in dem eine Organisation in der Lebensmittelkette nachweisen muss, dass sie dazu in der Lage ist, mögliche Risiken für die Lebensmittelsicherheit zu kontrollieren, damit sichergestellt ist, dass die Lebensmittel beim Verzehr ungefährliche sind. Er kann auf jede Organisation angewandt werden, egal von welcher Größe, die irgendwie in die Lebensmittelkette involviert sist und Systeme anwenden möchte, die durchweg sichere Produkte bieten.

+ ISO/IEC 16085:2006
ISO/IEC 16085:2006 definiert ein Verfahren zum Management von Risiken im Lebenszyklus. Das Verfahren kann ergänzend zu den bestehenden System- und Softwarelebenszyklus-Verfahren angewendet werden, die von ISO/IEC 15288 and ISO/IEC 12207 benannt wurden, oder aber auch unabhängig davon.

+ ISO/IEC 17799:2005
ISO/IEC 17799:2005 stellt Richtlinien und allgemeine Grundsätze auf, um Informationssicherheits-Management in einer Organisation einzuführen, durchzuführen, aufrechtzuerhalten und zu verbessern. Die skizzierten Ansätze bieten eine allgemeine Orientierungshilfe für einheitlich akzeptierte Ziele von Informationssicherheits-Management. Er wurde 2006 in ISO 27002 umgewandelt.

+ ISO/IEC 24762:2008
Bietet Richtlinien für die Bereitstellung von Kommunikations- und Informationstechnologie Disaster Recovery (ICT DR) Dienste als Teil des Business Continuity Managements, anwendbar sowohl auf “in-house” als auch auf “outsourced” ICT DR Dienstleister physikalischer Anlagen und Dienste.

+ ISO/IEC 27002:2005
Stellt Richtlinien und allgemeine Grundsätze auf, um Informationssicherheits-Management in einer Organisation einzuführen, durchzuführen, aufrechtzuerhalten und zu verbessern.

+ ISO/IEC 27005:2008
ISO/IEC 27005:2008 bietet Richtlinien für Informationssicherheits-Management. Er unterstützt die allgemeinen Konzepte, die in ISO/IEC 27001 genauer ausgeführt werden, und soll die Umsetzung von Informationssicherheit unterstützen, basierend auf einem Risiko Management Ansatz.

+ ISO/IEC Guide 73:2002
Risiko-Management - Wörterbuch - Leitfaden für die Berücksichtigung von Termini zum Risiko-Management in Normen

+ ISO/PAS 22399:2007
Bietet einer Organisation — privaten, staatlichen und nichtstaatlichen Organisationen — allgemeine Richtlinien für die Entwicklung seiner eigenen spezifischen Leistungskriterien für Zwischenfallvorbereitung und operationelle Kontinuität und für die Gestaltung eines geeigneten Management Systems.

+ ISO/TS 22367:2008
ISO/TS 22367:2008 charakterisiert die Anwendung von ISO 15189 als ein System zur Reduzierung von Laborfehlern und Verbesserung der Patientensicherheit durch die Anwendung der Grundsätze des Risiko Managements. Es wird Bezug auf Prüfungsaspekte genommen, besonders auf Aspekte vor und nach der Prüfung der labormedizinischen Betreuung. ISO/TS 22367:2008 regt eine Methodologie zur Findung und Charakterisierung von labormedizinischen Fehlern an, die mit der Anwendung von ISO 15189 vermieden würden.

+ JIS Q 2001:2001 Richtlinien für die Entwicklung und Durchführung eines Risiko Management Systems (Japan 2001)

+ M_o_R Management of Risks
M_o_R betrachtet Risiko aus verschiedenen Perspektiven innerhalb einer Organisation: aus strategischer, programmbezogener, projektbezogener und operativer Sicht. Während es an andere OGC Best Practices anknüpft, respektiert es die Rollen, Verantwortlichkeiten und Terminologien, die außerhalb der Disziplinen von Programm und Projekt Management angewendet werden. Mehr Informationen gibt es hier: here.

+ OHSAS 18001/18002
Konzentriert sich auf betriebliches Gesundheits- und Sicherheitsmanagement.

+ ONR 49000:2004 ff.
Risikomanagement für Organisationen und Systeme: Begriffe und Grundlagen (Österreich 2004)

+ ONR 49000:2008 ff.
Risikomanagement für Organisationen und Systeme - Begriffe und Grundlagen - Anwendung von ISO/DIS 31000 in der Praxis (Österreich 2008)

+ SGS & ISMOL ISA 2000:1997 R
Anforderungen an Sicherheits- und Gesundheitsmanagement-Systeme

+ Technical Report NPR 5001: 1997
Leitfaden für ein betriebliches Gesundheits- und Sicherheitsmanagement-System

+ UNE 81900
Serie von Vornormen zur Vermeidung berufsbedingter Risiken

+ Verordnung (EG) Nr. 761/2001
Sehr ähnlich zu ISO 14001, heute darin integriert.

Für weitere Informationen zum MinimaRisk Training, senden Sie uns bitte einen Email an contact@minimarisk.com.
Benötigen Sie Informationen über Enterprise Risk Management und ähnliche Risk Services, besuchen Sie bitte unsere Website unter www.minimarisk.com.