Sicherheitsrisiko in der Sprache der Geschäftsleitung

Der Betrieb spricht in Stunden, Posten und Rundgängen. Die Leitung spricht von Exposition: was schiefgehen kann, wie schwer es wäre und ob die Einschätzung auf Belegen oder auf einem Eindruck beruht. ISO 31000:2018 gibt Grundsätze, um Risiken in der ganzen Organisation zu identifizieren, zu analysieren, zu bewerten, zu behandeln, zu überwachen und zu kommunizieren — und die Kommunikation an die Leitung gehört zur Methode.

• Wahrscheinlichkeit: auf einer in Worten definierten Skala (selten bis fast sicher), gestützt auf die Historie des Standorts.
• Auswirkungskategorien: Sicherheit von Menschen, Betriebskontinuität, Sachwerte, Informationen, rechtliche und regulatorische Exposition, Reputation.
• Trend: Steigt, sinkt oder bleibt das Risiko seit dem letzten Bericht gleich?
• Belege: Schichtberichte, Vorfallprotokoll, Prüfergebnisse — keine Beteuerungen.

Wenn der Bericht an die Leitung nur Aktivität zählt („1.200 Rundgänge durchgeführt“), sagt er nichts über das Risiko. Fragen Sie, was sich an der Exposition geändert hat.

1. Szenario: Bedrohung, Schwachstelle und was getroffen wird, in einem Satz.
2. Wahrscheinlichkeit und Auswirkung: die Bewertung vor den Maßnahmen.
3. Maßnahmen: was heute besteht — Personal, Abläufe, Technik.
4. Restrisiko: die Bewertung nach den Maßnahmen und ob sie innerhalb der Toleranz liegt.
5. Eigner: eine Person, keine Abteilung.
6. Maßnahmenstand: was geschieht, bis wann, mit welchem Nachweis.
7. Trend und letzte Überprüfung.

Das Register muss nicht lang sein. Zehn bis zwanzig Szenarien je Standort reichen, um zu zeigen, wo die echte Exposition liegt.

Der häufigste Fehler ist die Annahme, „Sicherheit ist Sache des Sicherheitsdienstes“. Der Dienstleister verantwortet die Ausführung; das Unternehmen trägt das Risiko. Jeder Risikoeigner ist daher jemand aus der Organisation — etwa die Leitung Facility Management für die Außengrenze oder die Logistikleitung für das Lager.

• Der Risikoeigner legt die Toleranz fest und gibt Maßnahmen frei.
• Der Sicherheitsdienstleister setzt um, dokumentiert, berichtet und schlägt Änderungen vor.
• Geschäftsleitung oder Aufsichtsgremium sehen das Gesamtbild, entscheiden, wie viel Risiko das Unternehmen trägt, und prüfen, dass die Eigner ihre Aufgabe erfüllen.

• Sofort: jeder Vorfall, der die Sicherheit von Menschen berührt, den Betrieb stoppt oder rechtliche Exposition schafft — nach einer vorab festgelegten Eskalationsregel.
• Monatlich: eine Überprüfung mit dem Dienstleister anhand von Leistungskennzahlen — siehe KPIs für Sicherheitsdienste.
• Quartalsweise: das Risikoregister an die Leitung: was sich änderte, welche Maßnahmen abgeschlossen sind, welches Risiko die Toleranz verlassen hat.
• Jährlich: eine vollständige Überprüfung der Risikoanalyse und der Toleranzgrenzen.

Schreiben Sie Rhythmus und Eskalationsregel in den Bewachungsvertrag, damit beides nicht vom Wohlwollen Einzelner abhängt.

1. Was sind die drei größten Risiken an unseren Standorten, und welche Belege stützen diese Einschätzung?
2. Welches Risiko ist seit dem letzten Bericht gestiegen, und warum?
3. Welche Feststellungen oder Korrekturmaßnahmen sind über ihre Frist hinaus offen?
4. Was war der schwerste Vorfall im Zeitraum, und was haben Sie danach geändert?
5. Woran würden wir merken, dass eine Maßnahme nicht mehr wirkt — ein ausgefallener Rundgang, eine Kamera außer Betrieb?
6. Was ist heute nicht abgedeckt, und wer hat das akzeptiert?

Die letzte Frage ist die wichtigste. Ein Dienstleister, der klar sagen kann, was er nicht abdeckt, gibt der Leitung ein echtes Bild; einer, der sagt „alles ist abgedeckt“, tut es nicht.

1. Fakten: was geschah, wann, wo, wer gehandelt hat — aus einem schriftlichen Vorfallbericht.
2. Betriebliche Auswirkung: welcher Prozess stand still oder wurde langsamer, und wie viele Stunden.
3. Bezug zum Register: welchem Szenario entspricht er? War es schon erfasst, oder ist es neu?
4. Neubewertung: ändern sich Wahrscheinlichkeit oder Auswirkung des Szenarios?
5. Entscheidung: eine neue Maßnahme, eine geänderte Toleranz oder die ausdrückliche Annahme des Risikos durch seinen Eigner.

Die Sicherheitsberatung von OVIT liefert unabhängige Feststellungen, belegt und in einem Risikoregister priorisiert, bereit für Aufsichtsgremium und Versicherer. Im Alltag hält die Plattform Guardly Rundgänge, Vorfälle und Berichte in einem Bild, aus dem sich das Register speist.