Az ISO 31000 a szervezeti kockázatmenedzsment egyik legfontosabb nemzetközi referenciája. A szabvány jelenleg alkalmazandó kiadása, az ISO 31000:2018, átfogó iránymutatást nyújt a kockázatok azonosításához, elemzéséhez, értékeléséhez és kezeléséhez, miközben hangsúlyozza a kockázatkezelés szervezeti irányításba és döntéshozatalba történő integrálását. A szabvány következő kiadásának előkészítése már folyamatban van, így érdemes megvizsgálni, milyen irányban fejlődhet a kockázatmenedzsment nemzetközi módszertani keretrendszere.

A felülvizsgálat jelenlegi állása

Az ISO 31000 felülvizsgálatát az ISO/TC 262 műszaki bizottság végzi, amely a kockázatmenedzsmenttel kapcsolatos nemzetközi szabványok kidolgozásáért felelős. Az új kiadás fejlesztése ISO/CD 31000 megjelöléssel, a harmadik kiadás előkészítéseként indult meg. A szabvány hivatalos projektadatai szerint a bizottsági tervezetet 2025 decemberében regisztrálták, a véleményezési szakasz pedig 2026-ban zajlott. A tervezetet ezt követően további feldolgozásra visszautalták a munkacsoporthoz, majd jóváhagyták a nemzetközi szabványtervezetként (DIS) történő regisztrációját.

Ez a fejlesztési állapot azt jelzi, hogy a felülvizsgálat már túl van az előkészítés kezdeti szakaszán. Ugyanakkor a szabvány végleges tartalma és a megjelenés pontos időpontja csak a további szabványosítási lépések alapján ítélhető meg. Az ISO 31000:2018 egyelőre érvényben marad, ezért a szervezeteknek jelenleg nem indokolt egy már közzétett új követelményrendszerre történő átállással számolniuk.

Milyen változásokra lehet számítani?

A készülő kiadás részletes, végleges változáslistája a nyilvánosan elérhető projektadatokból nem állapítható meg teljes bizonyossággal. Ezért a várható fejlesztési irányokat célszerű a jelenlegi szabvány felépítése, a kockázatmenedzsment fejlődése és a kapcsolódó nemzetközi szabványok összefüggésében értékelni, nem pedig már jóváhagyott módosításokként bemutatni.

A kockázatmenedzsment és a szervezeti irányítás kapcsolata

Az ISO 31000:2018 egyik alapvető szemléleti eleme, hogy a kockázatmenedzsment nem különálló adminisztratív tevékenység, hanem a szervezeti irányítás és a döntéshozatal integrált része. A szabvány a vezetői felelősséget, a szervezeti célokkal való összhangot és a kockázatok kezelésének üzleti folyamatokba történő beépítését egyaránt hangsúlyozza.

A felülvizsgálat szakmai szempontból fontos kérdése, hogy az új kiadás mennyiben pontosítja ezt az integrációt. A korszerű szervezeteknél a kockázatok kezelése egyre szorosabban kapcsolódik a stratégiai tervezéshez, az erőforrás-allokációhoz, a teljesítményértékeléshez és a változások kezeléséhez. Egy részletesebb módszertani megközelítés elősegíthetné, hogy a kockázati információk ne csupán a kockázati nyilvántartásokban jelenjenek meg, hanem ténylegesen befolyásolják a vezetői döntéseket is.

A bizonytalanság és a változó kockázati környezet kezelése

A kockázatmenedzsment egyik központi kihívása, hogy a szervezeteknek gyakran hiányos információk, változó körülmények és egymással összefüggő kockázatok mellett kell döntéseket hozniuk. A digitális technológiák fejlődése, az ellátási láncok sérülékenysége, a kiberbiztonsági fenyegetések és a szabályozási környezet változásai egyaránt hozzájárulnak a szervezeti kockázatok összetettebbé válásához.

Az ISO 31000:2018 már jelenleg is általánosan alkalmazható megközelítést kínál bármilyen típusú kockázat kezelésére. A felülvizsgálat lehetséges szakmai jelentősége ezért nem feltétlenül új kockázatkategóriák felsorolásában, hanem a változó környezetben történő alkalmazás pontosításában keresendő. A szervezetek számára különösen fontos kérdés, hogyan építhető be a bizonytalanság folyamatos értékelése a stratégiai és operatív döntéshozatalba.

A kockázatmenedzsment folyamatának következetes alkalmazása

A jelenlegi szabvány a kockázatkezelést egymással összefüggő, iteratív folyamatként határozza meg. A kockázatok azonosítása, elemzése, értékelése és kezelése mellett jelentős szerepet kap a kommunikáció, a konzultáció, valamint a nyomon követés és a felülvizsgálat is. A folyamat nem tekinthető egyszeri feladatnak: az új információk és a tapasztalatok szükségessé tehetik a korábbi értékelések módosítását.

A következő kiadás értékelésekor ezért célszerű külön figyelmet fordítani arra, hogy a felülvizsgálat mennyiben pontosítja a folyamat egyes elemeinek kapcsolatát, illetve a kockázati információk felhasználását. A gyakorlati alkalmazás szempontjából különösen lényeges, hogy a szervezet képes legyen felismerni a kockázatok változását, felülvizsgálni a meglévő intézkedések megfelelőségét, és a tapasztalatokat visszacsatolni a döntéshozatalba.

Kapcsolódás más irányítási rendszerekhez

Az ISO 31000 általános kockázatmenedzsment-irányelv, ezért különböző ágazatokban és szervezeti környezetekben alkalmazható. Nem önálló, tanúsítható irányítási rendszerkövetelményeket határoz meg, hanem a kockázatok kezeléséhez biztosít alapelveket, keretrendszert és folyamatot.

Ennek megfelelően a szabvány felülvizsgálatának egyik fontos gyakorlati kérdése a kapcsolódó irányítási rendszerekkel való összehangolás. Az ISO 9001 minőségirányítási, az ISO 14001 környezetközpontú irányítási és az ISO/IEC 27001 információbiztonsági irányítási rendszerek mind foglalkoznak a kockázatokkal és lehetőségekkel, de eltérő szervezeti célokból és részletezettséggel. Az ISO 31000 alkalmazása támogathatja az egységes szervezeti kockázati szemlélet kialakítását, miközben az egyes irányítási rendszerek saját követelményei továbbra is külön figyelmet igényelnek.

Mit jelenthet a felülvizsgálat a szervezetek számára?

A felülvizsgálat időszaka megfelelő lehetőséget kínál a meglévő kockázatmenedzsment-gyakorlatok áttekintésére. A szervezeteknek érdemes megvizsgálniuk, hogy a kockázatértékelés eredményei ténylegesen megjelennek-e a vezetői döntésekben, a stratégiai célok meghatározásában és az operatív folyamatok kialakításában. Szintén fontos kérdés, hogy a kockázatok értékelési szempontjai következetesek-e, a felelősségi körök egyértelműek-e, és a meghozott intézkedések eredményességét rendszeresen felülvizsgálják-e.

A változásokra történő felkészülésnek nem kell megvárnia az új kiadás közzétételét. A jelenlegi ISO 31000:2018 alapján is fejleszthető a szervezeti kockázati kultúra, a kockázati információk kommunikációja és a vezetői döntések megalapozottsága. A később megjelenő kiadás összehasonlító elemzése pedig lehetőséget ad majd annak meghatározására, hogy szükséges-e a meglévő módszertanok, eljárások vagy belső útmutatók módosítása.

Összegzés

Az ISO 31000 harmadik kiadásának előkészítése fontos fejlemény a nemzetközi kockázatmenedzsment területén. A felülvizsgálat hivatalosan dokumentált folyamatban van, és a projekt eljutott a nemzetközi szabványtervezetként történő regisztráció jóváhagyásáig. A végleges módosítások megítéléséhez azonban meg kell várni a szabvány közzétételét, illetve a tervezetek részletes összehasonlítását.

A szervezetek számára addig is a legfontosabb feladat a kockázatmenedzsment tényleges működésének fejlesztése. A kockázatok módszeres azonosítása és értékelése önmagában nem elegendő: a kockázati információknak támogatniuk kell a vezetői döntéseket, a célok elérését és a szervezeti ellenálló képesség erősítését. Az új kiadás várható szakmai értéke végső soron azon mérhető majd le, hogy mennyiben segíti e célok következetesebb megvalósítását.