Risikoanalyse

Die Methode „Risikoanalyse durchführen“ ist ein strukturierter Prozess, der Risiken systematisch identifiziert, analysiert, bewertet und behandelt sowie laufend überwacht. DIN Media beschreibt den Kernprozess in ISO 31000 als Risikoidentifizierung, Risikoanalyse (Natur/Charakteristika/Ausmaß verstehen) und Risikobewertung (Vergleich mit Risikokriterien).

Damit Risiken im FM portfoliofähig und vergleichbar werden, wird die Risikoanalyse an eine einheitliche Service-/Produktstruktur gekoppelt: DIN EN 15221‑4 beschreibt Taxonomie als Klassifizierungssystem für verbessertes Informationsmanagement und fordert die Ausrichtung der Taxonomie an Geschäftsprozessen; die Taxonomie beinhaltet ein Beziehungsmodell, eine Produkt-/Dienstleistungsstruktur und ein Klassifizierungssystem.

Ziel ist eine belastbare Entscheidungsgrundlage für Priorisierung, Investitionen, Maßnahmensteuerung, Sourcing und Governance: ISO 41001 beschreibt als Kontext für ein FM‑System u. a. wirksame/effiziente Leistungserbringung zur Unterstützung der Demand‑Organisation, konsistentes Erfüllen von Stakeholder‑Erfordernissen und anwendbaren Anforderungen sowie Nachhaltigkeit. 

Die Methode ist anwendbar auf Standorte, Gebäude, Anlagencluster (TGA), Services (z. B. Security, Cleaning, Instandhaltung), Provider/Verträge sowie FM‑Programme (Masterplanung, Transition, Standardisierung). ISO 41012 ist hierbei relevant, weil sie Guidance zu strategischem Sourcing und der Entwicklung von Vereinbarungen liefert und explizit Rollen/Verantwortlichkeiten sowie Agreement‑Strukturen hervorhebt. [5] ISO 41014 ist relevant, weil sie FM‑Strategieentwicklung mit Zukunftsszenarien und Risiken verknüpft.

heterogene Datenbasis (CAFM/ERP/HSE nicht sauber gemappt), unklare Risikokriterien (was ist „hoch“), unterschiedliche Eskalationskulturen je Standort und Provider, sowie inkonsistente Service-/Leistungsdefinitionen. DIN EN 15221‑4 adressiert die Beseitigung von Harmonisierungshindernissen durch Taxonomie/Struktur und die Ausrichtung an Geschäftsprozessen.

Erforderlich sind: definierter Scope (Portfolioeinheiten), Risikokriterien (Skalen/Schwellen), Datenzugang, Rollen/Owner, sowie ein Review‑Rhythmus. PDCA‑Fähigkeit ist in einem späteren EN‑15221‑4‑Norm‑Entwurf explizit als Erweiterung des FM‑Grundmodells um eine Prozessdimension (Plan‑Do‑Check‑Act) beschrieben.

Standort/Objekt, Service/Facility‑Produktcode (Taxonomie), Asset‑IDs, Ereignis-/Störhistorie, Prüf-/Wartungsstatus, Backlog, Kosten-/Budgetdaten, SLA‑Performance, Vertragsklauseln/Fristen, Versicherungsdeckung, sowie Nachweise/Artefakte (Auditprotokolle, Wartungslogs, Anbieterreports). Die Verankerung von „FM information systems“ und Agreements im Sourcing‑Kontext wird in ISO 41012 ausdrücklich als Anwendungsbereich genannt und legitimiert die Integration von Informationssystem- und Vertragsdaten. 

• Sponsor/Steering (Risikokriterien, Budget- und Eskalationsentscheide)

• FM‑Portfolio Owner (Taxonomie/Portfoliovergleich, Priorisierung)

• Risk Owner je Risiko (Umsetzung/Wirksamkeit)

• Data Owner (CAFM/ERP/HSE/Verträge)

• Procurement/Contract Owner (SLA‑Risiken, Vertrags-/Penalty‑Exposure)

• HSE/Compliance Owner (rechtliche Pflichten, Audits)

• Provider Manager (Leistungs- und Provider‑Risiken)

Die Auswahl orientiert sich an FM‑Praxis und wird normativ über die Kombination aus Taxonomie/Informationsmanagement (DIN EN 15221‑4), Risikoprozesslogik (DIN ISO 31000) und Sourcing-/Agreement‑Einbindung (ISO 41012) abgesichert.

Die Prozesskette folgt dem in DIN ISO 31000 beschriebenen Kernprozess: Risikoidentifizierung, Risikoanalyse, Risikobewertung.

• Risikoquellen je Service/Asset/Standort erfassen (z. B. Betreiberpflichten, Ausfall TGA, Providerfähigkeit, Daten/IT, Lieferketten).

• Strukturierung über FM‑Produkt-/Servicekatalog (DIN EN 15221‑4 Taxonomie).

• P/I‑Scoring nach definierter Skala; evidenzbasierte Begründung (Logs, Auditfinding, Wartungsprotokoll).

• Ergänzend: Kritikalität und Umsetzbarkeit als Steuerungsdimension (Praxisvorschlag).

• Heatmap, Schwellenwerte und Worst‑Case‑Gates festlegen; Entscheidungsvorlage für Steering.

• ISO 41014 liefert die Brücke, Risiken/Szenarien in FM‑Strategie und Masterplanung zu integrieren.

• Vermeidungs-/Minderungs-/Transfer-/Akzeptanzmaßnahmen definieren; Maßnahmenowner, Termin, CAPEX/OPEX‑Einordnung.

• Vertrags-/Providermaßnahmen (z. B. SLA‑Anpassung, Notfall‑Klauseln) entlang ISO 41012.

• Regelmäßige Reviews, Wirksamkeitsmessung, Aktualisierung der Risikokriterien. Die PDCA‑Prozessdimension ist in einem EN‑15221‑4‑Norm‑Entwurf als Erweiterung des FM‑Grundmodells beschrieben.

Regel: Datenlücken werden als Datenqualität gekennzeichnet (DQ‑A gemessen; DQ‑B plausibilisiert; DQ‑C geschätzt) und jede DQ‑C‑Schätzung erhält Owner und Validierungsdatum (Praxisvorschlag).

Die Delphi‑Methode wird vom Statistisches Bundesamt als mehrstufige schriftliche Expertenbefragung beschrieben; der Beitrag beleuchtet Vorgehensweise sowie Vor- und Nachteile und zeigt die erwarteten Prozesse.

• Monatlich: operatives/taktisches Risk Review (Top‑Risiken, Maßnahmenstatus, neue Findings)

• Quartalsweise: Portfolio‑Repriorisierung (Standortcluster, Providerperformance, Budgetfenster)

• Jährlich: Strategie‑Refresh (ISO 41014: Szenarien- und Risikobetrachtung im FM‑Strategieprozess).

• Go: Risikokriterien/Skalen sind abgestimmt, Risk Register ist vollständig für kritische Services, Worst‑Case‑Risiken haben direkte Maßnahmen, Datenqualität in Kernfeldern mindestens DQ‑B. (Praxisvorschlag, abgestützt durch ISO 41001 Ziel „konsistent Anforderungen erfüllen“.)

• Go‑mit‑Auflagen: hoher Nutzen, aber DQ‑C‑Annahmen in kritischen Bereichen → Validierungsplan und ggf. Delphi‑Runde verpflichtend.

• No‑Go: keine vergleichbare Struktur/Taxonomie und keine nachvollziehbaren Risikokriterien; dann zuerst Daten-/Taxonomie‑Fundament nach DIN EN 15221‑4 herstellen.

• Risiko Register (Portfoliofähig: Standort/Service/Asset/Provider, Evidenzen, Scores, Owner, Maßnahmen),

• Heatmap und Top Risiken Liste,

• Maßnahmenprogramm (CAPEX/OPEX, Zeitplan, Verantwortliche),

• Governance Kalender (Reviews, Eskalationsgates),

• Risiko-/Provider Anforderungen für Agreements (ISO 41012) und Strategieabgleich (ISO 41014).

• Vergleichbarkeit und Steuerbarkeit durch Taxonomie/Struktur (DIN EN 15221‑4).

• Klarer Risikoprozess (DIN ISO 31000), der von Identifikation über Analyse und Bewertung bis zur Entscheidung über den Umgang führt.

• Anschluss an FM‑Systemanforderungen (ISO 41001) sowie Sourcing-/Agreement‑Steuerung (ISO 41012) und strategische Szenarien (ISO 41014).

• Die Methode ist abhängig von Datenqualität, Bewertungsdisziplin und Governance‑Konsequenz (Owner/Eskalationen). DIN EN 15221‑4 adressiert Informationsmanagement und Harmonisierung, aber die Umsetzung liegt bei der Organisation.

• Schwellenwerte sind kontextabhängig (Risikoappetit, Kerngeschäft, Standortkritikalität); ISO 41014 betont deshalb die Übereinstimmung von FM‑Anforderungen mit Zielen/Einschränkungen und die Betrachtung von Szenarien/Risiken.

• Betreiberpflichten/Compliance‑Risiken (Prüf-/Wartungsregime, auditbasierte Findings)

• Verfügbarkeits- und Ausfallrisiken kritischer TGA/Versorgungsanlagen

• Provider- und Vertragsrisiken (SLA‑Lücken, Penalty‑Exposure, Transitionfenster) gemäß ISO 41012‑Sicht.

• Budget-/Masterplanentscheidungen (CAPEX‑Wellen, Backlog‑Abbau, Redundanzinvests) im Sinne einer FM‑Strategieentwicklung mit Szenarien/Risiken (ISO 41014).

Daten-/Systemlandschaft (typisch): CAFM/IWMS/CMMS (Assets, Wartung, Störungen, Backlog), ERP/Controlling (Kosten/Budget), BMS/GLT (Evidenz/Alarme), HSE/Compliance‑Systeme (Auditfindings/Incidents), Vertrags-/Provider‑Management (SLA/Fristen/Pönalen), BI‑Dashboards (Heatmaps, Trends). Die Einbindung von FM‑Informationssystemen und Agreements wird im Anwendungsbereich von ISO 41012 explizit genannt.

Risk Register (Datenmodell wie oben), Scoring Guide (Definitionen für P/I), Maßnahmenlog (Owner, Termin, Wirksamkeit), DQ‑Register (A/B/C), Steering‑Pack (Top‑10 Risiken + Entscheidungsvorlage).