ISO 31030 erklärt: Warum die Norm für Reiserisikomanagement-Teams wichtiger ist denn je

Jahrelang lief Reiserisikomanagement über institutionelles Wissen und abgeschaute Best Practices. Sicherheitsverantwortliche bauten ihre Programme aus dem, was im letzten Unternehmen funktioniert hatte, was sie von Kollegen mitnahmen oder was angesichts der aktuellen Bedrohungslage richtig erschien. Es gab keine formale Norm und keine gemeinsame Definition dessen, was ein vollständiges Programm umfassen muss. Zwei Unternehmen konnten beide behaupten, ein Reiserisikoprogramm zu haben, und dabei völlig Verschiedenes meinen.

Das änderte sich im September 2021, als die Internationale Organisation für Normung die ISO 31030 veröffentlichte, mit dem offiziellen Titel Travel risk management: Guidance for organizations. Die Norm nahm Jahrzehnte an Branchenerfahrung und goss sie in ein einziges Dokument, das definiert, was die Fürsorgepflicht für reisende Mitarbeitende tatsächlich verlangt. Sie ist eine Spezifikation, schriftlich fixiert, an der jeder sein Programm messen kann.

Die Umsetzung verläuft schleppend. Eine Everbridge-Studie ergab, dass 76 % der befragten Führungskräfte auf C-Level kein solides Reiserisikomanagement-Programm im Sinne der ISO 31030 vorweisen konnten. Gleichzeitig verzeichnet der Risk Outlook Report von International SOS einen deutlichen Anstieg der Destinationen mit erhöhter oder hoher Risikoeinstufung im Jahresvergleich. Die Risikolage verschärft sich weiter, während die meisten Organisationen noch immer ohne ein Programm arbeiten, das der Norm genügt. Diese Lücke verdient Aufmerksamkeit, und sie ist der Grund für diesen Artikel.

Woher die Norm kommt und was sie ist

Die ISO ist ein Zusammenschluss von 168 nationalen Normungsorganisationen, dieselbe Organisation, die hinter Qualitätsmanagementnormen wie ISO 9001 und Informationssicherheitsnormen wie ISO 27001 steht. ISO 31030 wurde aus ISO 31000 abgeleitet, der allgemeinen Risikomanagementnorm, und speziell auf organisationales Reisen zugeschnitten. Die Verfasser kamen aus der Praxis: Sicherheitsfachleute, medizinische Assistance-Anbieter, Travel Manager und Wissenschaftler, die ihre Laufbahn damit verbracht haben, Programme gelingen und scheitern zu sehen.

Eines sollte man früh klarstellen: ISO 31030 ist eine Leitfadennorm, keine zertifizierbare Norm. Es gibt kein Audit, kein Zertifikat für die Wand und kein Gesetz, das zur Einhaltung verpflichtet. Man nutzt sie, indem man das eigene Programm an den Empfehlungen misst und dann die Lücken schließt, die für den eigenen Reiseumfang und das eigene Risikoprofil relevant sind.

Manche Führungskräfte hören „freiwilliger Leitfaden" und lehnen sich zurück. Das ist ein Fehler, und die weiter unten behandelte Rechtsgeschichte zeigt, warum. Gerichte und Aufsichtsbehörden fragen danach, was eine vernünftig handelnde Organisation getan hätte, und sobald eine internationale Norm existiert, hat „vernünftig" eine schriftliche Definition.

Was ISO 31030 tatsächlich abdeckt

Die Norm beschreibt den vollständigen Lebenszyklus des Reiserisikomanagements, von der Entscheidung zu reisen bis zur Nachbereitung nach der Rückkehr. Sie spannt den Bogen zudem weiter, als die meisten erwarten. Die erfassten Risiken reichen von Verkehrsunfällen und alltäglichen Gesundheitsvorfällen über Krankheitsausbrüche, Naturkatastrophen, Konflikte und Kriminalität bis zu Sicherheitsbedrohungen, und die Norm bezieht die psychische Gesundheit der Reisenden ausdrücklich neben ihrer körperlichen Sicherheit ein. Sie drängt Programmverantwortliche, über die dramatischen Szenarien hinauszublicken und unspektakuläre Faktoren wie Straßenzustand, die Zuverlässigkeit der lokalen Telekommunikation und die Qualität der medizinischen Versorgung vor Ort zu berücksichtigen. In den meisten Reiseprogrammen ist ein Verkehrsunfall auf dem Weg vom Flughafen ein weitaus wahrscheinlicheres Ereignis als eine Entführung.

Die Kernanforderungen gliedern sich wie folgt.

Risikobewertung nach Destination, Reisendem und Tätigkeit. Bewertet wird, wohin jemand reist, wer die Person ist und was sie dort tun wird. Diese drei Datenpunkte bestimmen das Sicherheitsprofil der Reise. Ein gesunder Dreißigjähriger auf einer Konferenz in Kopenhagen und eine Führungskraft mit Herzleiden auf einem Minengelände im Sahel brauchen sehr unterschiedliche Vorbereitung, und die Norm macht das explizit. Das Profil des Reisenden zählt: Erfahrung, medizinische Bedürfnisse und persönliche Risikofaktoren verändern die Exposition. Die Gefährdungsanalyse und -bewertung darf weder generisch ausfallen noch übersprungen werden.

Reiserichtlinie und Genehmigung. Die Norm erwartet klare Regeln dafür, wie Reisen genehmigt werden. Das bedeutet verpflichtende Buchungswege, damit die Organisation tatsächlich weiß, wo sich ihre Leute aufhalten, Genehmigungsschwellen nach Risikoeinstufung der Destination, Reisebeschränkungen, wo sie geboten sind, und einen definierten Weg für Ausnahmen. Ändert sich ein Reiseplan unterwegs so, dass er aus der Richtlinie fällt, sollte eine verantwortliche Person das schnell erfahren und nicht erst im Nachhinein.

Klare Governance und Verantwortlichkeit. Jemand ist Eigentümer des Programms. Rollen sind über die Funktionen Sicherheit, Travel, HR, Recht und Medizin hinweg definiert, und es gibt einen Eskalations- und Entscheidungsprozess, wenn eine Reise erhöhtes Risiko birgt. Viele Organisationen liefen jahrelang auf impliziter Zuständigkeit, bei der jeder annahm, jemand anderes passe auf. ISO 31030 formalisiert das.

Vorbereitung und Kommunikation mit Reisenden. Mitarbeitende werden vor der Abreise über die Risiken informiert, denen sie begegnen werden, und über die verfügbaren Ressourcen. Dazu gehören Sicherheitsbriefings vor der Reise, Sicherheitstrainings, wo das Risiko es rechtfertigt, Ansprechpartner im Zielland und klare Anweisungen für den Ernstfall. Es geht während der Reise weiter: Echtzeitwarnungen, wenn sich in der Nähe eines Reisenden eine Lage entwickelt, Check-in-Verfahren und verlässliche Wege, Personen über mehr als einen Kanal zu erreichen.

Geprüfte Transportmittel und Unterkünfte. Die Norm deckt auch die logistische Ebene ab. Bodentransportanbieter, Routen, Hotels und andere Dienstleister werden auf die Sicherheit der Reisenden hin bewertet, und Beschaffungsentscheidungen in risikoreicheren Regionen berücksichtigen die Sicherheit statt nur den Preis.

Vorfallreaktion und Fürsorgeprotokolle. Wenn ein Vorfall eintritt, gibt es einen Plan. Die Norm erwartet, dass Organisationen definieren, wie sie auf medizinische Notfälle, Sicherheitsereignisse, Naturkatastrophen und andere Krisen reagieren, die reisende Mitarbeitende betreffen, einschließlich Eskalationswegen, Assistance- und Evakuierungsvorkehrungen und der Abstimmung mit dem Business-Continuity-Management.

Kontinuierliche Überwachung und Verbesserung. Programme werden überprüft. Vorfälle und Beinahe-Vorfälle werden ausgewertet. Die Organisation misst ihre Leistung, lernt aus dem Geschehenen und passt das Programm entsprechend an, statt es versteinern zu lassen.

Nichts davon ist revolutionär für jemanden, der seit einem Jahrzehnt Reiserisikomanagement betreibt. Es ist das erste Mal, dass diese Anforderungen in einer einzigen Norm niedergeschrieben wurden, die branchen- und länderübergreifend gilt, und das verändert, was passiert, wenn Programme verglichen, auditiert oder angefochten werden.

Warum die Umsetzung noch stockt

Die 76-Prozent-Lücke hat mehrere Gründe. Manche Organisationen sehen in ISO 31030 unnötige Bürokratie, ein weiteres Compliance-Häkchen ohne echten Mehrwert. Anderen fehlen die Ressourcen, ein Programm von Grund auf aufzubauen oder ein bestehendes an die Norm anzupassen. Viele wissen schlicht nicht, dass die Norm existiert.

Auch die Struktur spielt eine große Rolle. Reiserisiko berührt Sicherheit, Travel Management, HR, Recht, Medizin und regionale Führung, und diese Teams teilen selten dieselben Systeme oder Daten. Die Arbeit von Everbridge mit Unternehmensprogrammen fördert immer wieder dieselben Schwachstellen zutage: fragmentierte Zuständigkeit über Abteilungen hinweg, uneinheitliche Genehmigungsprozesse, begrenzte Sichtbarkeit des tatsächlichen Aufenthaltsorts der Reisenden, verzögerte Kenntnis kritischer Ereignisse, manuelle Kontaktaufnahme und Check-ins sowie unklare Eskalationswege im Ernstfall. Eine Norm kann diese Probleme benennen, aber jemand in der Organisation muss sie trotzdem lösen.

Hinzu kommt ein Wahrnehmungsproblem. Reiserisikomanagement wird oft als Anhängsel von HR oder Einkauf behandelt statt als Sicherheitsfunktion. Wenn es am falschen Ort der Organisation angesiedelt ist, bekommt es weder die Aufmerksamkeit noch das Budget, das es braucht. ISO 31030 hilft klarzustellen, dass es sich um eine Risikomanagementdisziplin mit echten Fürsorgepflicht-Implikationen handelt, aber diese Botschaft hat noch nicht jede Geschäftsleitung erreicht.

Der rechtliche Hintergrund

Die Fürsorgepflicht ist eine rechtliche Verpflichtung, und Gerichte haben bereits gezeigt, was passiert, wenn Organisationen dahinter zurückbleiben. Der in der Branche meistzitierte Fall ist Dennis gegen den Norwegian Refugee Council. Steve Dennis, ein humanitärer Helfer, wurde 2012 bei einem Angriff in Dadaab, Kenia, angeschossen und entführt. Er verklagte seinen Arbeitgeber, und 2015 befand das Bezirksgericht Oslo die Organisation der groben Fahrlässigkeit für schuldig, mit der Begründung, die Risiken seien vorhersehbar gewesen und die Organisation habe versäumt, sie zu steuern. Ihm wurden Millionen Kronen Schadensersatz zugesprochen, und der Fall veränderte grundlegend, wie der gesamte humanitäre Sektor über die Sicherheit seiner Mitarbeitenden denkt.

Dieser Präzedenzfall reicht weit über die humanitäre Welt hinaus. Wenn ein reisender Mitarbeiter zu Schaden kommt und ein Rechtsstreit folgt, lautet die Frage, ob die Organisation angemessene Schritte zu seinem Schutz unternommen hat. Vor 2021 wurde „angemessen" von Fall zu Fall mit Sachverständigen verhandelt. Jetzt gibt es eine internationale Norm, die beschreibt, wie ein kompetentes Programm aussieht, und es ist schwer vorstellbar, dass Klägeranwälte sie nicht als Maßstab heranziehen.

Warum die Norm heute mehr zählt

Die Risikolage hat sich verschoben. Der Risk Outlook von International SOS zeigt Jahr für Jahr mehr Destinationen, die in die Kategorien mit erhöhtem und hohem Risiko rutschen. Geopolitische Instabilität, zivile Unruhen, Gesundheitskrisen und klimabedingte Störungen nehmen alle gleichzeitig zu. Mitarbeitende reisen an mehr Orte, oft mit weniger Vorlauf, und die Bedrohungen, denen sie begegnen, sind vielfältiger als noch vor fünf Jahren.

ISO 31030 gibt Ihnen eine Grundlinie. Sie definiert, wie ein verteidigungsfähiges Programm aussieht, wenn etwas schiefgeht und Sie nachweisen müssen, dass Sie angemessene Schritte zum Schutz Ihrer Leute unternommen haben. Sie garantiert nicht, dass nichts Schlimmes passiert. Sie ist der Beleg, dass Sie ein Programm aufgebaut haben, das Risiken reduziert und bei Vorfällen wirksam reagiert, und vor Gericht oder im Vorstand hat dieser Beleg Gewicht.

Der Nutzen reicht über die rechtliche Verteidigungsfähigkeit hinaus. Organisationen, die sich an der Norm ausrichten, berichten von Vorteilen, die auf der Geschäftsseite sichtbar werden: die Fähigkeit, in risikoreicheren Märkten souverän zu operieren, stärkere Zusicherung gegenüber Investoren, Banken und Geschäftspartnern, dass das Reiserisiko unter Kontrolle ist, mehr Glaubwürdigkeit in der Lieferkette gegenüber Kunden, gestärktes Vertrauen und höhere Bindung der Mitarbeitenden, und in manchen Fällen niedrigere Versicherungsprämien, weil die Organisation eine wirksame Steuerung reisebezogener Risiken nachweisen kann. Ein gut geführtes Programm ist ein Geschäftsermöglicher, und die Norm liefert Ihnen das Vokabular, um dieses Argument intern zu führen.

Für Organisationen, die bereits ein Reiserisikoprogramm haben, funktioniert die Norm als Audit-Werkzeug. Man legt die eigenen Prozesse neben den Text, und die Lücken werden schnell sichtbar. Für Organisationen, die bei null anfangen, ist sie ein Bauplan, der davor bewahrt, Jahrzehnte hart erarbeiteter Lektionen neu zu erfinden.

Was Sie damit anfangen sollten

Wenn Sie für das Reiserisikomanagement verantwortlich sind, besorgen Sie sich ein Exemplar der ISO 31030 und lesen Sie es. Die Norm ist nicht lang und in klarer Sprache geschrieben. Vergleichen Sie sie mit dem, was Sie derzeit im Einsatz haben, und notieren Sie jede Lücke, die Sie finden.

Die Erfahrung der Beratungen, die solche Gap-Analysen durchführen, zeigt immer wieder dieselben Schwachstellen: kein verpflichtender Buchungsprozess, kein Genehmigungsschritt vor der Reise, keine Risikobewertungen vor Abreise, Reiserichtlinien, die Risiko mit keinem Wort erwähnen, Beschaffungsprozesse, die Sicherheit ignorieren, und kein Sicherheitstraining für Reisende in schwierige Regionen. Prüfen Sie diese Bereiche zuerst, denn die Wahrscheinlichkeit ist hoch, dass mindestens einer davon zutrifft.

Priorisieren Sie dann nach den tatsächlichen Reisemustern und der Exposition Ihrer Organisation. Wenn Führungskräfte regelmäßig in Hochrisikodestinationen reisen, konzentrieren Sie sich auf Vorfallreaktion und Reisevorbereitung. Wenn niemand sagen kann, wer das Programm verantwortet, beginnen Sie bei der Governance. Ein Programm, das seine zwei größten Lücken in diesem Quartal schließt, schlägt jeden Fünfjahresplan, der nie finanziert wird.

Nutzen Sie die Norm schließlich, um internen Rückhalt aufzubauen. Wenn Sie Budget oder die Zustimmung der Geschäftsleitung brauchen, gibt Ihnen ISO 31030 einen Referenzpunkt, der mehr ist als Ihre persönliche Meinung. Sie ist eine internationale Norm, die den Branchenkonsens darüber abbildet, was die Fürsorgepflicht verlangt, gestützt auf Rechtsprechung, die zeigt, was Versagen kostet. Das ist eine deutlich stärkere Verhandlungsposition als „vertrauen Sie mir, wir brauchen das".

Die Organisationen, die ISO 31030 als Arbeitsdokument behandeln statt als Compliance-Übung, werden diejenigen sein, deren Programme standhalten, wenn sie auf die Probe gestellt werden. So, wie sich die Risikozahlen entwickeln, werden mehr von ihnen auf die Probe gestellt werden.