Grundlæggende risikostyring

Grundlæggende oplysninger

Risiko

En risiko er muligheden for, at den faktiske udvikling afviger fra et planlagt mål eller forventning. Den beskrives over to dimensioner: sandsynligheden for at det sker og omfanget af konsekvenserne. I erhvervsøkonomisk forstand omfatter begrebet også positive afvigelser – muligheder er risici med omvendt tendens.

Afgrænsning: Risiko, årsag, virkning

I praksis blandes tre niveauer regelmæssigt sammen, hvilket gør senere vurdering uanvendelig. Årsag er er en udløser („svigt fra en enkelt leverandør"), det Risiko hændelsen („produktionstilstand i mere end to uger"), som Effekt Konsekvenserne („umsætningstab på 3 til 8 mio. euro, kontraktstraffe"). Kun når disse tre niveauer registreres separat, kan der træffes fornuftige tiltag: Forebyggende tiltag tager fat på årsagen, mitigerende tiltag på virkningen.

Der er altid en risiko forbundet med et konkret mål. Uden et defineret mål – resultat, likviditet, leveringskapacitet, omdømme eller compliance – er der ingen målestok for afvigelse og dermed ingen vurderbar risiko. Af denne grund begynder enhver risikoidentifikation med spørgsmålet om, hvilke mål der overhovedet kan være i fare.

Risikotyper i oversigten

Skriv risikoen rigtigt

Kvaliteten af en risikobeskrivelse bestemmes af formuleringen. Uanvendelige begreber som „fagløshed" eller „digitalisering" betegner et temafelt, ikke en vurderbar begivenhed. En beskrivelse, der indeholder årsag, begivenhed, berørt målgruppe og virkningsmekanisme, er pålidelig og kan dermed forstås af enhver tredjepart.

• Uanvendelig: „Risiko for IT-sikkerhed"
• Anvendeligt: „Kryptering af produktionssystemerne gennem ransomware fører til en nedetid på 5 til 15 arbejdsdage med tab af dækningsbidrag og konventionalstraffe"

Praksis

Nogle få felter har vist sig at være velegnede til registrering i systemet: risikobeskrivelse, årsag, berørt målgruppe, kategori, risikoejer, brutto- og nettovurdering, tilknyttede foranstaltninger og tidspunktet for sidste opdatering. Alt andet er valgfrit – yderligere obligatoriske felter reducerer efter erfaringen ofte fagområdernes meldevilje, uden at det øger påvisningsnøjagtigheden.

Se også: Risikostyring · Risikomatrix · Risikoaggregation

Grundlæggende oplysninger

Risikostyring

Risikostyring er den systematiske og tilbagevendende håndtering af risici: identificering, analyse, vurdering, styring, overvågning og rapportering. Målet er ikke at undgå ethvert risici, men at bevidst påtage sig risici inden for den egen risikotolerance – og dermed skabe et pålideligt grundlag for virksomhedsbeslutninger.

Formål: Beslutningsgrundlag i stedet for obligatorisk træning

Den økonomiske mening med risikostyring ligger ikke i dokumentation, men i bedre beslutninger. Den, der kender bredden af mulige resultater, kan tilpasse investeringer, finansieringsstrukturer, kontraktvilkår og sikkerhedsstillelser dertil. Et firma med pålidelig risiko-kvantificering kan argumentere over for banker og investorer for, hvorfor en plan kan realiseres – og det afspejler sig i kreditvurderinger og finansieringsomkostninger.

Den anden fordel er retslig: Ledere skal i en tvist kunne påvise, at de har truffet beslutningen på grundlag af passende oplysninger. En dokumenteret risikostyringsproces er det centrale bevisgrundlag herfor.

Regelkretsen

Retsgrundlag i Tyskland og Østrig

Dækgrader i praksis

Der er flere udviklingsstadier mellem en Excel-liste og et styringsmæssigt relevant system. Klassificeringen hjælper med at bestemme det næste fornuftige skridt i stedet for at forsøge at gøre alt på én gang.

1. Dokumenterende: Risici bliver samlet i en liste hvert år, oftest kort før eksamen. Ingen indflydelse på beslutninger.
2. Struktureret: Enhedslige kategorier, vurderingsskalaer og risikoegenskaber; regelmæssig indsamling; foranstaltningerne følges op.
3. Målt: Risici vurderes og aggregeres på tvers af bredder; den samlede risikoposition sammenlignes med risikotoleranceevnen.
4. Integreret: Risikodata indgår i planlægning, investeringsberegning og målfastsættelse; muligheder behandles ligeledes.

Typiske fejl

• Opkræver én gang om året: En inventar, der kun oprettes på udløbsdatoen, afspejler ikke den aktuelle risikobane og opfylder ikke kravene til løbende overvågning.
• Kun identificere kendte risici: Workshops reproducerer regelmæssigt de skadelige situationer fra fortiden. Strategiske og eksterne risici er derefter fuldstændigt fraværende.
• Bedømmelse i klasser: „Høj" og „middel" kan ikke adderes – uden kvantificering er aggregering ikke mulig.
• Foranstaltninger uden opfølgning: Hvis implementeringen ikke kontrolleres, forbliver risikostyringen en erklæring om intentioner.
• Risikostyring som en afdelingsoverdragelse: Ansvarlig er fagområdet som risikoejer, ikke den centrale funktion.

Introduktion om 12 måneder

Den hyppigste årsag til mislykkede introduktioner er forsøget på at gøre alt på én gang. En rækkefølge, hvor hvert trin giver et brugbart mellemliggende resultat, har vist sig at være effektiv.

Den, der allerede har en plan med scenarier, kan kraftigt reducere faserne tre og fire: De tilgængelige båndbredder findes allerede og skal blot tilordnes til de pågældende risici.

Økonomisk nytte ud over pligten

• Finansiering: Den, der kvantificerer sin risikobegrænsning, forhandler med banker om fakta i stedet for sikkerhedsafgifter.
• Investeringsafgørelser: Projekter kan sammenlignes med hensyn til risikostyring i stedet for kun at basere sig på forventede afkast.
• Forsikringer: Selvrisiko og dækningsbeløb kan optimeres på baggrund af den faktiske fordeling.
• Planlægningskvalitet: Diskussionen om båndbredde omfatter urealistiske planlægningsantagelser, før de når budgettet.
• Ansvarsforsikring: Dokumenterede beslutningsgrundlag er det centrale bevis i en tvist.

Ofte stillede spørgsmål

Se også: Risikostyringssystem · Risikostyringsproces · Tre linjer model

Grundlæggende oplysninger

Risikostyringssystem (RMS)

Risikostyringssystemet omfatter alle regler, processer, roller, metoder og instrumenter, som et firma bruger til at opdage, vurdere, styre og overvåge risici. Det er det organisatoriske rammeværk, hvor risikostyringsprocessen udføres – og det er det, der bliver vurderet af revisorer og bestyrelsen for at sikre, at processen er hensigtsmæssig og effektiv.

Komponenter i en RMS

IDW PS 981-prøvningsstandarden opdeler risikostyringssystemet i grundelementer. Samtidig udgør de en brugbar checkliste til egen opbygning: Hvert element skal dokumenteres, tildeles og implementeres.

Test af systemet

Der er to niveauer at skelne: Begrundelse vurderer, om systemet i sin koncepteringsfase er egnet til at nå de fastsatte mål. Effektivitet vurderer, om det rent faktisk har været sådan, at systemet har fungeret over en periode. Et system, der er dokumenteret rent faktisk at have eksisteret, men som ikke er blevet brugt, er hensigtsmæssigt og samtidig ineffektivt – et hyppigt fund ved første kontrol.

For børsnoterede aktieselskaber vurderer revisoren det system for tidlig opdagelse i henhold til § 317, stk. 4 i HGB på et obligatorisk grundlag. Ud over dette område foregår en undersøgelse frivilligt, ofte på anmodning fra tilsynsrådet eller som led i en transaktion.

Opbygning i otte trin

1. Aflede risikostrategi og risikotrang fra virksomhedens strategi og få den godkendt af ledelsesorganet
2. Fastlægge roller: Risikoeignere i fagområderne, central koordinering, rapporteringsmodtager
3. Definition af ensartede kategorier og evalueringsskalaer og deres obligatoriske indførelse i risikohåndbogen
4. Indsamler indledende data om workshops og interviews for hvert område
5. Bedømmelse i båndbredder i stedet for klasser, så en aggregering bliver mulig
6. Oprette aggregeringsmodel og sammenligne risikotolerance
7. Indlægge foranstaltninger og tidsfrister for ansvarlige og følge op på dem
8. Fastlægge rapporteringsformater og meldingsgrænser, og derefter indføre en rutine

Afgrænsning af det interne kontrolsystem

RMS opdager og vurderer risici, mens IKS begrænser dem gennem processer med kontrol. Begge dele hænger sammen: Effektiviteten af kontrollen er nøjagtigt den forskel mellem bruttoprocent og nettoprocent. Hvis RMS og IKS opbygges separat, opstår der dobbelt registrering og modstridende oplysninger over for bestyrelsen og revisorerne.

Se også: Intern kontrolsystem · Risikoaggregation · Risikostyring

Grundlæggende oplysninger

Risikostyringsproces

Risikostyringsprocessen er den tilbagevendende række af aktiviteter, der består af identificering, analyse, vurdering, styring samt overvågning og rapportering. ISO 31000 supplerer dette med kommunikation og konsultation som procesledende elementer samt fastlæggelsen af anvendelsesområdet ved starten af hver proces.

Fasenne i detaljer

Ritualer og begivenhedsrelaterede udløsere

En årlig gennemgang er ikke tilstrækkelig til at opfylde kravet om løbende overvågning. Kombinationen af en årlig fuldstændig indsamling, kvartalsvise opdateringer af de væsentligste risici og definerede ad-hoc-udløsere har vist sig at være effektiv. Som udløsere betragtes typisk overskridelse af en tidlig varslingsindikator, indtræden af væsentlig skade, opkøb eller markedsintroduktion, nye regulatoriske krav samt tabet af en stor kunde eller en nøgleleverandør.

Ruller i hver fase

• Risikoejeren: Identificerer, vurderer og styring risikoen i sit eget område og er ansvarlig for handlingerne.
• Central risikostyring: giver metoder og skalaer, konsoliderer, aggregerer, verificerer og rapporterer.
• Ledelse: afgør risikoappetit, væsentlige tiltag og accept af restrisici.
• Tilsynsmyndighed: overvåger systemets effektivitet og afgrænser metoder og den samlede risikoposition.
• Internt revision: kontrolerer uafhængigt, om processen følger beskrivelsen.

Se også: Risikostyring · Tre linjer model

Grundlæggende oplysninger

Risikomatrix (Heatmap)

Risikomatrisken udgør risici i et rutenetværk baseret på sandsynlighed for indtræden og skadestørrelse, og gør handlingsprioriteter synlige på et øjeblik. Almindelige raster er 4×4 eller 5×5 med lysfarver. Det er et kommunikationsværktøj – til vurdering af risikofremkaldende udviklinger er det metodisk ikke tilstrækkeligt.

Opbygning

Akserne er ikke vilkårlige: Effekten defineres i pengeenheder, baseret på en ensartet referenceperiode – normalt et regnskabsår. Uden disse fastsættelser vurderer områder det forskelligt strengt, og matrixen sammenligner det uforlignelige.

Definition af skalaer

De grænser er individuelt specificeret af virksomheden ud fra resultat- og egenkapitalstørrelsen. Som orientering bruges ofte, at den højeste klasse begynder at overskride grænsen for risikoen for at gå i gæld – på den måde kan matrixen tilpasses risikotolerance.

Begrænsninger i præsentation

• Ingen additiv kan foretages: Klasserne er ordinalt skaleret. Tyve risici i den gule zone kan tilsammen være livstruende, uden at matrixen viser det.
• Forventningsfald: En sjælden risiko med ekstrem skade ender i den samme celle som en hyppig risiko med lav skade – konsekvensen af styringen er helt anderledes.
• Skærevinkel: Positioneringen antyder præcision, men er baseret på klasseringsstrukturer med brede intervaller.
• Korrelationer usynlige: Risici, der opstår sammen, fremstår som uafhængige begivenheder.

Risikomatrixen forbliver værdifuld som kommunikationsformat for organer. For vurderingen i henhold til IDW PS 340 n.F. skal den dog suppleres med kvantitativ aggregering – den erstatter ikke denne.

Ofte stillede spørgsmål

Se også: Risikovurdering · Risikoaggregation · Risiko

Grundlæggende oplysninger

Tre linjer model

Institute of Internal Auditors' Three Lines Model opdeler ansvarlighederne i tre niveauer: de operationelle områder, overvågningsfunktioner som risikostyring og compliance samt uafhængig intern revision. Det besvarer spørgsmålet om, hvem der påtager sig risici, hvem der fastlægger rammerne og hvem der uafhængigt kontrollerer begge dele.

Modellen

De tre linjer

Den Første linje omfatter alle områder, der i hverdagen er udsat for risici: salg, produktion, indkøb, IT. Den er ansvarlig for risiciene inden for sit ansvarsområde og udfører kontrolfunktionerne. Den anden række Inden for dette område tilbyder den metodik, skalaer og rammer, støtter den første linje fagligt og overvåger, om rammen overholdes – uden at påtage sig ansvaret. tredje linje vurderer uafhængigt, om de to første linjer fungerer effektivt, og rapporterer direkte til ledelsen og tilsynsorganet.

Den tidligere betegnelse „Three Lines of Defense" opgav man bevidst i 2020. Begrebet "forsvar" havde præget opfattelsen, at risikostyring blot var afsværnsarbejde; det opdaterede model understreger i stedet bidraget til værditilvækst og opfyldelsen af virksomhedens mål.

Typiske konstruktionsfejl

• Sammenfletning af linjerne: Hvis den anden linje selv vurderer risici og implementerer foranstaltninger, påtager den sig ansvaret for den første – og kan ikke længere overvåge den.
• Revision uden uafhængighed: Inden for det område, som den interne revision undersøger, findes den tredje linje faktisk ikke.
• Tommel op for det tomme andet rækkehoved: En compliance-funktion uden ressourcer og bemyndigelser giver dokumentation, men har ingen effekt.
• Overbelastet anden linje: Funktioner, der arbejder parallelt med risiko, compliance, IT-sikkerhed, databeskyttelse og informationssikkerhed, udfører flere gange de samme processer – dette er udgangspunktet for integreret GRC.

Se også: Intern kontrolsystem · Compliance Management System · Risikostyringssystem

Grundlæggende oplysninger

Risikostrategi

Risikostrategien er afledt af virksomhedens strategi og fastlægger, hvilke risici virksomheden bevidst påtager sig, hvilke risici den begrænser og hvilke risici den undgår. Den konkretiserer risikoappetitten inden for grænser for hver risikokategori og danner grundlaget for, hvorvidt operative beslutninger måles.

Hvad der hører til

• Afledning fra virksomhedens strategi: Hvilke mål skal beskyttes?
• Risikoappetit er en kategori, helst formuleret kvantitativt
• Grænser og tærskelværdier, overskridelse af hvilke fører til en eskalering af situationen
• Principprøvninger vedrørende risikoverdragelse: Forsikringstrategi, selvrisiko, kontraktbestemmelser
• Bevisst accepterede risici med begrundelse – det er det, der tæller i et erstatningssager

Praksis

En risikostrategi, der kun indeholder generelle formuleringer („Vi håndterer risici ansvarligt"), opfylder ikke sit formål. Den bliver først belastende ved hjælp af tal: maksimalt accepteret variation i resultat, mindste likviditetsreserve, øvre grænse for klumprisici hos kunder og leverandører. Den bliver vedtaget af ledelsesorganet og revideres mindst én gang om året.

Se også: Risikoappetit · Risikotragtighed · Risikopolitik

Grundlæggende oplysninger

Risikopolitik og risikohåndbog

Risikopolitikken beskriver de bindende principper for håndtering af risici. Den dokumenteres normalt som en risikohåndbog og er det skriftlige grundlag, som revisorer og bestyrelsen bruger som reference, når de vurderer risikostyringssystemet.

Indholdet af risikohåndbogen

Håndbogen bør være kort og brugervenlig. Femtio sider, som ingen læser, skaber mindre sikkerhed end femten sider, som faktisk bliver brugt.

Se også: Risikostrategi · Risikostyringssystem

Grundlæggende oplysninger

Risikokultur

Risikokultur beskriver de værdier og adfærdsmønstre, der er udviklet i forhold til at håndtere risici – uanset om dårlige nyheder bliver åbent omtalt eller holdes tilbage på grund af frygt for konsekvenser. Den afgør kvaliteten af risikointegrationen og dermed værdien af det samlede system.

Hvordan man kan genkende dem

• Hvordan reagerer ledelsen, når nogen rapporterer et ubehageligt problem?
• Skal målsætninger stilles på en sådan måde, at de kun kan nås under risici for overtrædelse af reglerne?
• Skal de opståede skader bearbejdes eller personaliseres?
• Erhvervsrisikodiskussioner er en del af beslutningsprocessen eller en separat proces?

Et teknisk veludviklet system leverer uværdifulde data, hvis medarbejdere ikke rapporterer negative udviklinger. Hele grebet ligger derfor ofte ikke i metoden, men i adfærd hos de to første ledelsesniveauer.

Se også: Compliance Management System · Risikoidentifikation

Grundlæggende oplysninger

Risikoappetit

Risikoappetitten udtrykker, hvor meget risiko et firma er villigt til at påtage sig for at nå sine mål. Det er en strategisk fastlæggelse fra ledelsesorganet og formuleres ideelt set kvantitativt – som maksimalt acceptabel variation i resultater, som en grænse for hver kategori eller som minimumsafstand fra risikoen for at overskride gældende grænser.

Formuleringseksempler

Se også: Risikotolerance · Risikostrategi

Grundlæggende oplysninger

Risikotragtighed

Risikotragtenhed angiver, hvor meget risiko et selskab kan klare på egen hånd uden at bringe sin eksistens i fare. Sammenligningen mellem aggregeret samlet risiko og risikotragtenhed er den centrale test for udviklinger, der kan skade virksomheden, i henhold til IDW PS 340 n.F.

Efterforskning

For vurderingen gælder: Hvis det aggregerede risiko i det valgte konfidensniveau overstiger dækningspotentialet, er der tale om en udvikling, der truer likviditeten – med umiddelbar handlingspligt for ledelsen.

Praktisk implementering

For vurderingen tages der to perspektiver i betragtning adskilt. På kort sigt er det likviditeten: Hvilke midler er til rådighed inden for få uger for at afbøde en skade? På mellemlang sigt er det egenkapitaludgiften: Hvilke tab kan balancen absorbere uden at krænke covenants eller bringe ratinget i fare?

Begge horisonter sammenlignes med den samlede risiko. Resultatet er et af de få tal, som ledergruppen, tilsynsrådet og bankerne er interesserede i – og det danner grundlaget for beslutningen om, hvorvidt risici skal reduceres, overføres eller understøttes af ekstra reserver.

Se også: Risikodækningspotentiale · Udvikling, der truer bestandene · Risikoaggregation

Grundlæggende oplysninger

Risikotolerance

Risikotolerancen beskriver den tilladte grænse omkring risikoappetitten – hvorvidt en overskridelse stadig kan accepteres og hvorvidt det skal escaleres. Mens risikoappetitten er strategisk formuleret, er tolerancen operativ: Den udtrykkes i grænser, svagsætningsværdier og trafikskiltgrenser.

I praksis bruges begge begreber ofte synonymt. Afgrænsningen er dog nyttig: Lysten til at spise svarer til, hvor stor en risiko man er villig til at tage, mens tolerancen – den afvigelse der er tilladt i hverdagen uden eskalering – er et spørgsmål om balance. Uden defineret tolerance ender enhver overskridelse af grænser enten i en særlig mødeperiode eller i ligegyldighed.

Se også: Risikoappetit · Early warning indicator

Grundlæggende oplysninger

Risikoprodukter

Risikoinventaret er en struktureret samlet oversigt over alle identificerede risici, opdelt efter kategorier og organisatoriske enheder. Det er resultatet af risikoforståelsen og udgangspunktet for vurdering, styring og aggregering.

Kvalitetsegenskaber

• Fullstændighed: Alle væsentlige områder og risikotyper er dækket, herunder strategiske og eksterne risici
• Uoverlagt sammenfletning: Det samme risiko opstår ikke på tre forskellige områder med forskellige navne
• Tilstrækkelig detaljerighed: 40 til 120 risici er almindelige i mellemstore virksomheder; 400 individuelle risici er ikke længere styrede
• Aktuelt: Hvert risiko er forsynet med datoen for den sidste revision.

Pleje over tid

En beholdning mister sin værdi hurtigere end den opstår. Der er to mekanismer, der driver det i øjeblikket: den periodiske bekræftelse fra risikepratiserne, hvor ethvert risikoomfang enten bekræftes, ændres eller lukkes med begrundelse, og den tilfældige tilpasning ved nye forretningsområder, opkøb eller regulatoriske ændringer.

Ligesom tilføjelsen er vigtig, er lukningen lige så vigtig: Risikoer, der ikke længere findes, skal dokumenteres som afsluttet, ikke implicit slettet. Historien over lukket risiko er en af de få kilder, hvorfra senere erfaringer kan udledes til vurderinger.

Se også: Risikoregister · Risikokategorier

Grundlæggende oplysninger

Risikoregister

Risikoregisteret er den operative databasen for risikostyring. For hvert risikoområde registreres beskrivelse, årsag, kategori, risikoegenskaber, vurdering, tiltag og status – det er dermed det arbejdsmæssige instrument, mens risikostyringsregisteret udgør det samlede overblik.

Datakategorier

Regnearkbaserede registreerer typisk ved tre punkter: versionskonflikter under parallell bearbejdning, manglende historik over ændringer i vurderinger og ingen retningsafgrænsning mellem områder.

Se også: Audit Trail · Risikoprodukter

Grundlæggende oplysninger

Risikoidentifikation

Risikoidentifikation er det første skridt i risikostyringssystemet og har til formål at indsamle alle relevante risici så fuldstændigt som muligt. Kvaliteten af disse bestemmer alt andet: Et ikke-identificeret risiko bliver hverken vurderet, styret eller rapporteret.

Metoder i sammenligning

Den hyppigste fejl

Workshops reproducerer skadene fra fortiden. Strategiske risici – forretningsmodel, teknologiske ændringer, regulering, afhængighed – er derefter fuldstændigt fraværende, selvom de har den største effekt. En modvægt er en struktureret gennemgang af værdikæder, interessenter og mål, suppleret med en bevidst undersøgelse af, hvad forretningsmodellen i princippet kan betyde.

Kilder, der ofte bliver overset

• Referater fra direktionens og bestyrelsesmøder – her er de strategiske bekymringer allerede formuleret
• Reklamations-, garantistillelses- og fordelingsdata fra kvalitetsstyringen
• Revisioner, certificeringsafgørelser og revisionsbriefe fra revisoren
• Forsikringsaftaler: Det, der er forsikret, er allerede identificeret som risiko
• Kontraktklausuler med ansvarlighedsklausuler, bødeklausuler og tilgængelighedsklausuler
• Meddelelser fra rapporteringssystemet og Incident Management

En gennemgang af disse seks kilder giver efter erfaring en tredjedel af det senere inventar, før den første workshop har fundet sted – og forhindrer, at inventaret kun afspejler, hvad deltagerne på workshopdagen tænkte på.

Se også: Risikoprodukter · Delphi-metoden

Grundlæggende oplysninger

Risikoanalyse

I risikovurderingen undersøges årsager, sammenhænge og mulige konsekvenser af en risiko. Den besvarer spørgsmålet om, hvorvidt en risiko opstår, hvordan den spreder sig og hvilken skadestørrelse der er realistisk i hvilke scenarier – og danner dermed grundlaget for vurdering og valg af foranstaltninger.

Indstille analysedybde

Ikke alle risici er berettiget til en dybere analyse. En opdeling er vist at være effektiv: Risici med potentielt skadelig virkning på beholdningen undersøges med formelle metoder – fejldiagram, Bow-Tie, FMEA –, risici af mellemliggende betydning via struktureret ekspertvurdering, og siderisici kun kvalitativt inddelt.

Se også: Bow-tie-analyse · FMEA · Risikovurdering

Grundlæggende oplysninger

Risikostyring

Risikostyring omfatter alle tiltag, der bruges til at påvirke en risiko. Klassisk opdeles strategierne i fire kategorier: undgå, reducere, overføre og selv bære byrden. Hver foranstaltning kræver en ansvarlig person, en frist og en kontrol af effektiviteten.

De fire strategier

Bevist selvudøvelse er en legitim beslutning – men den skal dokumenteres og sammenholdes med risikotolerance. Dokumenteret selvudøvelse adskiller sig ikke fra passivitet i et erstatningssagsforhold.

Hvad der udgør en pålidelig foranstaltning

• Navngivet virkningsretning: Nedbringer foranstaltningen sandsynligheden for indtræden eller omfanget af skaden? Det er sjældent, at begge ting opnås samtidig.
• Ansvarlig person med beslutningsbeføjelser: ikke den, der kun rapporterer
• Frister med mellemrum: Foranstaltninger på over tolv måneder uden milepæle udløber automatisk
• Synlig resultat: Hvordan kan man se, at foranstaltningen virker?
• Omkostninger og nytte afvejet: En foranstaltning, der er dyrere end den forventede skade, er ikke risikostyring, men spild

Effektivitetskontrollen er det skridt, der oftest mangler. Uden dem forbliver det uafklaret, om netto-risikoen faktisk er faldet – og den nettoevaluering i risikoregisteret bliver så en antagelse, ikke en konstatering.

Se også: Forvaltning af foranstaltninger · Risikokostnader

Grundlæggende oplysninger

Risikostyring

Risikoovervågningen undersøger løbende, om risikobegivenheder og effektiviteten af foranstaltningerne har ændret sig. Den støtter sig på tidlige advarselstegn, sammenligninger mellem det nuværende og det tidligere og den periodiske opdatering af inventaret – og er forskellen mellem et referencepunkt og et fungerende system for tidlig varsling.

Det er forskel på den overvågning, der følger processen, gennem den anden linje, og den uafhængige kontrol gennem den interne revision som tredje linje. Begge dele er nødvendige: Den anden linje opdager ændringer tidligt, mens den tredje vurderer, om systemet generelt fungerer.

Se også: Tre linjer model · Nøglerisikoindikator

Grundlæggende oplysninger

Risikoreporting

Risikoreporting sammenfatter risikobildet på en adressatvenlig måde – for ledelse, bestyrelse og eksterne rapporteringsmodtagere. En pålidelig rapport viser ikke kun de enkelte risici, men også den aggregerede samlede risikoposition, ændringerne heri og status for de trufne foranstaltninger.

Adressespecifikt kompaktering

Se også: Statusrapport · Risiko Dashboard

Grundlæggende oplysninger

Risikoejer (Risk Owner)

Risikoejeren er ansvarlig for vurdering, styring og overvågning af en konkret risiko. Dette er som regel lederen for det pågældende område – ikke risikomanageren, der leverer og konsoliderer metoden.

Den rene tilknytning er en forudsætning for, at foranstaltninger rent faktisk bliver gennemført, og bliver regelmæssigt anmodet om af kontrollører. En risiko uden navngivet ejermand er en risiko uden ansvarlige – og netop dette er konklusionen, der kommer i kontrolrapporten. For tværsektorielle risici bliver en førende ejer navngivet, ikke flere ligestillede.

Se også: Tre linjer model · Risikoregister

Grundlæggende oplysninger

Risikokategorier

Risikokategorier strukturerer inventaret og gør risici sammenlignelige på tværs af områder. En konsekvent systematik er en forudsætning for aggregering, analyse og rapportering – og den bør starte med årsagen, ikke på det berørte afsnit.

En totrins-systematik med fem til otte hovedkategorier og tre til seks underkategorier har vist sig at være effektiv. Det vigtige er skillelinjerne: En cyberangreb er en IT-risiko, dens konsekvenser er en operativ risiko og overtrædelse af meldepligten en compliance-risiko. Uden klare tilordningsregler i risikohåndbogen bliver det samme begivenhed opdelt på forskellige områder på forskellige måder.

Se også: Risikoprodukter · Risiko

Grundlæggende oplysninger

Bruttorisiko og nettorisiko

Bruttorisiko beskriver en risiko uden hensyntagen til eksisterende foranstaltninger og kontroller; nettoorisiko er størrelsen, der er tilbage efter dette. Forskellen er den målbare bidrag fra det interne kontrolsystem.

Hvorfor begge størrelser er nødvendige

• Bruttovurderingen viser, hvilke risici, der uden kontrol ville være livstruende – og begrunder dermed investeringer i IKS.
• Den nettobevægelige værdi er afgørende for aggregering og sammenligning med risikotolerance.
• Forskellen gør afhængigheden af enkelte kontroller synlig: Hvis en nøglekontrol falder fra, stiger det samlede risikoniveau til bruttostatus.

Forudsætning: Effektiviteten af kontrollen skal bevises. Hvis den blot antages at foreligge, er den samlede vurdering bare en ønskedrøm – et punkt, som kontrolløren specifikt stiller spørgsmålstegn ved.

Se også: Intern kontrolsystem · Kontrolvirksomhed

Grundlæggende oplysninger

Mulighed for at komme ind

Indtredsfaren angiver, hvor sandsynligt en risiko opstår inden for en defineret tidsramme – normalt i forhold til et regnskabsår. Uden en ensartet referenceperiode er vurderinger af forskellige områder ikke sammenlignelige.

To fejlkilder opstår regelmæssigt. For det første den uklare referenceperiode: „Opstår én gang hvert femte år" svarer til 20 procent pr. år – hvis denne omregningsproces ikke er bindende reguleret, opstår der afvigelser i vurderingen med faktor fem. For det andet forveksling af hyppighed og sandsynlighed ved risici, der kan opstå flere gange om året; her gælder det at regne med en forventet hyppighed og en skadestørrelse pr. hændelse.

Se også: Skadestørrelse · Risikovurdering

Grundlæggende oplysninger

Skadestørrelse

Omfanget af skaden angiver den finansielle virkning af en indtrådt risiko – som en effekt på EBIT, cashflow eller egenkapital. For aggregeringen er ikke en enkelt værdi relevant, men en vifte med minimum, mest sandsynlige værdi og maksimum.

Den referenceværdi er obligatorisk at fastsætte. En risiko, der reducerer omsætningen med 5 mio. euro, belastes EBIT med et betydeligt lavere beløb afhængigt af dækningstilskuddet – hvis omsætnings- og resultatvirkningerne kombineres, er den samlede konklusion værdiløs. Det er også vigtigt at fastlægge, om følgeomkostninger som kontraktstraffe, omdømmeskade eller øgede finansieringsomkostninger skal medregnes.

Se også: Mulighed for at komme ind · Trekanter

Grundlæggende oplysninger

Chancenstyring

Mulighedsstyring identificerer systematisk positive afvigelser fra planerne og håndterer dem ved hjælp af de samme metoder som risici. Da muligheder og risici stammer fra de samme årsager, er den integrerede tilgang metodisk konsekvent – og det øger accepten i virksomheden markant.

I statusrapporten kræver § 289 HGB alligevel en beskrivelse af de væsentlige muligheder og Risici. Den, der samler begge dele adskilt, belaster sig selv med dobbeltarbejde; den, der udelader muligheder helt, opfylder ikke rapporteringskravet og giver samtidig det stærkeste argument over for de faglige afdelinger: Risikostyring er således ikke kun kontrol, men også en systematisk søgen efter potentialer.

Se også: Statusrapport · Bandbreddsplanlægning

Grundlæggende oplysninger

Risikoopdagelsessystem

Et system til tidlig risikopåvisning skal kunne opdage udviklinger, der truer virksomhedens bestande, så tidligt, at der stadig er mulighed for at træffe foranstaltninger. For aktieselskaber er det lovpligtigt i henhold til § 91, stk. 2, i AktG, og for børsnoterede selskaber er det emnet for den afsluttende revision i henhold til § 317, stk. 4, i HGB.

Ingredienser

1. Fastlæggelse af de risikofelter, der skal overvåges, ud fra forretningsmodellen
2. Indikatorer for tidlig varsling for hver risikoområde med defineret målehyppighed
3. Grænseværdier, hvis overskridelse udløser en anmeldelse
4. Bindende escalationveje op til ledelsen
5. Aggregation til den samlede risikoposition og sammenligning med bæreevnen
6. Dokumentation af alle trin som dokumentation over for revisorer og tilsynsmyndigheder

Den afgørende forskel i forhold til almindeligt risikostyring er tidsmæssigheden: Det kræver ikke registrering, men snarere overvågning. rettidige Påvisning – altså en forberedelse, der gør handlingen stadig mulig.

Se også: § 91, stk. 2, AktG · Udvikling, der truer bestandene · Early warning indicator

Grundlæggende oplysninger

Early warning indicator

En tidlig advarselindikator er en målbare størrelse, der signalerer en påbegyndt risikoforløb, før skaden indtræder. Det er afgørende med en defineret tærskelværdi, en fastlagt målefrekvens og en indbygget eskaleringsvej.

Eksempler på risikoområder

Fem til femten velvalgte indikatorer med klare grænser virker mere end femtio, som ingen analyserer.

Se også: Nøglerisikoindikator · Risikoopdagelsessystem

Metoder

Risikoaggregation

Risikoaggregation kombinerer alle individuelle risici til en samlet risikoposition og besvarer det afgørende spørgsmål: Kan virksomheden bære sin samlede risiko uden at havne i en situation, der er skadelig for virksomheden? Siden den nye udgave af IDW PS 340 er den blevet en mere udtrykkelig kontrolpunkt – og det punkt, hvor de fleste velfungerende risikostyringssystemer fejler.

Hvorfor man ikke kan tilføje risici

Den nærliggende fremgangsmåde – hvor alle skadestørrelser sumeres – fører systematisk til fejlagde resultater. Grunden ligger i sandsynligheden: En risiko med skade på 10 mio. euro og en indtrædelsesrisiko på 5 procent belastes planlægningen anderledes end en med 10 mio. euro og en indtrædelsesrisiko på 60 procent. Hvis begge summeres, opstår der en maksimal skade, der praktisk taget aldrig opstår, og derfor ikke har nogen styringsmæssig relevans.

Omvendt fører summen af forventningerne til en undervurdering: Den beskriver den gennemsnitlige situation, ikke det dårlige scenario, der afgør situationen. Derudover er der korrelationer – konjunkturfald, kravafvikling og nedgang i kapacitetsudnyttelse forekommer ofte sammen. Den, der ignorerer dem, undervurderer regelmæssigt den samlede risiko betydeligt.

Aggregation er derfor ikke en beregningsopgave, men en simulering: Den svarer på, hvor sandsynligt det er, at en given resultat- og likviditetssituation er, når alle risici kan virke samtidigt.

Processer i sammenligning

Læs resultatet

Fra denne fordeling kan de nøgletal udledes, der faktisk er nødvendige for styringen:

Handlinger i seks trin

1. Planlægning som grundlag: Aggregation bygger på GuV- og likviditetsplanlægning, ikke på en separat risikoliste.
2. Tilknytte risici til planlagte positioner: Hvert væsentligt risiko påvirker en konkret position – omsætning, materialomkostninger, personaleomkostninger, investeringer.
3. Bandbredde i stedet for klasser: Indsamler minimumsrisiko, mest sandsynlige værdi og maksimum samt sandsynlighedsindeks for indtræden.
4. Vælg og begrund din fordeling: I de fleste tilfælde er trekantfordelingen tilstrækkelig; sjældne store skader modelleres ved en kombination af indtrædelsesfrekvens og skadestørrelsefordeling.
5. Fastlægge korrelationer: I det mindste skildre de de åbenlyse sammenhænge mellem konjunkturafhængige risici.
6. Simulere og sammenligne: Beregn resultattilførslen og sammenligne den med risikodækningspotentialet; dokumenter resultater, antagelser og modellen.

Typiske fejl

• Aggregation uden planlægningsreference: Hvis det beregnes uafhængigt af virksomhedens planlægning, kan resultatet hverken plausibiliseres eller bruges til at træffe beslutninger.
• Modelér alle risici individuelt: Omkostningerne eksploderer uden at give nogen merværdi. I almindelighed bestemmer ti til tyve risici fordelingen.
• Indstille korrelationer til nul: Det er en antagelse, ikke en neutralitet – og det fører til en systematisk undervurdering.
• Model ikke dokumenteret: Uden forståelige antagelser er resultatet værdiløst i eksamenssamtalen.

Eksempel på beregning: hvorfor summen er en fejltælling

Et virksomhed har fem væsentlige risici. Den følgende tabel viser, hvor forskellig den samlede beskrivelse er, alt efter hvilket af de to metoder der vælges.

• Tilføjelse af maksimal skade: 34,0 mio. € – et scenario, hvor alle fem risici opstår samtidigt maksimalt. Computermæssigt muligt, praktisk talt næsten udelukket, som styringsgivende parameter uanvendeligt.
• Summen af forventningsværdierne: 5,3 mio. € – det gennemsnitlige beløb. Han undervurderer, at i ugunstige situationer kan tallet blive flere end det.
• Simulering: leverer fordelingen. Typisk ligger Value at Risk på 95, hvilket er % langt over forventningen og langt under maksimalsummen – og netop denne værdi kan sammenlignes med risikodækningens potentiale.

Beskeden lyder så ikke længere „vi har fem væsentlige risici", men: „I løbet af 50 år påvirker risikoerne resultatet med mere end X mio. euro; vores dekningspotentiale er Y mio. euro." Det er en beskeden, som et tilsynsråd kan arbejde ud fra.

Krav til systemstøtte

• Koble risikoerne til planlagte positioner i stedet for isolerede risikolister
• Indplacering af båndbredder og distributionsformer alt efter risiko
• Skematisk fremstilling af fælles drivkræfter bag korrelerede risici
• Gennemskuelig historik over alle antagelser og ændringer i vurderinger
• Reproducerbarhed: de samme indgivelser skal give det samme resultat
• Exportklare dokumentation til kontrolpersonale og tilsynsmyndigheder

Ofte stillede spørgsmål

Se også: Monte-Carlo-simulering · Risikomatrix · Risikostyringssystem

Metoder

Monte-Carlo-simulering

Monte-Carlo-simuleringen beregner den samlede risikoposition ved at gennemgå planlægningsperioden mange tusind gange med tilfældigt udvalgte varianter af alle risici. Resultatet er ikke et enkelt tal, men en fordeling af mulige virksomheders resultater – grundlaget for Value at Risk, egenkapitalbehov og vurderingen af risikoen for virksomheden.

Sådan fungerer den

I hver runde trækker modellen et tilfældigt tal fra den lagrede fordeling for hvert risikoniveau – f.eks. et fald i omsætningen på 4,2 procent og en stigning i materialepriserne på 11 procent – og beregner den fuldstændige plan med disse værdier. Resultatet gemmes, og processen gentages. Efter titusindvis af løb er der en hyppighedsfordeling for alle mulige resultater, som man kan læse af enhver ønsket sandsynlighedsvurdering.

En enkelt løbetall siger ikke noget – det er blot et af mange mulige scenarier. Det er først og fremmest fordelingen over alle løbene, der afgør, hvor sandsynligt et negativt EBIT, en Covenant-overtrædelse eller et likviditetsmangel er.

Hvilke indgangsdata der er nødvendige

• Planlægningsmodel: GuV, balance og likviditet i konsistent sammenhæng – simuleringen beregner dette model igen og igen.
• Bandbredde i forhold til risiko: Minimum, mest sandsynlige værdi, maksimum; ved begivenhedsrisici også sandsynligheden for, at det vil ske.
• Distributionstype: Trekant-, PERT- eller normalfordeling for kontinuerlige størrelser, binomiale eller poisson-tilgange for begivenheder.
• Korrelationer: Mindst de konjunkturrelaterede sammenhænge mellem salg, pris og kravsvækst.

Grænser

Simuleringen er kun så god som dens antagelser. Den genererer ikke information, men gør eksisterende vurderinger beregnelige. Derfor er der to ting at tage i betragtning: Kvaliteten af båndbredderne bestemmer resultatet, og risici, der ikke er medtaget i modellen, kommer heller ikke til udtryk i fordelingen. Simuleringen erstatter derfor hverken den omhyggelige identificering eller den faglige drøftelse af antagelserne – den tvinger blot begge til at være præcise.

Se også: Risikoaggregation · Risikovurdering

Metoder

Risikovurdering

Risikovurderingen tildeler hvert risikonet en sandsynlighed for at opstå og en konsekvens – enten kvalitativt via klasser eller kvantitativt via bredder og fordelinger. Valget mellem de to veje er ikke et spørgsmål om smag: Kun kvantitative vurderinger kan aggregeres og sammenlignes med risikotolerance.

Kvalitativt eller kvantitativt

I praksis fungerer en totrinsmetode: Alle risici klassificeres først kvalitativt, de væsentligste vurderes derefter kvantitativt i båndbredder. På denne måde er omfanget af arbejdet under kontrol, og den samlede konklusion forbliver alligevel pålidelig.

Brutto og netto

Den samlede vurdering vurderer risikoen uden de eksisterende foranstaltninger og kontroller, mens den samlede vurdering med dem tager højde for dem. Forskellen er den målbare bidrag fra det interne kontrolsystem og samtidig det stærkeste argument i diskussionen med tilsynsmyndigheden om investeringer i kontroller. Nettovurderingen er afgørende for aggregering og sammenligning af holdbarhed – forudsat at effektiviteten af kontrolsystemerne faktisk er påvist og ikke blot formodes.

Undgå forvrængninger

• Tilgængelighedsforvrængning: Nylige begivenheder overvurderes, tidligere begivenheder undervurderes. Heldigvis: struktureret kontrolliste i stedet for fri association.
• Overdreven selvtillid: Bandbredder bliver overvurderet. Heldigvis: Spørg først efter ekstremværdier, først derefter efter den mest sandsynlige værdi.
• Ankereffekt: Det første nævnte tal præger alle andre vurderinger. Heldigvis: uafhængige individuelle vurderinger før gruppebeslutningen.
• Målkonflikt: Den, der er ansvarlig for en risiko, vurderer man tendenssvarende mere mildt. Heldigvis kan man imødegå dette ved at bruge den anden linje som et middel til at gøre risikoen mere plausibel.

Se også: Risikomatrix · Risikoaggregation · Monte-Carlo-simulering

Metoder

Value at Risk (VaR)

Value at Risk angiver det tab, der ikke overskrides med en fast sandsynlighed inden for en bestemt tidsperiode – f.eks. 8 mio. euro ved en % konfidensgrad på 95 og et observationsperiode på et år. Det samler en hel fordeling på et tal og er dermed det mest almindelige risikomål.

Læs rigtigt

En VaR på 8 mio. euro ved 95 % betyder: I 95 af 100 scenarier er tabet mindre, i 5 af 100 højere. Denne erklæring er udtrykkelig ikke, At den maksimale tab er på 8 mio. euro – den størrelse af tabene ud over denne grænse fortæller ikke noget om VaR. Netop denne kløft udfylder Expected Shortfall.

Grænser og typiske uhensigtsmæssige anvendelser

Tre tre point fører i praksis regelmæssigt til fejltilpasninger. For det første at se på tallet uden at angive konfidensniveauet: En VaR uden angivelse af konfidensniveau og periode er meningsløs. For det andet fortolkningen som maksimalt tab – faktisk beskriver VaR grænsen for hvor alvorligt det bliver, ikke hvor meget værre det bliver. For det tredje summen af VaR-værdier for forskellige områder: VaR er ikke subadditivt; summen af områdevarerne kan være mindre end det samlede VaR.

For virksomhedsledelsen følger der en simpel regel: VaR egner sig som kommunikationsværdi for organer og banker, der træffer styringsbemærkninger; beslutningen om styring støttes desuden af den forventede mangel og sandsynligheden for at overtræde fastlagte grænser som f.eks. covenants eller minimum likviditet.

Se også: Forventet underskud · Risikoaggregation

Metoder

Cash Flow at Risk (CFaR)

Der Cash Flow at Risk overfører Value-at-Risk-logikken til betalingsstrømmen: Det angiver, hvilket beløb den planlagte cash flow kan understreges med en given sandsynlighed.

For industrivirksomheder og handelsvirksomheder er det oftest mere præcist end VaR på resultatbasis, fordi det ikke er markedsværdiudsving, men likviditetsmangel, der er den typiske årsag til insolvens. I praksis opbevares det umiddelbart mod de tilgængelige likviditetsreserver og kreditlinjer – resultatet er det mest pålidelige svar på spørgsmålet om, hvor længe virksomheden kan klare en stressituation.

Se også: Value at Risk · Risikodækningspotentiale

Metoder

Forventet underskud

Den Expected Shortfall – også kaldet Conditional Value at Risk – angiver den gennemsnitlige tab i de tilfælde, hvor Value at Risk overskrides. Det beskriver dermed omfanget af de ekstreme scenarier, som VaR ikke taler om.

Metodisk set har det en anden fordel: Det er subadditivt, hvilket betyder, at risikoen for en portefølje aldrig er større end summen af de enkelte risici. VaR opfylder ikke denne egenskab, hvilket kan føre til paradoksale resultater ved sammenlægning af delporteføljer. Banklovgivningen er derfor gradvist blevet erstattet af VaR med Expected Shortfall.

Se også: Value at Risk · Risikomål

Metoder

Scenarieanalyse

Scenarioplanlægning undersøger effekten af konsistente fremtidsbilleder på resultater, likviditet og balancetal. Den er særligt velegnet til strategiske risici, der ikke kan vurderes statistisk, og er udtrykkeligt påkrævet som led i klimaudtalelser i henhold til CSRD.

Opbygning af et scenarie-set

• Basis-tilfælde: Den vedtagne plan med de pågældende antagelser
• Ulemper: Påfaldende forværring af flere drivere samtidigt, konsekvent påvist
• Fordele: Den rette modretning, grundlaget for chancestyring
• Ekstremt scenarie: Usandsynligt, men afgørende for eksistensen – grundlag for stresstestet

Vigtigt er den indre konsistens: Et scenario med et fald i efterspørgslen og samtidig stigende salgspriser er rent beregneligt, men økonomisk usandsynligt og derfor uanvendeligt som beslutningsgrundlag.

Se også: Stresstest · Klimarisici

Metoder

Sensitivitetsanalyse

Sensitivitetsanalysen måler, hvor meget en målvariabel ændrer sig, når en enkelt påvirkningsvariabel ændres – f.eks. EBIT ved ti procent højere råvarepriser. Den identificerer de kritiske drivkræfter i forretningsmodellen.

I praksis bliver den sat forud for den mere komplicerede simulering: Den viser, hvilke fem til ti drivere der dominerer resultatet. Disse drivere bliver derefter lagt til med båndbredder og simuleres – alle andre kan behandles kvalitativt uden at forvrænge det samlede billede.

Se også: Monte-Carlo-simulering · Bandbreddsplanlægning

Metoder

Stresstest

En stresstest undersøger modstandsdygtigheden under ekstreme, men plausible forhold – f.eks. et fald i omsætningen på 30 procent samtidig med, at en af hovedleverandørerne går konkurs. Det sigter mod at fastslå, hvorvidt kapitalkapacitet eller likviditet begynder at svigte.

Omvendt stresstest

Det er særligt informative at vende spørgsmålet omvendt: Ikke „Hvad sker der i scenarie X?", men „Hvilken kombination af begivenheder ville gøre os insolvente?". Den inverse stresstest identificerer de faktiske svagsider i forretningsmodellen og er etableret i banktilsynet. For diskussionen i tilsynsrådet er den oftest mere værdifuld end enhver scenarieoversigt.

Se også: Scenarieanalyse · Udvikling, der truer bestandene

Metoder

Bandbreddsplanlægning

Bredebreddeplanlægning erstatter faste planværdier med områder med minimum, mest sandsynlige værdi og maksimum. Den gør planlægningsusikkerhed eksplicit og forbinder controlling og risikomanagement i én arbejdsgang.

Den praktiske fordel er betydelig: Bredderne er samtidig inputværdiene i risikosimulationen. Hvor planlægning uanset alt tænkes i scenarier, bortfalder en separat risikohåndtering for planlagte positioner næsten fuldstændigt – fagområderne leverer en information i stedet for to, og planlægning og risikobevægelser modsiger ikke hinanden længere.

Se også: Trekanter · Risikoaggregation

Metoder

Trekanter

Dreiecksoverførslen beskriver en risiko baseret på tre parametre: minimumsrisiko, mest sandsynlige værdi og maksimumsrisiko. Den er den mest udbredte distributionsform i risikosimuleringer, fordi disse tre værdier også kan bestemmes på grundlag af ekspertvurdering uden statistisk baggrundshistorik.

Deres svaghed ligger i de hårde grænser: Værdier uden for det angivne område er udelukket. Der hvor ekstreme værdier er relevante, er PERT-fordelingen – en afrundet variant med en stærkere vægtning af det mest sandsynlige værd – eller en kombination af indtrædelsesmulighed og separat skadesfordeling det bedre valg.

Se også: Fordelingsfunktion · Monte-Carlo-simulering

Metoder

Fordelingsfunktion

En fordelingsfunktion beskriver, med hvilken sandsynlighed en risiko vil antage en given form. Valget af fordelingen påvirker simuleringens resultat betydeligt og bør begrundes i risikohåndbogen.

Se også: Trekanter · Standardafvigelse

Metoder

Forventning

Forventningsværdien er det gennemsnitlige værd, der er vejet med indtastningsmulighederne for alle mulige udtryk for en risiko. Den er velegnet til prioritering, men undervurderer systematisk risikoen ved sjældne større skader.

Et eksempel illustrerer problemet: Et risiko med 1 % chance og skade på 50 mio. euro har samme forventningsværdi som et med 50 % og 1 mio. euro – 500.000 euro. For virksomhedsledelsen er begge grundverschieden: Det andet er en omkostningsfaktor, det første en eksistensfrånværende. For vurderingen af udviklinger, der truer virksomheden, er forventningsværdien derfor uegnet alene.

Se også: Value at Risk · Risikovurdering

Metoder

Standardafvigelse

Standardafvigelsen måler spredningen af mulige resultater omkring forventningsværdien og tjener som et enkelt mål for risikoens størrelse.

Da de behandler positive og negative afvigelser ens, bliver en uventet god udvikling lige så betragtet som en „risiko" som en dårlig udvikling. I virksomhedsledelsen interesserer dog overvejende den negative side, hvorfor den i stigende grad suppleres med downside-mål som Value at Risk, Expected Shortfall eller den sandsynlige afviklingshastighed.

Se også: Risikomål · Fordelingsfunktion

Metoder

Risikokorrelation

Risikokorrelationen beskriver den statistiske sammenhæng mellem risici. Positivt korrelerede risici forekommer sammen og forstærker hinanden – hvis de behandles som uafhængige aggregater, vil det samlede risiko ofte blive væsentligt undervurderet.

Praksisopførelse

Nøjagtige korrelationskoefficienter kan normalt ikke empirisk bestemmes for virksomhedsrisici. En pragmatisk tilgang er almindelig og velprøvet: Risici knyttes sammen med fælles drivkræfter – konjunktur, råvarepriser, valutakurser, branchecyklusser –, og simuleringen trækker et fælles tilfældigt tal for drivkræfterne for hver gennemløb. På den måde opstår afhængigheden i modelens beregningsgrundlag, uden at koefficienter skal estimeres.

Se også: Risikoaggregation · Monte-Carlo-simulering

Metoder

Risikomål

En risikomål indskrænker risikodelingen til en enkelt nøgleparameter. Almindeligt anvendte variabler er standardafvigelse, Value at Risk, Expected Shortfall og Eigenkapitalbehov. Valget bestemmer, hvilken egenskab i fordelingen der bliver synlig.

Udvalget bør orientere sig efter styringsmålet: Hvis det handler om resultatudsving, er standardafvigelsen nyttig; hvis det handler om kapitaludnyttelse, egenkapitalbehov; hvis det handler om værdiforringelse, value at risk eller expected shortfall ved høj konfidensniveaus. Der findes ikke et enkelt mål for alle spørgsmål.

Se også: Value at Risk · Forventet underskud

Metoder

Risikokostnader

Risikokostnader er de beregnede omkostninger ved risikoen: forsikringspremiier, afskrivninger, egenkapitalindskud og kapitalomkostningerne ved den egenkapital, der er bundet af risici.

Ved at tilknytte den til områder, projekter eller opgaver gør risikostyring virksomhedsmæssigt effektiv. En stor ordre med en høj leveringsandel og svag kundebonitet binder mere risikokapital end en standardhandel – hvis dette tages højde for i kalkulationen, ændrer prisfindingen sig. Netop på dette punkt bliver en dokumentationspligt til et styringsinstrument.

Se også: Risikostyring · Risikodækningspotentiale

Metoder

Risikodækningspotentiale

Risikodækningspotentialet betegner de midler, der er til rådighed til at dække opståede risici: frit egenkapital, stille reserver, uudnyttede kreditlinjer og likviditetsreserver. Det er den kvantitative udstrækning af risikotragten.

Der er brug for forsigtighed ved beregningen. Kreditlinjer er normalt ikke tilgængelige i krisesituationer, når de er mest nødvendige; stille reserver kan næppe frigøres på kort sigt. En robust tilgang adskiller sig derfor efter udsigtsperiode og sætter kun de kortfristet sikrede komponenter til rådighed i tilfælde af stressituationer.

Se også: Risikotragtighed · Kontantstrømmen er i fare

Metoder

Udvikling, der truer bestandene

En udvikling, der truer virksomhedens eksistens, opstår, når risici truer virksomhedens fortsatte eksistens – typisk gennem truende insolvens, overkapitalisering eller tab af evnen til at yde kapital. Identificeringen af disse risici i tide er kernen i den lovbestemte forpligtelse i henhold til § 91, stk. 2, AktG og § 1 StaRUG.

Hvordan man opnår dokumentationen

1. Kvalificer risici og tilknyd planpositioner
2. Samle de samlede risikopositioner og tager højde for korrelationer
3. Identificere risikodækningspotentiale efter tilgængelighedshorizont
4. Sammenligne begge forhold og bestemme sandsynligheden for en underdekning
5. Resultater, antagelser og konklusioner dokumenteres

Bevis kan ikke opnås med en rent kvalitativ risikomatrix. Det er kernen i den nye udgave af IDW PS 340 – og den hyppigste årsag til konklusioner i kontrolrapporten.

Typiske tegn

• Nedgang i ordrerne over flere perioder, med konstant omkostningsgrundlag
• Forlængede leveringsfrister for debitorer og stigende andel af forfalden gæld
• Udnyttelse af kreditlinjer som en permanent situation i stedet for som en midlertidig justering
• Nærmelse til Covenant-grænser uden buffer i planlægningsscenariet
• Afhængighed af en stor kunde eller en enkelt leverandør uden alternativ
• Gentagne udsættelser af investeringer på grund af likviditetsmangler

Indywidualnie, ingen af disse tegn er truende for bestandens overlevelse. Kombinationen af dem er ofte det, hvilket endnu engang viser, hvorfor det er aggregeringen og ikke den individuelle vurdering af lovmæssig opfyldelse, der afgør.

Se også: StaRUG · Risikotragtighed · IDW PS 340 n.F.

Metoder

FMEA

Fejlfinding og -kontrolanalyse er en struktureret metode til forebyggelse af fejl i produkter og processer. Hver potentiel fejl vurderes efter betydning, forekomst og sandsynlighed for opdagelse.

Risikoprioritetsniveau og dens kritik

Traditionelt multipliseres de tre vurderinger på en skala fra 1 til 10; produktet er risikoprioritetsnummeret. Kritikken mod det er berettiget: Andre kombinationer giver samme nummer, selvom behovet for handling varierer. Den aktuelle AIAG-VDA-systematik erstatter derfor den rene multiplikation med en opgaveprioritet, der vægtes mere betydeligt.

FMEA er en vigtig kilde til virksomhedsdækkende risikostyring: De tekniske risici, der identificeres der, overføres – hvis de er væsentlige – til risikobiblioteket.

Se også: Fejlfindingsanalyse · Risikoanalyse

Metoder

Fejlanalyse (FTA)

Fejlanalyse arbejder deduktivt: Ud fra et uønsket fænomen spores alle mulige årsagskæder tilbage via logiske sammenhænge.

Fordelen i forhold til rent kvalitativt arbejde ligger i beregneligheden: Hvis sandsynlighederne for basishendelsene er kendt, kan sandsynligheden for det højeste resultat beregnes ved hjælp af AND- og OR-koblingerne. På denne måde egner FTA sig særligt godt til teknisk komplekse systemer med redundans – f.eks. spørgsmålet om, hvor sandsynligt et fuldstændigt driftsstop af strømforsyningen er, selvom der er to uafhængige nødsystemer.

Se også: FMEA · Bow-tie-analyse

Metoder

Bow-tie-analyse

Bow-Tie-analysen visualiserer risiko grafisk som en flue: til venstre årsagerne med forebyggende barrierer, i midten begivenheden, til højre konsekvenserne med afhjælpende foranstaltninger. Den forbinder risikoanalyse og kontrolsystem i ét billede.

Se også: Intern kontrolsystem · Risikoanalyse

Metoder

Delphi-metoden

Delphi-metoden strukturerer eksperternes vurderinger i flere anonyme spørgevinduer. Mellem spørgevinduerne modtager deltagerne de aggregerede resultater og kan revidere deres vurdering.

Anonymiteten mindsker autoritets- og gruppepresset, som i klassiske risikoworkshops i praksis dominerer vurderingen. For risici uden statistisk datagrundlag – strategiske udviklinger, regulatoriske ændringer, teknologiske spring – giver metoden langt mere belastbare vurderinger end en afstemning i plenum.

Se også: Risikoidentifikation · Risikovurdering

Metoder

Risikoberegning

Ved risikoanalyse vurderes risici på basis af punktværdier i kategorier som sandsynlighed, virkning og styringsvilje og sammenfattes til en samlet score. Metoden er hurtig og bredt anvendelig.

Den metodiske grænse er strengt gældende: Poengvurderinger er ordinalt kalibrerede. En risiko med en score på 40 er ikke dobbelt så farlig som en med 20, og poengvurderinger må hverken adderes eller omsættes til pengebeløb. Som en prioriteringstilstand for at vælge de risici, der skal vurderes i dybden, er scoring alligevel nyttig – ikke som grundlag for aggregering.

Se også: Risikovurdering · Risikomatrix

Metoder

Nøglerisikoindikator (KRI)

En Key Risk Indicator er en indikator, der løbende måler udviklingen af en risiko. I modsætning til Key Performance Indicators, der viser tidligere præstationer, ser KRI ud i fremtiden.

Kriterier for gode indikatorer

• Forløb: Indikatoren reagerer, før skaden opstår – ellers er det blot en skadesstatistik.
• Tilgængelighed: Dataene opstår alligevel i systemet; indikatorer, der skal indsamles manuelt, bliver ikke længere vedligeholdt efter to kvartaler.
• Enhed: En ændring kan tydeligt fortolkes.
• Miljøgrænseværdier og eksponering: Uden defineret grænse og lagt respons forbliver indikatoret ubrugeligt.

Se også: Early warning indicator · Risikostyring

Metoder

Risiko kvantificering

Risikokvantificering udtrykker risici i pengebeløb og sandsynligheder i stedet for kun at kategorisere dem. Den er en forudsætning for aggregering, holdbarhedssammenligning og risikostyrede beslutninger.

Den hyppigste kritik er, at dataene ikke findes. Dette overser det punkt, at en klassificering også er baseret på en vurdering – den gør den blot usynlig. Kvalitetsmåling tvinger til at åbne op for og diskutere den antagelse. En begrundet skala fra 2 til 9 mio. euro er overlegen for enhver klassificering: Den er verificerbar, aggregerbar og korrigerbar.

Se også: Risikovurdering · Risikoaggregation

Regulatorik

Sammenfatning: Hvem skal gøre hvad

Kravene til risikostyring og compliance stammer fra flere kilder samtidig: selskabsret, insolvensret, handelsret, tilsynsstandarder, branchespecifik tilsyn og europæiske bestemmelser. Denne oversigt klassificerer de vigtigste forskrifter efter målgruppe.

Områder og frister for CSRD, LkSG og CSDDD vil blive revideret som led i den europæiske omnibus-procedure. Den aktuelle situation vil blive vurderet individuelt for hvert selskab – de indholdsmæssige krav til risikoanalyse, foranstaltninger og dokumentation forbliver i det væsentlige uændrede.

Regulatorik

KonTraG

Lovgivningen om kontrol og gennemsigtighed i virksomhedens ledelse fra 1998 er udgangspunktet for lovgivningen om risikostyring i Tyskland. Den indførte § 91, stk. 2, i AktG og forpligtede bestyrelsen til for første gang udtrykkeligt at etablere et overvågningssystem til tidlig påvisning af udviklinger, der kan skade virksomheden.

KonTraG var reaktionen på en række spektakulære virksomhedskatastrofer. Samtidig udvidede det revisors og bestyrelsesmedlemmers pligter. Med hensyn til den såkaldte udsendelsesvirkning overføres standarden til store GmbH'er: Selvom standarden er rettet mod AG'er, måles omhyggelighedskravet hos en ordentlig forretningsmand efter standarden.

Se også: § 91, stk. 2, AktG · FISG

Regulatorik

§ 91, stk. 2 og 3, AktG

§ 91, stk. 2, i AktG er den centrale norm for lovligt risikomanagement: Bestyrelsen har pligt til at træffe passende foranstaltninger og navnlig oprette et overvågningssystem, så udviklinger, der truer virksomhedens fortsatte eksistens, kan opdages tidligt. Med FISG blev afsnit 3 tilføjet, der udtrykkeligt kræver et passende og effektivt risikomanagement- og internkontrolsystem for børsnoterede selskaber.

Praktisk konsekvens

• Systemet skal tidligt At erkende – et snapshot af årsafslutningen er ikke nok.
• Der registreres udviklinger, der truer bankens eksistens, såsom likviditetsmangel, overkapacitet og tab af evnen til at yde kapitalydelser.
• Bevisningen kræver en aggregering: Enkeltrisici i sig selv er sjældent farlige for bestanden, men kombinationen af dem er det.
• Det er vigtigt at dokumentere arrangementet – i tilfælde af en tvist bærer bestyrelsen ansvaret for dokumentationen.

Se også: Risikoopdagelsessystem · IDW PS 340 n.F. · § 317, stk. 4 i HGB

Regulatorik

§ 93 AktG og Business Judgement Rule

§ 93 AktG regulerer ansvar og omhu for bestyrelsesmedlemmer. Den fastlagte Business Judgement Rule beskytter virksomhedsmæssige beslutninger mod ansvar, hvis de træffes på grundlag af passende information og uden interessekonflikter til gavn for samfundet.

For risikostyring følger det en tydelig fordel: „Tilstrækkelig informationsgrundlag" betyder, at de risici, der er forbundet med en beslutning, er blevet identificeret og vurderet. Den, der beslutter at investere uden dokumenteret risikobegrænsning, mister beskyttelsen af regelværket – ikke fordi beslutningen var forkert, men fordi grundlaget manglede. Pålæggelsen af dokumentation ligger hos det organ, der er medlem af bestyrelsen.

Se også: Ledelsesansvar · D&O-forsikring

Regulatorik

StaRUG

Virksomhedsstabiliserings- og -restruktureringsloven gælder siden begyndelsen af 2021. § 1 StaRUG forpligter ledere i virksomheder med begrænset ansvar til løbende at overvåge udviklinger, der kan true virksomhedens eksistens, træffe passende modforanstaltninger og straks rapportere til tilsynsmyndighederne.

Hvorfor dette har ændret virksomhedsvirksomhedens verden

Før StaRUG var pligten til kriseressourcer i aktiebeskatningsloven fastlagt og kunne kun udledes af den generelle omgang med forsigtighed. Fra 2021 gælder den på tværs af juridiske former og udtrykkeligt. Med dette træder enhver GmbH, UG og GmbH & Co. KG forpligtet til at opretholde et system, der opdager udviklinger, der truer virksomhedens eksistens – uafhængigt af størrelse og relation til kapitalmarkedet.

Lovgivningen indeholder også en restruktureringsramme: en procedure, der muliggør sanering uden konkurs ved flertalsafgørelser fra kreditorerne. Adgangen kræver trusler om insolvens – altså nøjagtig den situation, der skal identificeres i tide ved hjælp af tidlig varsling.

Hvad lederne konkret skal gøre

1. Fortløbende overvågning af udviklinger, der kan true eksistensen – ikke på baggrund af en specifik begivenhed, men løbende
2. Integreret planlægning med likviditetsprognose over en passende periode, normalt mindst tolv måneder i række
3. Identifikation af krisenymptomer via definerede indikatorer og kritiske niveauer
4. Gennemføre passende foranstaltninger, når der konstateres en trussel mod bestanden
5. Urgens rapportering til overvågningsmyndighederne
6. Dokumentation af alle trin – i tilfælde af erstatningskrav er det det eneste bevis

Forpligtelsen ophører ikke ved konstatering. Den, der opdager en udvikling, der truer bestanden, og lader stå over det, er personligt ansvarlig – den tidlige opdagelse uden efterfølgende handling forringer faktisk situationen i en retssag.

Se også: Udvikling, der truer bestandene · Risikoopdagelsessystem

Regulatorik

IDW PS 340 n.F.

Det nye revisionsstandard fra IDW til vurdering af risikohåndteringssystemet gælder for årsregnskaber for perioder, der begynder den 15. december 2021. Et kendetegnende element er den udtrykkelige anmodning om at aggregere individuelle risici til en samlet risikoposition og sammenligne denne med risikotolerance.

Hvad der er ændret i forhold til den gamle version

Konsekvenser for praksis

Virksomheder, der har opbygget deres risikostyring på risikomatrixen og handlingslisten, opfylder ikke længere standarden. Det kræver kvantitative vurderinger i breddegrader, en aggregeringsmodel og en dokumenteret sammenligning med risikodækningspotentialet. Omkostningerne er overkommelige, hvis de integreres i den eksisterende plan – og betydeligt, hvis et andet system opbygges parallelt.

Se også: Risikoaggregation · Risikotragtighed · IDW PS 981

Regulatorik

IDW PS 981

IDW PS 981 beskriver principperne for korrekt auditering af risikostyringssystemer. Det opdeler RMS i otte grundelementer og fungerer som referenceramme for frivillige effektivitetsrevisioner – f.eks. på vegne af bestyrelsen, aktionærerne eller som led i en transaktion.

Der er tre undersøgelsesmåder at skelne mellem: konceptersøgningen vurderer beskrivelsen, tilpasningssøgningen vurderer egnetheden til fristens udløb, og effektivitetssøgningen vurderer driften over en periode. Omkostningerne stiger i denne rækkefølge markant; for det første efterprøvning over for et tilsynsorgan er ofte tilstrækkeligt med tilpasningssøgningen.

Se også: Risikostyringssystem · IDW PS 340 n.F.

Regulatorik

IDW PS 980

IDW PS 980 er standarden for vurdering af compliance-styringssystemer. Den definerer syv grundelementer fra compliancekulturen til overvågning og forbedring og er i det tysktalende område den almindelige dokumentation for en passende compliance-system.

Prøven kan begrænses til enkelte dele – f.eks. korruptionsforebyggelse eller kartelret – hvilket signifikant reducerer omkostningerne og i praksis er standard. Et udelukkende positivt resultat vedrørende effektiviteten virker over for myndigheder, domstole og forretningspartnere som et stærkt indicium for, at organisationskravene er opfyldt.

Se også: Compliance Management System · ISO 37301

Regulatorik

IDW PS 982

Standarden regulerer undersøgelsen af virksomhedsrapporteringens interne kontrolsystem. Den beskriver hensigtsmæssigheden og effektiviteten af kontroltiltagene i forhold til de relevante procesled i virksomheden og følger COSO-rammeverket i sin struktur.

Med udvidelsen af rapporteringen om bæredygtighedsoplysninger får det yderligere betydning: ESG-data kræver også et kontrolsystem, der sikrer fuldstændighed, rigtighed og forståelighed – med de samme krav, der længe har været gældende for finansielle data.

Se også: Intern kontrolsystem · Bæredygtig rapportering

Regulatorik

IDW PS 983

IDW PS 983 beskriver principperne for ordentlig gennemgang af interne revisionssystemer. Det er standarden for kvalitetssikring, som IIA fastsætter hvert femte år gennem en ekstern tredjepart.

Opbygningen og procedurerne for revisionsfunktionen vil blive undersøgt: Uafhængighed, rapporteringslinjer, kvalifikationer, risikobaseret planlægning af revisioner, gennemførelse og opfølgning af konklusionerne. For virksomheder uden egen revision er standarden indirekte relevant, fordi den beskriver, hvad man kan forvente af en outsourced revisionsfunktion.

Se også: Intern revision

Regulatorik

COSO ERM-rammeværket

COSO-rammeværket „Enterprise Risk Management – Integrating with Strategy and Performance" fra 2017 forbinder risikostyring udtrykkeligt med strategi og virksomheders resultater. Det er internationalt set det mest udbredte ERM-referencemodel.

Se også: ISO 31000 · COSO intern kontrol

Regulatorik

COSO-rammen for intern kontrol

COSO-rammeværket for interne kontrolsystemer definerer fem komponenter – kontrolmiljø, risikovurdering, kontrolaktiviteter, information og kommunikation samt overvågning – og inddeler dem i sytten principper.

Det er verdensomspændende standard for udformningen af IKS og referencemodellen for undersøgelse i henhold til IDW PS 982 samt for amerikansk SOX-compliance. Det praktiske værdi ligger i dens fuldstændighed: Principperne kan bruges som en kontrolliste til at undersøge, om et velfungerende kontrolsystem rummer strukturelle mangler.

Se også: Intern kontrolsystem · IDW PS 982

Regulatorik

ISO 31000

ISO 31000:2018 er den internationale retningslinje for risikostyring. Den beskriver principper, rammer og processer og er udformet tværfagligt og kan ikke udstedes som certificering.

Dens værdi ligger i den ensartede terminologi og den klare fastgørelse af risikostyring i ledelsesansvaret. Normen er bevidst holdt simpel og åbner for, hvilke metoder der anvendes til vurdering – dette tomrum udfyldes af den supplerende IEC 31010. Den, der søger en certificerbar basis, kan i Tyskland og Østrig henvende sig til ONR 49000.

Se også: IEC 31010 · ONR 49000

Regulatorik

IEC 31010

IEC/ISO 31010 supplerer ISO 31000 med en katalog over vurderingsmetoder – fra brainstorming og checklister til FMEA, fejldiagram- og Bow-Tie-analyse samt Monte-Carlo-simulering.

For hver metode nævner standarden egnethed, omkostninger, den nødvendige datakilde og grænser. Derfor er den den mest nyttige kilde til at begrunde valget af metoder for oprettelsen af en risikohåndbog – et punkt, som revisorerne regelmæssigt stiller spørgsmålstegn ved.

Se også: ISO 31000 · Risikoanalyse

Regulatorik

ONR 49000 ff.

Den østrigske standardserie ONR 49000 konkretiserer ISO 31000 for anvendelse i organisationer og er – i modsætning til ISO 31000 – certificerbar.

Den omfatter begreber og principper, processen for risikostyring samt krav til kvalifikationer for risikostyringsmedarbejdere. I Tyskland og Østrig er den især udbredt og ofte grundlaget for certificeringer, som tyske virksomheder finder hos deres østrigske datterselskaber.

Se også: ISO 31000

Regulatorik

ISO 37301

ISO 37301:2021 er den internationale standard for compliance-styringssystemer og erstatter tidligere ISO 19600. I modsætning til den er den formulert som en kravnorm og kan dermed certificeres.

Den følger den høje niveaustruktur og kan dermed integreres med ISO 9001, ISO 14001, ISO 27001 og ISO 37001 til et integreret ledelsessystem – fælles ledelse, fælles dokumentstyring og fælles intern audit. For virksomheder med flere ledelsessystemer er dette den største effektivitetsgevinst.

Se også: Compliance Management System · IDW PS 980

Regulatorik

ISO 37001

ISO 37001 definerer krav til ledelsessystemer til bekæmpelse af korruption: Anti-korruptionspolitik, due diligence over for samarbejdspartnere, kontrol med bidrag, donationer og sponsing samt beskyttede meldekanaler.

Certificeringen tjener internationalt som dokumentation for hensigtsmæssige forebyggende foranstaltninger og bliver i stigende grad krævet af virksomheder fra leverandører og distributionspartnere i højrisikomarkeder. Den erstatter ikke en egen risikostyring, men strukturerer tiltagene inden for rammerne af en anerkendt ramme.

Se også: Bekæmpelse af korruption · Tredjepartstjek

Regulatorik

FISG

Finansmarkedsintegrationsloven fra 2021 var lovgivningsmæssig reaktion på Wirecard-skandalen. § 91, stk. 3 i AktG forpligter børsnoterede aktieselskaber til at have et passende og effektivt risikostyringssystem og interne kontrolsystemer.

Desuden styrker det undersøgelsesudvalget, skærper rotation- og ansvarregler for revisorer og udvider BaFins beføjelser. Praktisk set er flytningen betydningsfuld: Hvad tidligere var en anbefaling i Corporate Governance-koden, er nu lov for den pågældende gruppe.

Se også: § 91 AktG · Undersøgelsesudvalg

Regulatorik

Tysk Corporate Governance Code

DCGK samler principper, anbefalinger og ideer til god virksomhedsledelse for børsnoterede virksomheder. Det indeholder konkrete anbefalinger om risikostyring og compliance, herunder internt kontrol- og risikostyringssystem, herunder bæredygtighedsaspekter, samt om en whistleblowerordning.

Koden er ikke en lov, men har effekt på baggrund af erklæringen om overensstemmelse i henhold til § 161 i AktG: Afvigelser skal angives og begrundes. Den tjener som retningslinje for ikke-noterede virksomheder – især familieejede virksomheder anvender ofte egne, til disse kodiseret, governance-koder.

Se også: Governance · Bestyrelse

Regulatorik

Statusrapport og risikobevillingsrapport

Ifølge § 289 HGB skal den forventede udvikling med alle væsentlige muligheder og risici vurderes og beskrives i statusrapporten. Risikobevægelsessagen er dermed den eksterne grænseflade for risikostyringen.

Krav til risikoresuméet

• Beskrivelse af de væsentligste risici, ikke en liste over alle risici
• Gennemskuelig afledning fra det interne risikoinventar
• Angivelse af vurderingskriterier og den samlede risikobegivenhed
• Konsistens med prognoserapporten: Risikoerne beskriver afvigelser fra de forventninger, der er angivet deri

Afvigelser mellem den interne risikobestemmelse og den eksterne repræsentation er et klassisk problemområde for revisorer. Den, der intern fører en risiko, der truer virksomhedens eksistens, og eksternt rapporterer om en stabil situation, har et problem, der går ud over regnskabsføringen.

Se også: Prognoserapport · Risikoreporting

Regulatorik

§ 317, stk. 4 i HGB

Bestemmelsen forpligter revisoren i børsnoterede aktieselskaber til at vurdere, om bestyrelsen har indrettet overvågningssystemet i henhold til § 91, stk. 2, AktG på passende vis, og om det kan udføre sine opgaver.

Den lovlige grundlag for undersøgelsen efter IDW PS 340 n.F. er den. Undersøgelsesopgaven er bevidst begrænset: Evalueringen omfatter installationen og den grundlæggende funktionsdygtighed, ikke effektiviteten over en periode. En mere detaljeret effektivitetsvurdering udføres kun i forbindelse med en særlig opgave.

Se også: IDW PS 340 n.F. · Årsregnskabsrevision

Regulatorik

MaRisk

Mindstestandarderne for risikostyring fra BaFin konkretiserer § 25a KWG for kreditinstitutter. De regulerer risikobæredygtighed, strategier, interne kontrolprocedurer, stresstests, outsourcing-styring og udformningen af intern revision.

Selvom det ikke handler om finanssektoren, er det alligevel værd at kigge ind: MaRisk beskriver en reguleret risikostyring med høj grad af detaljer og fungerer som reference for mange industrivirksomheder inden for emner som outsourcing-styring eller risikobæredygtighedskoncept. For forsikringsselskaber er MaGo en tilsvarende løsning.

Se også: KWG · Udskiftningsledelse

Regulatorik

KWG

Kreditloven er den tilsynsretlige grundlag for kreditinstitutter i Tyskland. § 25a KWG kræver en ordentlig forretningsorganisation med passende risikostyring, et internkontrolsystem og en compliancefunktion.

For ikke-banker er KWG indirekte relevant, når finansielle tjenesteydelser leveres – f.eks. ved betalingsbehandling, factoring eller salgsfinansiering i koncernen. Afgrænsningen af aktiviteter, der kræver tilladelse, hører i disse tilfælde ind under analysen af compliance-risikoen.

Se også: MaRisk

Regulatorik

Solvens II

Solvency II er det europæiske tilsynsregime for forsikringsselskaber og bygger på tre søjler: kvantitative kapitalkrav, kvalitativ ledelsesretningslinjer, herunder virksomhedens egne risikovurderinger og solvensvurderinger, samt rapporterings- og offentliggørelseskrav.

Den anden søjle er også værdifuld for industrifirmaer: ORSA kræver en forudsigelig vurdering af det samlede risikoprofil og kapitalgrundlaget over planlægningshorisonten – metodisk set nøjagtigt det, som IDW PS 340 n.F. kræver for ikke-forsikrede.

Se også: Risikotragtighed

Regulatorik

Basel III und IV

Die Basler Rahmenwerke definieren internationale Eigenkapital- und Liquiditätsstandards für Banken und werden in der EU über die Capital Requirements Regulation und Directive umgesetzt.

Für Unternehmen außerhalb des Finanzsektors sind sie mittelbar bedeutsam: Sie prägen Ratingverfahren, Kreditkonditionen und den Informationsbedarf der Banken. Ein Unternehmen, das seine Risikolage quantifiziert darstellen kann, verbessert seine Verhandlungsposition messbar – weil die Bank sonst mit Sicherheitsaufschlägen arbeitet.

Se også: Risikoaggregation

Regulatorik

CSRD

Die Corporate Sustainability Reporting Directive erweitert die Nachhaltigkeitsberichterstattung in der EU erheblich: Berichtsinhalte nach den ESRS, Prüfpflicht durch einen unabhängigen Dritten, digitales Tagging und Integration in den Lagebericht statt in einen separaten Bericht.

Was sich dadurch ändert

• Prüfpflicht: Nachhaltigkeitsdaten unterliegen erstmals einer externen Prüfung – mit entsprechenden Anforderungen an Datenqualität und Kontrollen.
• Doppelte Wesentlichkeit: Berichtet wird über Auswirkungen des Unternehmens og finanzielle Auswirkungen auf das Unternehmen.
• Wertschöpfungskette: Die Berichtsgrenze endet nicht am eigenen Werkstor.
• Integration: ESG-Risiken gehören methodisch in das bestehende Risikomanagement.

Anwendungsbereich und Erstanwendungszeitpunkte werden im Rahmen des EU-Omnibus-Verfahrens überarbeitet und sind unternehmensindividuell zu prüfen.

Vorbereitung in fünf Schritten

1. Anwendbarkeit und Zeitpunkt klären: Größenkriterien, Kapitalmarktbezug und Konzerneinbindung prüfen – einschließlich der Frage, ob eine Befreiung über den Konzernbericht möglich ist.
2. Doppelte Wesentlichkeitsanalyse: methodisch sauber, dokumentiert und mit Stakeholder-Einbindung – sie bestimmt den gesamten Berichtsumfang.
3. Datenlücken ermitteln: Für jede geforderte Angabe klären, ob die Daten existieren, woher sie stammen und wer sie verantwortet.
4. Prozesse und Kontrollen aufbauen: Nachhaltigkeitsdaten werden prüfungspflichtig und benötigen dieselbe Kontrolltiefe wie Finanzdaten.
5. Probelauf: einen vollständigen Berichtszyklus vor der Erstanwendung durchspielen, inklusive Abstimmung mit dem Prüfer.

Der zeitkritische Engpass ist regelmäßig Schritt drei: Die Datenerhebung über Standorte, Beteiligungen und Lieferanten dauert länger als die Berichtserstellung selbst.

Se også: ESRS · Doppelte Wesentlichkeitsanalyse

Regulatorik

ESRS

Die European Sustainability Reporting Standards konkretisieren die Berichtspflichten der CSRD. Sie umfassen übergreifende Standards zu allgemeinen Anforderungen und Angaben sowie themenspezifische Standards zu Umwelt, Sozialem und Governance.

Welche Themenstandards anzuwenden sind, ergibt sich aus der doppelten Wesentlichkeitsanalyse – mit Ausnahme der übergreifenden Standards, die immer gelten.

Se også: CSRD · Doppelte Wesentlichkeitsanalyse

Regulatorik

EU-Taxonomie

Die EU-Taxonomie ist ein Klassifikationssystem für ökologisch nachhaltige Wirtschaftstätigkeiten. Eine Tätigkeit gilt als taxonomiekonform, wenn sie wesentlich zu einem der sechs Umweltziele beiträgt, kein anderes erheblich beeinträchtigt und Mindestschutzstandards einhält.

Berichtspflichtige Unternehmen weisen aus, welcher Anteil von Umsatz, Investitionen und Betriebsausgaben taxonomiefähig und taxonomiekonform ist. Die praktische Schwierigkeit liegt in der Datengrundlage: Die Zuordnung erfordert eine Aufteilung der Erlöse und Investitionen nach Tätigkeiten, die das Rechnungswesen in dieser Form meist nicht vorhält.

Se også: CSRD · Bæredygtig rapportering

Regulatorik

Lov om leverandørskontroll (SCDDA)

Das LkSG verpflichtet Unternehmen ab einer bestimmten Beschäftigtenzahl, menschenrechts- und umweltbezogene Sorgfaltspflichten in der eigenen Geschäftstätigkeit und in der Lieferkette umzusetzen. Es ist als Bemühenspflicht ausgestaltet: Geschuldet ist ein angemessenes, dokumentiertes Vorgehen, nicht eine verstoßfreie Lieferkette.

Die neun Pflichten im Überblick

Umsetzung in der Praxis

Der Aufwand konzentriert sich auf drei Punkte. Erstens die Datengrundlage: Viele Unternehmen kennen ihre unmittelbaren Zulieferer aus dem ERP, nicht aber deren Produktionsstandorte – genau die sind für die Länderrisikobewertung entscheidend. Zweitens die Priorisierung: Bei mehreren tausend Lieferanten ist eine Einzelbetrachtung unmöglich, weshalb die abstrakte Analyse über Portfoliokriterien den Kreis auf eine bearbeitbare Zahl reduzieren muss. Drittens die Verzahnung mit dem Einkauf: Werden Nachhaltigkeitskriterien nicht in Vergabe und Vertragsgestaltung verankert, bleibt die Risikoanalyse folgenlos.

Für nicht unmittelbar betroffene Unternehmen gilt die Pflicht mittelbar: Sie werden von berichtspflichtigen Kunden über Lieferantenkodizes, Selbstauskünfte und Auditrechte in die Pflicht genommen. Ein eigenes, schlankes Vorgehen ist deshalb auch unterhalb der Schwellenwerte sinnvoll.

Se også: Risikoanalyse nach LkSG · CSDDD

Regulatorik

CSDDD

Die Corporate Sustainability Due Diligence Directive ist die europäische Richtlinie zu unternehmerischen Sorgfaltspflichten. Sie erweitert die Logik des LkSG auf die gesamte Aktivitätskette, verlangt einen Klimatransformationsplan und sieht zivilrechtliche Haftung vor.

Umfang, Schwellenwerte und Zeitplan werden im Rahmen des Omnibus-Pakets angepasst; die nationale Umsetzung ist entsprechend zu beobachten. Unabhängig vom finalen Anwendungsbereich gilt: Unternehmen, die ihre Lieferkettenprozesse bereits nach LkSG aufgebaut haben, müssen diese vor allem in der Reichweite erweitern, nicht methodisch neu erfinden.

Se også: SCDDA · Sorgfaltspflichten

Regulatorik

Hinweisgeberschutzgesetz (HinSchG)

Das HinSchG setzt die EU-Whistleblower-Richtlinie in deutsches Recht um. Es verpflichtet Unternehmen ab 50 Beschäftigten zur Einrichtung einer internen Meldestelle, schützt hinweisgebende Personen vor Repressalien und schreibt Fristen für Eingangsbestätigung und Rückmeldung vor.

Umsetzungsschritte

• Meldestelle einrichten und Zuständige benennen – intern, ausgelagert oder in Kombination
• Meldekanäle bereitstellen, mindestens schriftlich und mündlich, persönliches Gespräch auf Wunsch
• Verfahrensordnung und Datenschutzkonzept erstellen, Betriebsrat einbinden
• Berechtigungskonzept umsetzen, das Vertraulichkeit technisch absichert
• Beschäftigte über das System und den Schutz vor Repressalien informieren
• Fristenüberwachung und Dokumentation systemseitig sicherstellen
• Aufbewahrung der Falldokumentation nach den gesetzlichen Vorgaben regeln

Konzernweite Meldestellen sind zulässig, entbinden die einzelne Tochtergesellschaft ab 50 Beschäftigten aber nicht von ihrer eigenen Verantwortung – die Zuständigkeit für Folgemaßnahmen muss klar zugewiesen bleiben.

Se også: Interne Meldestelle · Repressalienverbot

Regulatorik

§§ 30, 130 OWiG

Die beiden Vorschriften des Ordnungswidrigkeitengesetzes sind die rechtliche Grundlage der Unternehmenshaftung in Deutschland. § 130 OWiG sanktioniert die Verletzung der Aufsichtspflicht, § 30 OWiG ermöglicht die Verhängung von Geldbußen gegen das Unternehmen selbst.

Die praktische Bedeutung ist erheblich: Bestraft wird nicht nur, wer einen Verstoß begeht, sondern auch, wer ihn durch gehörige Aufsicht hätte verhindern können. Was „gehörige Aufsicht" bedeutet, bemisst sich am Risikoprofil des Unternehmens – und genau das begründet die Notwendigkeit einer dokumentierten Compliance-Risikoanalyse.

Se også: Organisationsverschulden · Compliance Management System

Intern kontrolsystem

Intern kontrolsystem (IKS)

Das interne Kontrollsystem umfasst alle Grundsätze, Verfahren und Maßnahmen, die die Wirksamkeit der Geschäftstätigkeit, die Verlässlichkeit der Berichterstattung und die Einhaltung rechtlicher Vorgaben sicherstellen. Während das Risikomanagement Risiken erkennt und bewertet, begrenzt das IKS sie durch konkrete Kontrollen im Prozess – die Differenz zwischen Brutto- und Nettorisiko ist genau seine messbare Leistung.

Die fünf Komponenten nach COSO

Das COSO-Rahmenwerk ist international der De-facto-Standard und auch Referenz für die Prüfung nach IDW PS 982. Es beschreibt fünf zusammenwirkende Komponenten – wird eine davon vernachlässigt, verlieren die übrigen an Wirkung.

Kontrollarten

Automatisierte Kontrollen sind manuellen überlegen, weil sie nicht vergessen werden und ihren Nachweis selbst erzeugen. Der Aufwand für Wirksamkeitstests sinkt deutlich: Bei einer Systemkontrolle genügt der Nachweis, dass die Konfiguration im Prüfungszeitraum unverändert galt, während eine manuelle Kontrolle über Stichproben belegt werden muss.

Aufbau entlang der Prozesse

1. Prozesslandkarte: Führungs-, Kern- und Unterstützungsprozesse abgrenzen und Verantwortliche benennen.
2. Wesentlichkeit festlegen: Nur Prozesse mit relevanter Auswirkung auf Abschluss, Recht oder Betriebsfähigkeit vertiefen.
3. Risiken je Prozessschritt erheben: Was kann schiefgehen – Vollständigkeit, Richtigkeit, Berechtigung, Zeitpunkt?
4. Kontrollen zuordnen und Lücken schließen: Bestehende Kontrollen aufnehmen, Kontrollziele formulieren, fehlende ergänzen.
5. Schlüsselkontrollen bestimmen: Risikoorientiert auswählen und begründen, welche Kontrollen getestet werden.
6. Testplan aufsetzen: Stichprobenumfang, Methode und Turnus je Kontrolle festlegen.
7. Feststellungen in Maßnahmen überführen: Mit Verantwortlichem, Frist und Nachweis der Behebung.

Angemessenheit und Wirksamkeit

Beide Begriffe werden regelmäßig verwechselt, bezeichnen aber unterschiedliche Prüfungsfragen. Die Begrundelse fragt: Ist die Kontrolle so konzipiert, dass sie das Kontrollziel erreichen kann? Die Effektivitet fragt: Wurde sie im Prüfungszeitraum tatsächlich durchgängig und korrekt ausgeführt? Eine perfekt beschriebene Kontrolle, für die kein Nachweis existiert, gilt im Test als nicht ausgeführt.

Praxisregel: Keine Kontrolle ohne Nachweis. Wenn nicht dokumentiert ist, wer wann was geprüft hat, existiert die Kontrolle für den Prüfer nicht – unabhängig davon, wie zuverlässig sie tatsächlich gelebt wird.

Retsgrundlag

• § 91 Abs. 3 AktG: Börsennotierte Aktiengesellschaften benötigen ein angemessenes und wirksames internes Kontrollsystem.
• § 289 Abs. 4 HGB: Kapitalmarktorientierte Unternehmen beschreiben die wesentlichen Merkmale des rechnungslegungsbezogenen IKS im Lagebericht.
• IDW PS 982: Maßstab für die gesonderte Prüfung des IKS der Unternehmensberichterstattung.
• Branchenspezifisch: MaRisk für Kreditinstitute, DORA für den Finanzsektor, GoBD für steuerrelevante Prozesse.

Kontrollen entlang der Kernprozesse

Typische Schwächen in der Praxis

• Kontrollen ohne Nachweis: Die Prüfung findet statt, wird aber nicht dokumentiert – im Test ist sie damit nicht existent.
• Kontrollbeschreibung ohne Reaktion: Es ist geregelt, was geprüft wird, aber nicht, was bei einer Abweichung geschieht.
• Personengebundene Kontrollen: Beschreibungen nennen Namen statt Rollen und werden bei Personalwechsel wertlos.
• Vier-Augen-Prinzip nur auf dem Papier: Der Zweitprüfer zeichnet ab, ohne Zugriff auf die Prüfungsgrundlage zu haben.
• Keine Anpassung nach Prozessänderungen: Das Kontrollsystem beschreibt einen Prozess, den es so nicht mehr gibt.
• Überkontrolle: Hunderte dokumentierte Kontrollen ohne Priorisierung binden Kapazität, die für die wesentlichen fehlt.

Ofte stillede spørgsmål

Se også: Risikostyringssystem · Tre linjer model · Compliance Management System

Intern kontrolsystem

Rechnungslegungsbezogenes IKS

Das rechnungslegungsbezogene IKS ist der Teil des Kontrollsystems, der die Ordnungsmäßigkeit von Buchführung und Abschlusserstellung sichert. Es steht im Fokus der Abschlussprüfung und der Prüfung nach IDW PS 982.

Abgedeckt werden die abschlussrelevanten Prozesse – Einkauf und Verbindlichkeiten, Vertrieb und Forderungen, Personal, Anlagevermögen, Vorräte, Liquidität und der Abschlussprozess selbst – einschließlich der IT-Anwendungskontrollen und der allgemeinen IT-Kontrollen. Kapitalmarktorientierte Unternehmen beschreiben die wesentlichen Merkmale zusätzlich im Lagebericht nach § 289 Abs. 4 HGB.

Se også: Intern kontrolsystem · IDW PS 982

Intern kontrolsystem

Kontrollziel

Ein Kontrollziel beschreibt, welches Risiko eine Kontrolle abdecken soll – etwa die Vollständigkeit erfasster Umsätze oder die Berechtigung von Zahlungsfreigaben. Ohne formuliertes Kontrollziel lässt sich weder Angemessenheit noch Wirksamkeit beurteilen.

Für die Rechnungslegung haben sich standardisierte Kontrollziele etabliert: Vollständigkeit, Richtigkeit, Existenz, Bewertung, Eigentum und Periodenabgrenzung. Jede Kontrolle wird einem oder mehreren dieser Ziele zugeordnet; Lücken in der Zuordnung sind zugleich Lücken im Kontrollsystem.

Se også: Risk Control Matrix · Kontrolldesign

Intern kontrolsystem

Kontrolldesign

Das Kontrolldesign beschreibt, wie eine Kontrolle konzipiert ist: wer sie durchführt, wie häufig, auf welcher Informationsgrundlage, mit welchem Nachweis und mit welcher Reaktion bei Abweichungen.

Die fünf W der Kontrollbeschreibung

• Wer führt die Kontrolle aus – Rolle, nicht Person
• Was wird geprüft, gegen welchen Sollwert
• Wann und wie häufig
• Womit – welche Auswertung, welches System, welcher Beleg
• Was folgt bei Abweichung – Korrektur, Eskalation, Dokumentation

Fehlt eines dieser Elemente, ist die Kontrolle nicht testbar. Die häufigste Lücke ist der letzte Punkt: Viele Kontrollbeschreibungen enden bei der Prüfung und lassen offen, was bei einem Befund geschieht.

Se også: Kontrolvirksomhed · Kontrollnachweis

Intern kontrolsystem

Kontrolvirksomhed

Die Kontrollwirksamkeit beurteilt, ob eine angemessen konzipierte Kontrolle im Prüfungszeitraum tatsächlich durchgängig und korrekt ausgeführt wurde. Der Nachweis erfolgt über Stichprobentests anhand dokumentierter Kontrollnachweise.

Eine angemessene, aber nicht gelebte Kontrolle gilt als unwirksam. Der Befund „Design effective, operating ineffective" ist in Erstprüfungen der Regelfall – meist, weil Nachweise nicht aufbewahrt wurden.

Se også: Kontrolltest · Brutto- und Nettorisiko

Intern kontrolsystem

Schlüsselkontrolle

Schlüsselkontrollen sind die Kontrollen, deren Ausfall unmittelbar zu einem wesentlichen Fehler oder Schaden führen würde. Die Beschränkung der Wirksamkeitstests auf sie hält den Prüfaufwand beherrschbar.

Die Auswahl muss risikoorientiert begründet und dokumentiert sein. Kriterien sind die Höhe des abgedeckten Risikos, das Fehlen kompensierender Kontrollen und die Abhängigkeit weiterer Prozessschritte. Als Faustregel gilt: Wenn der Ausfall einer Kontrolle ohne weitere Absicherung zu einem wesentlichen Fehler führt, ist sie eine Schlüsselkontrolle.

Se også: Kontrolltest · Risk Control Matrix

Intern kontrolsystem

Präventive und detektive Kontrollen

Präventive Kontrollen verhindern Fehler im Vorfeld – Berechtigungskonzepte, Freigabegrenzen, Plausibilitätsprüfungen bei der Eingabe. Detektive Kontrollen decken bereits eingetretene Fehler auf – Abstimmungen, Auswertungen, Nachkalkulationen.

Ein belastbares IKS kombiniert beide Typen. Rein detektive Systeme reagieren systematisch zu spät: Der Fehler ist eingetreten, der Schaden häufig schon entstanden. Rein präventive Systeme wiederum bleiben blind gegenüber Fehlern, die die Prävention umgangen haben – etwa durch Management Override.

Se også: Management Override · Funktionstrennung

Intern kontrolsystem

Risk Control Matrix (RCM)

Die Risk Control Matrix verbindet Prozessschritte, Risiken, Kontrollziele und Kontrollen in einer strukturierten Übersicht. Sie ist das zentrale Arbeitsdokument des IKS.

Se også: Intern kontrolsystem · Prozesslandkarte

Intern kontrolsystem

Kontrolltest

Beim Kontrolltest wird anhand einer Stichprobe geprüft, ob eine Kontrolle im Betrachtungszeitraum wie definiert ausgeführt wurde. Testverfahren sind Befragung, Beobachtung, Einsichtnahme und Nachvollzug – in dieser Reihenfolge steigender Beweiskraft.

Das Ergebnis wird als wirksam, eingeschränkt wirksam oder unwirksam eingestuft. Jede Abweichung ist zu dokumentieren und zu bewerten: Handelt es sich um einen Einzelfall oder um ein systematisches Versagen? Diese Unterscheidung entscheidet darüber, ob eine Nacharbeit genügt oder das Kontrolldesign geändert werden muss.

Se også: Kontrolvirksomhed · Forvaltning af foranstaltninger

Intern kontrolsystem

Walkthrough

Beim Walkthrough wird ein einzelner Geschäftsvorfall vollständig durch den Prozess verfolgt, um das tatsächliche Kontrolldesign zu verstehen und die Prozessdokumentation zu verifizieren.

Er dient der Angemessenheitsbeurteilung und ersetzt keinen Wirksamkeitstest – eine einzelne Beobachtung erlaubt keine Aussage über den gesamten Zeitraum. Sein praktischer Wert liegt woanders: Walkthroughs decken regelmäßig auf, dass die dokumentierte Prozessbeschreibung von der gelebten Praxis abweicht.

Se også: Kontrolltest · Kontrolldesign

Intern kontrolsystem

Funktionstrennung (Segregation of Duties)

Die Funktionstrennung verhindert, dass eine Person einen Vorgang allein anlegen, freigeben und abrechnen kann. Sie ist die wirksamste präventive Kontrolle gegen dolose Handlungen.

In kleinen Einheiten ist vollständige Funktionstrennung nicht immer möglich. Dann sind kompensierende Kontrollen erforderlich – etwa die nachgelagerte Prüfung durch die Geschäftsleitung –, und diese Entscheidung ist zu dokumentieren.

Umsetzung im System

Technisch wird Funktionstrennung über Rollenkonzepte und Konfliktmatrizen abgebildet. Eine Konfliktmatrix listet Kombinationen von Berechtigungen, die nicht in einer Hand liegen dürfen, und wird regelmäßig gegen die tatsächlich vergebenen Rollen geprüft. Verstöße entstehen selten absichtlich, sondern durch Vertretungsregelungen, Rollenanhäufung bei Positionswechseln und projektbezogene Zusatzrechte, die nicht zurückgenommen werden.

Deshalb gehören zwei Kontrollen dazu: die periodische Rezertifizierung kritischer Berechtigungen durch die Fachbereiche und die automatisierte Auswertung von Rollenkonflikten nach jeder Berechtigungsänderung. Wo eine Trennung organisatorisch nicht möglich ist, wird eine kompensierende Kontrolle dokumentiert – etwa die nachgelagerte Einzelprüfung aller Vorgänge durch eine unabhängige Stelle.

Se også: Rollen- und Rechtekonzept · Management Override

Intern kontrolsystem

Management Override

Management Override bezeichnet die Umgehung bestehender Kontrollen durch die Führungsebene. Es ist das strukturell schwerste Kontrollrisiko, weil sich Kontrollen gegen ihre eigenen Ausnahmeberechtigten kaum designen lassen.

Gegenmaßnahmen setzen deshalb an anderer Stelle an: lückenlose Protokollierung aller Ausnahmen und manuellen Buchungen, Vier-Augen-Prinzip auch auf Leitungsebene, Auswertung ungewöhnlicher Journalbuchungen, funktionierendes Hinweisgebersystem und die unabhängige Prüfung durch Interne Revision und Aufsichtsorgan. In nahezu allen großen Bilanzskandalen war Management Override der zentrale Mechanismus.

Se også: Whistleblower-system · Intern revision

Intern kontrolsystem

Prozesslandkarte

Die Prozesslandkarte gliedert das Unternehmen in Führungs-, Kern- und Unterstützungsprozesse und bildet die Struktur, an der Risiken und Kontrollen verankert werden.

Sie sorgt dafür, dass das IKS prozessorientiert statt abteilungsorientiert aufgebaut wird – und damit auch dort greift, wo Prozesse Bereichsgrenzen überschreiten. Genau an diesen Schnittstellen entstehen die meisten Kontrolllücken: Jeder Bereich geht davon aus, der andere prüfe bereits.

Se også: Risk Control Matrix · Intern kontrolsystem

Intern kontrolsystem

Forvaltning af foranstaltninger

Das Maßnahmenmanagement steuert die Behebung festgestellter Schwächen: Jede Feststellung erhält eine Maßnahme mit Verantwortlichem, Frist, Status und Wirksamkeitsnachweis.

Es ist die Schnittstelle, an der Risikomanagement, IKS, Interne Revision und Compliance zusammenlaufen – und in der Praxis der häufigste Anlass, Excel durch eine workflowgestützte Lösung zu ersetzen. Der Grund ist simpel: Feststellungen entstehen in vier Systemen, die Umsetzung verantworten dieselben Fachbereiche, und niemand kennt den Gesamtstatus.

Se også: Maßnahmenverfolgung · Risikostyring

Intern kontrolsystem

Intern revision

Die Interne Revision ist die unabhängige, objektive Prüfungs- und Beratungsfunktion der dritten Linie. Sie beurteilt Angemessenheit und Wirksamkeit von Risikomanagement, IKS und Governance und berichtet direkt an Geschäftsleitung und Prüfungsausschuss.

Voraussetzungen der Unabhängigkeit

• Direkte Berichtslinie an das Leitungs- und Überwachungsorgan
• Keine Verantwortung für operative Prozesse, die sie prüft
• Uneingeschränktes Informations- und Zugangsrecht
• Eigenes, nicht von den geprüften Bereichen abhängiges Budget

In mittelständischen Strukturen wird die Funktion häufig ausgelagert oder als Teilzeitfunktion geführt. Beides ist zulässig, solange die Unabhängigkeit gewahrt bleibt – problematisch wird es, wenn dieselbe Person Prozesse gestaltet und anschließend prüft.

Ablauf einer Prüfung

1. Prüfungsankündigung und Anforderung der Unterlagen
2. Eröffnungsgespräch mit dem geprüften Bereich, Abstimmung von Umfang und Zeitplan
3. Prüfungshandlungen: Dokumentenanalyse, Interviews, Stichproben, Datenanalysen
4. Feststellungen mit Sachverhalt, Ursache, Risiko und Empfehlung
5. Schlussbesprechung mit Stellungnahme des Bereichs
6. Bericht an Geschäftsleitung und Prüfungsausschuss
7. Nachverfolgung bis zur belegten Umsetzung – der Schritt, an dem sich die Wirksamkeit entscheidet

Gute Feststellungen benennen die Ursache, nicht nur das Symptom. „Drei von zwanzig Zahlungen ohne zweite Freigabe" ist ein Befund; „die Freigabegrenze ist im System nicht hinterlegt, sondern organisatorisch geregelt" ist die Ursache, an der eine Maßnahme ansetzen kann.

Se også: Tre linjer model · IDW PS 983

Intern kontrolsystem

Prüfungsplanung

Die risikoorientierte Prüfungsplanung leitet aus dem Risikoinventar ab, welche Prozesse und Einheiten in welchem Turnus geprüft werden.

Sie verbindet Risikomanagement und Interne Revision methodisch: Prüfungsschwerpunkte folgen der Risikolage, nicht der Gewohnheit. Üblich ist ein Mehrjahresplan, der alle wesentlichen Prozesse in einem definierten Zyklus abdeckt, ergänzt um jährlich festgelegte Schwerpunkte und Reserve für anlassbezogene Prüfungen.

Se også: Intern revision · Risikoprodukter

Intern kontrolsystem

Kontrollnachweis

Der Kontrollnachweis dokumentiert, dass eine Kontrolle durchgeführt wurde – ein Freigabeprotokoll, eine abgezeichnete Abstimmung, ein Systemlog. Ohne Nachweis gilt eine Kontrolle im Test als nicht ausgeführt.

Systemseitig erzeugte Nachweise haben höhere Beweiskraft als manuelle, weil sie nicht nachträglich erstellt werden können. Entscheidend ist die Aufbewahrung: Nachweise müssen über den gesamten Prüfungszeitraum verfügbar und auffindbar sein – ein per E-Mail erteiltes Freigabezeichen im persönlichen Postfach erfüllt diese Anforderung nicht.

Se også: Revision sikkerhed · Audit Trail

Overholdelse

Compliance-Management-System (CMS)

Ein Compliance-Management-System bündelt alle Maßnahmen zur Verhinderung, Aufdeckung und Aufarbeitung von Regelverstößen. Es ist kein Selbstzweck: Ein angemessenes und nachweisbar wirksames CMS kann bußgeldmindernd wirken, ist zentrales Element der Enthaftung der Geschäftsleitung und wird zunehmend von Geschäftspartnern als Zulassungsvoraussetzung verlangt.

Die sieben Grundelemente nach IDW PS 980

Compliance-Risikoanalyse

Sie ist der Ausgangspunkt des gesamten Systems und zugleich das Element, das im Prüfungsfall zuerst hinterfragt wird. Ohne dokumentierte Risikoanalyse lässt sich weder begründen, warum bestimmte Maßnahmen ergriffen wurden, noch warum andere unterblieben sind – und genau diese Begründung entscheidet über die Angemessenheit.

Die Analyse berücksichtigt Branche, Märkte, Vertriebsmodell, Beschaffungsstruktur, Beteiligung öffentlicher Auftraggeber sowie Erfahrungen aus vergangenen Vorfällen. Aus ihr ergibt sich die Priorisierung: In einem exportorientierten Anlagenbauer dominieren Korruptions-, Export- und Sanktionsrisiken, in einem konsumnahen Handelsunternehmen Kartell-, Produkt- und Datenschutzrisiken.

Haftungswirkung

Nach §§ 30, 130 OWiG können gegen Unternehmen und Leitungspersonen Bußgelder verhängt werden, wenn zumutbare Aufsichtsmaßnahmen unterblieben sind – auch ohne eigenes aktives Fehlverhalten. Die Rechtsprechung erkennt an, dass ein wirksames CMS bei der Bemessung berücksichtigt wird; entscheidend ist dabei nicht die Existenz von Dokumenten, sondern die nachweisbare Wirksamkeit in der Praxis.

Ein CMS, das nach einem Vorfall nachgeschärft und dokumentiert wird, wirkt ebenfalls strafmildernd. Der deutlich günstigere Weg bleibt allerdings, die Angemessenheit vorher belegen zu können.

Standards und Zertifizierung

Aufbau in der Praxis

1. Bestandsaufnahme: Welche Richtlinien, Prozesse und Kontrollen existieren bereits – häufig mehr als angenommen, nur unsystematisch.
2. Compliance-Risikoanalyse: Rechtskataster, Risikotreiber, Bewertung, Priorisierung.
3. Zuständigkeiten klären: Compliance-Funktion, Schnittstellen zu Recht, Revision, Datenschutz, Personal.
4. Regelwerk ordnen: Verhaltenskodex als Dach, darunter Richtlinien zu den priorisierten Risiken.
5. Prozesse und Kontrollen verankern: Geschäftspartnerprüfung, Freigaben, Sanktionsscreening – dort, wo das Risiko entsteht.
6. Meldewege einrichten: Hinweisgebersystem mit Fallbearbeitung und Fristenüberwachung.
7. Schulen und kommunizieren: risikoorientiert nach Zielgruppen, mit dokumentierter Teilnahme.
8. Überwachen und verbessern: Kennzahlen, Stichproben, jährliche Aktualisierung der Risikoanalyse.

Woran sich Wirksamkeit messen lässt

Ofte stillede spørgsmål

Se også: Intern kontrolsystem · Tre linjer model · Risikostyringssystem

Overholdelse

Overholdelse

Compliance bezeichnet die Einhaltung aller für das Unternehmen geltenden rechtlichen Vorgaben sowie selbst gesetzter interner Regeln. Der Begriff umfasst mehr als Regeltreue: Er schließt die organisatorische Pflicht der Geschäftsleitung ein, Verstöße durch geeignete Strukturen zu verhindern.

Diese Organisationspflicht ist der eigentliche Kern. Ein Verstoß eines Mitarbeiters begründet für sich genommen noch keine Unternehmenshaftung – die entsteht erst, wenn zumutbare Aufsichtsmaßnahmen unterblieben sind. Compliance ist damit weniger eine Frage des Wollens als des Nachweisens: Was nicht dokumentiert ist, gilt im Verfahren als nicht geschehen.

Se også: Compliance Management System · Organisationsverschulden

Overholdelse

Compliance-Risikoanalyse

Die Compliance-Risikoanalyse identifiziert die für das Unternehmen relevanten Rechtsrisiken und bewertet sie nach Eintrittswahrscheinlichkeit und Schadenspotenzial. Sie ist der Ausgangspunkt jedes CMS und das Element, das im Prüfungsfall zuerst hinterfragt wird.

Tiltag

1. Rechtskataster erstellen: Welche Rechtsgebiete sind für Geschäftsmodell und Märkte einschlägig?
2. Risikotreiber bestimmen: Auslandsgeschäft, Vermittler, öffentliche Auftraggeber, Bargeldgeschäft, regulierte Produkte
3. Bewerten nach Schadenspotenzial – Bußgeld, Schadensersatz, Ausschluss von Vergaben, Reputationsschaden
4. Bestehende Maßnahmen gegenüberstellen und Lücken identifizieren
5. Priorisieren und im Compliance-Programm mit Fristen hinterlegen

Ohne dokumentierte Risikoanalyse lässt sich nicht begründen, warum bestimmte Maßnahmen ergriffen und andere unterlassen wurden. Genau diese Begründung entscheidet über die Angemessenheit des Systems.

Se også: Compliance-Programm · Compliance Management System

Overholdelse

Compliance-Kultur

Die Compliance-Kultur beschreibt die Grundhaltung im Unternehmen zur Regeltreue. Sie wird maßgeblich vom Verhalten der Führungsebene geprägt und entscheidet darüber, ob Richtlinien gelebt oder umgangen werden.

Prüfer beurteilen sie über Mitarbeiterbefragungen, den Umgang mit vergangenen Verstößen und die Konsistenz von Zielvorgaben und Compliance-Erwartungen. Der aufschlussreichste Indikator ist der Zielkonflikt: Wenn Vertriebsziele nur unter Inkaufnahme fragwürdiger Praktiken erreichbar sind, ist die Kultur unabhängig von jedem Kodex definiert.

Se også: Tone from the Top · Risikokultur

Overholdelse

Compliance-Programm

Das Compliance-Programm bündelt die aus der Risikoanalyse abgeleiteten Maßnahmen: Richtlinien, Prozesse, Kontrollen, Schulungen und Kommunikationsformate.

Entscheidend ist die risikoorientierte Priorisierung. Ein Programm, das alle Themen gleich behandelt, bindet Ressourcen an Nebenrisiken und lässt die tatsächlichen Hauptrisiken unterbesetzt. Praktisch bedeutet das: In einem Unternehmen mit intensivem Auslandsvertrieb über Vermittler gehören Korruptionsprävention und Geschäftspartnerprüfung an die erste Stelle – nicht die jährliche Datenschutzschulung für alle.

Se også: Compliance-Risikoanalyse · Schulungsmanagement

Overholdelse

Compliance Officer

Der Compliance Officer verantwortet Aufbau und Betrieb des CMS, berät die Fachbereiche, überwacht die Einhaltung der Regeln und berichtet an die Geschäftsleitung. Entscheidend sind fachliche Unabhängigkeit, ausreichende Ressourcen und ein direkter Berichtsweg.

Die Rechtsprechung hat der Funktion eine besondere Stellung zugewiesen: Wer Compliance-Verantwortung übernimmt, kann im Einzelfall selbst haften, wenn er erkannte Verstöße nicht verfolgt. Die Gesamtverantwortung verbleibt jedoch bei der Geschäftsleitung – delegierbar sind Aufgaben, nicht die Pflicht zu Auswahl, Ausstattung und Überwachung.

Se også: Compliance-Verantwortung der Leitung · CMS

Overholdelse

Adfærdskodeks

Der Verhaltenskodex formuliert die verbindlichen Grundsätze für das Verhalten von Mitarbeitenden und Führungskräften – zu Korruption, Interessenkonflikten, Geschenken, Wettbewerb, Diskriminierung und Umgang mit Informationen.

Wirksam wird er erst durch drei Ergänzungen: Konkretisierung in Richtlinien mit klaren Wertgrenzen und Verfahren, verpflichtende Schulung mit dokumentierter Kenntnisnahme und konsequente Sanktionierung von Verstößen. Ein Kodex ohne diese drei Elemente ist ein Imagedokument und im Verfahren wertlos.

Se også: Richtlinienmanagement · Schulungsmanagement

Overholdelse

Richtlinienmanagement

Das Richtlinienmanagement steuert den Lebenszyklus interner Regelungen: Erstellung, Freigabe, Veröffentlichung, Kenntnisnahme, turnusmäßige Überprüfung und Außerkraftsetzung.

Nachweisbar ist Compliance nur, wenn dokumentiert ist, welche Fassung wann galt und welche Mitarbeitenden sie zur Kenntnis genommen haben. Ein häufiges Versäumnis ist das Fehlen eines Außerkraftsetzungsprozesses: Über Jahre sammeln sich widersprüchliche Regelungen, und im Ernstfall lässt sich nicht mehr feststellen, welche Vorgabe zum Tatzeitpunkt galt.

Se også: Dokumentenlenkung · Adfærdskodeks

Overholdelse

Schulungsmanagement

Das Schulungsmanagement plant, führt durch und dokumentiert Compliance-Schulungen risikoorientiert nach Zielgruppen. Nachweisbarkeit ist entscheidend: Teilnahmequoten, Testergebnisse und Wiederholungsintervalle sind die Belege, die im Ernstfall die Angemessenheit stützen.

Se også: Compliance-Programm

Overholdelse

Bekæmpelse af korruption

Korruptionsprävention umfasst alle Maßnahmen gegen Bestechung und Vorteilsgewährung: Verhaltensregeln zu Geschenken und Einladungen mit Wertgrenzen, Freigabeprozesse für Spenden und Sponsoring, Kontrollen bei Vermittlern und Beratern sowie die Prüfung von Geschäftspartnern.

Typische Risikofelder

• Vermittler und Handelsvertreter: überhöhte Provisionen als verdeckte Zahlungswege
• Amtsträgerkontakt: Genehmigungen, Zoll, Vergabeverfahren – hier gelten strengere Maßstäbe als im Privatgeschäft
• Spenden und Sponsoring: Zuwendungen mit Nähe zu Entscheidungsträgern
• Einladungen und Bewirtung: Angemessenheit und Anlassbezug
• Facilitation Payments: in Deutschland strafbar, auch wenn lokal üblich

Wirksame Einzelmaßnahmen

Der wirksamste Hebel ist selten eine zusätzliche Richtlinie, sondern die Verankerung der Prüfung im Prozess: Ein Vermittlervertrag, der ohne dokumentierte Due Diligence im System gar nicht angelegt werden kann, wirkt stärker als jede Schulung.

Se også: ISO 37001 · Tredjepartstjek

Overholdelse

Kartellrechts-Compliance

Kartellrechts-Compliance zielt auf die Vermeidung wettbewerbsbeschränkender Absprachen, des Missbrauchs marktbeherrschender Stellungen und unzulässiger Vertikalvereinbarungen wie Preisbindung der zweiten Hand.

Risikoschwerpunkte sind Verbandstreffen, Messen und jeder Informationsaustausch mit Wettbewerbern – auch über Preise, Kapazitäten oder Kundenzuordnungen. Wegen der Bußgeldhöhe von bis zu zehn Prozent des Konzernumsatzes und der Kronzeugenregelung, die den Erstmelder privilegiert, gehören klare Verhaltensregeln für Wettbewerberkontakte und ein funktionierendes internes Meldesystem zum Standard.

Se også: Whistleblower-system · Compliance-Risikoanalyse

Overholdelse

Geldwäscheprävention

Das Geldwäschegesetz verpflichtet bestimmte Unternehmen zu Sorgfaltspflichten gegenüber Vertragspartnern: Identifizierung, Feststellung des wirtschaftlich Berechtigten, Abklärung des Geschäftszwecks, laufende Überwachung und Meldung von Verdachtsfällen an die FIU.

Verpflichtete sind nicht nur Finanzdienstleister, sondern unter anderem auch Güterhändler ab bestimmten Barzahlungsgrenzen, Immobilienmakler und Treuhänder. Sie benötigen ein internes Risikomanagement mit dokumentierter Risikoanalyse, internen Sicherungsmaßnahmen und – ab bestimmter Größe – einem Geldwäschebeauftragten.

Se også: Sanktionsprüfung · Tredjepartstjek

Overholdelse

Sanktions- und Embargoprüfung

Die Sanktionsprüfung gleicht Geschäftspartner, Empfänger und Zahlungen mit den Sanktionslisten der EU, der Vereinten Nationen und gegebenenfalls der USA ab. Verstöße sind unabhängig vom Verschulden bußgeldbewehrt und können strafrechtliche Folgen haben.

Die Prüfung muss laufend erfolgen, da Listen kurzfristig geändert werden – ein Abgleich bei Vertragsschluss genügt nicht. In der Praxis erfolgt sie über automatisierte Screening-Läufe im ERP- oder Compliance-System gegen aktualisierte Listen, mit dokumentierter Trefferbearbeitung. Zu beachten ist auch die Eigentumskontrolle: Sanktioniert können Unternehmen sein, die mehrheitlich gelisteten Personen gehören, ohne selbst gelistet zu sein.

Se også: Geschäftspartnerprüfung · Geldwäscheprävention

Overholdelse

Tredjepartstjek

Die Geschäftspartner-Due-Diligence prüft Lieferanten, Vermittler, Berater und Vertriebspartner risikoorientiert vor Vertragsschluss – auf wirtschaftliche Verhältnisse, Eigentümerstruktur, Sanktionslistentreffer, Korruptionsindex des Sitzlandes und negative Presseberichte.

Ablauf und Dokumentation

Der Prozess beginnt mit einer Risikoeinstufung anhand weniger objektiver Kriterien – Sitzland, Leistungsart, Volumen, Amtsträgerkontakt, Vermittlerrolle. Erst danach richtet sich die Prüfungstiefe. Das verhindert, dass bei jedem Lieferanten derselbe Aufwand betrieben wird, und macht die Priorisierung gegenüber Prüfern begründbar.

Zu dokumentieren sind Einstufung, durchgeführte Prüfschritte, Ergebnisse, festgestellte Auffälligkeiten und die Freigabeentscheidung einschließlich etwaiger Auflagen. Bei Auffälligkeiten ohne Ablehnung ist die Begründung besonders sorgfältig festzuhalten – genau diese Fälle werden im Ernstfall geprüft. Ergänzend gehören Prüf- und Auditrechte, Compliance-Zusicherungen und außerordentliche Kündigungsrechte in den Vertrag.

Se også: Bekæmpelse af korruption · Lieferantenbewertung

Overholdelse

Geschäftspartnerprüfung im Bestand

Die Geschäftspartnerprüfung ist die laufende Fortsetzung der Due Diligence: turnusmäßige Wiedervorlage nach Risikoklasse, anlassbezogene Prüfung bei auffälligen Vorgängen und automatisierte Überwachung von Sanktions- und Negativlisten.

Sie verhindert, dass eine einmalige Prüfung bei Vertragsbeginn zum Feigenblatt wird. Auslöser für eine anlassbezogene Prüfung sind unter anderem Gesellschafterwechsel, Änderung der Bankverbindung, ungewöhnliche Provisionsforderungen, Zahlungen in Drittländer und negative Medienberichte.

Se også: Tredjepartstjek · Sanktionsprüfung

Overholdelse

Interessenkonflikt

Ein Interessenkonflikt liegt vor, wenn persönliche Interessen die objektive Wahrnehmung dienstlicher Aufgaben beeinflussen können – bei Nebentätigkeiten, Beteiligungen an Lieferanten oder Auftragsvergaben an Angehörige.

Ein Konflikt ist für sich genommen kein Verstoß; problematisch wird erst der unerklärte Konflikt. Übliche Steuerung sind daher Offenlegungspflicht, ein geführtes Register, der Ausschluss von der jeweiligen Entscheidung und – bei wesentlichen Fällen – die Dokumentation der getroffenen Schutzmaßnahmen.

Se også: Adfærdskodeks · Verstoßmanagement

Overholdelse

Verstoßmanagement und Case Management

Das Verstoßmanagement regelt den Umgang mit Hinweisen und Verdachtsfällen: Erfassung, Plausibilisierung, interne Untersuchung, Entscheidung über Konsequenzen und Ableitung präventiver Maßnahmen.

Grundsätze der internen Untersuchung

• Trennung von Untersuchung und Entscheidung über Konsequenzen
• Wahrung der Vertraulichkeit und der Rechte betroffener Personen
• Beweissicherung vor der ersten Befragung, nicht danach
• Einbindung des Datenschutzes und gegebenenfalls des Betriebsrats
• Lückenlose Dokumentation jedes Schritts
• Abschluss mit Maßnahmen, die die Ursache beheben – nicht nur den Einzelfall

Se også: Fallbearbeitung im Hinweisgebersystem · Forvaltning af foranstaltninger

Overholdelse

Compliance-Reporting

Das Compliance-Reporting informiert Geschäftsleitung und Aufsichtsrat über Risikolage, Fallzahlen, Schulungsquoten, Status offener Maßnahmen und regulatorische Änderungen.

Ein aussagekräftiger Bericht bleibt nicht bei Aktivitätskennzahlen stehen. Die Zahl durchgeführter Schulungen sagt wenig; die Frage, ob die Maßnahmen die identifizierten Hauptrisiken abdecken und ob die Kontrollen wirken, beantwortet den Informationsbedarf des Aufsichtsorgans. Auffällig niedrige Meldezahlen sind dabei kein Erfolg, sondern ein Warnsignal für fehlendes Vertrauen in das Meldesystem.

Se også: Whistleblower-system · Risikoreporting

Overholdelse

Tone from the Top

Tone from the Top beschreibt die sichtbare Haltung der Unternehmensleitung zu Integrität und Regeltreue – ausgedrückt in Kommunikation, Zielsystemen, Beförderungsentscheidungen und im Umgang mit aufgedeckten Verstößen.

Er gilt als wichtigster Einzelfaktor für die Wirksamkeit eines CMS. Der Grund ist einfach: Beschäftigte orientieren sich nicht an Dokumenten, sondern an dem, was in ihrem Umfeld folgenlos bleibt. Wird ein umsatzstarker Vertriebsleiter trotz belegtem Verstoß befördert, ist jede Schulung entwertet – ergänzt wird der Begriff daher zunehmend um den „Tone from the Middle", da die mittlere Führungsebene den Alltag prägt.

Se også: Compliance-Kultur

Overholdelse

Organisationsverschulden

Organisationsverschulden bezeichnet die Verletzung der Pflicht, den Betrieb so zu organisieren, dass Rechtsverstöße verhindert werden. Nach §§ 30, 130 OWiG können Unternehmen und Leitungspersonen mit Bußgeldern belegt werden, wenn Aufsichtsmaßnahmen unterblieben sind.

Das ist die zentrale rechtliche Begründung für ein dokumentiertes CMS – und zugleich der Grund, warum Dokumentation kein Selbstzweck ist: Im Verfahren muss das Unternehmen darlegen, welche Aufsichtsmaßnahmen getroffen wurden. Gelingt das nicht, wird zugunsten der Behörde unterstellt, dass sie unterblieben sind.

Se også: §§ 30, 130 OWiG · Compliance Management System

Whistleblower-system

Whistleblowing und Hinweisgebersystem

Ein Hinweisgebersystem ermöglicht Beschäftigten und Dritten, Rechtsverstöße vertraulich zu melden. Es ist zugleich gesetzliche Pflicht und wirksamstes Aufdeckungsinstrument: Ein erheblicher Teil aller Wirtschaftsdelikte wird über Hinweise entdeckt, nicht über Kontrollen oder Prüfungen.

Was über die Akzeptanz entscheidet

• Vertrauen in die Vertraulichkeit: getrenntes Berechtigungskonzept, keine Einsicht durch Vorgesetzte
• Erreichbarkeit: mehrere Kanäle, auch für externe Dritte und in den Sprachen der Belegschaft
• Rückmeldung: Wer nie erfährt, ob etwas passiert ist, meldet kein zweites Mal
• Sichtbare Konsequenzen: anonymisierte Berichterstattung über bearbeitete Fälle
• Schutz vor Repressalien: nicht nur rechtlich, sondern erkennbar gelebt

Niedrige Meldezahlen sind kein Qualitätsbeweis. Ein System ohne Meldungen ist in aller Regel ein System ohne Vertrauen – nicht ein Unternehmen ohne Verstöße.

Einführung und Betrieb

Die Einführung entscheidet über die spätere Nutzung. Bewährt hat sich, das System vor dem Start gemeinsam mit dem Betriebsrat auszugestalten, die Verfahrensordnung zu veröffentlichen und die Kommunikation nicht als Pflichtmitteilung, sondern als Einladung zu formulieren: Es geht darum, Probleme früh zu erfahren, nicht darum, Kollegen anzuzeigen.

Im Betrieb sind drei Kennzahlen aussagekräftig: die Zahl der Meldungen im Verhältnis zur Belegschaftsgröße, der Anteil der Meldungen, die zu Maßnahmen führen, und die durchschnittliche Zeit bis zur ersten Rückmeldung. Auffällig ist weniger eine hohe als eine dauerhaft sehr niedrige Meldezahl – sie deutet auf fehlendes Vertrauen oder mangelnde Bekanntheit hin, nicht auf Regeltreue.

Se også: Hinweisgeberschutzgesetz · Interne Meldestelle

Whistleblower-system

Interne Meldestelle

Die interne Meldestelle nimmt Hinweise entgegen, bestätigt den Eingang, prüft die Stichhaltigkeit, hält Kontakt zur hinweisgebenden Person und ergreift Folgemaßnahmen. Unternehmen ab 50 Beschäftigten müssen sie einrichten.

Die beauftragten Personen müssen unabhängig und fachkundig sein. Die Aufgabe kann intern vergeben – etwa an Compliance, Recht oder Interne Revision – oder an einen externen Dritten ausgelagert werden, häufig an eine Kanzlei oder einen Ombudsmann. Die Verantwortung für die Einrichtung und die Erfüllung der Pflichten verbleibt in jedem Fall beim Unternehmen.

Se også: Externe Meldestelle · Vertraulichkeitsgebot

Whistleblower-system

Externe Meldestelle

Neben der internen Meldestelle steht hinweisgebenden Personen eine externe Meldestelle offen – in Deutschland beim Bundesamt für Justiz, bei besonderen Zuständigkeiten bei BaFin und Bundeskartellamt.

Hinweisgebende Personen haben die Wahl zwischen internem und externem Weg; eine Pflicht zur vorherigen internen Meldung besteht nicht. Genau darin liegt das Eigeninteresse des Unternehmens: Ein leicht erreichbares, vertrauenswürdiges internes System erhöht die Wahrscheinlichkeit, dass ein Missstand zuerst intern bekannt wird und intern behoben werden kann.

Se også: Interne Meldestelle · HinSchG

Whistleblower-system

EU-Whistleblower-Richtlinie

Die Richtlinie (EU) 2019/1937 begründet den europaweiten Mindestschutz für Personen, die Verstöße gegen Unionsrecht melden. Sie verpflichtet zu internen Meldekanälen, definiert Fristen und verbietet Repressalien.

Für Unternehmen mit Tochtergesellschaften in mehreren Mitgliedstaaten ist die nationale Umsetzung relevant: Sie unterscheidet sich in Details, etwa bei der Zulässigkeit konzernweiter Meldestellen und beim sachlichen Anwendungsbereich. Ein konzerneinheitliches System ist möglich, muss aber die jeweils strengere nationale Anforderung erfüllen.

Se også: Hinweisgeberschutzgesetz

Whistleblower-system

Anonyme Meldung

Anonyme Meldungen erfolgen ohne Preisgabe der Identität. Nach dem HinSchG sollen sie bearbeitet werden; eine Pflicht, anonyme Meldekanäle vorzuhalten, besteht nicht.

Praktisch sind sie dennoch zu empfehlen. Die Hemmschwelle sinkt deutlich, und über anonymisierte Dialogfunktionen bleibt die Rückfrage möglich – der entscheidende Punkt, weil anonyme Meldungen ohne Nachfragemöglichkeit häufig zu unspezifisch für eine Untersuchung sind. Digitale Systeme lösen das über ein anonymes Postfach mit Zugangscode.

Se også: Meldekanal · Fallbearbeitung

Whistleblower-system

Meldekanal

Meldekanäle sind die Wege, über die Hinweise eingehen können – mündlich per Telefon, persönlich auf Wunsch, schriftlich oder über ein digitales Meldesystem.

Se også: Anonyme Meldung · Interne Meldestelle

Whistleblower-system

Fallbearbeitung im Hinweisgebersystem

Die Fallbearbeitung folgt einem definierten Ablauf: Eingangsbestätigung, Plausibilitätsprüfung, Untersuchung, Entscheidung über Maßnahmen und Rückmeldung an die hinweisgebende Person.

Jeder Schritt ist zu dokumentieren – als Nachweis der Fristenwahrung und zur Beweissicherung für spätere arbeits- oder strafrechtliche Verfahren. Zu regeln ist außerdem der Umgang mit Fällen, die die Meldestelle selbst betreffen oder die Geschäftsleitung: Für diese Konstellation braucht es einen vorab definierten Eskalationsweg, in der Regel direkt an das Aufsichtsorgan.

Se også: Verstoßmanagement · Fristen im Meldeverfahren

Whistleblower-system

Vertraulichkeitsgebot

Das Vertraulichkeitsgebot verpflichtet die Meldestelle, die Identität der hinweisgebenden Person, der betroffenen Personen und weiterer Genannter zu schützen. Eine Weitergabe ist nur in eng begrenzten gesetzlichen Ausnahmefällen zulässig.

Organisatorisch erfordert das ein strikt getrenntes Berechtigungskonzept: Vorgesetzte dürfen keinen Zugriff auf Fälle ihres eigenen Bereichs haben, und auch IT-Administratoren sollten keine Einsicht in Fallinhalte nehmen können. Genau an dieser Anforderung scheitern improvisierte Lösungen über E-Mail-Postfächer oder Netzlaufwerke.

Se også: Rollen- und Rechtekonzept · Repressalienverbot

Whistleblower-system

Repressalienverbot

Hinweisgebende Personen dürfen wegen einer berechtigten Meldung nicht benachteiligt werden – weder durch Kündigung, Abmahnung oder Versetzung noch durch das Zurückhalten von Beförderungen oder Weiterbildung.

Das Gesetz kehrt die Beweislast um: Erleidet eine Person nach einer Meldung eine Benachteiligung, muss das Unternehmen belegen, dass diese auf anderen Gründen beruht. Praktisch folgt daraus eine klare Empfehlung: Personalmaßnahmen gegenüber hinweisgebenden Personen sind besonders sorgfältig zu dokumentieren und sollten vorab rechtlich geprüft werden.

Se også: HinSchG · Whistleblower-system

Whistleblower-system

Fristen im Meldeverfahren

Nach dem HinSchG ist der Eingang einer Meldung innerhalb von sieben Tagen zu bestätigen; die Rückmeldung über geplante oder ergriffene Folgemaßnahmen muss spätestens drei Monate nach der Eingangsbestätigung erfolgen.

Beide Fristen gelten unabhängig davon, ob sich der Hinweis als berechtigt erweist, und ihre Verletzung ist bußgeldbewehrt. Die Rückmeldung darf laufende Ermittlungen nicht gefährden – zulässig und üblich ist deshalb eine Information über den Verfahrensstand ohne Details zu Inhalt und beteiligten Personen. Die Fristenüberwachung gehört zwingend systemseitig abgesichert, nicht in eine Wiedervorlage im Kalender.

Se også: HinSchG · Fallbearbeitung

Lieferkette & ESG

Pligten til forsigtighed i leverandørkæden

Die Sorgfaltspflichten verlangen, menschenrechtliche und umweltbezogene Risiken in der eigenen Geschäftstätigkeit und bei Zulieferern zu ermitteln, zu vermeiden und zu minimieren. Sie sind als Bemühenspflicht ausgestaltet – geschuldet ist ein angemessenes, dokumentiertes Vorgehen.

Die Angemessenheit bemisst sich nach vier Kriterien: Art und Umfang der Geschäftstätigkeit, Einflussvermögen auf den Verursacher, Schwere und Umkehrbarkeit der Verletzung sowie Art des Verursachungsbeitrags. Diese Kriterien sind der Maßstab, an dem im Prüfungsfall gemessen wird – und der Grund, warum ein kleiner Zulieferbetrieb andere Maßnahmen schuldet als ein Konzern mit Direktbezug aus Hochrisikoländern.

Se også: SCDDA · CSDDD

Lieferkette & ESG

Risikoanalyse nach LkSG

Die LkSG-Risikoanalyse ermittelt jährlich und anlassbezogen die menschenrechtlichen und umweltbezogenen Risiken im eigenen Geschäftsbereich und bei unmittelbaren Zulieferern.

Zweistufiges Vorgehen

1. Abstrakte Risikoermittlung: Bewertung des Lieferantenportfolios anhand von Länderindizes, Branchenrisiken und Rohstoffrisiken – dies geschieht datenbasiert über das gesamte Portfolio.
2. Konkrete Risikoermittlung: Vertiefung bei den priorisierten Lieferanten über Selbstauskünfte, Audits, Vor-Ort-Besuche und Beschwerdedaten.
3. Priorisierung: Gewichtung nach Schwere, Umkehrbarkeit, Wahrscheinlichkeit, Verursachungsbeitrag und Einflussvermögen.
4. Ableitung: Übersetzung in Präventions- und gegebenenfalls Abhilfemaßnahmen mit Fristen.

Anlassbezogen ist die Analyse zu wiederholen, wenn sich das Risikoprofil ändert – etwa bei neuen Beschaffungsmärkten, neuen Produkten oder substantiierter Kenntnis über Verstöße bei mittelbaren Zulieferern.

Se også: Lieferantenbewertung · Präventionsmaßnahmen

Lieferkette & ESG

Präventionsmaßnahmen

Präventionsmaßnahmen sollen erkannte Risiken gar nicht erst zu Verstößen werden lassen. Sie sind im eigenen Geschäftsbereich und gegenüber unmittelbaren Zulieferern zu verankern und mindestens jährlich auf Wirksamkeit zu überprüfen.

• Verankerung der Erwartungen in Einkaufsbedingungen und Lieferantenkodex
• Berücksichtigung von Nachhaltigkeitskriterien bei Auswahl und Vergabe
• Schulungen in Einkauf, Qualitätssicherung und den betroffenen Fachbereichen
• Vertragliche Zusicherungen mit Weitergabepflicht in die Kette
• Risikobasierte Kontrollmechanismen wie Audits und Stichproben

Se også: Lieferantenaudit · Abhilfemaßnahmen

Lieferkette & ESG

Abhilfemaßnahmen

Liegt ein Verstoß vor oder droht unmittelbar, sind Abhilfemaßnahmen zu ergreifen. Im eigenen Geschäftsbereich muss die Verletzung beendet werden; bei Zulieferern ist ein Konzept mit konkretem Zeitplan zu erstellen.

Der Abbruch der Geschäftsbeziehung ist ausdrücklich das letzte Mittel. Der Gesetzgeber geht davon aus, dass ein Rückzug die Lage der Betroffenen meist verschlechtert – erwartet wird deshalb zunächst die Zusammenarbeit zur Verbesserung, gegebenenfalls im Verbund mit anderen Abnehmern.

Se også: Präventionsmaßnahmen · Beschwerdeverfahren

Lieferkette & ESG

Grundsatzerklärung

Die Grundsatzerklärung ist das von der Geschäftsleitung verabschiedete öffentliche Bekenntnis zur Achtung der Menschenrechte. Sie ist kein Leitbildtext, sondern ein Dokument mit vorgegebenem Mindestinhalt.

• Beschreibung des Verfahrens zur Ermittlung der Risiken
• Benennung der für das Unternehmen prioritären Risiken
• Festlegung der menschenrechts- und umweltbezogenen Erwartungen an Beschäftigte und Zulieferer
• Kommunikation an Beschäftigte, Betriebsrat, Zulieferer und Öffentlichkeit

Se også: SCDDA · Menschenrechtsbeauftragter

Lieferkette & ESG

Berichterstattung an die Behörde

Berichtspflichtige Unternehmen dokumentieren die Erfüllung ihrer Sorgfaltspflichten und legen der zuständigen Behörde einen Bericht vor, der zugleich öffentlich zugänglich zu machen ist.

Inhaltlich beschreibt er identifizierte Risiken, ergriffene Maßnahmen, deren Wirksamkeitsbewertung und die daraus gezogenen Schlussfolgerungen. Umfang, Format und Rhythmus unterliegen der laufenden europäischen Harmonisierung; die zugrunde liegende Dokumentationspflicht bleibt davon unberührt – wer sauber dokumentiert, kann jede Berichtsform bedienen.

Se også: SCDDA · CSDDD

Lieferkette & ESG

Menschenrechtsbeauftragter

Der Menschenrechtsbeauftragte überwacht das Risikomanagement zu den Sorgfaltspflichten und berichtet der Geschäftsleitung regelmäßig, mindestens jährlich.

Die Funktion kann an bestehende Rollen angebunden werden – Compliance, Nachhaltigkeit oder Einkaufsleitung –, muss aber klar zugewiesen und mit ausreichenden Befugnissen ausgestattet sein. Ein Interessenkonflikt ist zu vermeiden: Wer für Einkaufspreise verantwortlich ist, sollte nicht allein darüber entscheiden, ob ein Lieferant wegen Menschenrechtsrisiken ausgetauscht wird.

Se også: Grundsatzerklärung

Lieferkette & ESG

Beschwerdeverfahren

Das Beschwerdeverfahren ermöglicht Betroffenen entlang der Lieferkette, auf Risiken und Verletzungen hinzuweisen. Anforderungen sind Zugänglichkeit – auch sprachlich –, Vertraulichkeit, Schutz vor Benachteiligung und eine öffentlich zugängliche Verfahrensordnung.

In der Praxis wird es häufig technisch mit dem Hinweisgebersystem zusammengeführt. Das ist zulässig und sinnvoll, erfordert aber Anpassungen: mehrsprachige Oberfläche, niedrigschwelliger Zugang ohne Unternehmens-Login und eine Fallbearbeitung, die auch Meldungen externer Betroffener sachgerecht behandelt.

Se også: Whistleblower-system · Abhilfemaßnahmen

Lieferkette & ESG

Lieferantenbewertung

Die Lieferantenbewertung ordnet Zulieferer nach Risikogehalt ein und verbindet Qualitäts-, Liefer- und Nachhaltigkeitskriterien mit Länder- und Branchenrisiken.

Se også: Risikoanalyse nach LkSG · Tredjepartstjek

Lieferkette & ESG

Lieferantenaudit

Das Lieferantenaudit prüft vor Ort oder remote, ob ein Zulieferer die vereinbarten Standards einhält. Es ergänzt Selbstauskünfte, die allein als Nachweis regelmäßig nicht genügen.

Wirksam wird es durch drei Elemente: unangekündigte oder kurzfristig angekündigte Termine bei erhöhtem Risiko, Einbeziehung von Beschäftigtengesprächen statt reiner Dokumentenprüfung und verbindliche Maßnahmenpläne mit Nachaudit. Ein Audit ohne Nachverfolgung erzeugt Dokumentation, aber keine Verbesserung.

Se også: Lieferantenbewertung · Präventionsmaßnahmen

Lieferkette & ESG

Bæredygtig rapportering

Die Nachhaltigkeitsberichterstattung legt Umwelt-, Sozial- und Governance-Informationen nach verbindlichen Standards offen. Mit der CSRD wird sie Teil des Lageberichts, prüfpflichtig und digital auswertbar.

Damit gelten für nichtfinanzielle Daten dieselben Anforderungen wie für Finanzdaten: definierte Prozesse, Kontrollen, Nachvollziehbarkeit der Herkunft und Belegführung. Das ist der eigentliche Umbruch – nicht der Berichtsinhalt, sondern die Notwendigkeit eines Kontrollsystems für Daten, die bisher aus Excel-Abfragen und Schätzungen stammten.

Se også: CSRD · IDW PS 982

Lieferkette & ESG

Doppelte Wesentlichkeitsanalyse

Die doppelte Wesentlichkeitsanalyse bestimmt, über welche Nachhaltigkeitsthemen berichtet werden muss. Sie prüft zwei Richtungen: die Auswirkungen des Unternehmens auf Mensch und Umwelt und die finanziellen Auswirkungen von Nachhaltigkeitsthemen auf das Unternehmen.

Ein Thema ist berichtspflichtig, wenn es aus einer der beiden Perspektiven wesentlich ist. Die Analyse einschließlich Stakeholder-Einbindung, Schwellenwerten und Begründung der Ergebnisse ist vollständig zu dokumentieren – sie ist der erste Prüfungsgegenstand.

Vorgehen in der Praxis

1. Themenuniversum bilden: ausgehend von den ESRS-Themen, ergänzt um branchenspezifische Sachverhalte entlang der eigenen Wertschöpfungskette
2. Stakeholder identifizieren und einbinden: Beschäftigte, Kunden, Lieferanten, Kapitalgeber, betroffene Gemeinschaften
3. Impact bewerten: je Thema Schweregrad, Umfang, Unumkehrbarkeit und – bei potenziellen Auswirkungen – Wahrscheinlichkeit
4. Finanzielle Wesentlichkeit bewerten: Risiken und Chancen mit Eintrittswahrscheinlichkeit und finanzieller Auswirkung, methodisch identisch zum Risikomanagement
5. Schwellenwerte festlegen und begründen – der am häufigsten beanstandete Schritt
6. Ergebnis dokumentieren: Themenliste, Bewertung, Schwellen, Beteiligte, Entscheidungen

Die finanzielle Perspektive sollte aus dem bestehenden Risikoprozess gespeist werden, nicht parallel erhoben. Andernfalls entstehen zwei Bewertungen desselben Sachverhalts, die sich im Zweifel widersprechen – ein Befund, den jeder Prüfer sofort findet.

Se også: ESRS · Wesentlichkeit

Lieferkette & ESG

ESG-risici

ESG-Risiken sind Risiken aus Umwelt-, Sozial- und Governance-Faktoren, die sich finanziell auswirken können – CO₂-Bepreisung, Lieferkettenunterbrechungen durch Extremwetter, Reputationsschäden, erschwerter Kapitalzugang.

Sie sind keine eigene Risikowelt, sondern eine Ursachenkategorie. Methodisch gehören sie in das bestehende Risikoinventar mit denselben Skalen und derselben Aggregationslogik. Ihre Besonderheit liegt im Zeithorizont: Während operative Risiken im Planungszeitraum wirken, entfalten Klimarisiken ihre Wirkung häufig erst über fünf bis fünfzehn Jahre – was eine getrennte Betrachtung von Zeithorizonten erfordert.

Se også: Nachhaltigkeitsrisiken im RMS · Klimarisici

Lieferkette & ESG

Klimarisici

Klimarisiken werden in physische und transitorische Risiken unterschieden. Physische entstehen aus Extremwetterereignissen und langfristigen Klimaveränderungen, transitorische aus dem Übergang zur klimaneutralen Wirtschaft.

Beide Typen sind szenariobasiert über mehrere Zeithorizonte zu analysieren – die ESRS verlangen dafür ausdrücklich Szenarioanalysen.

Se også: Scenarieanalyse · TCFD

Lieferkette & ESG

Scope-1-, -2- und -3-Emissionen

Das Greenhouse Gas Protocol unterteilt Treibhausgasemissionen in drei Bereiche: direkte Emissionen aus eigenen Quellen, indirekte Emissionen aus bezogener Energie und alle übrigen Emissionen der Wertschöpfungskette.

Scope 3 ist in den meisten Branchen der weitaus größte Block – häufig über achtzig Prozent der Gesamtemissionen – und zugleich der datenseitig schwierigste. Der übliche Weg führt über Durchschnittsfaktoren im ersten Schritt und die schrittweise Ablösung durch Primärdaten der wichtigsten Lieferanten.

Vorgehen bei Scope 3

1. Die fünfzehn Scope-3-Kategorien auf Relevanz prüfen – meist sind drei bis fünf wesentlich
2. Im ersten Jahr mit Durchschnittsfaktoren auf Basis von Einkaufsvolumen und Mengen rechnen
3. Die größten Emissionsquellen identifizieren und dort Primärdaten bei Lieferanten anfragen
4. Datenqualität je Kategorie dokumentieren – Primärdaten, Sekundärdaten oder Schätzung
5. Schrittweise Verbesserung planen statt sofortiger Vollerhebung

Der Berichtsstandard verlangt keine perfekte Datenlage, wohl aber Transparenz über Methodik und Unsicherheit. Eine offengelegte Schätzung mit nachvollziehbarer Herleitung ist belastbarer als eine scheingenaue Zahl ohne Quellenangabe.

Se også: CO₂-Bilanzierung · ESRS

Lieferkette & ESG

CO₂-Bilanzierung

Die CO₂-Bilanzierung erfasst die Treibhausgasemissionen eines Unternehmens systematisch, meist nach dem Greenhouse Gas Protocol. Sie ist Grundlage für Reduktionsziele, Transformationspläne und die Berichterstattung nach ESRS.

Zu klären sind zuerst die Bilanzgrenzen: Welche Gesellschaften werden einbezogen, nach Beteiligungs- oder nach Kontrollansatz? Ohne diese Festlegung sind Vergleiche über Jahre hinweg wertlos. Ebenso wichtig ist ein festes Basisjahr mit definierten Regeln für Neuberechnungen bei Zukäufen und Verkäufen – sonst sinken Emissionen rechnerisch, ohne dass sich etwas geändert hat.

Se også: Scope-Emissionen · Greenwashing

Lieferkette & ESG

TCFD

Die Empfehlungen der Task Force on Climate-related Financial Disclosures strukturieren die Berichterstattung über Klimarisiken entlang von vier Säulen: Governance, Strategie, Risikomanagement sowie Kennzahlen und Ziele.

Sie sind inhaltlich weitgehend in die ESRS und in internationale Standards eingeflossen und prägen deren Aufbau bis heute. Für Unternehmen, die bereits nach TCFD berichtet haben, ist der Übergang auf die ESRS deshalb eher eine Erweiterung als ein Neuanfang – insbesondere die Säule Risikomanagement lässt sich weitgehend übernehmen.

Se også: Klimarisici · ESRS

Lieferkette & ESG

Greenwashing

Greenwashing bezeichnet die Darstellung von Produkten oder Unternehmen als nachhaltiger, als sie tatsächlich sind. Es ist ein Compliance- und Haftungsrisiko, kein reines Kommunikationsthema.

Unzutreffende Umweltaussagen sind wettbewerbsrechtlich angreifbar; Abmahnungen und Unterlassungsklagen sind in der Praxis häufig. Bei berichtspflichtigen Angaben kommen aufsichtsrechtliche Folgen hinzu. Wirksamste Prävention ist ein Freigabeprozess für Nachhaltigkeitsaussagen mit belegter Datengrundlage – dieselbe Logik, die für Finanzkommunikation seit Langem selbstverständlich ist.

Se også: Bæredygtig rapportering · CO₂-Bilanzierung

Lieferkette & ESG

Nachhaltigkeitsrisiken im Risikomanagementsystem

Nachhaltigkeitsrisiken gehören methodisch in das bestehende Risikomanagementsystem: gleiche Bewertungslogik, gleiche Skalen, gleiche Aggregation.

Ein separates ESG-Risikoregister führt zu widersprüchlichen Aussagen gegenüber Aufsichtsrat und Prüfer und verhindert, dass Nachhaltigkeitsrisiken in der Gesamtrisikoposition sichtbar werden. Praktisch bedeutet Integration: ESG wird als Ursachenkategorie ergänzt, die Bewertung erfolgt in denselben Bandbreiten, und die Zeithorizonte werden um mittel- und langfristige Betrachtungen erweitert.

Se også: ESG-risici · Risikokategorier

Lieferkette & ESG

ILO-Kernarbeitsnormen

Die Kernarbeitsnormen der Internationalen Arbeitsorganisation umfassen Vereinigungsfreiheit und Recht auf Kollektivverhandlungen, das Verbot von Zwangs- und Kinderarbeit, das Diskriminierungsverbot sowie den Arbeitsschutz.

Sie bilden den inhaltlichen Maßstab der geschützten Rechtspositionen im LkSG und in den europäischen Regelwerken. Für die Praxis bedeutet das: Lieferantenkodex, Selbstauskunft und Auditkatalog sollten sich an diesen Normen orientieren, damit die Nachweise anschlussfähig an die gesetzlichen Anforderungen sind.

Se også: Sorgfaltspflichten · Lieferantenaudit

Lieferkette & ESG

Konfliktmineralien

Die EU-Konfliktmineralien-Verordnung verpflichtet Importeure von Zinn, Tantal, Wolfram und Gold zu Sorgfaltspflichten in der Lieferkette, um die Finanzierung bewaffneter Konflikte zu vermeiden.

Gefordert sind ein Managementsystem, Risikoermittlung entlang der Kette bis zur Schmelze, unabhängige Prüfung durch Dritte und die jährliche Offenlegung der Ergebnisse. Auch Unternehmen, die nicht selbst importieren, sind mittelbar betroffen: Sie werden von Kunden zur Herkunftsauskunft aufgefordert und benötigen dafür Angaben ihrer eigenen Lieferanten.

Se også: Sorgfaltspflichten

IT & Informationssicherheit

ISMS

Ein Informationssicherheits-Managementsystem ist der strukturierte Rahmen zum Schutz von Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. Es umfasst Sicherheitsleitlinie, Rollen, Risikoanalyse, Maßnahmen und kontinuierliche Verbesserung.

Methodisch entspricht es dem Risikomanagement – weshalb ISMS und RMS idealerweise dieselbe Bewertungsskala nutzen. In der Praxis laufen sie häufig getrennt: Die IT bewertet in Schutzbedarfsklassen, das Risikomanagement in Euro. Die Folge ist, dass ein als „hoch" eingestuftes IT-Risiko in der Gesamtrisikoposition nicht auftaucht. Die Verbindung beider Skalen ist deshalb einer der wirksamsten Integrationsschritte.

Se også: ISO 27001 · Schutzbedarfsfeststellung

IT & Informationssicherheit

ISO 27001

ISO/IEC 27001 ist der international führende, zertifizierbare Standard für Informationssicherheits-Managementsysteme. Die Fassung von 2022 gliedert die Maßnahmen des Anhangs A in vier Themenbereiche: organisatorisch, personell, physisch und technologisch.

Eine Zertifizierung ist im B2B-Geschäft zunehmend Voraussetzung für die Lieferantenzulassung, insbesondere bei Cloud- und IT-Dienstleistern sowie im Automotive- und Gesundheitsbereich. Der Aufwand liegt weniger in der Technik als in der Dokumentation: Anwendungsbereich, Risikobehandlungsplan, Erklärung zur Anwendbarkeit und der Nachweis eines gelebten Verbesserungszyklus.

Typischer Projektverlauf

1. Anwendungsbereich festlegen – welche Standorte, Prozesse und Systeme werden einbezogen?
2. Sicherheitsleitlinie verabschieden und Rollen benennen
3. Werte und Systeme inventarisieren, Schutzbedarf feststellen
4. Risikoanalyse durchführen und Risikobehandlungsplan erstellen
5. Maßnahmen des Anhangs A prüfen, auswählen und die Erklärung zur Anwendbarkeit erstellen
6. Umsetzung, Schulung, internes Audit und Managementbewertung
7. Zertifizierungsaudit in zwei Stufen, danach jährliche Überwachungsaudits

Realistisch sind neun bis achtzehn Monate bis zum Zertifikat, abhängig vom Reifegrad. Der größte Einzelposten ist selten die Technik, sondern die Dokumentation vorhandener Abläufe – vieles wird bereits sicher betrieben, nur nicht nachweisbar.

Se også: ISMS · BSI IT-Grundschutz

IT & Informationssicherheit

BSI IT-Grundschutz

Der IT-Grundschutz des BSI bietet ein methodisches Vorgehen mit umfangreichen Bausteinen für typische Systeme und Prozesse. Über die BSI-Standards 200-1 bis 200-4 deckt er Managementsystem, Vorgehensweise, Risikoanalyse und Business Continuity ab.

Gegenüber ISO 27001 ist er deutlich konkreter: Statt „angemessene Maßnahmen" zu fordern, benennt er sie bausteinweise. Das senkt den Konzeptionsaufwand erheblich, erhöht aber den Dokumentationsumfang. Im öffentlichen Sektor und bei dessen Auftragnehmern ist er der faktische Standard; eine Zertifizierung auf Basis von ISO 27001 ist möglich.

Se også: ISO 27001 · Business Continuity Management

IT & Informationssicherheit

Schutzbedarfsfeststellung

Die Schutzbedarfsfeststellung ordnet Anwendungen, Systemen und Daten einen Schutzbedarf in den Kategorien Vertraulichkeit, Integrität und Verfügbarkeit zu – üblicherweise in den Stufen normal, hoch und sehr hoch.

Sie steuert die Tiefe der nachfolgenden Risikoanalyse und die Auswahl der Maßnahmen und verhindert, dass überall gleich stark investiert wird. Wichtig sind zwei Vererbungsregeln: Der Schutzbedarf einer Anwendung überträgt sich auf die Systeme, auf denen sie läuft (Maximumprinzip), und die Häufung vieler Systeme mit normalem Bedarf kann in Summe einen höheren Bedarf begründen (Kumulationseffekt).

Se også: ISMS · Business Impact Analyse

IT & Informationssicherheit

Business Impact Analyse (BIA)

Die Business Impact Analyse ermittelt, welche Geschäftsprozesse zeitkritisch sind und welche Schäden ein Ausfall je Zeiteinheit verursacht. Ergebnis sind Wiederanlaufzeiten und Prioritäten.

Tiltag

1. Geschäftsprozesse erheben und Verantwortliche benennen
2. Schadensverlauf über die Zeit bestimmen: Was kostet ein Ausfall nach 4 Stunden, 1 Tag, 1 Woche?
3. Maximal tolerierbare Ausfallzeit je Prozess festlegen
4. Abhängigkeiten ermitteln: IT-Systeme, Standorte, Personal, Lieferanten
5. Daraus RTO und RPO für die unterstützenden Systeme ableiten

Der häufigste Fehler ist, die BIA von der IT durchführen zu lassen. Die Frage, wie lange ein Prozess ausfallen darf, beantwortet der Fachbereich – die IT leitet daraus die technischen Anforderungen ab.

Se også: Business Continuity Management · RTO und RPO

IT & Informationssicherheit

Business Continuity Management (BCM)

Business Continuity Management sichert die Aufrechterhaltung kritischer Geschäftsprozesse bei schwerwiegenden Störungen. Es umfasst Business Impact Analyse, Notfallstrategien, Notfallpläne, Übungen und laufende Aktualisierung.

Übungsformate

Eine jährliche Tabletop-Übung mit dem Krisenstab und ein technischer Wiederanlauftest der kritischsten Systeme sind das realistische Minimum. Entscheidend ist die Nachbereitung: Ohne dokumentierte Lessons Learned und daraus abgeleitete Maßnahmen bleibt die Übung folgenlos.

Se også: Business Impact Analyse · Notfallmanagement

IT & Informationssicherheit

Notfallmanagement

Das Notfallmanagement regelt Alarmierung, Krisenstabsarbeit, Kommunikation und Wiederanlauf bei akuten Störungen. Es definiert Rollen und Entscheidungsbefugnisse für Situationen, in denen reguläre Abläufe nicht greifen.

Typische Schwachstellen sind veraltete Kontaktlisten, Pläne, die ausschließlich in den ausgefallenen Systemen liegen, und ungeklärte Entscheidungsbefugnisse – etwa die Frage, wer nachts über die Abschaltung der Produktion entscheiden darf. Ein Krisenstab braucht zudem einen definierten Vertreterkreis: Der Ernstfall hält sich nicht an Urlaubspläne.

Se også: BCM · IT-Notfallhandbuch

IT & Informationssicherheit

RTO und RPO

Die Recovery Time Objective gibt an, innerhalb welcher Zeit ein System nach einem Ausfall wieder verfügbar sein muss. Die Recovery Point Objective beschreibt den maximal tolerierbaren Datenverlust, gemessen als Zeitraum seit der letzten Sicherung.

Beide Werte werden in der Business Impact Analyse durch den Fachbereich festgelegt – sie sind eine betriebswirtschaftliche, keine technische Entscheidung.

Se også: Business Impact Analyse

IT & Informationssicherheit

IT-Notfallhandbuch

Das IT-Notfallhandbuch dokumentiert Systeme, Abhängigkeiten, Wiederanlaufreihenfolgen, Ansprechpartner und Sofortmaßnahmen.

Es muss offline und an einem alternativen Standort verfügbar sein – ein Handbuch, das nur im verschlüsselten Netzlaufwerk liegt, ist bei einem Ransomware-Angriff wertlos. Bewährt haben sich ausgedruckte Exemplare an definierten Orten sowie eine Kopie bei einem externen Dienstleister, ergänzt um eine jährliche Aktualitätsprüfung im Rahmen der Notfallübung.

Se også: Notfallmanagement · Cyberrisiko

IT & Informationssicherheit

NIS2

Die NIS-2-Richtlinie erweitert die europäischen Cybersicherheitsanforderungen auf deutlich mehr Sektoren und Unternehmen. Gefordert sind Risikomanagementmaßnahmen für die Netz- und Informationssicherheit, Meldepflichten bei erheblichen Vorfällen, Anforderungen an die Lieferkette sowie eine ausdrückliche Verantwortung und Schulungspflicht der Leitungsorgane.

Die geforderten Maßnahmenbereiche

• Risikoanalyse und Konzepte für die Sicherheit von Informationssystemen
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs, Backup-Management und Krisenmanagement
• Sicherheit der Lieferkette einschließlich der Beziehungen zu Dienstleistern
• Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen
• Bewertung der Wirksamkeit der Maßnahmen
• Cyberhygiene und Schulungen
• Kryptografie, Zugriffskontrolle, Asset-Management, Multi-Faktor-Authentifizierung

Neu und praktisch bedeutsam ist die persönliche Verantwortung der Leitungsorgane: Sie müssen die Maßnahmen billigen, ihre Umsetzung überwachen und selbst geschult sein.

Erste Schritte zur Umsetzung

1. Betroffenheit prüfen: Sektor, Größenkriterien und Rolle in der Lieferkette – auch nicht direkt erfasste Unternehmen werden über Kundenanforderungen einbezogen.
2. Gap-Analyse: bestehende Maßnahmen gegen die geforderten Bereiche spiegeln, idealerweise entlang ISO 27001 oder IT-Grundschutz.
3. Meldeprozess aufsetzen: Wer erkennt einen erheblichen Vorfall, wer entscheidet über die Meldung, wer meldet innerhalb der Fristen?
4. Lieferkette einbeziehen: Sicherheitsanforderungen in Verträge mit IT-Dienstleistern aufnehmen.
5. Leitungsorgan schulen und Beschlüsse dokumentieren – die Billigung der Maßnahmen ist nachzuweisen.

Wer bereits ein ISMS nach ISO 27001 betreibt, erfüllt einen erheblichen Teil der Anforderungen. Die Lücken liegen typischerweise bei Meldeprozessen, Lieferkettensicherheit und der dokumentierten Einbindung der Geschäftsleitung.

Se også: Incidentstyring · Udskiftningsledelse

IT & Informationssicherheit

DORA

Der Digital Operational Resilience Act schafft einheitliche Anforderungen an die digitale operationelle Widerstandsfähigkeit im europäischen Finanzsektor.

Die Verordnung regelt fünf Bereiche: IKT-Risikomanagement, Behandlung und Meldung IKT-bezogener Vorfälle, Testen der digitalen Resilienz einschließlich bedrohungsgeleiteter Penetrationstests, Management des IKT-Drittparteienrisikos mit verbindlichen Vertragsinhalten sowie den Austausch über Cyberbedrohungen. Für Dienstleister des Finanzsektors ist sie auch außerhalb der Branche relevant: Ihre Verträge müssen die geforderten Klauseln enthalten.

Se også: Udskiftningsledelse · MaRisk

IT & Informationssicherheit

Cyberrisiko

Cyberrisiken umfassen Angriffe wie Ransomware, Datenabfluss und Social Engineering sowie Ausfälle durch technisches Versagen. Charakteristisch ist die Kombination aus hoher Eintrittswahrscheinlichkeit und potenziell existenzbedrohender Schadenshöhe.

Schadenskomponenten

• Betriebsunterbrechung – meist der größte Posten
• Wiederherstellungskosten für Systeme und Daten
• Forensik, Rechtsberatung, Krisenkommunikation
• Vertragsstrafen und Schadensersatz gegenüber Kunden
• Bußgelder bei Datenschutz- oder Meldepflichtverletzungen
• Reputationsschaden und Kundenabwanderung

In der Risikoaggregation zählen Cyberrisiken regelmäßig zu den wesentlichen Treibern der Gesamtrisikoposition – und sie sind einer der wenigen Fälle, in denen eine Versicherung die Bewertung materiell verändert.

Se også: Incident Response · BCM

IT & Informationssicherheit

Incidentstyring

Incident Management ist der strukturierte Umgang mit Vorfällen: Erfassung, Klassifizierung, Priorisierung, Bearbeitung, Behebung und Auswertung.

Über die Störungsbeseitigung hinaus liefert es die empirische Datengrundlage des Risikomanagements. Eingetretene Vorfälle sind die verlässlichste Quelle zur Kalibrierung von Eintrittswahrscheinlichkeiten und Schadenshöhen – vorausgesetzt, sie werden vollständig erfasst und mit ihren tatsächlichen Kosten bewertet. Genau diese Rückkopplung fehlt in den meisten Unternehmen.

Se også: Incident Response · Risikovurdering

IT & Informationssicherheit

Incident Response

Incident Response bezeichnet die geplante Reaktion auf Sicherheitsvorfälle in den Phasen Vorbereitung, Erkennung, Eindämmung, Beseitigung, Wiederherstellung und Nachbereitung.

Wesentlich sind vorab definierte Rollen, gesicherte Kommunikationswege außerhalb der potenziell kompromittierten Umgebung und die Einhaltung gesetzlicher Meldefristen – nach DSGVO in der Regel 72 Stunden gegenüber der Aufsichtsbehörde, nach NIS2 mit einer Erstmeldung binnen 24 Stunden für betroffene Einrichtungen. Wer diese Fristen erst im Ernstfall recherchiert, verliert sie.

Se også: NIS2 · Notfallmanagement

IT & Informationssicherheit

Schwachstellenmanagement

Das Schwachstellenmanagement erfasst, bewertet und behebt technische Sicherheitslücken systematisch: Asset-Inventar, regelmäßige Scans, Bewertung nach Ausnutzbarkeit und Kritikalität, priorisiertes Patchen und Nachverfolgung offener Punkte.

Ohne vollständiges Asset-Inventar bleibt jedes Schwachstellenmanagement lückenhaft – nicht inventarisierte Systeme werden nicht gescannt und nicht gepatcht. Der zweite kritische Punkt ist die Priorisierung: Die Zahl bekannter Schwachstellen übersteigt jede Patch-Kapazität, weshalb nach tatsächlicher Ausnutzbarkeit im eigenen Umfeld gewichtet werden muss, nicht allein nach Schweregrad.

Se også: ISMS · Cyberrisiko

IT & Informationssicherheit

Auslagerungs- und Drittparteienmanagement

Das Auslagerungsmanagement steuert Risiken aus der Einbindung externer Dienstleister: Risikobewertung vor Vergabe, vertragliche Sicherung von Informations-, Weisungs- und Prüfungsrechten, laufende Überwachung und Ausstiegsszenarien.

Regulatorisch verankert ist es in MaRisk, DORA und NIS2 – und es ist der Bereich, in dem Cyberrisiken am häufigsten eintreten: nicht im eigenen Netz, sondern beim Dienstleister.

Se også: DORA · NIS2

IT & Informationssicherheit

TISAX

TISAX ist der Prüf- und Austauschmechanismus für Informationssicherheit in der Automobilindustrie, basierend auf dem VDA-ISA-Katalog.

Bewertungen werden über eine zentrale Plattform zwischen Hersteller und Zulieferer geteilt und ersetzen wiederholte Einzelaudits. Geprüft wird in Stufen, abhängig vom Schutzbedarf der verarbeiteten Informationen – von der Selbstbewertung bis zur Vor-Ort-Prüfung mit erweiterten Anforderungen für Prototypenschutz. Für Zulieferer ist ein gültiges Label regelmäßig Voraussetzung für die Auftragsvergabe.

Se også: ISO 27001 · ISMS

Governance

Governance

Governance bezeichnet den Ordnungsrahmen der Unternehmensführung und -überwachung: Zuständigkeiten, Entscheidungswege, Kontrollmechanismen und Berichtslinien zwischen Geschäftsleitung, Aufsichtsorgan und Anteilseignern.

Sie schafft die Struktur, innerhalb derer Risikomanagement und Compliance überhaupt wirksam werden können. Praktisch konkretisiert sie sich in Geschäftsordnungen, Zustimmungsvorbehalten, Vertretungsregelungen, Berichtspflichten und der Besetzung von Gremien. Fehlende Governance zeigt sich selten als abstraktes Problem, sondern als konkrete Frage: Wer durfte diese Entscheidung eigentlich treffen?

Se også: GRC · Corporate Governance Kodex

Governance

GRC

GRC steht für Governance, Risk und Compliance und beschreibt den integrierten Ansatz, diese drei Disziplinen mit gemeinsamer Methodik, einheitlicher Datenbasis und abgestimmten Prozessen zu führen.

Ziel ist die Beseitigung von Doppelarbeit. In gewachsenen Strukturen erheben Risikomanagement, IKS, Compliance, Datenschutz, Informationssicherheit und Interne Revision dieselben Prozesse mehrfach, mit unterschiedlichen Skalen und in getrennten Dateien. Für die Fachbereiche bedeutet das fünf Abfragen im Jahr zu denselben Sachverhalten – und für die Geschäftsleitung fünf Berichte, die sich widersprechen.

Wo Integration konkret Aufwand spart

• Eine Prozesslandkarte statt vier – nutzbar für IKS, Revision, Datenschutz und Notfallplanung
• Eine Kontrolle, mehrfach verwendet: einmal getestet, verwertet für IKS-Bericht, Nettorisiko, Revision und Zertifizierung
• Ein Maßnahmenpool statt getrennter Listen je Funktion
• Eine Erhebungsrunde bei den Fachbereichen statt vier Abfragen im Jahr
• Eine Berichtsbasis für Geschäftsleitung und Aufsichtsorgan

Der Widerstand gegen Integration kommt selten aus den Fachbereichen – sie profitieren am stärksten –, sondern aus den zweiten-Linie-Funktionen, die eigene Methodik und Berichtswege aufgeben müssen. Die Einführung ist deshalb überwiegend ein Organisations-, kein Softwareprojekt.

Se også: Integriertes GRC · Tre linjer model

Governance

Integriertes GRC

Integriertes GRC führt Risiken, Kontrollen, Maßnahmen, Prüfungsfeststellungen und regulatorische Anforderungen in einem gemeinsamen Datenmodell zusammen.

Der Gewinn ist nicht primär die Softwareeinsparung, sondern die Widerspruchsfreiheit: Es gibt eine Version der Wahrheit, und sie ist aktuell.

Se også: En enkelt kilde til sandhed · GRC

Governance

Undersøgelsesudvalg

Der Prüfungsausschuss des Aufsichtsrats befasst sich mit der Rechnungslegung, der Wirksamkeit von internem Kontrollsystem, Risikomanagementsystem und Interner Revision, der Abschlussprüfung sowie der Nachhaltigkeitsberichterstattung.

Mindestens ein Mitglied muss über besonderen Sachverstand in Rechnungslegung oder Abschlussprüfung verfügen; mit der Ausweitung auf Nachhaltigkeitsberichterstattung kommt entsprechende Sachkunde hinzu. Der Ausschuss ist zugleich der Adressat, an den die Interne Revision und die Meldestelle in kritischen Fällen unmittelbar berichten – er ist damit der institutionelle Gegenpol zum Management Override.

Se også: Aufsichtsrat und Risikoüberwachung · FISG

Governance

Risikoausschuss

Ein Risikoausschuss befasst sich schwerpunktmäßig mit Risikostrategie, Risikotragfähigkeit und wesentlichen Einzelrisiken.

In Kreditinstituten ist er aufsichtsrechtlich vorgesehen. Außerhalb des Finanzsektors wird die Aufgabe meist vom Prüfungsausschuss oder vom Gesamtaufsichtsrat wahrgenommen. Ein eigener Ausschuss lohnt sich dort, wo das Risikoprofil komplex ist – etwa bei hoher Internationalisierung, Projektgeschäft mit langen Laufzeiten oder starker Rohstoffabhängigkeit.

Se også: Undersøgelsesudvalg

Governance

Aufsichtsrat und Risikoüberwachung

Der Aufsichtsrat überwacht die Geschäftsführung und hat sich dabei von der Wirksamkeit des Risikomanagementsystems zu überzeugen. Das ist mehr als die Entgegennahme von Berichten.

Fragen, die ein Aufsichtsorgan stellen sollte

• Wie hoch ist die aggregierte Gesamtrisikoposition, und wie verhält sie sich zur Risikotragfähigkeit?
• Welche Annahmen und Korrelationen liegen dem Aggregationsmodell zugrunde?
• Welche Risiken sind seit der letzten Sitzung hinzugekommen oder entfallen – und warum?
• Welche Maßnahmen sind überfällig, und was ist der Grund?
• Stimmt die interne Risikolage mit der Darstellung im Lagebericht überein?
• Was sagen Abschlussprüfer und Interne Revision zur Wirksamkeit des Systems?

Se også: Risikoreporting · Intern revision

Governance

Årsregnskabsrevision

Die Jahresabschlussprüfung beurteilt, ob Abschluss und Lagebericht den gesetzlichen Vorschriften entsprechen. Der Prüfer verschafft sich dabei ein Verständnis vom rechnungslegungsbezogenen internen Kontrollsystem.

Wichtig ist die Abgrenzung: Die Abschlussprüfung ist keine Prüfung des IKS auf Wirksamkeit. Der Prüfer beurteilt Kontrollen nur insoweit, wie er sich auf sie stützen will, um den Umfang eigener Prüfungshandlungen zu reduzieren. Eine Aussage zur Wirksamkeit des gesamten Kontrollsystems erfolgt nur im gesonderten Auftrag nach IDW PS 982.

Se også: § 317, stk. 4 i HGB · IDW PS 982

Governance

Prognoserapport

Der Prognosebericht als Teil des Lageberichts stellt die erwartete Entwicklung des Unternehmens mit ihren wesentlichen Annahmen dar.

Er steht in engem Zusammenhang mit dem Risikobericht: Die Risiken beschreiben genau die Abweichungsmöglichkeiten von den hier dargestellten Erwartungen. Inkonsistenzen zwischen beiden Teilen – optimistische Prognose bei gleichzeitig gravierender Risikolage, oder umgekehrt – gehören zu den häufigsten Prüfungsbefunden und sind zugleich ein Haftungsrisiko gegenüber Kapitalgebern.

Se også: Statusrapport · Bandbreddsplanlægning

Governance

Ledelsesansvar

Geschäftsführer und Vorstände haften gegenüber der Gesellschaft für Sorgfaltspflichtverletzungen. Im Streitfall müssen sie darlegen, dass sie auf angemessener Informationsgrundlage entschieden und die erforderlichen Organisationsmaßnahmen ergriffen haben.

Typische Haftungsfelder

Ein dokumentiertes Risikomanagement- und Compliance-System ist damit weniger Bürokratie als Beweismittel. Die Darlegungslast liegt beim Organmitglied – nicht bei der Gesellschaft.

Praktischer Selbstschutz

• Entscheidungsvorlagen mit dokumentierter Risikobetrachtung und Alternativen
• Protokollierte Beschlüsse mit Abstimmungsverhalten – abweichende Voten schriftlich festhalten
• Ressortverteilung schriftlich regeln, ohne die Überwachungspflicht für fremde Ressorts zu ignorieren
• Regelmäßige Berichte an das Aufsichtsorgan, auch über negative Entwicklungen
• Externe Expertise bei komplexen Rechtsfragen einholen und die Einholung dokumentieren
• Liquiditäts- und Fortbestehensprognose fortlaufend führen, nicht erst in der Krise

Der gemeinsame Nenner ist die Nachweisbarkeit: Die Business Judgement Rule schützt nicht die richtige Entscheidung, sondern die sorgfältig vorbereitete. Wer diese Vorbereitung nicht belegen kann, verliert den Schutz unabhängig davon, wie vernünftig die Entscheidung war.

Se også: Business Judgement Rule · D&O-forsikring

Governance

D&O-forsikring

Die Directors-and-Officers-Versicherung deckt Vermögensschäden aus der Organhaftung ab. Sie ersetzt kein Risikomanagement.

Zu beachten sind drei Punkte: Vorsätzliche Pflichtverletzungen sind ausgeschlossen, für Vorstände einer AG ist ein gesetzlicher Selbstbehalt vorgesehen, und die Versicherer fragen den Reifegrad von Risikomanagement und Compliance im Zuge der Risikoprüfung zunehmend detailliert ab. Ein belegbar funktionierendes System wirkt sich damit unmittelbar auf Verfügbarkeit und Prämie der Deckung aus.

Se også: Ledelsesansvar

Governance

Compliance-Verantwortung der Leitung

Die Verantwortung für Compliance liegt bei der Unternehmensleitung als Gesamtorgan und ist nicht delegierbar. Übertragbar sind Aufgaben – die Pflicht zu Auswahl, Ausstattung, Anweisung und Überwachung der Beauftragten verbleibt bei der Leitung.

Bei Ressortaufteilung bleibt eine Überwachungspflicht aller Organmitglieder für die Ressorts der Kollegen bestehen. Sie verdichtet sich zur Handlungspflicht, sobald Anhaltspunkte für Missstände vorliegen. Genau an dieser Residualpflicht setzt die Bußgeldhaftung nach § 130 OWiG an – „das war nicht mein Ressort" entlastet nicht.

Se også: Organisationsverschulden · Compliance Officer

Governance

Wesentlichkeit

Wesentlichkeit bestimmt, welche Sachverhalte berichtspflichtig oder prüfungsrelevant sind. In der Rechnungslegung wird sie über quantitative Schwellenwerte und qualitative Kriterien abgeleitet, in der Nachhaltigkeitsberichterstattung über die doppelte Wesentlichkeitsanalyse.

Für das Risikomanagement ist die Festlegung praktisch bedeutsam: Sie entscheidet, welche Risiken in die Berichterstattung an Geschäftsleitung und Aufsichtsorgan gelangen und welche auf Bereichsebene verbleiben. Die Schwelle ist eine Ermessensentscheidung, muss aber begründet, dokumentiert und über die Perioden hinweg konsistent angewendet werden.

Se også: Doppelte Wesentlichkeitsanalyse · Risikoreporting

Systeme & Daten

Revision sikkerhed

Revisionssicherheit bedeutet, dass Daten und Dokumente unveränderbar, vollständig, nachvollziehbar und über die gesamte Aufbewahrungsfrist verfügbar gespeichert werden. Maßstab sind in Deutschland die GoBD.

Für Risiko- und Compliance-Daten ist sie Voraussetzung dafür, dass Bewertungen und Kontrollnachweise im Nachhinein als Beweismittel taugen. Konkret gefordert sind: Unveränderbarkeit nach Freigabe, lückenlose Protokollierung jeder Änderung, Schutz vor Verlust, Wiederauffindbarkeit innerhalb angemessener Zeit und eine dokumentierte Verfahrensdokumentation, die beschreibt, wie das System diese Anforderungen erfüllt.

Prüfpunkte bei der Systemauswahl

• Werden freigegebene Datensätze technisch gegen Änderung geschützt, oder nur organisatorisch?
• Protokolliert das System jede Änderung mit Zeitstempel, Benutzer und Vorher-Nachher-Wert?
• Lässt sich der Stand zu einem beliebigen Stichtag rekonstruieren?
• Sind Löschungen ausgeschlossen oder zumindest protokolliert und begründungspflichtig?
• Existiert eine Verfahrensdokumentation, die diese Eigenschaften beschreibt?
• Bleiben die Daten auch nach einem Anbieterwechsel lesbar exportierbar?

Der letzte Punkt wird regelmäßig übersehen: Aufbewahrungsfristen überdauern häufig die Vertragslaufzeit mit dem Systemanbieter. Ein Exportformat, das ohne die Software lesbar bleibt, gehört deshalb in den Vertrag.

Se også: Audit Trail · Aufbewahrungsfristen

Systeme & Daten

Audit Trail

Der Audit Trail protokolliert lückenlos, wer wann welche Daten angelegt, geändert oder gelöscht hat. Er macht Bewertungsänderungen an Risiken, Freigaben und Kontrollnachweise nachvollziehbar.

Er ist eines der zentralen Prüfkriterien, an denen sich eine GRC-Software von einer Tabellenkalkulation unterscheidet. Die entscheidende Frage im Prüfungsgespräch lautet regelmäßig: Wer hat diese Risikobewertung wann von „hoch" auf „mittel" geändert, und mit welcher Begründung? In Excel ist diese Frage nicht beantwortbar.

Se også: Revision sikkerhed · Risikoregister

Systeme & Daten

Rollen- und Rechtekonzept

Das Rollen- und Rechtekonzept regelt, welche Benutzergruppen welche Daten sehen und bearbeiten dürfen. Im GRC-Kontext ist es doppelt relevant: Es setzt die Funktionstrennung technisch um und schützt sensible Inhalte.

Se også: Funktionstrennung · Vertraulichkeitsgebot

Systeme & Daten

Mandantenfähigkeit

Mandantenfähigkeit bezeichnet die Möglichkeit, mehrere Gesellschaften, Standorte oder Bereiche in einem System getrennt zu führen und zugleich konsolidiert auszuwerten.

In Konzernstrukturen ist sie Voraussetzung dafür, dass lokale Verantwortung und konzernweite Gesamtsicht ohne doppelte Datenpflege nebeneinander bestehen. Zu klären sind dabei drei Punkte: Welche Stammdaten sind konzernweit einheitlich, welche lokal? Welche Bewertungsskalen gelten für alle? Und wer darf gesellschaftsübergreifend auswerten – eine Frage, die bei Auslandsgesellschaften zugleich datenschutzrechtlich relevant ist.

Se også: Rollen- und Rechtekonzept · Datenqualität

Systeme & Daten

Workflow-Management

Workflow-Management automatisiert wiederkehrende Abläufe im Risiko- und Compliance-Prozess: Erhebungsrunden, Freigaben, Wiedervorlagen, Eskalationen und Erinnerungen.

Es ersetzt die manuelle Nachverfolgung per E-Mail und erzeugt zugleich die Nachweise, die für Fristenwahrung und Prüfung benötigt werden. Der praktische Effekt ist erheblich: Die zentrale Funktion verbringt einen großen Teil ihrer Zeit mit dem Nachhalten offener Rückmeldungen – genau diese Arbeit übernimmt der Workflow, ohne dass jemand als Mahnender auftreten muss.

Se også: Freigabeworkflow · Maßnahmenverfolgung

Systeme & Daten

Risiko Dashboard

Ein Risiko-Dashboard verdichtet die Risikolage in Echtzeit: Gesamtrisikoposition, Top-Risiken, Veränderungen gegenüber der Vorperiode, Maßnahmenstatus und Grenzwertüberschreitungen.

Entscheidend ist die Adressatenorientierung. Die Geschäftsleitung braucht Aggregat, Trend und Ausnahmen; der Fachbereich die Detailsicht auf die eigenen Risiken; das Aufsichtsorgan die Entwicklung über mehrere Perioden mit Methodikhinweisen. Ein Dashboard, das für alle dasselbe zeigt, ist für niemanden richtig – und verleitet dazu, Vollständigkeit mit Aussagekraft zu verwechseln.

Se også: Risikoreporting

Systeme & Daten

Maßnahmenverfolgung

Die Maßnahmenverfolgung überwacht Umsetzungsstand, Fristen und Wirksamkeit aller beschlossenen Maßnahmen aus Risikomanagement, IKS, Revision und Compliance an einer Stelle.

Sie verhindert die typische Situation, in der dieselbe Feststellung in mehreren Systemen unterschiedlich dokumentiert ist und keine Instanz den Gesamtstatus kennt. Aussagekräftig wird sie durch drei Kennzahlen: Anteil überfälliger Maßnahmen, durchschnittliche Verzugsdauer und Anteil der Maßnahmen mit belegter Wirksamkeit – nicht nur mit dem Status „erledigt".

Se også: Forvaltning af foranstaltninger · Workflow-Management

Systeme & Daten

Freigabeworkflow

Der Freigabeworkflow bildet mehrstufige Genehmigungen systemseitig ab – etwa die Bestätigung von Risikobewertungen durch den Risikoeigner und die anschließende Freigabe durch das zentrale Risikomanagement.

Er erzwingt das Vier-Augen-Prinzip und dokumentiert Freigaben automatisch mit Zeitstempel und Person. Wichtig ist eine hinterlegte Vertreterregelung: Ohne sie steht der Prozess bei Urlaub oder Krankheit still, und es entstehen genau die Umgehungen per E-Mail, die der Workflow verhindern sollte.

Se også: Funktionstrennung · Audit Trail

Systeme & Daten

Versionierung und Dokumentenlenkung

Die Dokumentenlenkung stellt sicher, dass jederzeit nachvollziehbar ist, welche Fassung eines Dokuments gültig war, wer sie freigegeben hat und wer sie zur Kenntnis genommen hat.

Für Richtlinien, Prozessbeschreibungen und Nachweise ist sie die Grundlage jeder belastbaren Compliance-Dokumentation. Der praktische Prüfstein: Lässt sich zu einem beliebigen Datum in der Vergangenheit feststellen, welche Fassung der Reisekostenrichtlinie damals galt und welche Mitarbeitenden sie bestätigt hatten? Wenn nicht, ist die Nachweisführung im Verfahren angreifbar.

Se også: Richtlinienmanagement · Revision sikkerhed

Systeme & Daten

Aufbewahrungsfristen

Aufbewahrungsfristen legen fest, wie lange Unterlagen vorzuhalten sind – handels- und steuerrechtlich in gestaffelten Fristen, in speziellen Bereichen abweichend geregelt.

Im Spannungsfeld zur datenschutzrechtlichen Löschpflicht braucht es ein Löschkonzept, das Fristbeginn, Fristende und Ausnahmen je Dokumentart eindeutig bestimmt. Besonders zu regeln sind Fälle, in denen eine Löschpflicht durch ein laufendes Verfahren gehemmt wird – dann ist ein Legal Hold erforderlich, der die automatische Löschung dokumentiert aussetzt.

Se også: Revision sikkerhed · Dokumentenlenkung

Systeme & Daten

Schnittstellen im GRC-Kontext

Schnittstellen verbinden GRC-Systeme mit ERP, HR, Einkauf, Ticketsystemen und Datawarehouse. Sie ermöglichen die automatisierte Übernahme von Stammdaten, Kennzahlen und Frühwarnindikatoren.

Der Nutzen liegt weniger in der Zeitersparnis als in der Aktualität: Manuell gepflegte Risikodaten sind im Moment ihrer Erfassung bereits veraltet, automatisch übernommene Indikatoren nicht. Typische erste Schnittstellen sind Lieferantenstammdaten aus dem ERP, Kennzahlen aus dem Controlling und Vorfälle aus dem IT-Ticketsystem.

Se også: Datenqualität · Nøglerisikoindikator

Systeme & Daten

Datenqualität im Risikomanagement

Die Qualität von Risikodaten entscheidet über die Belastbarkeit aller Auswertungen. Kriterien sind Vollständigkeit, Aktualität, Konsistenz der Bewertungsmaßstäbe und Nachvollziehbarkeit der Herkunft.

Schwächen zeigen sich typischerweise in uneinheitlich ausgelegten Skalen zwischen Bereichen: Was der Vertrieb als „hoch" einstuft, ist in der Produktion ein mittleres Risiko. Das ist ein Methodikproblem, kein Softwareproblem – die Lösung liegt in klaren Skalendefinitionen mit Euro-Werten und einer Plausibilisierung durch die zweite Linie.

Se også: Risikovurdering · Risikohandbuch

Systeme & Daten

En enkelt kilde til sandhed

Eine Single Source of Truth ist die eine führende Datenbasis, auf die sich alle Auswertungen stützen.

Im GRC-Umfeld verhindert sie, dass Risikoregister, IKS-Dokumentation und Revisionsfeststellungen auseinanderlaufen und Geschäftsleitung und Aufsichtsrat widersprüchliche Zahlen erhalten. Die Umsetzung scheitert selten an der Technik, sondern an der Klärung der Frage, welches System für welchen Datensatz führend ist – und wer Änderungen daran vornehmen darf.

Se også: Integriertes GRC · Datenqualität

Systeme & Daten

Automatisierte Risikomeldung

Bei der automatisierten Risikomeldung lösen definierte Ereignisse oder Grenzwertüberschreitungen selbsttätig eine Meldung im System aus – etwa bei Überschreiten eines Frühwarnindikators oder beim Eintritt eines Schadensfalls.

Sie ergänzt die turnusmäßige Erhebung um die anlassbezogene Komponente, die der IDW PS 340 n.F. ausdrücklich erwartet. Zu definieren sind Auslöser, Empfänger, Eskalationsstufe und Reaktionsfrist. Wichtig ist die Kalibrierung der Schwellen: Zu viele Meldungen führen zur Gewöhnung, zu wenige zur Scheinsicherheit.

Se også: Early warning indicator · Risikoopdagelsessystem