Risikomanagement Glossar

Grundlagen

Risiko

Ein Risiko ist die Möglichkeit, dass die tatsächliche Entwicklung von einem geplanten Ziel- oder Erwartungswert abweicht. Beschrieben wird es über zwei Dimensionen: die Eintrittswahrscheinlichkeit und die Höhe der Auswirkung. Im betriebswirtschaftlichen Sinn umfasst der Begriff auch positive Abweichungen – Chancen sind Risiken mit umgekehrtem Vorzeichen.

Abgrenzung: Risiko, Ursache, Wirkung

In der Praxis werden drei Ebenen regelmäßig vermischt, was die spätere Bewertung unbrauchbar macht. Die Ursache ist der Auslöser („Ausfall eines Einzellieferanten"), das Risiko das Ereignis („Produktionsstillstand von mehr als zwei Wochen"), die Wirkung die Konsequenz („Umsatzverlust von 3 bis 8 Mio. Euro, Vertragsstrafen"). Nur wenn diese drei Ebenen getrennt erfasst werden, lassen sich Maßnahmen sinnvoll zuordnen: Präventive Maßnahmen setzen an der Ursache an, mitigierende an der Wirkung.

Ein Risiko besteht immer in Bezug auf ein konkretes Ziel. Ohne definiertes Ziel – Ergebnis, Liquidität, Lieferfähigkeit, Reputation, Compliance – gibt es keinen Maßstab für eine Abweichung und damit kein bewertbares Risiko. Aus diesem Grund beginnt jede Risikoidentifikation mit der Frage, welche Ziele überhaupt gefährdet werden können.

Risikoarten im Überblick

Risiken richtig beschreiben

Die Qualität eines Risikoinventars entscheidet sich an der Formulierung. Unbrauchbar sind Schlagworte wie „Fachkräftemangel" oder „Digitalisierung" – sie benennen ein Themenfeld, kein bewertbares Ereignis. Belastbar ist eine Beschreibung, die Ursache, Ereignis, betroffenes Ziel und Wirkungsmechanismus enthält und damit von jedem Dritten nachvollzogen werden kann.

• Unbrauchbar: „Risiko IT-Sicherheit"
• Brauchbar: „Verschlüsselung der Produktionssysteme durch Ransomware führt zu einem Stillstand von 5 bis 15 Arbeitstagen mit Deckungsbeitragsverlust und Konventionalstrafen"

Praxis

Für die Erfassung im System haben sich wenige Pflichtfelder bewährt: Risikobezeichnung, Ursache, betroffenes Ziel, Kategorie, Risikoeigner, Bewertung brutto und netto, zugeordnete Maßnahmen und der Zeitpunkt der letzten Aktualisierung. Alles Weitere ist optional – zusätzliche Pflichtfelder senken erfahrungsgemäß die Meldebereitschaft der Fachbereiche, ohne die Aussagekraft zu erhöhen.

Siehe auch: Gestion des risques · Risikomatrix · Risikoaggregation

Grundlagen

Gestion des risques

Risikomanagement ist der systematische, wiederkehrende Umgang mit Risiken: identifizieren, analysieren, bewerten, steuern, überwachen und berichten. Ziel ist nicht die Vermeidung jedes Risikos, sondern das bewusste Eingehen von Risiken innerhalb der eigenen Risikotragfähigkeit – und damit eine belastbare Grundlage für unternehmerische Entscheidungen.

Zweck: Entscheidungsgrundlage statt Pflichtübung

Der wirtschaftliche Sinn des Risikomanagements liegt nicht in der Dokumentation, sondern in besseren Entscheidungen. Wer die Bandbreite möglicher Ergebnisse kennt, kann Investitionen, Finanzierungsstrukturen, Vertragsbedingungen und Absicherungen daran ausrichten. Ein Unternehmen mit belastbarer Risikoquantifizierung kann gegenüber Banken und Investoren begründen, warum eine Planung erreichbar ist – und das schlägt sich in Rating und Finanzierungskosten nieder.

Der zweite Nutzen ist haftungsrechtlich: Geschäftsleiter müssen im Streitfall darlegen, dass sie auf angemessener Informationsgrundlage entschieden haben. Ein dokumentierter Risikomanagementprozess ist dafür das zentrale Beweismittel.

Der Regelkreis

Rechtlicher Rahmen im DACH-Raum

Reifegrade in der Praxis

Zwischen einer Excel-Liste und einem steuerungsrelevanten System liegen mehrere Entwicklungsstufen. Die Einordnung hilft, den nächsten sinnvollen Schritt zu bestimmen, statt alles gleichzeitig zu wollen.

1. Dokumentierend: Risiken werden jährlich in einer Liste gesammelt, meist kurz vor der Abschlussprüfung. Kein Einfluss auf Entscheidungen.
2. Strukturiert: Einheitliche Kategorien, Bewertungsskalen und Risikoeigner; regelmäßige Erhebung; Maßnahmen werden nachverfolgt.
3. Quantifiziert: Risiken werden in Bandbreiten bewertet und aggregiert; die Gesamtrisikoposition wird der Risikotragfähigkeit gegenübergestellt.
4. Integriert: Risikodaten fließen in Planung, Investitionsrechnung und Zielvereinbarungen ein; Chancen werden gleichberechtigt geführt.

Typische Fehler

• Einmal jährlich erheben: Ein Inventar, das nur zum Stichtag entsteht, bildet keine aktuelle Risikolage ab und erfüllt die Anforderung der laufenden Überwachung nicht.
• Nur bekannte Risiken erfassen: Workshops reproduzieren regelmäßig die Schadensfälle der Vergangenheit. Strategische und externe Risiken fehlen dann vollständig.
• Bewertung in Klassen: „Hoch" und „mittel" lassen sich nicht addieren – ohne Quantifizierung ist keine Aggregation möglich.
• Maßnahmen ohne Nachverfolgung: Wird die Umsetzung nicht kontrolliert, bleibt die Risikosteuerung eine Absichtserklärung.
• Risikomanagement als Stabsaufgabe: Verantwortlich ist der Fachbereich als Risikoeigner, nicht die zentrale Funktion.

Einführung in zwölf Monaten

Der häufigste Grund für gescheiterte Einführungen ist der Versuch, alles gleichzeitig zu wollen. Bewährt hat sich eine Reihenfolge, in der jeder Schritt ein nutzbares Zwischenergebnis liefert.

Wer bereits eine Planung mit Szenarien führt, kann die Phasen drei und vier deutlich verkürzen: Die Bandbreiten existieren dann schon und müssen nur den Risiken zugeordnet werden.

Wirtschaftlicher Nutzen jenseits der Pflicht

• Finanzierung: Wer seine Risikolage quantifiziert darstellt, verhandelt mit Banken über Fakten statt über Sicherheitsaufschläge.
• Investitionsentscheidungen: Projekte lassen sich risikoadjustiert vergleichen statt nur über Renditeerwartungen.
• Versicherungen: Selbstbehalte und Deckungssummen können anhand der tatsächlichen Verteilung optimiert werden.
• Planungsqualität: Die Diskussion über Bandbreiten deckt unrealistische Planannahmen auf, bevor sie ins Budget wandern.
• Haftungsschutz: Dokumentierte Entscheidungsgrundlagen sind das zentrale Beweismittel im Streitfall.

Häufige Fragen

Siehe auch: Risikomanagementsystem · Risikomanagementprozess · Three Lines Model

Grundlagen

Risikomanagementsystem (RMS)

Das Risikomanagementsystem umfasst alle Regelungen, Prozesse, Rollen, Methoden und Instrumente, mit denen ein Unternehmen Risiken erkennt, bewertet, steuert und überwacht. Es ist der organisatorische Rahmen, in dem der Risikomanagementprozess abläuft – und der Gegenstand, den Abschlussprüfer und Aufsichtsrat auf Angemessenheit und Wirksamkeit beurteilen.

Bestandteile eines RMS

Der Prüfungsstandard IDW PS 981 gliedert das Risikomanagementsystem in Grundelemente. Sie bilden zugleich eine brauchbare Checkliste für den eigenen Aufbau: Jedes Element muss dokumentiert, zugewiesen und gelebt sein.

Prüfung des Systems

Zu unterscheiden sind zwei Ebenen: Die Angemessenheit beurteilt, ob das System in seiner Konzeption geeignet ist, die gesetzten Ziele zu erreichen. Die Wirksamkeit beurteilt, ob es über einen Zeitraum tatsächlich so betrieben wurde. Ein sauber dokumentiertes, aber nicht gelebtes System ist angemessen und zugleich unwirksam – ein häufiger Befund bei Erstprüfungen.

Bei börsennotierten Aktiengesellschaften beurteilt der Abschlussprüfer das Früherkennungssystem nach § 317 Abs. 4 HGB verpflichtend. Außerhalb dieses Kreises erfolgt eine Prüfung freiwillig, häufig auf Wunsch des Aufsichtsrats oder im Rahmen einer Transaktion.

Aufbau in acht Schritten

1. Risikostrategie und Risikoappetit aus der Unternehmensstrategie ableiten und vom Leitungsorgan verabschieden lassen
2. Rollen festlegen: Risikoeigner in den Fachbereichen, zentrale Koordination, Berichtsempfänger
3. Einheitliche Kategorien und Bewertungsskalen definieren und im Risikohandbuch verbindlich machen
4. Erstinventar über Workshops und Interviews je Bereich erheben
5. Bewertung in Bandbreiten statt Klassen, damit eine Aggregation möglich wird
6. Aggregationsmodell aufsetzen und der Risikotragfähigkeit gegenüberstellen
7. Maßnahmen mit Verantwortlichen und Fristen hinterlegen und nachverfolgen
8. Berichtsformate und Meldeschwellen festlegen, danach den Turnus in Betrieb nehmen

Abgrenzung zum internen Kontrollsystem

Das RMS erkennt und bewertet Risiken, das IKS begrenzt sie durch Kontrollen im Prozess. Beide greifen ineinander: Die Wirksamkeit der Kontrollen ist genau der Unterschied zwischen Brutto- und Nettorisiko. Werden RMS und IKS getrennt aufgebaut, entstehen doppelte Erhebungen und widersprüchliche Aussagen gegenüber Aufsichtsrat und Prüfer.

Siehe auch: Système de contrôle interne · Risikoaggregation · Gestion des risques

Grundlagen

Risikomanagementprozess

Der Risikomanagementprozess ist der wiederkehrende Regelkreis aus Identifikation, Analyse, Bewertung, Steuerung sowie Überwachung und Berichterstattung. ISO 31000 ergänzt ihn um Kommunikation und Konsultation als prozessbegleitende Elemente sowie um die Festlegung des Anwendungsbereichs zu Beginn jedes Durchlaufs.

Die Phasen im Detail

Turnus und anlassbezogene Auslöser

Ein jährlicher Durchlauf genügt der Anforderung einer laufenden Überwachung nicht. Bewährt hat sich die Kombination aus einer jährlichen Vollerhebung, einer quartalsweisen Aktualisierung der wesentlichen Risiken und definierten Ad-hoc-Auslösern. Als Auslöser gelten typischerweise: Überschreitung eines Frühwarnindikators, Eintritt eines wesentlichen Schadens, Akquisition oder Markteintritt, neue regulatorische Anforderungen sowie der Verlust eines Groß­kunden oder Schlüssellieferanten.

Rollen je Phase

• Risikoeigner: identifiziert, bewertet und steuert die Risiken des eigenen Bereichs und verantwortet die Maßnahmen.
• Zentrales Risikomanagement: gibt Methodik und Skalen vor, konsolidiert, aggregiert, plausibilisiert und berichtet.
• Geschäftsleitung: entscheidet über Risikoappetit, wesentliche Maßnahmen und die Annahme von Restrisiken.
• Aufsichtsorgan: überwacht die Wirksamkeit des Systems und hinterfragt Methodik und Gesamtrisikoposition.
• Interne Revision: prüft unabhängig, ob der Prozess wie beschrieben abläuft.

Siehe auch: Gestion des risques · Three Lines Model

Grundlagen

Risikomatrix (Heatmap)

Die Risikomatrix stellt Risiken in einem Raster aus Eintrittswahrscheinlichkeit und Schadenshöhe dar und macht Handlungsprioritäten auf einen Blick sichtbar. Üblich sind 4×4- oder 5×5-Raster mit Ampelfarben. Sie ist ein Kommunikationsinstrument – für die Beurteilung bestandsgefährdender Entwicklungen reicht sie methodisch nicht aus.

Aufbau

Die Achsen sind nicht beliebig: Die Auswirkung wird in Geldeinheiten definiert, die Wahrscheinlichkeit auf eine einheitliche Bezugsperiode bezogen – in der Regel ein Geschäftsjahr. Ohne diese Festlegungen bewerten Bereiche unterschiedlich streng, und die Matrix vergleicht Unvergleichbares.

Skalen definieren

Die Schwellen sind unternehmensindividuell aus der Ergebnis- und Eigenkapitalgröße abzuleiten. Als Orientierung dient häufig, dass die höchste Klasse an der Grenze zur Bestandsgefährdung ansetzt – damit wird die Matrix anschlussfähig an die Risikotragfähigkeit.

Grenzen der Darstellung

• Keine Addition möglich: Klassen sind ordinalskaliert. Zwanzig Risiken in der gelben Zone können in Summe existenzbedrohend sein, ohne dass die Matrix das zeigt.
• Erwartungswertfalle: Ein seltenes Risiko mit extremer Schadenshöhe landet in derselben Zelle wie ein häufiges mit geringem Schaden – die Steuerungskonsequenz ist eine völlig andere.
• Scheingenauigkeit: Die Positionierung suggeriert Präzision, beruht aber auf Klasseneinordnungen mit breiten Intervallen.
• Korrelationen unsichtbar: Risiken, die gemeinsam eintreten, erscheinen als unabhängige Punkte.

Die Risikomatrix bleibt als Kommunikationsformat für Gremien wertvoll. Für die Beurteilung nach IDW PS 340 n.F. muss sie jedoch um eine quantitative Aggregation ergänzt werden – sie ersetzt diese nicht.

Häufige Fragen

Siehe auch: Risikobewertung · Risikoaggregation · Risiko

Grundlagen

Three Lines Model

Das Three Lines Model des Institute of Internal Auditors ordnet Verantwortlichkeiten drei Ebenen zu: den operativen Bereichen, den überwachenden Funktionen wie Risikomanagement und Compliance sowie der unabhängigen Internen Revision. Es beantwortet die Frage, wer Risiken eingeht, wer den Rahmen setzt und wer beides unabhängig prüft.

Das Modell

Die drei Linien

Die erste Linie umfasst alle Bereiche, die im Tagesgeschäft Risiken eingehen: Vertrieb, Produktion, Einkauf, IT. Sie ist für die Risiken ihres Verantwortungsbereichs zuständig und führt die Kontrollen aus. Die zweite Linie gibt Methodik, Skalen und Rahmen vor, unterstützt die erste Linie fachlich und überwacht, ob der Rahmen eingehalten wird – ohne die Verantwortung zu übernehmen. Die dritte Linie prüft unabhängig, ob die ersten beiden Linien wirksam arbeiten, und berichtet direkt an Geschäftsleitung und Aufsichtsorgan.

Die frühere Bezeichnung „Three Lines of Defense" wurde 2020 bewusst aufgegeben. Der Verteidigungsbegriff hatte die Wahrnehmung geprägt, Risikomanagement sei reine Abwehr; das aktualisierte Modell betont stattdessen den Beitrag zur Wertschöpfung und zur Erreichung der Unternehmensziele.

Typische Konstruktionsfehler

• Vermischung der Linien: Wenn die zweite Linie Risiken selbst bewertet und Maßnahmen umsetzt, übernimmt sie die Verantwortung der ersten – und kann sie nicht mehr überwachen.
• Revision ohne Unabhängigkeit: Berichtet die Interne Revision an den Bereich, den sie prüft, ist die dritte Linie faktisch nicht vorhanden.
• Leere zweite Linie: Eine Compliance-Funktion ohne Ressourcen und Weisungsrechte erzeugt Dokumentation, aber keine Wirkung.
• Überbesetzte zweite Linie: Parallel arbeitende Funktionen für Risiko, Compliance, IKS, Datenschutz und Informationssicherheit erheben dieselben Prozesse mehrfach – der Ansatzpunkt für integriertes GRC.

Siehe auch: Système de contrôle interne · Compliance-Management-System · Risikomanagementsystem

Grundlagen

Risikostrategie

Die Risikostrategie leitet sich aus der Unternehmensstrategie ab und legt fest, welche Risiken das Unternehmen bewusst eingeht, welche es begrenzt und welche es vermeidet. Sie konkretisiert den Risikoappetit in Limiten je Risikokategorie und bildet den Maßstab, an dem operative Entscheidungen gemessen werden.

Was hineingehört

• Ableitung aus der Unternehmensstrategie: Welche Ziele sollen geschützt werden?
• Risikoappetit je Kategorie, möglichst quantitativ formuliert
• Limite und Schwellenwerte, bei deren Überschreitung eskaliert wird
• Grundsatzentscheidungen zur Risikoübertragung: Versicherungsstrategie, Selbstbehalte, Vertragsklauseln
• Bewusst akzeptierte Risiken mit Begründung – das ist der Teil, der im Haftungsfall zählt

Praxis

Eine Risikostrategie, die nur allgemeine Formulierungen enthält („Wir gehen verantwortungsvoll mit Risiken um"), erfüllt ihren Zweck nicht. Belastbar wird sie erst durch Zahlen: maximal akzeptierte Ergebnisschwankung, Mindestliquiditätsreserve, Obergrenze für Klumpenrisiken bei Kunden und Lieferanten. Sie wird vom Leitungsorgan verabschiedet und mindestens jährlich überprüft.

Siehe auch: Risikoappetit · Risikotragfähigkeit · Risikopolitik

Grundlagen

Risikopolitik und Risikohandbuch

Die Risikopolitik beschreibt die verbindlichen Grundsätze im Umgang mit Risiken. Sie wird in der Regel als Risikohandbuch dokumentiert und ist die schriftliche Grundlage, auf die sich Abschlussprüfer und Aufsichtsrat bei der Beurteilung des Risikomanagementsystems stützen.

Inhalt des Risikohandbuchs

Das Handbuch sollte kurz und benutzbar sein. Fünfzig Seiten, die niemand liest, schaffen weniger Sicherheit als fünfzehn Seiten, nach denen tatsächlich gearbeitet wird.

Siehe auch: Risikostrategie · Risikomanagementsystem

Grundlagen

Risikokultur

Risikokultur beschreibt die gelebten Werte und Verhaltensmuster im Umgang mit Risiken – ob schlechte Nachrichten offen angesprochen oder aus Sorge vor Konsequenzen zurückgehalten werden. Sie entscheidet über die Qualität der Risikoidentifikation und damit über den Wert des gesamten Systems.

Woran man sie erkennt

• Wie reagiert die Führung, wenn jemand ein unangenehmes Risiko meldet?
• Werden Zielvorgaben so gesetzt, dass sie nur unter Inkaufnahme von Regelverstößen erreichbar sind?
• Werden eingetretene Schäden aufgearbeitet oder personalisiert?
• Sind Risikodiskussionen Teil der Entscheidungsvorlagen oder ein separater Prozess?

Ein technisch ausgereiftes System liefert wertlose Daten, wenn Mitarbeitende negative Entwicklungen nicht melden. Der Hebel liegt deshalb häufig nicht in der Methodik, sondern im Verhalten der ersten beiden Führungsebenen.

Siehe auch: Compliance-Management-System · Risikoidentifikation

Grundlagen

Risikoappetit

Der Risikoappetit drückt aus, wie viel Risiko ein Unternehmen zur Erreichung seiner Ziele bewusst eingehen will. Er ist eine strategische Setzung des Leitungsorgans und wird idealerweise quantitativ formuliert – als maximal akzeptierte Ergebnisschwankung, als Limit je Kategorie oder als Mindestabstand zur Bestandsgefährdung.

Formulierungsbeispiele

Siehe auch: Risikotoleranz · Risikostrategie

Grundlagen

Risikotragfähigkeit

Die Risikotragfähigkeit gibt an, wie viel Risiko ein Unternehmen aus eigener Kraft verkraften kann, ohne seinen Bestand zu gefährden. Der Vergleich von aggregiertem Gesamtrisiko und Risikotragfähigkeit ist der zentrale Test auf bestandsgefährdende Entwicklungen im Sinne des IDW PS 340 n.F.

Ermittlung

Für die Beurteilung gilt: Übersteigt das aggregierte Risiko im gewählten Konfidenzniveau das Deckungspotenzial, liegt eine bestandsgefährdende Entwicklung vor – mit unmittelbarer Handlungspflicht der Geschäftsleitung.

Praktische Umsetzung

Für die Beurteilung werden zwei Horizonte getrennt betrachtet. Kurzfristig zählt die Liquidität: Welche Mittel stehen innerhalb weniger Wochen zur Verfügung, um einen Schadensfall abzufedern? Mittelfristig zählt die Eigenkapitalausstattung: Welche Verluste kann die Bilanz absorbieren, ohne Covenants zu verletzen oder das Rating zu gefährden?

Beide Horizonte werden dem aggregierten Risiko gegenübergestellt. Das Ergebnis ist eine der wenigen Kennzahlen, die Geschäftsleitung, Aufsichtsrat und Banken gleichermaßen interessiert – und die Grundlage für die Entscheidung, ob Risiken reduziert, übertragen oder durch zusätzliche Reserven unterlegt werden müssen.

Siehe auch: Risikodeckungspotenzial · Bestandsgefährdende Entwicklung · Risikoaggregation

Grundlagen

Risikotoleranz

Die Risikotoleranz beschreibt die zulässige Bandbreite um den Risikoappetit herum – ab wann eine Überschreitung noch akzeptiert wird und ab wann eskaliert werden muss. Während der Risikoappetit strategisch formuliert ist, ist die Toleranz operativ: Sie wird in Limiten, Schwellenwerten und Ampelgrenzen ausgedrückt.

In der Praxis werden beide Begriffe häufig synonym verwendet. Die Trennung ist dennoch nützlich: Der Appetit beantwortet, wie viel Risiko gewollt ist, die Toleranz, welche Abweichung davon im Tagesgeschäft ohne Eskalation zulässig bleibt. Ohne definierte Toleranz endet jede Grenzwertüberschreitung entweder in einer Sondersitzung oder in Gleichgültigkeit.

Siehe auch: Risikoappetit · Frühwarnindikator

Grundlagen

Risikoinventar

Das Risikoinventar ist die strukturierte Gesamtschau aller identifizierten Risiken, gegliedert nach Kategorien und Organisationseinheiten. Es ist das Ergebnis der Risikoidentifikation und der Ausgangspunkt für Bewertung, Steuerung und Aggregation.

Qualitätsmerkmale

• Vollständigkeit: alle wesentlichen Bereiche und Risikoarten abgedeckt, einschließlich strategischer und externer Risiken
• Überschneidungsfreiheit: dasselbe Risiko taucht nicht in drei Bereichen unterschiedlich benannt auf
• Angemessene Granularität: 40 bis 120 Risiken sind in mittelständischen Strukturen üblich; 400 Einzelrisiken sind nicht mehr steuerbar
• Aktualität: jedes Risiko trägt das Datum der letzten Überprüfung

Pflege über die Zeit

Ein Inventar verliert seinen Wert schneller, als es entsteht. Zwei Mechanismen halten es aktuell: die turnusmäßige Bestätigung durch die Risikoeigner, bei der jedes Risiko entweder bestätigt, geändert oder mit Begründung geschlossen wird, und die anlassbezogene Ergänzung bei neuen Geschäftsfeldern, Akquisitionen oder regulatorischen Änderungen.

Ebenso wichtig wie das Hinzufügen ist das Schließen: Risiken, die nicht mehr bestehen, gehören dokumentiert beendet, nicht stillschweigend gelöscht. Die Historie geschlossener Risiken ist eine der wenigen Quellen, aus der sich später Erfahrungswerte für Bewertungen gewinnen lassen.

Siehe auch: Risikoregister · Risikokategorien

Grundlagen

Risikoregister

Das Risikoregister ist die operative Datenbasis des Risikomanagements. Je Risiko werden Beschreibung, Ursache, Kategorie, Risikoeigner, Bewertung, Maßnahmen und Status geführt – es ist damit das Arbeitsinstrument, während das Risikoinventar die Gesamtschau darstellt.

Datenfelder

Excel-basierte Register scheitern typischerweise an drei Punkten: Versionskonflikte bei paralleler Bearbeitung, fehlende Historie der Bewertungsänderungen und keine Rechtetrennung zwischen Bereichen.

Siehe auch: Audit Trail · Risikoinventar

Grundlagen

Risikoidentifikation

Die Risikoidentifikation ist der erste Schritt im Regelkreis und zielt auf die möglichst vollständige Erfassung aller relevanten Risiken. Ihre Qualität bestimmt alles Weitere: Ein nicht identifiziertes Risiko wird weder bewertet noch gesteuert noch berichtet.

Methoden im Vergleich

Der häufigste Fehler

Workshops reproduzieren die Schadensfälle der Vergangenheit. Strategische Risiken – Geschäftsmodell, Technologiewandel, Regulierung, Abhängigkeiten – fehlen dann vollständig, obwohl sie die größte Wirkung haben. Gegenmittel ist ein strukturierter Durchgang entlang von Wertschöpfungskette, Stakeholdern und Zielen, ergänzt um eine bewusste Frage nach dem, was das Geschäftsmodell grundsätzlich infrage stellen könnte.

Quellen, die häufig übersehen werden

• Protokolle von Geschäftsleitungs- und Aufsichtsratssitzungen – dort sind die strategischen Sorgen bereits formuliert
• Reklamations-, Gewährleistungs- und Kulanzdaten aus dem Qualitätsmanagement
• Auditberichte, Zertifizierungsfeststellungen und Prüfungsbriefe des Abschlussprüfers
• Versicherungsverträge: Was versichert wurde, ist als Risiko bereits identifiziert
• Vertragsklauseln mit Haftungs-, Pönale- und Verfügbarkeitszusagen
• Meldungen aus dem Hinweisgebersystem und dem Incident Management

Ein Durchgang durch diese sechs Quellen liefert erfahrungsgemäß ein Drittel des späteren Inventars, bevor der erste Workshop stattgefunden hat – und verhindert, dass das Inventar nur abbildet, woran die Teilnehmenden am Workshop-Tag gedacht haben.

Siehe auch: Risikoinventar · Delphi-Methode

Grundlagen

Analyse des risques

In der Risikoanalyse werden Ursachen, Wirkungszusammenhänge und mögliche Auswirkungen eines Risikos untersucht. Sie beantwortet, wodurch ein Risiko entsteht, wie es sich ausbreitet und welche Schadenshöhe in welchen Szenarien realistisch ist – und liefert damit die Grundlage für Bewertung und Maßnahmenwahl.

Analysetiefe festlegen

Nicht jedes Risiko rechtfertigt eine vertiefte Analyse. Bewährt ist eine Staffelung: Risiken mit potenziell bestandsgefährdender Wirkung werden mit formalen Methoden untersucht – Fehlerbaum, Bow-Tie, FMEA –, Risiken mittlerer Bedeutung über strukturierte Expertenschätzung, Nebenrisiken nur qualitativ eingeordnet.

Siehe auch: Bow-Tie-Analyse · FMEA · Risikobewertung

Grundlagen

Risikosteuerung

Risikosteuerung umfasst alle Maßnahmen, mit denen ein Risiko beeinflusst wird. Klassisch werden vier Strategien unterschieden: vermeiden, vermindern, übertragen und selbst tragen. Jede Maßnahme braucht einen Verantwortlichen, eine Frist und eine Wirksamkeitskontrolle.

Die vier Strategien

Die bewusste Selbsttragung ist eine legitime Entscheidung – sie muss aber dokumentiert und mit der Risikotragfähigkeit abgeglichen sein. Undokumentiert ist sie im Haftungsfall nicht von Untätigkeit zu unterscheiden.

Was eine belastbare Maßnahme ausmacht

• Wirkungsrichtung benannt: Senkt die Maßnahme die Eintrittswahrscheinlichkeit oder die Schadenshöhe? Beides zugleich ist selten.
• Verantwortlicher mit Entscheidungsbefugnis: nicht die Person, die nur berichtet
• Frist mit Zwischenschritten: Maßnahmen über zwölf Monate ohne Meilensteine verfallen still
• Erkennbares Ergebnis: Woran lässt sich feststellen, dass die Maßnahme wirkt?
• Kosten und Nutzen abgewogen: Eine Maßnahme, die teurer ist als der erwartete Schaden, ist keine Risikosteuerung, sondern Verschwendung

Die Wirksamkeitskontrolle ist der Schritt, der am häufigsten fehlt. Ohne sie bleibt offen, ob das Nettorisiko tatsächlich gesunken ist – und die Nettobewertung im Risikoregister ist dann eine Annahme, keine Feststellung.

Siehe auch: Maßnahmenmanagement · Risikokosten

Grundlagen

Risikoüberwachung

Die Risikoüberwachung prüft laufend, ob sich Risikolage und Wirksamkeit der Maßnahmen verändert haben. Sie stützt sich auf Frühwarnindikatoren, Soll-Ist-Vergleiche und die turnusmäßige Aktualisierung des Inventars – und ist der Unterschied zwischen einem Stichtagsbild und einem funktionierenden Früherkennungssystem.

Zu unterscheiden ist die prozessbegleitende Überwachung durch die zweite Linie von der unabhängigen Prüfung durch die Interne Revision als dritte Linie. Beide sind erforderlich: Die zweite Linie erkennt Veränderungen früh, die dritte beurteilt, ob das System insgesamt funktioniert.

Siehe auch: Three Lines Model · Key Risk Indicator

Grundlagen

Risikoreporting

Das Risikoreporting fasst die Risikolage adressatengerecht zusammen – für Geschäftsführung, Aufsichtsrat und externe Berichtsempfänger. Ein belastbarer Bericht zeigt nicht nur Einzelrisiken, sondern die aggregierte Gesamtrisikoposition, ihre Veränderung und den Status der Maßnahmen.

Adressatengerechte Verdichtung

Siehe auch: Lagebericht · Risiko-Dashboard

Grundlagen

Risikoeigner (Risk Owner)

Der Risikoeigner verantwortet Bewertung, Steuerung und Überwachung eines konkreten Risikos. Das ist in der Regel die Führungskraft des betroffenen Bereichs – nicht der Risikomanager, der die Methodik bereitstellt und konsolidiert.

Die saubere Zuordnung ist Voraussetzung dafür, dass Maßnahmen tatsächlich umgesetzt werden, und wird von Prüfern regelmäßig abgefragt. Ein Risiko ohne benannten Eigner ist ein Risiko ohne Verantwortlichen – und genau das ist der Befund, der im Prüfungsbericht landet. Bei bereichsübergreifenden Risiken wird ein federführender Eigner benannt, nicht mehrere gleichrangige.

Siehe auch: Three Lines Model · Risikoregister

Grundlagen

Risikokategorien

Risikokategorien strukturieren das Inventar und machen Risiken über Bereiche hinweg vergleichbar. Eine konsistente Systematik ist Voraussetzung für Aggregation, Auswertung und Berichterstattung – und sie sollte an der Ursache ansetzen, nicht an der betroffenen Abteilung.

Bewährt hat sich eine zweistufige Systematik mit fünf bis acht Hauptkategorien und je drei bis sechs Unterkategorien. Wichtig ist die Trennschärfe: Ein Cyberangriff ist ein IT-Risiko, sein Ausfallschaden ein operatives Risiko und die Meldepflichtverletzung ein Compliance-Risiko. Ohne klare Zuordnungsregel im Risikohandbuch wird dasselbe Ereignis in verschiedenen Bereichen unterschiedlich einsortiert.

Siehe auch: Risikoinventar · Risiko

Grundlagen

Bruttorisiko und Nettorisiko

Das Bruttorisiko beschreibt ein Risiko vor Berücksichtigung bestehender Maßnahmen und Kontrollen, das Nettorisiko die verbleibende Größe danach. Die Differenz ist der messbare Beitrag des internen Kontrollsystems.

Warum beide Größen nötig sind

• Die Bruttobewertung zeigt, welche Risiken ohne Kontrollen existenzgefährdend wären – und begründet damit Investitionen in das IKS.
• Die Nettobewertung ist maßgeblich für Aggregation und Vergleich mit der Risikotragfähigkeit.
• Die Differenz macht die Abhängigkeit von einzelnen Kontrollen sichtbar: Fällt eine Schlüsselkontrolle aus, springt das Nettorisiko auf Bruttoniveau.

Voraussetzung: Die Wirksamkeit der Kontrollen muss nachgewiesen sein. Wird sie nur unterstellt, ist die Nettobewertung Wunschdenken – ein Punkt, den Prüfer gezielt hinterfragen.

Siehe auch: Système de contrôle interne · Kontrollwirksamkeit

Grundlagen

Eintrittswahrscheinlichkeit

Die Eintrittswahrscheinlichkeit gibt an, wie wahrscheinlich ein Risiko innerhalb eines definierten Zeitraums eintritt – üblicherweise bezogen auf ein Geschäftsjahr. Ohne einheitliche Bezugsperiode sind Bewertungen verschiedener Bereiche nicht vergleichbar.

Zwei Fehlerquellen treten regelmäßig auf. Erstens die unklare Bezugsperiode: „Tritt alle fünf Jahre einmal auf" entspricht 20 Prozent pro Jahr – wird dieser Umrechnungsschritt nicht verbindlich geregelt, entstehen Bewertungsunterschiede um den Faktor fünf. Zweitens die Verwechslung von Häufigkeit und Wahrscheinlichkeit bei Risiken, die mehrfach im Jahr eintreten können; dort ist mit einer erwarteten Häufigkeit und einer Schadenshöhe je Ereignis zu rechnen.

Siehe auch: Schadenshöhe · Risikobewertung

Grundlagen

Schadenshöhe

Die Schadenshöhe beziffert die finanzielle Auswirkung eines eingetretenen Risikos – als Effekt auf EBIT, Cashflow oder Eigenkapital. Für die Aggregation ist nicht ein einzelner Wert relevant, sondern eine Bandbreite mit Minimum, wahrscheinlichstem Wert und Maximum.

Die Bezugsgröße ist verbindlich festzulegen. Ein Risiko, das den Umsatz um 5 Mio. Euro senkt, belastet das EBIT je nach Deckungsbeitrag um einen deutlich kleineren Betrag – werden Umsatz- und Ergebniswirkungen gemischt, ist die Gesamtaussage wertlos. Ebenfalls zu regeln: ob Folgekosten wie Vertragsstrafen, Reputationsschäden oder erhöhte Finanzierungskosten einzubeziehen sind.

Siehe auch: Eintrittswahrscheinlichkeit · Dreiecksverteilung

Grundlagen

Chancenmanagement

Chancenmanagement erfasst systematisch positive Planabweichungen und steuert sie mit denselben Methoden wie Risiken. Da Chancen und Risiken denselben Ursachen entspringen, ist die integrierte Betrachtung methodisch konsequent – und sie erhöht die Akzeptanz im Unternehmen deutlich.

Im Lagebericht verlangt § 289 HGB ohnehin die Darstellung der wesentlichen Chancen et Risiken. Wer beides getrennt erhebt, produziert doppelten Aufwand; wer Chancen ganz weglässt, erfüllt die Berichtsanforderung nicht und verschenkt zugleich das stärkste Argument gegenüber den Fachbereichen: Risikomanagement ist dann nicht nur Kontrolle, sondern auch systematische Suche nach Potenzialen.

Siehe auch: Lagebericht · Bandbreitenplanung

Grundlagen

Risikofrüherkennungssystem

Ein Risikofrüherkennungssystem soll bestandsgefährdende Entwicklungen so früh erkennen, dass noch Gegenmaßnahmen möglich sind. Für Aktiengesellschaften ist es über § 91 Abs. 2 AktG gesetzlich gefordert und bei börsennotierten Gesellschaften Gegenstand der Abschlussprüfung nach § 317 Abs. 4 HGB.

Bestandteile

1. Festlegung der zu überwachenden Risikofelder, abgeleitet aus dem Geschäftsmodell
2. Frühwarnindikatoren je Risikofeld mit definierter Messfrequenz
3. Schwellenwerte, deren Überschreitung eine Meldung auslöst
4. Verbindliche Eskalationswege bis zur Geschäftsleitung
5. Aggregation zur Gesamtrisikoposition und Abgleich mit der Tragfähigkeit
6. Dokumentation aller Schritte als Nachweis gegenüber Prüfer und Aufsichtsorgan

Der entscheidende Unterschied zum allgemeinen Risikomanagement liegt im Zeitbezug: Gefordert ist nicht die Erfassung, sondern die rechtzeitige Erkennung – also ein Vorlauf, der Handlung noch möglich macht.

Siehe auch: § 91 Abs. 2 AktG · Bestandsgefährdende Entwicklung · Frühwarnindikator

Grundlagen

Frühwarnindikator

Ein Frühwarnindikator ist eine messbare Größe, die auf eine sich anbahnende Risikoentwicklung hinweist, bevor der Schaden eintritt. Entscheidend sind ein definierter Schwellenwert, eine festgelegte Messfrequenz und ein hinterlegter Eskalationspfad.

Beispiele je Risikofeld

Fünf bis fünfzehn gut gewählte Indikatoren mit klaren Schwellen wirken mehr als fünfzig, die niemand auswertet.

Siehe auch: Key Risk Indicator · Risikofrüherkennungssystem

Methoden

Risikoaggregation

Die Risikoaggregation führt alle Einzelrisiken zu einer Gesamtrisikoposition zusammen und beantwortet die entscheidende Frage: Kann das Unternehmen sein Gesamtrisiko tragen, ohne in eine bestandsgefährdende Lage zu geraten? Seit der Neufassung des IDW PS 340 ist sie ausdrücklicher Prüfungsgegenstand – und der Punkt, an dem die meisten gewachsenen Risikomanagementsysteme scheitern.

Warum man Risiken nicht addieren kann

Die naheliegende Vorgehensweise – alle Schadenshöhen summieren – führt systematisch zu falschen Ergebnissen. Der Grund liegt in der Wahrscheinlichkeit: Ein Risiko mit 10 Mio. Euro Schaden und 5 Prozent Eintrittswahrscheinlichkeit belastet die Planung anders als eines mit 10 Mio. Euro und 60 Prozent. Werden beide addiert, entsteht ein Maximalschaden, der praktisch nie eintritt und deshalb keine Steuerungsrelevanz hat.

Umgekehrt führt die Summe der Erwartungswerte zur Unterschätzung: Sie beschreibt den Durchschnittsfall, nicht das schlechte Szenario, das über den Fortbestand entscheidet. Hinzu kommen Korrelationen – Konjunktureinbruch, Forderungsausfall und Auslastungsrückgang treten gemeinsam auf. Wer sie ignoriert, unterschätzt das Gesamtrisiko regelmäßig deutlich.

Die Aggregation ist deshalb keine Rechenübung, sondern eine Simulation: Sie beantwortet, wie wahrscheinlich welche Ergebnis- und Liquiditätslage ist, wenn alle Risiken gleichzeitig wirken können.

Verfahren im Vergleich

Das Ergebnis lesen

Aus dieser Verteilung lassen sich die Kennzahlen ableiten, die für die Steuerung tatsächlich gebraucht werden:

Vorgehen in sechs Schritten

1. Planung als Basis: Die Aggregation setzt auf der GuV- und Liquiditätsplanung auf, nicht auf einer separaten Risikoliste.
2. Risiken den Planpositionen zuordnen: Jedes wesentliche Risiko wirkt auf eine konkrete Position – Umsatz, Materialaufwand, Personalaufwand, Investitionen.
3. Bandbreiten statt Klassen: Je Risiko Minimum, wahrscheinlichster Wert und Maximum sowie die Eintrittswahrscheinlichkeit erheben.
4. Verteilungen wählen und begründen: Für die meisten Fälle genügt die Dreiecksverteilung; seltene Großschäden werden über eine Kombination aus Eintrittswahrscheinlichkeit und Schadensverteilung modelliert.
5. Korrelationen festlegen: Zumindest die offensichtlichen Zusammenhänge zwischen konjunkturabhängigen Risiken abbilden.
6. Simulieren und gegenüberstellen: Ergebnisverteilung berechnen und dem Risikodeckungspotenzial gegenüberstellen; Ergebnis, Annahmen und Modell dokumentieren.

Typische Fehler

• Aggregation ohne Planungsbezug: Wird losgelöst von der Unternehmensplanung gerechnet, lässt sich das Ergebnis weder plausibilisieren noch für Entscheidungen nutzen.
• Alle Risiken einzeln modellieren: Der Aufwand explodiert ohne Erkenntnisgewinn. In der Regel bestimmen zehn bis zwanzig Risiken die Verteilung.
• Korrelationen auf null setzen: Das ist eine Annahme, keine Neutralität – und sie führt zur systematischen Unterschätzung.
• Modell nicht dokumentiert: Ohne nachvollziehbare Annahmen ist das Ergebnis im Prüfungsgespräch wertlos.

Rechenbeispiel: warum die Summe täuscht

Ein Unternehmen führt fünf wesentliche Risiken. Die folgende Tabelle zeigt, wie unterschiedlich die Gesamtaussage ausfällt, je nachdem welches Verfahren gewählt wird.

• Addition der Maximalschäden: 34,0 Mio. € – ein Szenario, in dem alle fünf Risiken gleichzeitig maximal eintreten. Rechnerisch möglich, praktisch nahezu ausgeschlossen, als Steuerungsgröße unbrauchbar.
• Summe der Erwartungswerte: 5,3 Mio. € – der Durchschnittsfall. Er unterschlägt, dass in ungünstigen Konstellationen ein Vielfaches eintreten kann.
• Simulation: liefert die Verteilung. Typischerweise liegt der Value at Risk bei 95 % deutlich über dem Erwartungswert und weit unter der Maximalsumme – und genau dieser Wert ist mit dem Risikodeckungspotenzial zu vergleichen.

Die Aussage lautet dann nicht mehr „wir haben fünf wesentliche Risiken", sondern: „In 5 von 100 Jahren belasten die Risiken das Ergebnis um mehr als X Mio. Euro; unser Deckungspotenzial beträgt Y Mio. Euro." Das ist eine Aussage, mit der ein Aufsichtsrat arbeiten kann.

Anforderungen an die Systemunterstützung

• Verknüpfung der Risiken mit Planpositionen statt isolierter Risikoliste
• Hinterlegung von Bandbreiten und Verteilungstypen je Risiko
• Abbildung gemeinsamer Treiber für korrelierte Risiken
• Nachvollziehbare Historie aller Annahmen und Bewertungsänderungen
• Reproduzierbarkeit: dieselben Eingaben müssen dasselbe Ergebnis liefern
• Exportfähige Dokumentation für Prüfer und Aufsichtsorgan

Häufige Fragen

Siehe auch: Monte-Carlo-Simulation · Risikomatrix · Risikomanagementsystem

Methoden

Monte-Carlo-Simulation

Die Monte-Carlo-Simulation berechnet die Gesamtrisikoposition, indem sie den Planungszeitraum viele tausend Mal mit zufällig gezogenen Ausprägungen aller Risiken durchrechnet. Das Ergebnis ist keine einzelne Zahl, sondern eine Verteilung möglicher Unternehmensergebnisse – die Grundlage für Value at Risk, Eigenkapitalbedarf und die Beurteilung der Bestandsgefährdung.

So funktioniert sie

In jedem Durchlauf zieht das Modell für jedes Risiko einen Zufallswert aus der hinterlegten Verteilung – etwa einen Umsatzrückgang von 4,2 Prozent und einen Materialpreisanstieg von 11 Prozent – und rechnet die vollständige Planung mit diesen Werten durch. Das Ergebnis wird gespeichert, der Vorgang wiederholt. Nach zehntausenden Läufen liegt eine Häufigkeitsverteilung aller möglichen Ergebnisse vor, aus der sich jede gewünschte Wahrscheinlichkeitsaussage ablesen lässt.

Ein einzelner Lauf sagt nichts aus – er ist eines von vielen denkbaren Szenarien. Erst die Verteilung über alle Läufe beantwortet, wie wahrscheinlich ein negatives EBIT, eine Covenant-Verletzung oder ein Liquiditätsengpass ist.

Welche Eingangsdaten nötig sind

• Planungsmodell: GuV, Bilanz und Liquidität in konsistenter Verknüpfung – die Simulation rechnet dieses Modell wiederholt durch.
• Bandbreiten je Risiko: Minimum, wahrscheinlichster Wert, Maximum; bei Ereignisrisiken zusätzlich die Eintrittswahrscheinlichkeit.
• Verteilungstyp: Dreiecks-, PERT- oder Normalverteilung für kontinuierliche Größen, Binomial- oder Poisson-Ansätze für Ereignisse.
• Korrelationen: mindestens die konjunkturgetriebenen Zusammenhänge zwischen Absatz, Preis und Forderungsausfall.

Grenzen

Die Simulation ist nur so gut wie ihre Annahmen. Sie erzeugt keine Information, sondern macht vorhandene Einschätzungen rechenbar. Zwei Punkte sind deshalb zu beachten: Die Qualität der Bandbreiten entscheidet über das Ergebnis, und Risiken, die nicht im Modell sind, tauchen auch in der Verteilung nicht auf. Die Simulation ersetzt damit weder die sorgfältige Identifikation noch die fachliche Diskussion der Annahmen – sie zwingt beides nur zur Präzision.

Siehe auch: Risikoaggregation · Risikobewertung

Methoden

Risikobewertung

Die Risikobewertung ordnet jedem Risiko eine Eintrittswahrscheinlichkeit und eine Auswirkung zu – entweder qualitativ über Klassen oder quantitativ über Bandbreiten und Verteilungen. Die Wahl zwischen beiden Wegen ist keine Geschmacksfrage: Nur quantitative Bewertungen lassen sich aggregieren und der Risikotragfähigkeit gegenüberstellen.

Qualitativ oder quantitativ

In der Praxis bewährt sich ein zweistufiges Vorgehen: Alle Risiken werden zunächst qualitativ eingeordnet, die wesentlichen anschließend quantitativ in Bandbreiten bewertet. Damit bleibt der Aufwand beherrschbar, und die Gesamtaussage wird trotzdem belastbar.

Brutto und netto

Die Bruttobewertung betrachtet das Risiko ohne die bestehenden Maßnahmen und Kontrollen, die Nettobewertung mit ihnen. Die Differenz ist der messbare Beitrag des internen Kontrollsystems und zugleich das stärkste Argument in der Diskussion mit dem Aufsichtsorgan über Investitionen in Kontrollen. Für Aggregation und Tragfähigkeitsvergleich ist die Nettobewertung maßgeblich – vorausgesetzt, die Wirksamkeit der Kontrollen ist tatsächlich nachgewiesen und nicht nur unterstellt.

Verzerrungen vermeiden

• Verfügbarkeitsverzerrung: Kürzlich eingetretene Ereignisse werden überschätzt, lange zurückliegende unterschätzt. Gegenmittel: strukturierte Checklisten statt freier Assoziation.
• Übermäßige Zuversicht: Bandbreiten werden zu eng geschätzt. Gegenmittel: Extremwerte zuerst abfragen, erst danach den wahrscheinlichsten Wert.
• Ankereffekt: Die erste genannte Zahl prägt alle weiteren Schätzungen. Gegenmittel: unabhängige Einzelschätzungen vor der Gruppendiskussion.
• Zielkonflikt: Wer für ein Risiko verantwortlich ist, bewertet es tendenziell milder. Gegenmittel: Plausibilisierung durch die zweite Linie.

Siehe auch: Risikomatrix · Risikoaggregation · Monte-Carlo-Simulation

Methoden

Value at Risk (VaR)

Der Value at Risk beziffert den Verlust, der innerhalb eines bestimmten Zeitraums mit einer festgelegten Wahrscheinlichkeit nicht überschritten wird – etwa 8 Mio. Euro bei 95 % Konfidenz und einem Jahr Betrachtungszeitraum. Er verdichtet eine ganze Verteilung auf eine Zahl und ist damit das gebräuchlichste Risikomaß.

Richtig lesen

Ein VaR von 8 Mio. Euro bei 95 % bedeutet: In 95 von 100 Szenarien fällt der Verlust geringer aus, in 5 von 100 höher. Die Aussage ist ausdrücklich nicht, dass der maximale Verlust 8 Mio. Euro beträgt – über die Höhe der Verluste jenseits der Schwelle sagt der VaR nichts. Genau diese Lücke schließt der Expected Shortfall.

Grenzen und typische Fehlanwendungen

Drei Punkte führen in der Praxis regelmäßig zu Fehlschlüssen. Erstens der Blick auf die Zahl ohne das Konfidenzniveau: Ein VaR ohne Angabe von Konfidenz und Zeitraum ist bedeutungslos. Zweitens die Interpretation als Maximalverlust – tatsächlich beschreibt der VaR die Schwelle, ab der es schlimmer wird, nicht wie viel schlimmer. Drittens die Addition von VaR-Werten verschiedener Bereiche: Der VaR ist nicht subadditiv, die Summe der Bereichs-VaR kann kleiner ausfallen als der Gesamt-VaR.

Für die Unternehmenssteuerung folgt daraus eine einfache Regel: Der VaR eignet sich als Kommunikationsgröße gegenüber Gremien und Banken, die Steuerungsentscheidung stützt sich zusätzlich auf den Expected Shortfall und auf die Wahrscheinlichkeit, definierte Schwellen wie Covenants oder Mindestliquidität zu verletzen.

Siehe auch: Expected Shortfall · Risikoaggregation

Methoden

Cash Flow at Risk (CFaR)

Der Cash Flow at Risk überträgt die Value-at-Risk-Logik auf den Zahlungsstrom: Er gibt an, um welchen Betrag der geplante Cashflow mit einer bestimmten Wahrscheinlichkeit unterschritten werden kann.

Für Industrie- und Handelsunternehmen ist er meist aussagekräftiger als der VaR auf Ergebnisbasis, weil nicht Marktwertschwankungen, sondern Liquiditätsengpässe die typische Insolvenzursache sind. In der Praxis wird er unmittelbar gegen die verfügbaren Liquiditätsreserven und Kreditlinien gehalten – das Ergebnis ist die belastbarste Antwort auf die Frage, wie lange das Unternehmen einen Stressfall durchhält.

Siehe auch: Value at Risk · Risikodeckungspotenzial

Methoden

Expected Shortfall

Der Expected Shortfall – auch Conditional Value at Risk – gibt den durchschnittlichen Verlust in genau den Fällen an, in denen der Value at Risk überschritten wird. Er beschreibt damit das Ausmaß der Extremszenarien, über die der VaR schweigt.

Methodisch hat er einen weiteren Vorteil: Er ist subadditiv, das heißt das Risiko eines Portfolios ist nie größer als die Summe der Einzelrisiken. Der VaR erfüllt diese Eigenschaft nicht, was bei der Zusammenführung von Teilportfolios zu paradoxen Ergebnissen führen kann. Die Bankenregulierung ist deshalb schrittweise vom VaR auf den Expected Shortfall umgestiegen.

Siehe auch: Value at Risk · Risikomaß

Methoden

Szenarioanalyse

Die Szenarioanalyse untersucht die Auswirkung konsistenter Zukunftsbilder auf Ergebnis, Liquidität und Bilanzkennzahlen. Sie eignet sich besonders für strategische Risiken, die sich einer statistischen Bewertung entziehen, und ist im Rahmen der Klimaberichterstattung nach CSRD ausdrücklich gefordert.

Aufbau eines Szenariosets

• Base Case: die verabschiedete Planung mit ihren Annahmen
• Downside: plausible Verschlechterung mehrerer Treiber gleichzeitig, konsistent hergeleitet
• Upside: die entsprechende Gegenrichtung, Grundlage des Chancenmanagements
• Extremszenario: unwahrscheinlich, aber existenzrelevant – Basis für den Stresstest

Wesentlich ist die innere Konsistenz: Ein Szenario mit Nachfrageeinbruch und gleichzeitig steigenden Absatzpreisen ist rechnerisch möglich, aber ökonomisch unplausibel und damit als Entscheidungsgrundlage unbrauchbar.

Siehe auch: Stresstest · Klimarisiken

Methoden

Sensitivitätsanalyse

Die Sensitivitätsanalyse misst, wie stark sich eine Zielgröße verändert, wenn eine einzelne Einflussgröße variiert wird – etwa das EBIT bei zehn Prozent höheren Rohstoffpreisen. Sie identifiziert die kritischen Stellhebel des Geschäftsmodells.

In der Praxis wird sie der aufwendigeren Simulation vorgeschaltet: Sie zeigt, welche fünf bis zehn Treiber das Ergebnis dominieren. Genau diese Treiber werden anschließend mit Bandbreiten hinterlegt und simuliert – alle übrigen können qualitativ behandelt werden, ohne die Gesamtaussage zu verfälschen.

Siehe auch: Monte-Carlo-Simulation · Bandbreitenplanung

Methoden

Stresstest

Ein Stresstest prüft die Widerstandsfähigkeit unter extremen, aber plausiblen Bedingungen – etwa einem Umsatzeinbruch von 30 Prozent bei gleichzeitigem Ausfall eines Hauptlieferanten. Er zielt auf die Frage, ab welchem Punkt Kapitaldienstfähigkeit oder Liquidität kippen.

Inverser Stresstest

Besonders aufschlussreich ist die Umkehrung der Fragestellung: Nicht „Was passiert bei Szenario X?", sondern „Welche Kombination von Ereignissen würde uns zahlungsunfähig machen?". Der inverse Stresstest deckt die tatsächlichen Bruchstellen des Geschäftsmodells auf und ist in der Bankenaufsicht etabliert. Für die Diskussion im Aufsichtsrat ist er meist wertvoller als jede Szenariotabelle.

Siehe auch: Szenarioanalyse · Bestandsgefährdende Entwicklung

Methoden

Bandbreitenplanung

Die Bandbreitenplanung ersetzt starre Planwerte durch Wertebereiche mit Minimum, wahrscheinlichstem Wert und Maximum. Sie macht Planungsunsicherheit explizit und verbindet Controlling und Risikomanagement in einem Arbeitsschritt.

Der praktische Vorteil ist erheblich: Die Bandbreiten sind zugleich die Inputgrößen der Risikosimulation. Wo Planung ohnehin in Szenarien gedacht wird, entfällt eine separate Risikoerhebung für die Planpositionen fast vollständig – die Fachbereiche liefern eine Information statt zweier, und Planung und Risikobericht widersprechen sich nicht mehr.

Siehe auch: Dreiecksverteilung · Risikoaggregation

Methoden

Dreiecksverteilung

Die Dreiecksverteilung beschreibt ein Risiko über drei Parameter: Minimum, wahrscheinlichster Wert und Maximum. Sie ist in der Risikosimulation die verbreitetste Verteilungsform, weil sich diese drei Werte auch ohne statistische Historie durch Experteneinschätzung belastbar bestimmen lassen.

Ihre Schwäche liegt in den harten Grenzen: Werte außerhalb des angegebenen Bereichs sind ausgeschlossen. Wo Extremwerte relevant sind, ist die PERT-Verteilung – eine geglättete Variante mit stärkerer Gewichtung des wahrscheinlichsten Werts – oder eine Kombination aus Eintrittswahrscheinlichkeit und separater Schadensverteilung die bessere Wahl.

Siehe auch: Verteilungsfunktion · Monte-Carlo-Simulation

Methoden

Verteilungsfunktion

Eine Verteilungsfunktion beschreibt, mit welcher Wahrscheinlichkeit ein Risiko welche Ausprägung annimmt. Die Wahl der Verteilung beeinflusst das Simulationsergebnis erheblich und sollte im Risikohandbuch begründet sein.

Siehe auch: Dreiecksverteilung · Standardabweichung

Methoden

Erwartungswert

Der Erwartungswert ist der mit den Eintrittswahrscheinlichkeiten gewichtete Mittelwert aller möglichen Ausprägungen eines Risikos. Er eignet sich zur Priorisierung, unterschätzt aber die Gefahr aus seltenen Großschäden systematisch.

Ein Beispiel verdeutlicht das Problem: Ein Risiko mit 1 % Wahrscheinlichkeit und 50 Mio. Euro Schaden hat denselben Erwartungswert wie eines mit 50 % und 1 Mio. Euro – 500.000 Euro. Für die Unternehmenssteuerung sind beide grundverschieden: Das zweite ist ein Kostenfaktor, das erste eine Existenzfrage. Für die Beurteilung bestandsgefährdender Entwicklungen ist der Erwartungswert daher allein untauglich.

Siehe auch: Value at Risk · Risikobewertung

Methoden

Standardabweichung

Die Standardabweichung misst die Streuung möglicher Ergebnisse um den Erwartungswert und dient als einfaches Maß für die Höhe eines Risikos.

Da sie positive und negative Abweichungen gleich behandelt, wird eine unerwartet gute Entwicklung genauso als „Risiko" gewertet wie eine schlechte. In der Unternehmenssteuerung interessiert aber überwiegend die Unterseite, weshalb sie zunehmend durch Downside-Maße wie Value at Risk, Expected Shortfall oder die Ausfallwahrscheinlichkeit ergänzt wird.

Siehe auch: Risikomaß · Verteilungsfunktion

Methoden

Risikokorrelation

Die Risikokorrelation beschreibt den statistischen Zusammenhang zwischen Risiken. Positiv korrelierte Risiken treten gemeinsam auf und verstärken sich – werden sie in der Aggregation als unabhängig behandelt, wird das Gesamtrisiko regelmäßig deutlich unterschätzt.

Umgang in der Praxis

Exakte Korrelationskoeffizienten lassen sich für Unternehmensrisiken meist nicht empirisch bestimmen. Üblich und prüfungsfest ist ein pragmatischer Weg: Risiken werden gemeinsamen Treibern zugeordnet – Konjunktur, Rohstoffpreise, Wechselkurs, Branchenzyklus –, und die Simulation zieht je Durchlauf einen gemeinsamen Zufallswert für den Treiber. Damit entsteht die Abhängigkeit modellseitig, ohne dass Koeffizienten geschätzt werden müssen.

Siehe auch: Risikoaggregation · Monte-Carlo-Simulation

Methoden

Risikomaß

Ein Risikomaß verdichtet eine Risikoverteilung auf eine einzelne Kennzahl. Gebräuchlich sind Standardabweichung, Value at Risk, Expected Shortfall und der Eigenkapitalbedarf. Die Wahl bestimmt, welche Eigenschaft der Verteilung sichtbar wird.

Die Auswahl sollte sich am Steuerungszweck orientieren: Geht es um Ergebnisschwankung, ist die Standardabweichung brauchbar; geht es um Kapitalausstattung, der Eigenkapitalbedarf; geht es um Bestandsgefährdung, der Value at Risk oder Expected Shortfall bei hohem Konfidenzniveau. Ein einziges Maß für alle Fragestellungen gibt es nicht.

Siehe auch: Value at Risk · Expected Shortfall

Methoden

Risikokosten

Risikokosten sind die kalkulatorischen Kosten des Risikos: Versicherungsprämien, Rückstellungen, Selbstbehalte und die Kapitalkosten des risikobedingt gebundenen Eigenkapitals.

Ihre Zurechnung auf Bereiche, Projekte oder Aufträge macht Risikomanagement betriebswirtschaftlich wirksam. Ein Großauftrag mit hohem Vorleistungsanteil und schwacher Kundenbonität bindet mehr Risikokapital als ein Standardgeschäft – wird das in der Kalkulation berücksichtigt, verändert sich die Preisfindung. Genau an dieser Stelle wird aus einer Dokumentationspflicht ein Steuerungsinstrument.

Siehe auch: Risikosteuerung · Risikodeckungspotenzial

Methoden

Risikodeckungspotenzial

Das Risikodeckungspotenzial bezeichnet die Mittel, die zur Abdeckung eingetretener Risiken zur Verfügung stehen: freies Eigenkapital, stille Reserven, nicht ausgeschöpfte Kreditlinien und Liquiditätsreserven. Es ist die quantitative Ausprägung der Risikotragfähigkeit.

Bei der Ermittlung ist Vorsicht geboten. Kreditlinien sind in der Krise regelmäßig genau dann nicht verfügbar, wenn sie gebraucht werden; stille Reserven lassen sich kurzfristig kaum heben. Ein belastbarer Ansatz unterscheidet deshalb nach Verfügbarkeitshorizont und setzt für den Stressfall nur die kurzfristig gesicherten Bestandteile an.

Siehe auch: Risikotragfähigkeit · Cash Flow at Risk

Methoden

Bestandsgefährdende Entwicklung

Eine bestandsgefährdende Entwicklung liegt vor, wenn Risiken den Fortbestand des Unternehmens gefährden – typischerweise durch drohende Zahlungsunfähigkeit, Überschuldung oder den Verlust der Kapitaldienstfähigkeit. Ihre rechtzeitige Erkennung ist der Kern der gesetzlichen Pflicht nach § 91 Abs. 2 AktG und § 1 StaRUG.

Wie der Nachweis gelingt

1. Risiken quantifiziert erfassen und den Planpositionen zuordnen
2. Zur Gesamtrisikoposition aggregieren, Korrelationen berücksichtigen
3. Risikodeckungspotenzial nach Verfügbarkeitshorizont ermitteln
4. Beides gegenüberstellen und die Wahrscheinlichkeit einer Unterdeckung bestimmen
5. Ergebnis, Annahmen und Schlussfolgerung dokumentieren

Der Nachweis lässt sich mit einer rein qualitativen Risikomatrix nicht führen. Das ist der praktische Kern der Neufassung des IDW PS 340 – und der häufigste Grund für Feststellungen im Prüfungsbericht.

Typische Anzeichen

• Rückläufiger Auftragseingang über mehrere Perioden bei gleichbleibender Kostenbasis
• Verlängerte Debitorenlaufzeiten und steigender Anteil überfälliger Forderungen
• Ausschöpfung der Kreditlinien als Dauerzustand statt als Spitzenausgleich
• Annäherung an Covenant-Grenzen ohne Puffer im Planungsszenario
• Abhängigkeit von einem Großkunden oder Einzellieferanten ohne Alternative
• Wiederholte Verschiebung von Investitionen aus Liquiditätsgründen

Einzeln betrachtet ist keines dieser Anzeichen bestandsgefährdend. Ihre Kombination ist es häufig – was noch einmal zeigt, warum die Aggregation und nicht die Einzelbetrachtung über die gesetzliche Pflichterfüllung entscheidet.

Siehe auch: StaRUG · Risikotragfähigkeit · IDW PS 340 n.F.

Methoden

FMEA

Die Fehlermöglichkeits- und -einflussanalyse ist eine strukturierte Methode zur präventiven Fehlervermeidung in Produkten und Prozessen. Jeder potenzielle Fehler wird nach Bedeutung, Auftretens- und Entdeckungswahrscheinlichkeit bewertet.

Risikoprioritätszahl und ihre Kritik

Klassisch werden die drei Bewertungen auf einer Skala von 1 bis 10 multipliziert; das Produkt ist die Risikoprioritätszahl. Die Kritik daran ist berechtigt: Unterschiedliche Kombinationen ergeben dieselbe Zahl, obwohl die Handlungsdringlichkeit verschieden ist. Die aktuelle AIAG-VDA-Systematik ersetzt die reine Multiplikation deshalb durch eine Aufgabenpriorität, die Bedeutung stärker gewichtet.

Für das unternehmensweite Risikomanagement ist die FMEA eine wichtige Quelle: Die dort identifizierten technischen Risiken gehören – sofern wesentlich – in das Risikoinventar überführt.

Siehe auch: Fehlerbaumanalyse · Analyse des risques

Methoden

Fehlerbaumanalyse (FTA)

Die Fehlerbaumanalyse arbeitet deduktiv: Ausgehend von einem unerwünschten Ereignis werden alle möglichen Ursachenketten über logische Verknüpfungen zurückverfolgt.

Der Vorteil gegenüber rein qualitativen Methoden liegt in der Rechenbarkeit: Sind die Wahrscheinlichkeiten der Basisereignisse bekannt, lässt sich die Wahrscheinlichkeit des Spitzenereignisses über die UND- und ODER-Verknüpfungen berechnen. Damit eignet sich die FTA besonders für technisch komplexe Systeme mit Redundanzen – etwa die Frage, wie wahrscheinlich ein vollständiger Ausfall der Stromversorgung trotz zweier unabhängiger Notsysteme ist.

Siehe auch: FMEA · Bow-Tie-Analyse

Methoden

Bow-Tie-Analyse

Die Bow-Tie-Analyse stellt ein Risiko grafisch als Fliege dar: links die Ursachen mit präventiven Barrieren, in der Mitte das Ereignis, rechts die Folgen mit mitigierenden Maßnahmen. Sie verbindet Risikoanalyse und Kontrollsystem in einem Bild.

Siehe auch: Système de contrôle interne · Analyse des risques

Methoden

Delphi-Methode

Die Delphi-Methode strukturiert Experteneinschätzungen in mehreren anonymen Befragungsrunden. Zwischen den Runden erhalten die Teilnehmenden die aggregierten Ergebnisse und können ihre Einschätzung revidieren.

Die Anonymität dämpft Autoritäts- und Gruppendruckeffekte, die in klassischen Risikoworkshops erfahrungsgemäß die Bewertung dominieren. Für Risiken ohne statistische Datenbasis – strategische Entwicklungen, regulatorische Veränderungen, Technologiesprünge – liefert das Verfahren deutlich belastbarere Einschätzungen als eine Abstimmung im Plenum.

Siehe auch: Risikoidentifikation · Risikobewertung

Methoden

Risk Scoring

Beim Risk Scoring werden Risiken über Punktwerte in Kategorien wie Wahrscheinlichkeit, Auswirkung und Steuerbarkeit bewertet und zu einem Gesamtscore verdichtet. Das Verfahren ist schnell und breit anwendbar.

Die methodische Grenze ist strikt zu beachten: Scores sind ordinalskaliert. Ein Risiko mit Score 40 ist nicht doppelt so gefährlich wie eines mit 20, und Scores dürfen weder addiert noch in Geldbeträge übersetzt werden. Als Priorisierungshilfe für die Auswahl der vertieft zu bewertenden Risiken ist Scoring dennoch nützlich – als Grundlage der Aggregation nicht.

Siehe auch: Risikobewertung · Risikomatrix

Methoden

Key Risk Indicator (KRI)

Ein Key Risk Indicator ist eine Kennzahl, die die Entwicklung eines Risikos laufend messbar macht. Anders als Key Performance Indicators, die vergangene Leistung abbilden, blicken KRI nach vorn.

Kriterien für gute Indikatoren

• Vorlauf: Der Indikator reagiert, bevor der Schaden eintritt – sonst ist er eine Schadensstatistik.
• Verfügbarkeit: Die Daten entstehen ohnehin im System; manuell zu erhebende Indikatoren werden nach zwei Quartalen nicht mehr gepflegt.
• Eindeutigkeit: Eine Veränderung lässt sich klar interpretieren.
• Schwellenwert und Eskalation: Ohne definierte Grenze und hinterlegte Reaktion bleibt der Indikator folgenlos.

Siehe auch: Frühwarnindikator · Risikoüberwachung

Methoden

Risikoquantifizierung

Die Risikoquantifizierung drückt Risiken in Geldeinheiten und Wahrscheinlichkeiten aus, statt sie nur in Klassen einzuordnen. Sie ist Voraussetzung für Aggregation, Tragfähigkeitsvergleich und risikoadjustierte Entscheidungen.

Der häufigste Einwand lautet, die Daten seien nicht vorhanden. Das verkennt den Punkt: Auch eine Klasseneinordnung beruht auf einer Schätzung – sie macht sie nur unsichtbar. Die Quantifizierung zwingt dazu, die Annahme offenzulegen und diskutierbar zu machen. Eine begründete Bandbreite von 2 bis 9 Mio. Euro ist einer Einstufung als „hoch" in jeder Hinsicht überlegen: Sie ist prüfbar, aggregierbar und korrigierbar.

Siehe auch: Risikobewertung · Risikoaggregation

Regulatorik

Überblick: Wer muss was

Die Anforderungen an Risikomanagement und Compliance entstehen aus mehreren Quellen gleichzeitig: Gesellschaftsrecht, Insolvenzrecht, Handelsrecht, Prüfungsstandards, branchenspezifische Aufsicht und europäische Verordnungen. Diese Übersicht ordnet die wichtigsten Vorschriften nach Adressatenkreis.

Anwendungsbereiche und Fristen bei CSRD, LkSG und CSDDD werden im Zuge des europäischen Omnibus-Verfahrens überarbeitet. Der jeweils aktuelle Stand ist unternehmensindividuell zu prüfen – die inhaltlichen Anforderungen an Risikoanalyse, Maßnahmen und Dokumentation bleiben davon im Kern unberührt.

Regulatorik

KonTraG

Das Gesetz zur Kontrolle und Transparenz im Unternehmensbereich von 1998 ist der Ausgangspunkt des gesetzlichen Risikomanagements in Deutschland. Es führte § 91 Abs. 2 AktG ein und verpflichtete den Vorstand erstmals ausdrücklich, ein Überwachungssystem zur Früherkennung bestandsgefährdender Entwicklungen einzurichten.

Das KonTraG war die Reaktion auf eine Reihe spektakulärer Unternehmenszusammenbrüche. Es erweiterte zugleich die Pflichten des Abschlussprüfers und des Aufsichtsrats. Über die sogenannte Ausstrahlungswirkung wird der Maßstab auf große GmbH übertragen: Zwar richtet sich die Norm an die AG, doch die Sorgfaltspflicht eines ordentlichen Geschäftsmanns wird an ihr gemessen.

Siehe auch: § 91 Abs. 2 AktG · FISG

Regulatorik

§ 91 Abs. 2 und 3 AktG

§ 91 Abs. 2 AktG ist die zentrale Norm des gesetzlichen Risikomanagements: Der Vorstand hat geeignete Maßnahmen zu treffen und insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden. Mit dem FISG kam Absatz 3 hinzu, der für börsennotierte Gesellschaften ein angemessenes und wirksames Risikomanagement- und internes Kontrollsystem ausdrücklich verlangt.

Praktische Konsequenz

• Das System muss früh erkennen – ein Stichtagsbild zum Jahresabschluss genügt nicht.
• Erfasst sind Entwicklungen, die den Fortbestand gefährden, also Illiquidität, Überschuldung und der Verlust der Kapitaldienstfähigkeit.
• Der Nachweis setzt eine Aggregation voraus: Einzelrisiken für sich genommen sind selten bestandsgefährdend, ihre Kombination sehr wohl.
• Die Einrichtung ist zu dokumentieren – im Streitfall trägt der Vorstand die Darlegungslast.

Siehe auch: Risikofrüherkennungssystem · IDW PS 340 n.F. · § 317 Abs. 4 HGB

Regulatorik

§ 93 AktG und Business Judgement Rule

§ 93 AktG regelt Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder. Die darin verankerte Business Judgement Rule schützt unternehmerische Entscheidungen vor Haftung, wenn sie auf angemessener Informationsgrundlage und frei von Interessenkonflikten zum Wohl der Gesellschaft getroffen wurden.

Für das Risikomanagement folgt daraus ein handfester Nutzen: „Angemessene Informationsgrundlage" heißt, dass die mit einer Entscheidung verbundenen Risiken erhoben und bewertet wurden. Wer eine Investition ohne dokumentierte Risikobetrachtung beschließt, verliert den Schutz der Regel – nicht weil die Entscheidung falsch war, sondern weil die Grundlage fehlte. Die Darlegungslast liegt beim Organmitglied.

Siehe auch: Geschäftsführerhaftung · D&O-Versicherung

Regulatorik

StaRUG

Das Unternehmensstabilisierungs- und -restrukturierungsgesetz gilt seit Anfang 2021. § 1 StaRUG verpflichtet die Geschäftsleiter haftungsbeschränkter Unternehmen, fortlaufend über Entwicklungen zu wachen, die den Fortbestand gefährden können, geeignete Gegenmaßnahmen zu ergreifen und den Überwachungsorganen unverzüglich zu berichten.

Warum das die GmbH-Welt verändert hat

Vor dem StaRUG war die Pflicht zur Krisenfrüherkennung im Aktienrecht verankert und für die GmbH nur über die allgemeine Sorgfaltspflicht herleitbar. Seit 2021 gilt sie rechtsformübergreifend und ausdrücklich. Damit trifft jede GmbH, UG und GmbH & Co. KG die Pflicht, ein System zu unterhalten, das bestandsgefährdende Entwicklungen erkennt – unabhängig von Größe und Kapitalmarktbezug.

Das Gesetz enthält zudem den Restrukturierungsrahmen: ein Verfahren, das eine Sanierung außerhalb der Insolvenz mit Mehrheitsentscheidungen der Gläubiger ermöglicht. Der Zugang setzt drohende Zahlungsunfähigkeit voraus – also genau den Zustand, den die Früherkennung rechtzeitig sichtbar machen soll.

Was Geschäftsleiter konkret tun müssen

1. Fortlaufende Überwachung der Entwicklungen, die den Fortbestand gefährden können – nicht anlassbezogen, sondern laufend
2. Integrierte Planung mit Liquiditätsvorschau über einen angemessenen Zeitraum, üblicherweise mindestens zwölf Monate rollierend
3. Erkennen von Krisenanzeichen über definierte Indikatoren und Schwellenwerte
4. Ergreifen geeigneter Gegenmaßnahmen bei Feststellung einer Bestandsgefährdung
5. Unverzügliche Berichterstattung an die Überwachungsorgane
6. Dokumentation aller Schritte – im Haftungsfall ist sie der einzige Nachweis

Die Pflicht endet nicht bei der Feststellung. Wer eine bestandsgefährdende Entwicklung erkennt und untätig bleibt, haftet persönlich – die Früherkennung ohne anschließende Handlung verschlechtert die Position im Streitfall sogar.

Siehe auch: Bestandsgefährdende Entwicklung · Risikofrüherkennungssystem

Regulatorik

IDW PS 340 n.F.

Der neu gefasste Prüfungsstandard des IDW zur Prüfung des Risikofrüherkennungssystems ist für Abschlussprüfungen von Geschäftsjahren ab dem 15. Dezember 2021 anzuwenden. Prägend ist die ausdrückliche Anforderung, Einzelrisiken zu einer Gesamtrisikoposition zu aggregieren und dieser die Risikotragfähigkeit gegenüberzustellen.

Was sich gegenüber der alten Fassung geändert hat

Konsequenz für die Praxis

Unternehmen, die ihr Risikomanagement auf Risikomatrix und Maßnahmenliste aufgebaut haben, erfüllen den Standard nicht mehr. Erforderlich sind quantitative Bewertungen in Bandbreiten, ein Aggregationsmodell und eine dokumentierte Gegenüberstellung mit dem Risikodeckungspotenzial. Der Aufwand dafür ist überschaubar, wenn er an die bestehende Planung angedockt wird – und erheblich, wenn parallel ein zweites System aufgebaut wird.

Siehe auch: Risikoaggregation · Risikotragfähigkeit · IDW PS 981

Regulatorik

IDW PS 981

IDW PS 981 beschreibt die Grundsätze ordnungsmäßiger Prüfung von Risikomanagementsystemen. Er gliedert das RMS in acht Grundelemente und dient als Referenzrahmen für freiwillige Wirksamkeitsprüfungen – etwa im Auftrag des Aufsichtsrats, der Gesellschafter oder im Rahmen einer Transaktion.

Zu unterscheiden sind drei Prüfungsarten: die Konzeptionsprüfung beurteilt die Beschreibung, die Angemessenheitsprüfung die Eignung zum Stichtag, die Wirksamkeitsprüfung den Betrieb über einen Zeitraum. Der Aufwand steigt in dieser Reihenfolge deutlich; für den ersten Nachweis gegenüber einem Aufsichtsorgan genügt häufig die Angemessenheitsprüfung.

Siehe auch: Risikomanagementsystem · IDW PS 340 n.F.

Regulatorik

IDW PS 980

IDW PS 980 ist der maßgebliche Standard für die Prüfung von Compliance-Management-Systemen. Er definiert sieben Grundelemente von der Compliance-Kultur bis zur Überwachung und Verbesserung und ist im deutschsprachigen Raum der übliche Nachweis eines angemessenen CMS.

Die Prüfung kann auf einzelne Teilbereiche beschränkt werden – etwa Korruptionsprävention oder Kartellrecht –, was den Aufwand erheblich senkt und in der Praxis die Regel ist. Ein uneingeschränktes Prüfungsurteil zur Wirksamkeit wirkt gegenüber Behörden, Gerichten und Geschäftspartnern als starkes Indiz dafür, dass die Organisationspflichten erfüllt wurden.

Siehe auch: Compliance-Management-System · ISO 37301

Regulatorik

IDW PS 982

Der Standard regelt die Prüfung des internen Kontrollsystems der Unternehmensberichterstattung. Er beschreibt Angemessenheit und Wirksamkeit von Kontrollen entlang der berichtsrelevanten Prozesse und folgt in der Struktur dem COSO-Rahmenwerk.

Mit der Ausweitung der Berichterstattung auf Nachhaltigkeitsinformationen gewinnt er zusätzlich an Bedeutung: Auch ESG-Daten benötigen ein Kontrollsystem, das Vollständigkeit, Richtigkeit und Nachvollziehbarkeit sichert – mit denselben Anforderungen, die für Finanzdaten seit Langem gelten.

Siehe auch: Système de contrôle interne · Nachhaltigkeitsberichterstattung

Regulatorik

IDW PS 983

IDW PS 983 beschreibt die Grundsätze ordnungsmäßiger Prüfung von internen Revisionssystemen. Er ist der Maßstab für Quality Assessments, die der IIA-Standard alle fünf Jahre durch einen externen Dritten vorsieht.

Geprüft werden Aufbau und Ablauf der Revisionsfunktion: Unabhängigkeit, Berichtslinien, Qualifikation, risikoorientierte Prüfungsplanung, Durchführung und Nachverfolgung der Feststellungen. Für Unternehmen ohne eigene Revision ist der Standard mittelbar relevant, weil er beschreibt, was von einer ausgelagerten Revisionsfunktion zu erwarten ist.

Siehe auch: Interne Revision

Regulatorik

COSO ERM Framework

Das COSO-Rahmenwerk „Enterprise Risk Management – Integrating with Strategy and Performance" von 2017 verknüpft Risikomanagement ausdrücklich mit Strategie und Unternehmensleistung. Es ist international das verbreitetste ERM-Referenzmodell.

Siehe auch: ISO 31000 · COSO Internal Control

Regulatorik

COSO Internal Control Framework

Das COSO-Rahmenwerk für interne Kontrollsysteme definiert fünf Komponenten – Kontrollumfeld, Risikobeurteilung, Kontrollaktivitäten, Information und Kommunikation sowie Überwachung – und untergliedert sie in siebzehn Prinzipien.

Es ist weltweit der De-facto-Standard für die Ausgestaltung des IKS und Referenzmodell für die Prüfung nach IDW PS 982 wie auch für die US-amerikanische SOX-Compliance. Der praktische Wert liegt in der Vollständigkeit: Die Prinzipien eignen sich als Checkliste, um zu prüfen, ob ein gewachsenes Kontrollsystem strukturelle Lücken aufweist.

Siehe auch: Système de contrôle interne · IDW PS 982

Regulatorik

ISO 31000

ISO 31000:2018 ist die internationale Leitlinie für Risikomanagement. Sie beschreibt Prinzipien, Rahmenwerk und Prozess, ist branchenübergreifend formuliert und ausdrücklich nicht zertifizierungsfähig.

Ihr Wert liegt in der einheitlichen Begrifflichkeit und der klaren Verankerung des Risikomanagements in der Führungsverantwortung. Die Norm ist bewusst schlank gehalten und lässt offen, mit welchen Methoden bewertet wird – diese Lücke füllt die ergänzende IEC 31010. Wer eine zertifizierbare Grundlage sucht, greift im DACH-Raum auf die ONR 49000 zurück.

Siehe auch: IEC 31010 · ONR 49000

Regulatorik

IEC 31010

IEC/ISO 31010 ergänzt ISO 31000 um einen Katalog von Bewertungsmethoden – von Brainstorming und Checklisten über FMEA, Fehlerbaum- und Bow-Tie-Analyse bis zur Monte-Carlo-Simulation.

Zu jeder Methode nennt die Norm Eignung, Aufwand, benötigte Datenbasis und Grenzen. Für die Erstellung eines Risikohandbuchs ist sie deshalb die nützlichste Quelle, um die Methodenwahl zu begründen – ein Punkt, den Prüfer regelmäßig hinterfragen.

Siehe auch: ISO 31000 · Analyse des risques

Regulatorik

ONR 49000 ff.

Die österreichische Normenreihe ONR 49000 konkretisiert ISO 31000 für die Anwendung in Organisationen und ist – anders als diese – zertifizierungsfähig.

Sie umfasst Begriffe und Grundsätze, den Risikomanagement-Prozess sowie Anforderungen an die Qualifikation von Risikomanagern. Im DACH-Raum ist sie vor allem in Österreich verbreitet und dort häufig Grundlage von Zertifizierungen, die deutsche Unternehmen bei österreichischen Tochtergesellschaften vorfinden.

Siehe auch: ISO 31000

Regulatorik

ISO 37301

ISO 37301:2021 ist der internationale Standard für Compliance-Management-Systeme und löste die frühere ISO 19600 ab. Anders als diese ist sie als Anforderungsnorm formuliert und damit zertifizierbar.

Sie folgt der High-Level-Structure und lässt sich dadurch mit ISO 9001, ISO 14001, ISO 27001 und ISO 37001 zu einem integrierten Managementsystem verbinden – gemeinsame Leitung, gemeinsame Dokumentenlenkung, gemeinsames internes Audit. Für Unternehmen mit mehreren Managementsystemen ist das der größte Effizienzhebel.

Siehe auch: Compliance-Management-System · IDW PS 980

Regulatorik

ISO 37001

ISO 37001 definiert Anforderungen an Managementsysteme zur Korruptionsbekämpfung: Anti-Korruptionsrichtlinie, Geschäftspartner-Due-Diligence, Kontrollen bei Zuwendungen, Spenden und Sponsoring sowie geschützte Meldewege.

Die Zertifizierung dient international als Nachweis angemessener Präventionsmaßnahmen und wird von Konzernen zunehmend von Lieferanten und Vertriebspartnern in Hochrisikomärkten verlangt. Sie ersetzt keine eigene Risikoanalyse, strukturiert aber die Maßnahmen entlang eines anerkannten Rahmens.

Siehe auch: Korruptionsprävention · Third Party Due Diligence

Regulatorik

FISG

Das Finanzmarktintegritätsstärkungsgesetz von 2021 war die gesetzgeberische Antwort auf den Wirecard-Skandal. Es verpflichtet börsennotierte Aktiengesellschaften über § 91 Abs. 3 AktG zu einem angemessenen und wirksamen Risikomanagement- und internen Kontrollsystem.

Daneben stärkt es den Prüfungsausschuss, verschärft Rotations- und Haftungsregeln für Abschlussprüfer und erweitert die Befugnisse der BaFin. Praktisch bedeutsam ist die Verlagerung: Was zuvor Empfehlung des Corporate Governance Kodex war, ist für den erfassten Kreis nun Gesetz.

Siehe auch: § 91 AktG · Prüfungsausschuss

Regulatorik

Deutscher Corporate Governance Kodex

Der DCGK bündelt Grundsätze, Empfehlungen und Anregungen guter Unternehmensführung für börsennotierte Gesellschaften. Zu Risikomanagement und Compliance enthält er konkrete Empfehlungen, unter anderem zu internem Kontroll- und Risikomanagementsystem einschließlich Nachhaltigkeitsaspekten sowie zu einem Hinweisgebersystem.

Der Kodex ist kein Gesetz, entfaltet aber Wirkung über die Entsprechenserklärung nach § 161 AktG: Abweichungen sind offenzulegen und zu begründen. Für nicht börsennotierte Unternehmen dient er als Orientierung – insbesondere Familienunternehmen greifen häufig auf eigene, daran angelehnte Governance-Kodizes zurück.

Siehe auch: Governance · Aufsichtsrat

Regulatorik

Lagebericht und Risikobericht

Nach § 289 HGB ist im Lagebericht die voraussichtliche Entwicklung mit ihren wesentlichen Chancen und Risiken zu beurteilen und zu erläutern. Der Risikobericht ist damit die externe Schnittstelle des Risikomanagements.

Anforderungen an den Risikobericht

• Darstellung der wesentlichen Risiken, nicht eine Aufzählung aller Risiken
• Nachvollziehbare Ableitung aus dem internen Risikoinventar
• Angabe der Bewertungsmaßstäbe und der Risikolage insgesamt
• Konsistenz mit dem Prognosebericht: Die Risiken beschreiben die Abweichungen von den dort dargestellten Erwartungen

Abweichungen zwischen interner Risikolage und externer Darstellung sind ein klassischer Prüfungsschwerpunkt. Wer intern ein bestandsgefährdendes Risiko führt und extern von einer stabilen Lage berichtet, hat ein Problem, das über die Rechnungslegung hinausgeht.

Siehe auch: Prognosebericht · Risikoreporting

Regulatorik

§ 317 Abs. 4 HGB

Die Vorschrift verpflichtet den Abschlussprüfer bei börsennotierten Aktiengesellschaften zu beurteilen, ob der Vorstand das Überwachungssystem nach § 91 Abs. 2 AktG in geeigneter Form eingerichtet hat und dieses seine Aufgaben erfüllen kann.

Sie ist die gesetzliche Grundlage der Prüfung nach IDW PS 340 n.F. Der Prüfungsauftrag ist bewusst eng gefasst: Beurteilt wird die Einrichtung und grundsätzliche Funktionsfähigkeit, nicht die Wirksamkeit über einen Zeitraum. Eine weitergehende Wirksamkeitsprüfung erfolgt nur im gesonderten Auftrag.

Siehe auch: IDW PS 340 n.F. · Jahresabschlussprüfung

Regulatorik

MaRisk

Die Mindestanforderungen an das Risikomanagement der BaFin konkretisieren § 25a KWG für Kreditinstitute. Sie regeln Risikotragfähigkeit, Strategien, interne Kontrollverfahren, Stresstests, Auslagerungsmanagement und die Ausgestaltung der Internen Revision.

Auch außerhalb des Finanzsektors lohnt der Blick hinein: Die MaRisk beschreiben ein durchreguliertes Risikomanagement mit hohem Detailgrad und dienen vielen Industrieunternehmen als Referenz für Themen wie Auslagerungsmanagement oder Risikotragfähigkeitskonzept. Für Versicherer gelten die MaGo als Entsprechung.

Siehe auch: KWG · Auslagerungsmanagement

Regulatorik

KWG

Das Kreditwesengesetz ist die aufsichtsrechtliche Grundlage für Kreditinstitute in Deutschland. § 25a KWG verlangt eine ordnungsgemäße Geschäftsorganisation mit angemessenem Risikomanagement, internem Kontrollsystem und Compliance-Funktion.

Für Nicht-Banken ist das KWG mittelbar relevant, wenn Finanzdienstleistungen erbracht werden – etwa bei Zahlungsabwicklung, Factoring oder Absatzfinanzierung im Konzern. Die Abgrenzung erlaubnispflichtiger Tätigkeiten gehört in diesen Fällen in die Compliance-Risikoanalyse.

Siehe auch: MaRisk

Regulatorik

Solvency II

Solvency II ist das europäische Aufsichtsregime für Versicherungsunternehmen und ruht auf drei Säulen: quantitative Kapitalanforderungen, qualitative Governance-Anforderungen einschließlich der unternehmenseigenen Risiko- und Solvabilitätsbeurteilung sowie Berichts- und Offenlegungspflichten.

Die zweite Säule ist auch für Industrieunternehmen aufschlussreich: Die ORSA verlangt eine vorausschauende Beurteilung des Gesamtrisikoprofils und der Kapitalausstattung über den Planungshorizont – methodisch genau das, was der IDW PS 340 n.F. für Nichtversicherer fordert.

Siehe auch: Risikotragfähigkeit

Regulatorik

Basel III und IV

Die Basler Rahmenwerke definieren internationale Eigenkapital- und Liquiditätsstandards für Banken und werden in der EU über die Capital Requirements Regulation und Directive umgesetzt.

Für Unternehmen außerhalb des Finanzsektors sind sie mittelbar bedeutsam: Sie prägen Ratingverfahren, Kreditkonditionen und den Informationsbedarf der Banken. Ein Unternehmen, das seine Risikolage quantifiziert darstellen kann, verbessert seine Verhandlungsposition messbar – weil die Bank sonst mit Sicherheitsaufschlägen arbeitet.

Siehe auch: Risikoaggregation

Regulatorik

CSRD

Die Corporate Sustainability Reporting Directive erweitert die Nachhaltigkeitsberichterstattung in der EU erheblich: Berichtsinhalte nach den ESRS, Prüfpflicht durch einen unabhängigen Dritten, digitales Tagging und Integration in den Lagebericht statt in einen separaten Bericht.

Was sich dadurch ändert

• Prüfpflicht: Nachhaltigkeitsdaten unterliegen erstmals einer externen Prüfung – mit entsprechenden Anforderungen an Datenqualität und Kontrollen.
• Doppelte Wesentlichkeit: Berichtet wird über Auswirkungen des Unternehmens et finanzielle Auswirkungen auf das Unternehmen.
• Wertschöpfungskette: Die Berichtsgrenze endet nicht am eigenen Werkstor.
• Integration: ESG-Risiken gehören methodisch in das bestehende Risikomanagement.

Anwendungsbereich und Erstanwendungszeitpunkte werden im Rahmen des EU-Omnibus-Verfahrens überarbeitet und sind unternehmensindividuell zu prüfen.

Vorbereitung in fünf Schritten

1. Anwendbarkeit und Zeitpunkt klären: Größenkriterien, Kapitalmarktbezug und Konzerneinbindung prüfen – einschließlich der Frage, ob eine Befreiung über den Konzernbericht möglich ist.
2. Doppelte Wesentlichkeitsanalyse: methodisch sauber, dokumentiert und mit Stakeholder-Einbindung – sie bestimmt den gesamten Berichtsumfang.
3. Datenlücken ermitteln: Für jede geforderte Angabe klären, ob die Daten existieren, woher sie stammen und wer sie verantwortet.
4. Prozesse und Kontrollen aufbauen: Nachhaltigkeitsdaten werden prüfungspflichtig und benötigen dieselbe Kontrolltiefe wie Finanzdaten.
5. Probelauf: einen vollständigen Berichtszyklus vor der Erstanwendung durchspielen, inklusive Abstimmung mit dem Prüfer.

Der zeitkritische Engpass ist regelmäßig Schritt drei: Die Datenerhebung über Standorte, Beteiligungen und Lieferanten dauert länger als die Berichtserstellung selbst.

Siehe auch: ESRS · Doppelte Wesentlichkeitsanalyse

Regulatorik

ESRS

Die European Sustainability Reporting Standards konkretisieren die Berichtspflichten der CSRD. Sie umfassen übergreifende Standards zu allgemeinen Anforderungen und Angaben sowie themenspezifische Standards zu Umwelt, Sozialem und Governance.

Welche Themenstandards anzuwenden sind, ergibt sich aus der doppelten Wesentlichkeitsanalyse – mit Ausnahme der übergreifenden Standards, die immer gelten.

Siehe auch: CSRD · Doppelte Wesentlichkeitsanalyse

Regulatorik

EU-Taxonomie

Die EU-Taxonomie ist ein Klassifikationssystem für ökologisch nachhaltige Wirtschaftstätigkeiten. Eine Tätigkeit gilt als taxonomiekonform, wenn sie wesentlich zu einem der sechs Umweltziele beiträgt, kein anderes erheblich beeinträchtigt und Mindestschutzstandards einhält.

Berichtspflichtige Unternehmen weisen aus, welcher Anteil von Umsatz, Investitionen und Betriebsausgaben taxonomiefähig und taxonomiekonform ist. Die praktische Schwierigkeit liegt in der Datengrundlage: Die Zuordnung erfordert eine Aufteilung der Erlöse und Investitionen nach Tätigkeiten, die das Rechnungswesen in dieser Form meist nicht vorhält.

Siehe auch: CSRD · Nachhaltigkeitsberichterstattung

Regulatorik

Lieferkettensorgfaltspflichtengesetz (LkSG)

Das LkSG verpflichtet Unternehmen ab einer bestimmten Beschäftigtenzahl, menschenrechts- und umweltbezogene Sorgfaltspflichten in der eigenen Geschäftstätigkeit und in der Lieferkette umzusetzen. Es ist als Bemühenspflicht ausgestaltet: Geschuldet ist ein angemessenes, dokumentiertes Vorgehen, nicht eine verstoßfreie Lieferkette.

Die neun Pflichten im Überblick

Umsetzung in der Praxis

Der Aufwand konzentriert sich auf drei Punkte. Erstens die Datengrundlage: Viele Unternehmen kennen ihre unmittelbaren Zulieferer aus dem ERP, nicht aber deren Produktionsstandorte – genau die sind für die Länderrisikobewertung entscheidend. Zweitens die Priorisierung: Bei mehreren tausend Lieferanten ist eine Einzelbetrachtung unmöglich, weshalb die abstrakte Analyse über Portfoliokriterien den Kreis auf eine bearbeitbare Zahl reduzieren muss. Drittens die Verzahnung mit dem Einkauf: Werden Nachhaltigkeitskriterien nicht in Vergabe und Vertragsgestaltung verankert, bleibt die Risikoanalyse folgenlos.

Für nicht unmittelbar betroffene Unternehmen gilt die Pflicht mittelbar: Sie werden von berichtspflichtigen Kunden über Lieferantenkodizes, Selbstauskünfte und Auditrechte in die Pflicht genommen. Ein eigenes, schlankes Vorgehen ist deshalb auch unterhalb der Schwellenwerte sinnvoll.

Siehe auch: Risikoanalyse nach LkSG · CSDDD

Regulatorik

CSDDD

Die Corporate Sustainability Due Diligence Directive ist die europäische Richtlinie zu unternehmerischen Sorgfaltspflichten. Sie erweitert die Logik des LkSG auf die gesamte Aktivitätskette, verlangt einen Klimatransformationsplan und sieht zivilrechtliche Haftung vor.

Umfang, Schwellenwerte und Zeitplan werden im Rahmen des Omnibus-Pakets angepasst; die nationale Umsetzung ist entsprechend zu beobachten. Unabhängig vom finalen Anwendungsbereich gilt: Unternehmen, die ihre Lieferkettenprozesse bereits nach LkSG aufgebaut haben, müssen diese vor allem in der Reichweite erweitern, nicht methodisch neu erfinden.

Siehe auch: LkSG · Sorgfaltspflichten

Regulatorik

Hinweisgeberschutzgesetz (HinSchG)

Das HinSchG setzt die EU-Whistleblower-Richtlinie in deutsches Recht um. Es verpflichtet Unternehmen ab 50 Beschäftigten zur Einrichtung einer internen Meldestelle, schützt hinweisgebende Personen vor Repressalien und schreibt Fristen für Eingangsbestätigung und Rückmeldung vor.

Umsetzungsschritte

• Meldestelle einrichten und Zuständige benennen – intern, ausgelagert oder in Kombination
• Meldekanäle bereitstellen, mindestens schriftlich und mündlich, persönliches Gespräch auf Wunsch
• Verfahrensordnung und Datenschutzkonzept erstellen, Betriebsrat einbinden
• Berechtigungskonzept umsetzen, das Vertraulichkeit technisch absichert
• Beschäftigte über das System und den Schutz vor Repressalien informieren
• Fristenüberwachung und Dokumentation systemseitig sicherstellen
• Aufbewahrung der Falldokumentation nach den gesetzlichen Vorgaben regeln

Konzernweite Meldestellen sind zulässig, entbinden die einzelne Tochtergesellschaft ab 50 Beschäftigten aber nicht von ihrer eigenen Verantwortung – die Zuständigkeit für Folgemaßnahmen muss klar zugewiesen bleiben.

Siehe auch: Interne Meldestelle · Repressalienverbot

Regulatorik

§§ 30, 130 OWiG

Die beiden Vorschriften des Ordnungswidrigkeitengesetzes sind die rechtliche Grundlage der Unternehmenshaftung in Deutschland. § 130 OWiG sanktioniert die Verletzung der Aufsichtspflicht, § 30 OWiG ermöglicht die Verhängung von Geldbußen gegen das Unternehmen selbst.

Die praktische Bedeutung ist erheblich: Bestraft wird nicht nur, wer einen Verstoß begeht, sondern auch, wer ihn durch gehörige Aufsicht hätte verhindern können. Was „gehörige Aufsicht" bedeutet, bemisst sich am Risikoprofil des Unternehmens – und genau das begründet die Notwendigkeit einer dokumentierten Compliance-Risikoanalyse.

Siehe auch: Organisationsverschulden · Compliance-Management-System

Système de contrôle interne

Internes Kontrollsystem (IKS)

Das interne Kontrollsystem umfasst alle Grundsätze, Verfahren und Maßnahmen, die die Wirksamkeit der Geschäftstätigkeit, die Verlässlichkeit der Berichterstattung und die Einhaltung rechtlicher Vorgaben sicherstellen. Während das Risikomanagement Risiken erkennt und bewertet, begrenzt das IKS sie durch konkrete Kontrollen im Prozess – die Differenz zwischen Brutto- und Nettorisiko ist genau seine messbare Leistung.

Die fünf Komponenten nach COSO

Das COSO-Rahmenwerk ist international der De-facto-Standard und auch Referenz für die Prüfung nach IDW PS 982. Es beschreibt fünf zusammenwirkende Komponenten – wird eine davon vernachlässigt, verlieren die übrigen an Wirkung.

Kontrollarten

Automatisierte Kontrollen sind manuellen überlegen, weil sie nicht vergessen werden und ihren Nachweis selbst erzeugen. Der Aufwand für Wirksamkeitstests sinkt deutlich: Bei einer Systemkontrolle genügt der Nachweis, dass die Konfiguration im Prüfungszeitraum unverändert galt, während eine manuelle Kontrolle über Stichproben belegt werden muss.

Aufbau entlang der Prozesse

1. Prozesslandkarte: Führungs-, Kern- und Unterstützungsprozesse abgrenzen und Verantwortliche benennen.
2. Wesentlichkeit festlegen: Nur Prozesse mit relevanter Auswirkung auf Abschluss, Recht oder Betriebsfähigkeit vertiefen.
3. Risiken je Prozessschritt erheben: Was kann schiefgehen – Vollständigkeit, Richtigkeit, Berechtigung, Zeitpunkt?
4. Kontrollen zuordnen und Lücken schließen: Bestehende Kontrollen aufnehmen, Kontrollziele formulieren, fehlende ergänzen.
5. Schlüsselkontrollen bestimmen: Risikoorientiert auswählen und begründen, welche Kontrollen getestet werden.
6. Testplan aufsetzen: Stichprobenumfang, Methode und Turnus je Kontrolle festlegen.
7. Feststellungen in Maßnahmen überführen: Mit Verantwortlichem, Frist und Nachweis der Behebung.

Angemessenheit und Wirksamkeit

Beide Begriffe werden regelmäßig verwechselt, bezeichnen aber unterschiedliche Prüfungsfragen. Die Angemessenheit fragt: Ist die Kontrolle so konzipiert, dass sie das Kontrollziel erreichen kann? Die Wirksamkeit fragt: Wurde sie im Prüfungszeitraum tatsächlich durchgängig und korrekt ausgeführt? Eine perfekt beschriebene Kontrolle, für die kein Nachweis existiert, gilt im Test als nicht ausgeführt.

Praxisregel: Keine Kontrolle ohne Nachweis. Wenn nicht dokumentiert ist, wer wann was geprüft hat, existiert die Kontrolle für den Prüfer nicht – unabhängig davon, wie zuverlässig sie tatsächlich gelebt wird.

Rechtlicher Rahmen

• § 91 Abs. 3 AktG: Börsennotierte Aktiengesellschaften benötigen ein angemessenes und wirksames internes Kontrollsystem.
• § 289 Abs. 4 HGB: Kapitalmarktorientierte Unternehmen beschreiben die wesentlichen Merkmale des rechnungslegungsbezogenen IKS im Lagebericht.
• IDW PS 982: Maßstab für die gesonderte Prüfung des IKS der Unternehmensberichterstattung.
• Branchenspezifisch: MaRisk für Kreditinstitute, DORA für den Finanzsektor, GoBD für steuerrelevante Prozesse.

Kontrollen entlang der Kernprozesse

Typische Schwächen in der Praxis

• Kontrollen ohne Nachweis: Die Prüfung findet statt, wird aber nicht dokumentiert – im Test ist sie damit nicht existent.
• Kontrollbeschreibung ohne Reaktion: Es ist geregelt, was geprüft wird, aber nicht, was bei einer Abweichung geschieht.
• Personengebundene Kontrollen: Beschreibungen nennen Namen statt Rollen und werden bei Personalwechsel wertlos.
• Vier-Augen-Prinzip nur auf dem Papier: Der Zweitprüfer zeichnet ab, ohne Zugriff auf die Prüfungsgrundlage zu haben.
• Keine Anpassung nach Prozessänderungen: Das Kontrollsystem beschreibt einen Prozess, den es so nicht mehr gibt.
• Überkontrolle: Hunderte dokumentierte Kontrollen ohne Priorisierung binden Kapazität, die für die wesentlichen fehlt.

Häufige Fragen

Siehe auch: Risikomanagementsystem · Three Lines Model · Compliance-Management-System

Système de contrôle interne

Rechnungslegungsbezogenes IKS

Das rechnungslegungsbezogene IKS ist der Teil des Kontrollsystems, der die Ordnungsmäßigkeit von Buchführung und Abschlusserstellung sichert. Es steht im Fokus der Abschlussprüfung und der Prüfung nach IDW PS 982.

Abgedeckt werden die abschlussrelevanten Prozesse – Einkauf und Verbindlichkeiten, Vertrieb und Forderungen, Personal, Anlagevermögen, Vorräte, Liquidität und der Abschlussprozess selbst – einschließlich der IT-Anwendungskontrollen und der allgemeinen IT-Kontrollen. Kapitalmarktorientierte Unternehmen beschreiben die wesentlichen Merkmale zusätzlich im Lagebericht nach § 289 Abs. 4 HGB.

Siehe auch: Système de contrôle interne · IDW PS 982

Système de contrôle interne

Kontrollziel

Ein Kontrollziel beschreibt, welches Risiko eine Kontrolle abdecken soll – etwa die Vollständigkeit erfasster Umsätze oder die Berechtigung von Zahlungsfreigaben. Ohne formuliertes Kontrollziel lässt sich weder Angemessenheit noch Wirksamkeit beurteilen.

Für die Rechnungslegung haben sich standardisierte Kontrollziele etabliert: Vollständigkeit, Richtigkeit, Existenz, Bewertung, Eigentum und Periodenabgrenzung. Jede Kontrolle wird einem oder mehreren dieser Ziele zugeordnet; Lücken in der Zuordnung sind zugleich Lücken im Kontrollsystem.

Siehe auch: Risk Control Matrix · Kontrolldesign

Système de contrôle interne

Kontrolldesign

Das Kontrolldesign beschreibt, wie eine Kontrolle konzipiert ist: wer sie durchführt, wie häufig, auf welcher Informationsgrundlage, mit welchem Nachweis und mit welcher Reaktion bei Abweichungen.

Die fünf W der Kontrollbeschreibung

• Wer führt die Kontrolle aus – Rolle, nicht Person
• Was wird geprüft, gegen welchen Sollwert
• Wann und wie häufig
• Womit – welche Auswertung, welches System, welcher Beleg
• Was folgt bei Abweichung – Korrektur, Eskalation, Dokumentation

Fehlt eines dieser Elemente, ist die Kontrolle nicht testbar. Die häufigste Lücke ist der letzte Punkt: Viele Kontrollbeschreibungen enden bei der Prüfung und lassen offen, was bei einem Befund geschieht.

Siehe auch: Kontrollwirksamkeit · Kontrollnachweis

Système de contrôle interne

Kontrollwirksamkeit

Die Kontrollwirksamkeit beurteilt, ob eine angemessen konzipierte Kontrolle im Prüfungszeitraum tatsächlich durchgängig und korrekt ausgeführt wurde. Der Nachweis erfolgt über Stichprobentests anhand dokumentierter Kontrollnachweise.

Eine angemessene, aber nicht gelebte Kontrolle gilt als unwirksam. Der Befund „Design effective, operating ineffective" ist in Erstprüfungen der Regelfall – meist, weil Nachweise nicht aufbewahrt wurden.

Siehe auch: Kontrolltest · Brutto- und Nettorisiko

Système de contrôle interne

Schlüsselkontrolle

Schlüsselkontrollen sind die Kontrollen, deren Ausfall unmittelbar zu einem wesentlichen Fehler oder Schaden führen würde. Die Beschränkung der Wirksamkeitstests auf sie hält den Prüfaufwand beherrschbar.

Die Auswahl muss risikoorientiert begründet und dokumentiert sein. Kriterien sind die Höhe des abgedeckten Risikos, das Fehlen kompensierender Kontrollen und die Abhängigkeit weiterer Prozessschritte. Als Faustregel gilt: Wenn der Ausfall einer Kontrolle ohne weitere Absicherung zu einem wesentlichen Fehler führt, ist sie eine Schlüsselkontrolle.

Siehe auch: Kontrolltest · Risk Control Matrix

Système de contrôle interne

Präventive und detektive Kontrollen

Präventive Kontrollen verhindern Fehler im Vorfeld – Berechtigungskonzepte, Freigabegrenzen, Plausibilitätsprüfungen bei der Eingabe. Detektive Kontrollen decken bereits eingetretene Fehler auf – Abstimmungen, Auswertungen, Nachkalkulationen.

Ein belastbares IKS kombiniert beide Typen. Rein detektive Systeme reagieren systematisch zu spät: Der Fehler ist eingetreten, der Schaden häufig schon entstanden. Rein präventive Systeme wiederum bleiben blind gegenüber Fehlern, die die Prävention umgangen haben – etwa durch Management Override.

Siehe auch: Management Override · Funktionstrennung

Système de contrôle interne

Risk Control Matrix (RCM)

Die Risk Control Matrix verbindet Prozessschritte, Risiken, Kontrollziele und Kontrollen in einer strukturierten Übersicht. Sie ist das zentrale Arbeitsdokument des IKS.

Siehe auch: Système de contrôle interne · Prozesslandkarte

Système de contrôle interne

Kontrolltest

Beim Kontrolltest wird anhand einer Stichprobe geprüft, ob eine Kontrolle im Betrachtungszeitraum wie definiert ausgeführt wurde. Testverfahren sind Befragung, Beobachtung, Einsichtnahme und Nachvollzug – in dieser Reihenfolge steigender Beweiskraft.

Das Ergebnis wird als wirksam, eingeschränkt wirksam oder unwirksam eingestuft. Jede Abweichung ist zu dokumentieren und zu bewerten: Handelt es sich um einen Einzelfall oder um ein systematisches Versagen? Diese Unterscheidung entscheidet darüber, ob eine Nacharbeit genügt oder das Kontrolldesign geändert werden muss.

Siehe auch: Kontrollwirksamkeit · Maßnahmenmanagement

Système de contrôle interne

Walkthrough

Beim Walkthrough wird ein einzelner Geschäftsvorfall vollständig durch den Prozess verfolgt, um das tatsächliche Kontrolldesign zu verstehen und die Prozessdokumentation zu verifizieren.

Er dient der Angemessenheitsbeurteilung und ersetzt keinen Wirksamkeitstest – eine einzelne Beobachtung erlaubt keine Aussage über den gesamten Zeitraum. Sein praktischer Wert liegt woanders: Walkthroughs decken regelmäßig auf, dass die dokumentierte Prozessbeschreibung von der gelebten Praxis abweicht.

Siehe auch: Kontrolltest · Kontrolldesign

Système de contrôle interne

Funktionstrennung (Segregation of Duties)

Die Funktionstrennung verhindert, dass eine Person einen Vorgang allein anlegen, freigeben und abrechnen kann. Sie ist die wirksamste präventive Kontrolle gegen dolose Handlungen.

In kleinen Einheiten ist vollständige Funktionstrennung nicht immer möglich. Dann sind kompensierende Kontrollen erforderlich – etwa die nachgelagerte Prüfung durch die Geschäftsleitung –, und diese Entscheidung ist zu dokumentieren.

Umsetzung im System

Technisch wird Funktionstrennung über Rollenkonzepte und Konfliktmatrizen abgebildet. Eine Konfliktmatrix listet Kombinationen von Berechtigungen, die nicht in einer Hand liegen dürfen, und wird regelmäßig gegen die tatsächlich vergebenen Rollen geprüft. Verstöße entstehen selten absichtlich, sondern durch Vertretungsregelungen, Rollenanhäufung bei Positionswechseln und projektbezogene Zusatzrechte, die nicht zurückgenommen werden.

Deshalb gehören zwei Kontrollen dazu: die periodische Rezertifizierung kritischer Berechtigungen durch die Fachbereiche und die automatisierte Auswertung von Rollenkonflikten nach jeder Berechtigungsänderung. Wo eine Trennung organisatorisch nicht möglich ist, wird eine kompensierende Kontrolle dokumentiert – etwa die nachgelagerte Einzelprüfung aller Vorgänge durch eine unabhängige Stelle.

Siehe auch: Modèle des rôles et des droits · Management Override

Système de contrôle interne

Management Override

Management Override bezeichnet die Umgehung bestehender Kontrollen durch die Führungsebene. Es ist das strukturell schwerste Kontrollrisiko, weil sich Kontrollen gegen ihre eigenen Ausnahmeberechtigten kaum designen lassen.

Gegenmaßnahmen setzen deshalb an anderer Stelle an: lückenlose Protokollierung aller Ausnahmen und manuellen Buchungen, Vier-Augen-Prinzip auch auf Leitungsebene, Auswertung ungewöhnlicher Journalbuchungen, funktionierendes Hinweisgebersystem und die unabhängige Prüfung durch Interne Revision und Aufsichtsorgan. In nahezu allen großen Bilanzskandalen war Management Override der zentrale Mechanismus.

Siehe auch: Système d'alerte professionnelle · Interne Revision

Système de contrôle interne

Prozesslandkarte

Die Prozesslandkarte gliedert das Unternehmen in Führungs-, Kern- und Unterstützungsprozesse und bildet die Struktur, an der Risiken und Kontrollen verankert werden.

Sie sorgt dafür, dass das IKS prozessorientiert statt abteilungsorientiert aufgebaut wird – und damit auch dort greift, wo Prozesse Bereichsgrenzen überschreiten. Genau an diesen Schnittstellen entstehen die meisten Kontrolllücken: Jeder Bereich geht davon aus, der andere prüfe bereits.

Siehe auch: Risk Control Matrix · Système de contrôle interne

Système de contrôle interne

Maßnahmenmanagement

Das Maßnahmenmanagement steuert die Behebung festgestellter Schwächen: Jede Feststellung erhält eine Maßnahme mit Verantwortlichem, Frist, Status und Wirksamkeitsnachweis.

Es ist die Schnittstelle, an der Risikomanagement, IKS, Interne Revision und Compliance zusammenlaufen – und in der Praxis der häufigste Anlass, Excel durch eine workflowgestützte Lösung zu ersetzen. Der Grund ist simpel: Feststellungen entstehen in vier Systemen, die Umsetzung verantworten dieselben Fachbereiche, und niemand kennt den Gesamtstatus.

Siehe auch: Maßnahmenverfolgung · Risikosteuerung

Système de contrôle interne

Interne Revision

Die Interne Revision ist die unabhängige, objektive Prüfungs- und Beratungsfunktion der dritten Linie. Sie beurteilt Angemessenheit und Wirksamkeit von Risikomanagement, IKS und Governance und berichtet direkt an Geschäftsleitung und Prüfungsausschuss.

Voraussetzungen der Unabhängigkeit

• Direkte Berichtslinie an das Leitungs- und Überwachungsorgan
• Keine Verantwortung für operative Prozesse, die sie prüft
• Uneingeschränktes Informations- und Zugangsrecht
• Eigenes, nicht von den geprüften Bereichen abhängiges Budget

In mittelständischen Strukturen wird die Funktion häufig ausgelagert oder als Teilzeitfunktion geführt. Beides ist zulässig, solange die Unabhängigkeit gewahrt bleibt – problematisch wird es, wenn dieselbe Person Prozesse gestaltet und anschließend prüft.

Ablauf einer Prüfung

1. Prüfungsankündigung und Anforderung der Unterlagen
2. Eröffnungsgespräch mit dem geprüften Bereich, Abstimmung von Umfang und Zeitplan
3. Prüfungshandlungen: Dokumentenanalyse, Interviews, Stichproben, Datenanalysen
4. Feststellungen mit Sachverhalt, Ursache, Risiko und Empfehlung
5. Schlussbesprechung mit Stellungnahme des Bereichs
6. Bericht an Geschäftsleitung und Prüfungsausschuss
7. Nachverfolgung bis zur belegten Umsetzung – der Schritt, an dem sich die Wirksamkeit entscheidet

Gute Feststellungen benennen die Ursache, nicht nur das Symptom. „Drei von zwanzig Zahlungen ohne zweite Freigabe" ist ein Befund; „die Freigabegrenze ist im System nicht hinterlegt, sondern organisatorisch geregelt" ist die Ursache, an der eine Maßnahme ansetzen kann.

Siehe auch: Three Lines Model · IDW PS 983

Système de contrôle interne

Prüfungsplanung

Die risikoorientierte Prüfungsplanung leitet aus dem Risikoinventar ab, welche Prozesse und Einheiten in welchem Turnus geprüft werden.

Sie verbindet Risikomanagement und Interne Revision methodisch: Prüfungsschwerpunkte folgen der Risikolage, nicht der Gewohnheit. Üblich ist ein Mehrjahresplan, der alle wesentlichen Prozesse in einem definierten Zyklus abdeckt, ergänzt um jährlich festgelegte Schwerpunkte und Reserve für anlassbezogene Prüfungen.

Siehe auch: Interne Revision · Risikoinventar

Système de contrôle interne

Kontrollnachweis

Der Kontrollnachweis dokumentiert, dass eine Kontrolle durchgeführt wurde – ein Freigabeprotokoll, eine abgezeichnete Abstimmung, ein Systemlog. Ohne Nachweis gilt eine Kontrolle im Test als nicht ausgeführt.

Systemseitig erzeugte Nachweise haben höhere Beweiskraft als manuelle, weil sie nicht nachträglich erstellt werden können. Entscheidend ist die Aufbewahrung: Nachweise müssen über den gesamten Prüfungszeitraum verfügbar und auffindbar sein – ein per E-Mail erteiltes Freigabezeichen im persönlichen Postfach erfüllt diese Anforderung nicht.

Siehe auch: Revisionssicherheit · Audit Trail

Conformité

Compliance-Management-System (CMS)

Ein Compliance-Management-System bündelt alle Maßnahmen zur Verhinderung, Aufdeckung und Aufarbeitung von Regelverstößen. Es ist kein Selbstzweck: Ein angemessenes und nachweisbar wirksames CMS kann bußgeldmindernd wirken, ist zentrales Element der Enthaftung der Geschäftsleitung und wird zunehmend von Geschäftspartnern als Zulassungsvoraussetzung verlangt.

Die sieben Grundelemente nach IDW PS 980

Compliance-Risikoanalyse

Sie ist der Ausgangspunkt des gesamten Systems und zugleich das Element, das im Prüfungsfall zuerst hinterfragt wird. Ohne dokumentierte Risikoanalyse lässt sich weder begründen, warum bestimmte Maßnahmen ergriffen wurden, noch warum andere unterblieben sind – und genau diese Begründung entscheidet über die Angemessenheit.

Die Analyse berücksichtigt Branche, Märkte, Vertriebsmodell, Beschaffungsstruktur, Beteiligung öffentlicher Auftraggeber sowie Erfahrungen aus vergangenen Vorfällen. Aus ihr ergibt sich die Priorisierung: In einem exportorientierten Anlagenbauer dominieren Korruptions-, Export- und Sanktionsrisiken, in einem konsumnahen Handelsunternehmen Kartell-, Produkt- und Datenschutzrisiken.

Haftungswirkung

Nach §§ 30, 130 OWiG können gegen Unternehmen und Leitungspersonen Bußgelder verhängt werden, wenn zumutbare Aufsichtsmaßnahmen unterblieben sind – auch ohne eigenes aktives Fehlverhalten. Die Rechtsprechung erkennt an, dass ein wirksames CMS bei der Bemessung berücksichtigt wird; entscheidend ist dabei nicht die Existenz von Dokumenten, sondern die nachweisbare Wirksamkeit in der Praxis.

Ein CMS, das nach einem Vorfall nachgeschärft und dokumentiert wird, wirkt ebenfalls strafmildernd. Der deutlich günstigere Weg bleibt allerdings, die Angemessenheit vorher belegen zu können.

Standards und Zertifizierung

Aufbau in der Praxis

1. Bestandsaufnahme: Welche Richtlinien, Prozesse und Kontrollen existieren bereits – häufig mehr als angenommen, nur unsystematisch.
2. Compliance-Risikoanalyse: Rechtskataster, Risikotreiber, Bewertung, Priorisierung.
3. Zuständigkeiten klären: Compliance-Funktion, Schnittstellen zu Recht, Revision, Datenschutz, Personal.
4. Regelwerk ordnen: Verhaltenskodex als Dach, darunter Richtlinien zu den priorisierten Risiken.
5. Prozesse und Kontrollen verankern: Geschäftspartnerprüfung, Freigaben, Sanktionsscreening – dort, wo das Risiko entsteht.
6. Meldewege einrichten: Hinweisgebersystem mit Fallbearbeitung und Fristenüberwachung.
7. Schulen und kommunizieren: risikoorientiert nach Zielgruppen, mit dokumentierter Teilnahme.
8. Überwachen und verbessern: Kennzahlen, Stichproben, jährliche Aktualisierung der Risikoanalyse.

Woran sich Wirksamkeit messen lässt

Häufige Fragen

Siehe auch: Système de contrôle interne · Three Lines Model · Risikomanagementsystem

Conformité

Conformité

Compliance bezeichnet die Einhaltung aller für das Unternehmen geltenden rechtlichen Vorgaben sowie selbst gesetzter interner Regeln. Der Begriff umfasst mehr als Regeltreue: Er schließt die organisatorische Pflicht der Geschäftsleitung ein, Verstöße durch geeignete Strukturen zu verhindern.

Diese Organisationspflicht ist der eigentliche Kern. Ein Verstoß eines Mitarbeiters begründet für sich genommen noch keine Unternehmenshaftung – die entsteht erst, wenn zumutbare Aufsichtsmaßnahmen unterblieben sind. Compliance ist damit weniger eine Frage des Wollens als des Nachweisens: Was nicht dokumentiert ist, gilt im Verfahren als nicht geschehen.

Siehe auch: Compliance-Management-System · Organisationsverschulden

Conformité

Compliance-Risikoanalyse

Die Compliance-Risikoanalyse identifiziert die für das Unternehmen relevanten Rechtsrisiken und bewertet sie nach Eintrittswahrscheinlichkeit und Schadenspotenzial. Sie ist der Ausgangspunkt jedes CMS und das Element, das im Prüfungsfall zuerst hinterfragt wird.

Vorgehen

1. Rechtskataster erstellen: Welche Rechtsgebiete sind für Geschäftsmodell und Märkte einschlägig?
2. Risikotreiber bestimmen: Auslandsgeschäft, Vermittler, öffentliche Auftraggeber, Bargeldgeschäft, regulierte Produkte
3. Bewerten nach Schadenspotenzial – Bußgeld, Schadensersatz, Ausschluss von Vergaben, Reputationsschaden
4. Bestehende Maßnahmen gegenüberstellen und Lücken identifizieren
5. Priorisieren und im Compliance-Programm mit Fristen hinterlegen

Ohne dokumentierte Risikoanalyse lässt sich nicht begründen, warum bestimmte Maßnahmen ergriffen und andere unterlassen wurden. Genau diese Begründung entscheidet über die Angemessenheit des Systems.

Siehe auch: Compliance-Programm · Compliance-Management-System

Conformité

Compliance-Kultur

Die Compliance-Kultur beschreibt die Grundhaltung im Unternehmen zur Regeltreue. Sie wird maßgeblich vom Verhalten der Führungsebene geprägt und entscheidet darüber, ob Richtlinien gelebt oder umgangen werden.

Prüfer beurteilen sie über Mitarbeiterbefragungen, den Umgang mit vergangenen Verstößen und die Konsistenz von Zielvorgaben und Compliance-Erwartungen. Der aufschlussreichste Indikator ist der Zielkonflikt: Wenn Vertriebsziele nur unter Inkaufnahme fragwürdiger Praktiken erreichbar sind, ist die Kultur unabhängig von jedem Kodex definiert.

Siehe auch: Tone from the Top · Risikokultur

Conformité

Compliance-Programm

Das Compliance-Programm bündelt die aus der Risikoanalyse abgeleiteten Maßnahmen: Richtlinien, Prozesse, Kontrollen, Schulungen und Kommunikationsformate.

Entscheidend ist die risikoorientierte Priorisierung. Ein Programm, das alle Themen gleich behandelt, bindet Ressourcen an Nebenrisiken und lässt die tatsächlichen Hauptrisiken unterbesetzt. Praktisch bedeutet das: In einem Unternehmen mit intensivem Auslandsvertrieb über Vermittler gehören Korruptionsprävention und Geschäftspartnerprüfung an die erste Stelle – nicht die jährliche Datenschutzschulung für alle.

Siehe auch: Compliance-Risikoanalyse · Schulungsmanagement

Conformité

Compliance Officer

Der Compliance Officer verantwortet Aufbau und Betrieb des CMS, berät die Fachbereiche, überwacht die Einhaltung der Regeln und berichtet an die Geschäftsleitung. Entscheidend sind fachliche Unabhängigkeit, ausreichende Ressourcen und ein direkter Berichtsweg.

Die Rechtsprechung hat der Funktion eine besondere Stellung zugewiesen: Wer Compliance-Verantwortung übernimmt, kann im Einzelfall selbst haften, wenn er erkannte Verstöße nicht verfolgt. Die Gesamtverantwortung verbleibt jedoch bei der Geschäftsleitung – delegierbar sind Aufgaben, nicht die Pflicht zu Auswahl, Ausstattung und Überwachung.

Siehe auch: Compliance-Verantwortung der Leitung · CMS

Conformité

Code of Conduct

Der Verhaltenskodex formuliert die verbindlichen Grundsätze für das Verhalten von Mitarbeitenden und Führungskräften – zu Korruption, Interessenkonflikten, Geschenken, Wettbewerb, Diskriminierung und Umgang mit Informationen.

Wirksam wird er erst durch drei Ergänzungen: Konkretisierung in Richtlinien mit klaren Wertgrenzen und Verfahren, verpflichtende Schulung mit dokumentierter Kenntnisnahme und konsequente Sanktionierung von Verstößen. Ein Kodex ohne diese drei Elemente ist ein Imagedokument und im Verfahren wertlos.

Siehe auch: Richtlinienmanagement · Schulungsmanagement

Conformité

Richtlinienmanagement

Das Richtlinienmanagement steuert den Lebenszyklus interner Regelungen: Erstellung, Freigabe, Veröffentlichung, Kenntnisnahme, turnusmäßige Überprüfung und Außerkraftsetzung.

Nachweisbar ist Compliance nur, wenn dokumentiert ist, welche Fassung wann galt und welche Mitarbeitenden sie zur Kenntnis genommen haben. Ein häufiges Versäumnis ist das Fehlen eines Außerkraftsetzungsprozesses: Über Jahre sammeln sich widersprüchliche Regelungen, und im Ernstfall lässt sich nicht mehr feststellen, welche Vorgabe zum Tatzeitpunkt galt.

Siehe auch: Dokumentenlenkung · Code of Conduct

Conformité

Schulungsmanagement

Das Schulungsmanagement plant, führt durch und dokumentiert Compliance-Schulungen risikoorientiert nach Zielgruppen. Nachweisbarkeit ist entscheidend: Teilnahmequoten, Testergebnisse und Wiederholungsintervalle sind die Belege, die im Ernstfall die Angemessenheit stützen.

Siehe auch: Compliance-Programm

Conformité

Korruptionsprävention

Korruptionsprävention umfasst alle Maßnahmen gegen Bestechung und Vorteilsgewährung: Verhaltensregeln zu Geschenken und Einladungen mit Wertgrenzen, Freigabeprozesse für Spenden und Sponsoring, Kontrollen bei Vermittlern und Beratern sowie die Prüfung von Geschäftspartnern.

Typische Risikofelder

• Vermittler und Handelsvertreter: überhöhte Provisionen als verdeckte Zahlungswege
• Amtsträgerkontakt: Genehmigungen, Zoll, Vergabeverfahren – hier gelten strengere Maßstäbe als im Privatgeschäft
• Spenden und Sponsoring: Zuwendungen mit Nähe zu Entscheidungsträgern
• Einladungen und Bewirtung: Angemessenheit und Anlassbezug
• Facilitation Payments: in Deutschland strafbar, auch wenn lokal üblich

Wirksame Einzelmaßnahmen

Der wirksamste Hebel ist selten eine zusätzliche Richtlinie, sondern die Verankerung der Prüfung im Prozess: Ein Vermittlervertrag, der ohne dokumentierte Due Diligence im System gar nicht angelegt werden kann, wirkt stärker als jede Schulung.

Siehe auch: ISO 37001 · Third Party Due Diligence

Conformité

Kartellrechts-Compliance

Kartellrechts-Compliance zielt auf die Vermeidung wettbewerbsbeschränkender Absprachen, des Missbrauchs marktbeherrschender Stellungen und unzulässiger Vertikalvereinbarungen wie Preisbindung der zweiten Hand.

Risikoschwerpunkte sind Verbandstreffen, Messen und jeder Informationsaustausch mit Wettbewerbern – auch über Preise, Kapazitäten oder Kundenzuordnungen. Wegen der Bußgeldhöhe von bis zu zehn Prozent des Konzernumsatzes und der Kronzeugenregelung, die den Erstmelder privilegiert, gehören klare Verhaltensregeln für Wettbewerberkontakte und ein funktionierendes internes Meldesystem zum Standard.

Siehe auch: Système d'alerte professionnelle · Compliance-Risikoanalyse

Conformité

Geldwäscheprävention

Das Geldwäschegesetz verpflichtet bestimmte Unternehmen zu Sorgfaltspflichten gegenüber Vertragspartnern: Identifizierung, Feststellung des wirtschaftlich Berechtigten, Abklärung des Geschäftszwecks, laufende Überwachung und Meldung von Verdachtsfällen an die FIU.

Verpflichtete sind nicht nur Finanzdienstleister, sondern unter anderem auch Güterhändler ab bestimmten Barzahlungsgrenzen, Immobilienmakler und Treuhänder. Sie benötigen ein internes Risikomanagement mit dokumentierter Risikoanalyse, internen Sicherungsmaßnahmen und – ab bestimmter Größe – einem Geldwäschebeauftragten.

Siehe auch: Sanktionsprüfung · Third Party Due Diligence

Conformité

Sanktions- und Embargoprüfung

Die Sanktionsprüfung gleicht Geschäftspartner, Empfänger und Zahlungen mit den Sanktionslisten der EU, der Vereinten Nationen und gegebenenfalls der USA ab. Verstöße sind unabhängig vom Verschulden bußgeldbewehrt und können strafrechtliche Folgen haben.

Die Prüfung muss laufend erfolgen, da Listen kurzfristig geändert werden – ein Abgleich bei Vertragsschluss genügt nicht. In der Praxis erfolgt sie über automatisierte Screening-Läufe im ERP- oder Compliance-System gegen aktualisierte Listen, mit dokumentierter Trefferbearbeitung. Zu beachten ist auch die Eigentumskontrolle: Sanktioniert können Unternehmen sein, die mehrheitlich gelisteten Personen gehören, ohne selbst gelistet zu sein.

Siehe auch: Geschäftspartnerprüfung · Geldwäscheprävention

Conformité

Third Party Due Diligence

Die Geschäftspartner-Due-Diligence prüft Lieferanten, Vermittler, Berater und Vertriebspartner risikoorientiert vor Vertragsschluss – auf wirtschaftliche Verhältnisse, Eigentümerstruktur, Sanktionslistentreffer, Korruptionsindex des Sitzlandes und negative Presseberichte.

Ablauf und Dokumentation

Der Prozess beginnt mit einer Risikoeinstufung anhand weniger objektiver Kriterien – Sitzland, Leistungsart, Volumen, Amtsträgerkontakt, Vermittlerrolle. Erst danach richtet sich die Prüfungstiefe. Das verhindert, dass bei jedem Lieferanten derselbe Aufwand betrieben wird, und macht die Priorisierung gegenüber Prüfern begründbar.

Zu dokumentieren sind Einstufung, durchgeführte Prüfschritte, Ergebnisse, festgestellte Auffälligkeiten und die Freigabeentscheidung einschließlich etwaiger Auflagen. Bei Auffälligkeiten ohne Ablehnung ist die Begründung besonders sorgfältig festzuhalten – genau diese Fälle werden im Ernstfall geprüft. Ergänzend gehören Prüf- und Auditrechte, Compliance-Zusicherungen und außerordentliche Kündigungsrechte in den Vertrag.

Siehe auch: Korruptionsprävention · Lieferantenbewertung

Conformité

Geschäftspartnerprüfung im Bestand

Die Geschäftspartnerprüfung ist die laufende Fortsetzung der Due Diligence: turnusmäßige Wiedervorlage nach Risikoklasse, anlassbezogene Prüfung bei auffälligen Vorgängen und automatisierte Überwachung von Sanktions- und Negativlisten.

Sie verhindert, dass eine einmalige Prüfung bei Vertragsbeginn zum Feigenblatt wird. Auslöser für eine anlassbezogene Prüfung sind unter anderem Gesellschafterwechsel, Änderung der Bankverbindung, ungewöhnliche Provisionsforderungen, Zahlungen in Drittländer und negative Medienberichte.

Siehe auch: Third Party Due Diligence · Sanktionsprüfung

Conformité

Interessenkonflikt

Ein Interessenkonflikt liegt vor, wenn persönliche Interessen die objektive Wahrnehmung dienstlicher Aufgaben beeinflussen können – bei Nebentätigkeiten, Beteiligungen an Lieferanten oder Auftragsvergaben an Angehörige.

Ein Konflikt ist für sich genommen kein Verstoß; problematisch wird erst der unerklärte Konflikt. Übliche Steuerung sind daher Offenlegungspflicht, ein geführtes Register, der Ausschluss von der jeweiligen Entscheidung und – bei wesentlichen Fällen – die Dokumentation der getroffenen Schutzmaßnahmen.

Siehe auch: Code of Conduct · Verstoßmanagement

Conformité

Verstoßmanagement und Case Management

Das Verstoßmanagement regelt den Umgang mit Hinweisen und Verdachtsfällen: Erfassung, Plausibilisierung, interne Untersuchung, Entscheidung über Konsequenzen und Ableitung präventiver Maßnahmen.

Grundsätze der internen Untersuchung

• Trennung von Untersuchung und Entscheidung über Konsequenzen
• Wahrung der Vertraulichkeit und der Rechte betroffener Personen
• Beweissicherung vor der ersten Befragung, nicht danach
• Einbindung des Datenschutzes und gegebenenfalls des Betriebsrats
• Lückenlose Dokumentation jedes Schritts
• Abschluss mit Maßnahmen, die die Ursache beheben – nicht nur den Einzelfall

Siehe auch: Fallbearbeitung im Hinweisgebersystem · Maßnahmenmanagement

Conformité

Compliance-Reporting

Das Compliance-Reporting informiert Geschäftsleitung und Aufsichtsrat über Risikolage, Fallzahlen, Schulungsquoten, Status offener Maßnahmen und regulatorische Änderungen.

Ein aussagekräftiger Bericht bleibt nicht bei Aktivitätskennzahlen stehen. Die Zahl durchgeführter Schulungen sagt wenig; die Frage, ob die Maßnahmen die identifizierten Hauptrisiken abdecken und ob die Kontrollen wirken, beantwortet den Informationsbedarf des Aufsichtsorgans. Auffällig niedrige Meldezahlen sind dabei kein Erfolg, sondern ein Warnsignal für fehlendes Vertrauen in das Meldesystem.

Siehe auch: Système d'alerte professionnelle · Risikoreporting

Conformité

Tone from the Top

Tone from the Top beschreibt die sichtbare Haltung der Unternehmensleitung zu Integrität und Regeltreue – ausgedrückt in Kommunikation, Zielsystemen, Beförderungsentscheidungen und im Umgang mit aufgedeckten Verstößen.

Er gilt als wichtigster Einzelfaktor für die Wirksamkeit eines CMS. Der Grund ist einfach: Beschäftigte orientieren sich nicht an Dokumenten, sondern an dem, was in ihrem Umfeld folgenlos bleibt. Wird ein umsatzstarker Vertriebsleiter trotz belegtem Verstoß befördert, ist jede Schulung entwertet – ergänzt wird der Begriff daher zunehmend um den „Tone from the Middle", da die mittlere Führungsebene den Alltag prägt.

Siehe auch: Compliance-Kultur

Conformité

Organisationsverschulden

Organisationsverschulden bezeichnet die Verletzung der Pflicht, den Betrieb so zu organisieren, dass Rechtsverstöße verhindert werden. Nach §§ 30, 130 OWiG können Unternehmen und Leitungspersonen mit Bußgeldern belegt werden, wenn Aufsichtsmaßnahmen unterblieben sind.

Das ist die zentrale rechtliche Begründung für ein dokumentiertes CMS – und zugleich der Grund, warum Dokumentation kein Selbstzweck ist: Im Verfahren muss das Unternehmen darlegen, welche Aufsichtsmaßnahmen getroffen wurden. Gelingt das nicht, wird zugunsten der Behörde unterstellt, dass sie unterblieben sind.

Siehe auch: §§ 30, 130 OWiG · Compliance-Management-System

Système d'alerte professionnelle

Whistleblowing und Hinweisgebersystem

Ein Hinweisgebersystem ermöglicht Beschäftigten und Dritten, Rechtsverstöße vertraulich zu melden. Es ist zugleich gesetzliche Pflicht und wirksamstes Aufdeckungsinstrument: Ein erheblicher Teil aller Wirtschaftsdelikte wird über Hinweise entdeckt, nicht über Kontrollen oder Prüfungen.

Was über die Akzeptanz entscheidet

• Vertrauen in die Vertraulichkeit: getrenntes Berechtigungskonzept, keine Einsicht durch Vorgesetzte
• Erreichbarkeit: mehrere Kanäle, auch für externe Dritte und in den Sprachen der Belegschaft
• Rückmeldung: Wer nie erfährt, ob etwas passiert ist, meldet kein zweites Mal
• Sichtbare Konsequenzen: anonymisierte Berichterstattung über bearbeitete Fälle
• Schutz vor Repressalien: nicht nur rechtlich, sondern erkennbar gelebt

Niedrige Meldezahlen sind kein Qualitätsbeweis. Ein System ohne Meldungen ist in aller Regel ein System ohne Vertrauen – nicht ein Unternehmen ohne Verstöße.

Einführung und Betrieb

Die Einführung entscheidet über die spätere Nutzung. Bewährt hat sich, das System vor dem Start gemeinsam mit dem Betriebsrat auszugestalten, die Verfahrensordnung zu veröffentlichen und die Kommunikation nicht als Pflichtmitteilung, sondern als Einladung zu formulieren: Es geht darum, Probleme früh zu erfahren, nicht darum, Kollegen anzuzeigen.

Im Betrieb sind drei Kennzahlen aussagekräftig: die Zahl der Meldungen im Verhältnis zur Belegschaftsgröße, der Anteil der Meldungen, die zu Maßnahmen führen, und die durchschnittliche Zeit bis zur ersten Rückmeldung. Auffällig ist weniger eine hohe als eine dauerhaft sehr niedrige Meldezahl – sie deutet auf fehlendes Vertrauen oder mangelnde Bekanntheit hin, nicht auf Regeltreue.

Siehe auch: Hinweisgeberschutzgesetz · Interne Meldestelle

Système d'alerte professionnelle

Interne Meldestelle

Die interne Meldestelle nimmt Hinweise entgegen, bestätigt den Eingang, prüft die Stichhaltigkeit, hält Kontakt zur hinweisgebenden Person und ergreift Folgemaßnahmen. Unternehmen ab 50 Beschäftigten müssen sie einrichten.

Die beauftragten Personen müssen unabhängig und fachkundig sein. Die Aufgabe kann intern vergeben – etwa an Compliance, Recht oder Interne Revision – oder an einen externen Dritten ausgelagert werden, häufig an eine Kanzlei oder einen Ombudsmann. Die Verantwortung für die Einrichtung und die Erfüllung der Pflichten verbleibt in jedem Fall beim Unternehmen.

Siehe auch: Externe Meldestelle · Vertraulichkeitsgebot

Système d'alerte professionnelle

Externe Meldestelle

Neben der internen Meldestelle steht hinweisgebenden Personen eine externe Meldestelle offen – in Deutschland beim Bundesamt für Justiz, bei besonderen Zuständigkeiten bei BaFin und Bundeskartellamt.

Hinweisgebende Personen haben die Wahl zwischen internem und externem Weg; eine Pflicht zur vorherigen internen Meldung besteht nicht. Genau darin liegt das Eigeninteresse des Unternehmens: Ein leicht erreichbares, vertrauenswürdiges internes System erhöht die Wahrscheinlichkeit, dass ein Missstand zuerst intern bekannt wird und intern behoben werden kann.

Siehe auch: Interne Meldestelle · HinSchG

Système d'alerte professionnelle

EU-Whistleblower-Richtlinie

Die Richtlinie (EU) 2019/1937 begründet den europaweiten Mindestschutz für Personen, die Verstöße gegen Unionsrecht melden. Sie verpflichtet zu internen Meldekanälen, definiert Fristen und verbietet Repressalien.

Für Unternehmen mit Tochtergesellschaften in mehreren Mitgliedstaaten ist die nationale Umsetzung relevant: Sie unterscheidet sich in Details, etwa bei der Zulässigkeit konzernweiter Meldestellen und beim sachlichen Anwendungsbereich. Ein konzerneinheitliches System ist möglich, muss aber die jeweils strengere nationale Anforderung erfüllen.

Siehe auch: Hinweisgeberschutzgesetz

Système d'alerte professionnelle

Anonyme Meldung

Anonyme Meldungen erfolgen ohne Preisgabe der Identität. Nach dem HinSchG sollen sie bearbeitet werden; eine Pflicht, anonyme Meldekanäle vorzuhalten, besteht nicht.

Praktisch sind sie dennoch zu empfehlen. Die Hemmschwelle sinkt deutlich, und über anonymisierte Dialogfunktionen bleibt die Rückfrage möglich – der entscheidende Punkt, weil anonyme Meldungen ohne Nachfragemöglichkeit häufig zu unspezifisch für eine Untersuchung sind. Digitale Systeme lösen das über ein anonymes Postfach mit Zugangscode.

Siehe auch: Meldekanal · Fallbearbeitung

Système d'alerte professionnelle

Meldekanal

Meldekanäle sind die Wege, über die Hinweise eingehen können – mündlich per Telefon, persönlich auf Wunsch, schriftlich oder über ein digitales Meldesystem.

Siehe auch: Anonyme Meldung · Interne Meldestelle

Système d'alerte professionnelle

Fallbearbeitung im Hinweisgebersystem

Die Fallbearbeitung folgt einem definierten Ablauf: Eingangsbestätigung, Plausibilitätsprüfung, Untersuchung, Entscheidung über Maßnahmen und Rückmeldung an die hinweisgebende Person.

Jeder Schritt ist zu dokumentieren – als Nachweis der Fristenwahrung und zur Beweissicherung für spätere arbeits- oder strafrechtliche Verfahren. Zu regeln ist außerdem der Umgang mit Fällen, die die Meldestelle selbst betreffen oder die Geschäftsleitung: Für diese Konstellation braucht es einen vorab definierten Eskalationsweg, in der Regel direkt an das Aufsichtsorgan.

Siehe auch: Verstoßmanagement · Fristen im Meldeverfahren

Système d'alerte professionnelle

Vertraulichkeitsgebot

Das Vertraulichkeitsgebot verpflichtet die Meldestelle, die Identität der hinweisgebenden Person, der betroffenen Personen und weiterer Genannter zu schützen. Eine Weitergabe ist nur in eng begrenzten gesetzlichen Ausnahmefällen zulässig.

Organisatorisch erfordert das ein strikt getrenntes Berechtigungskonzept: Vorgesetzte dürfen keinen Zugriff auf Fälle ihres eigenen Bereichs haben, und auch IT-Administratoren sollten keine Einsicht in Fallinhalte nehmen können. Genau an dieser Anforderung scheitern improvisierte Lösungen über E-Mail-Postfächer oder Netzlaufwerke.

Siehe auch: Modèle des rôles et des droits · Repressalienverbot

Système d'alerte professionnelle

Repressalienverbot

Hinweisgebende Personen dürfen wegen einer berechtigten Meldung nicht benachteiligt werden – weder durch Kündigung, Abmahnung oder Versetzung noch durch das Zurückhalten von Beförderungen oder Weiterbildung.

Das Gesetz kehrt die Beweislast um: Erleidet eine Person nach einer Meldung eine Benachteiligung, muss das Unternehmen belegen, dass diese auf anderen Gründen beruht. Praktisch folgt daraus eine klare Empfehlung: Personalmaßnahmen gegenüber hinweisgebenden Personen sind besonders sorgfältig zu dokumentieren und sollten vorab rechtlich geprüft werden.

Siehe auch: HinSchG · Système d'alerte professionnelle

Système d'alerte professionnelle

Fristen im Meldeverfahren

Nach dem HinSchG ist der Eingang einer Meldung innerhalb von sieben Tagen zu bestätigen; die Rückmeldung über geplante oder ergriffene Folgemaßnahmen muss spätestens drei Monate nach der Eingangsbestätigung erfolgen.

Beide Fristen gelten unabhängig davon, ob sich der Hinweis als berechtigt erweist, und ihre Verletzung ist bußgeldbewehrt. Die Rückmeldung darf laufende Ermittlungen nicht gefährden – zulässig und üblich ist deshalb eine Information über den Verfahrensstand ohne Details zu Inhalt und beteiligten Personen. Die Fristenüberwachung gehört zwingend systemseitig abgesichert, nicht in eine Wiedervorlage im Kalender.

Siehe auch: HinSchG · Fallbearbeitung

Lieferkette & ESG

Sorgfaltspflichten in der Lieferkette

Die Sorgfaltspflichten verlangen, menschenrechtliche und umweltbezogene Risiken in der eigenen Geschäftstätigkeit und bei Zulieferern zu ermitteln, zu vermeiden und zu minimieren. Sie sind als Bemühenspflicht ausgestaltet – geschuldet ist ein angemessenes, dokumentiertes Vorgehen.

Die Angemessenheit bemisst sich nach vier Kriterien: Art und Umfang der Geschäftstätigkeit, Einflussvermögen auf den Verursacher, Schwere und Umkehrbarkeit der Verletzung sowie Art des Verursachungsbeitrags. Diese Kriterien sind der Maßstab, an dem im Prüfungsfall gemessen wird – und der Grund, warum ein kleiner Zulieferbetrieb andere Maßnahmen schuldet als ein Konzern mit Direktbezug aus Hochrisikoländern.

Siehe auch: LkSG · CSDDD

Lieferkette & ESG

Risikoanalyse nach LkSG

Die LkSG-Risikoanalyse ermittelt jährlich und anlassbezogen die menschenrechtlichen und umweltbezogenen Risiken im eigenen Geschäftsbereich und bei unmittelbaren Zulieferern.

Zweistufiges Vorgehen

1. Abstrakte Risikoermittlung: Bewertung des Lieferantenportfolios anhand von Länderindizes, Branchenrisiken und Rohstoffrisiken – dies geschieht datenbasiert über das gesamte Portfolio.
2. Konkrete Risikoermittlung: Vertiefung bei den priorisierten Lieferanten über Selbstauskünfte, Audits, Vor-Ort-Besuche und Beschwerdedaten.
3. Priorisierung: Gewichtung nach Schwere, Umkehrbarkeit, Wahrscheinlichkeit, Verursachungsbeitrag und Einflussvermögen.
4. Ableitung: Übersetzung in Präventions- und gegebenenfalls Abhilfemaßnahmen mit Fristen.

Anlassbezogen ist die Analyse zu wiederholen, wenn sich das Risikoprofil ändert – etwa bei neuen Beschaffungsmärkten, neuen Produkten oder substantiierter Kenntnis über Verstöße bei mittelbaren Zulieferern.

Siehe auch: Lieferantenbewertung · Präventionsmaßnahmen

Lieferkette & ESG

Präventionsmaßnahmen

Präventionsmaßnahmen sollen erkannte Risiken gar nicht erst zu Verstößen werden lassen. Sie sind im eigenen Geschäftsbereich und gegenüber unmittelbaren Zulieferern zu verankern und mindestens jährlich auf Wirksamkeit zu überprüfen.

• Verankerung der Erwartungen in Einkaufsbedingungen und Lieferantenkodex
• Berücksichtigung von Nachhaltigkeitskriterien bei Auswahl und Vergabe
• Schulungen in Einkauf, Qualitätssicherung und den betroffenen Fachbereichen
• Vertragliche Zusicherungen mit Weitergabepflicht in die Kette
• Risikobasierte Kontrollmechanismen wie Audits und Stichproben

Siehe auch: Lieferantenaudit · Abhilfemaßnahmen

Lieferkette & ESG

Abhilfemaßnahmen

Liegt ein Verstoß vor oder droht unmittelbar, sind Abhilfemaßnahmen zu ergreifen. Im eigenen Geschäftsbereich muss die Verletzung beendet werden; bei Zulieferern ist ein Konzept mit konkretem Zeitplan zu erstellen.

Der Abbruch der Geschäftsbeziehung ist ausdrücklich das letzte Mittel. Der Gesetzgeber geht davon aus, dass ein Rückzug die Lage der Betroffenen meist verschlechtert – erwartet wird deshalb zunächst die Zusammenarbeit zur Verbesserung, gegebenenfalls im Verbund mit anderen Abnehmern.

Siehe auch: Präventionsmaßnahmen · Beschwerdeverfahren

Lieferkette & ESG

Grundsatzerklärung

Die Grundsatzerklärung ist das von der Geschäftsleitung verabschiedete öffentliche Bekenntnis zur Achtung der Menschenrechte. Sie ist kein Leitbildtext, sondern ein Dokument mit vorgegebenem Mindestinhalt.

• Beschreibung des Verfahrens zur Ermittlung der Risiken
• Benennung der für das Unternehmen prioritären Risiken
• Festlegung der menschenrechts- und umweltbezogenen Erwartungen an Beschäftigte und Zulieferer
• Kommunikation an Beschäftigte, Betriebsrat, Zulieferer und Öffentlichkeit

Siehe auch: LkSG · Menschenrechtsbeauftragter

Lieferkette & ESG

Berichterstattung an die Behörde

Berichtspflichtige Unternehmen dokumentieren die Erfüllung ihrer Sorgfaltspflichten und legen der zuständigen Behörde einen Bericht vor, der zugleich öffentlich zugänglich zu machen ist.

Inhaltlich beschreibt er identifizierte Risiken, ergriffene Maßnahmen, deren Wirksamkeitsbewertung und die daraus gezogenen Schlussfolgerungen. Umfang, Format und Rhythmus unterliegen der laufenden europäischen Harmonisierung; die zugrunde liegende Dokumentationspflicht bleibt davon unberührt – wer sauber dokumentiert, kann jede Berichtsform bedienen.

Siehe auch: LkSG · CSDDD

Lieferkette & ESG

Menschenrechtsbeauftragter

Der Menschenrechtsbeauftragte überwacht das Risikomanagement zu den Sorgfaltspflichten und berichtet der Geschäftsleitung regelmäßig, mindestens jährlich.

Die Funktion kann an bestehende Rollen angebunden werden – Compliance, Nachhaltigkeit oder Einkaufsleitung –, muss aber klar zugewiesen und mit ausreichenden Befugnissen ausgestattet sein. Ein Interessenkonflikt ist zu vermeiden: Wer für Einkaufspreise verantwortlich ist, sollte nicht allein darüber entscheiden, ob ein Lieferant wegen Menschenrechtsrisiken ausgetauscht wird.

Siehe auch: Grundsatzerklärung

Lieferkette & ESG

Beschwerdeverfahren

Das Beschwerdeverfahren ermöglicht Betroffenen entlang der Lieferkette, auf Risiken und Verletzungen hinzuweisen. Anforderungen sind Zugänglichkeit – auch sprachlich –, Vertraulichkeit, Schutz vor Benachteiligung und eine öffentlich zugängliche Verfahrensordnung.

In der Praxis wird es häufig technisch mit dem Hinweisgebersystem zusammengeführt. Das ist zulässig und sinnvoll, erfordert aber Anpassungen: mehrsprachige Oberfläche, niedrigschwelliger Zugang ohne Unternehmens-Login und eine Fallbearbeitung, die auch Meldungen externer Betroffener sachgerecht behandelt.

Siehe auch: Système d'alerte professionnelle · Abhilfemaßnahmen

Lieferkette & ESG

Lieferantenbewertung

Die Lieferantenbewertung ordnet Zulieferer nach Risikogehalt ein und verbindet Qualitäts-, Liefer- und Nachhaltigkeitskriterien mit Länder- und Branchenrisiken.

Siehe auch: Risikoanalyse nach LkSG · Third Party Due Diligence

Lieferkette & ESG

Lieferantenaudit

Das Lieferantenaudit prüft vor Ort oder remote, ob ein Zulieferer die vereinbarten Standards einhält. Es ergänzt Selbstauskünfte, die allein als Nachweis regelmäßig nicht genügen.

Wirksam wird es durch drei Elemente: unangekündigte oder kurzfristig angekündigte Termine bei erhöhtem Risiko, Einbeziehung von Beschäftigtengesprächen statt reiner Dokumentenprüfung und verbindliche Maßnahmenpläne mit Nachaudit. Ein Audit ohne Nachverfolgung erzeugt Dokumentation, aber keine Verbesserung.

Siehe auch: Lieferantenbewertung · Präventionsmaßnahmen

Lieferkette & ESG

Nachhaltigkeitsberichterstattung

Die Nachhaltigkeitsberichterstattung legt Umwelt-, Sozial- und Governance-Informationen nach verbindlichen Standards offen. Mit der CSRD wird sie Teil des Lageberichts, prüfpflichtig und digital auswertbar.

Damit gelten für nichtfinanzielle Daten dieselben Anforderungen wie für Finanzdaten: definierte Prozesse, Kontrollen, Nachvollziehbarkeit der Herkunft und Belegführung. Das ist der eigentliche Umbruch – nicht der Berichtsinhalt, sondern die Notwendigkeit eines Kontrollsystems für Daten, die bisher aus Excel-Abfragen und Schätzungen stammten.

Siehe auch: CSRD · IDW PS 982

Lieferkette & ESG

Doppelte Wesentlichkeitsanalyse

Die doppelte Wesentlichkeitsanalyse bestimmt, über welche Nachhaltigkeitsthemen berichtet werden muss. Sie prüft zwei Richtungen: die Auswirkungen des Unternehmens auf Mensch und Umwelt und die finanziellen Auswirkungen von Nachhaltigkeitsthemen auf das Unternehmen.

Ein Thema ist berichtspflichtig, wenn es aus einer der beiden Perspektiven wesentlich ist. Die Analyse einschließlich Stakeholder-Einbindung, Schwellenwerten und Begründung der Ergebnisse ist vollständig zu dokumentieren – sie ist der erste Prüfungsgegenstand.

Vorgehen in der Praxis

1. Themenuniversum bilden: ausgehend von den ESRS-Themen, ergänzt um branchenspezifische Sachverhalte entlang der eigenen Wertschöpfungskette
2. Stakeholder identifizieren und einbinden: Beschäftigte, Kunden, Lieferanten, Kapitalgeber, betroffene Gemeinschaften
3. Impact bewerten: je Thema Schweregrad, Umfang, Unumkehrbarkeit und – bei potenziellen Auswirkungen – Wahrscheinlichkeit
4. Finanzielle Wesentlichkeit bewerten: Risiken und Chancen mit Eintrittswahrscheinlichkeit und finanzieller Auswirkung, methodisch identisch zum Risikomanagement
5. Schwellenwerte festlegen und begründen – der am häufigsten beanstandete Schritt
6. Ergebnis dokumentieren: Themenliste, Bewertung, Schwellen, Beteiligte, Entscheidungen

Die finanzielle Perspektive sollte aus dem bestehenden Risikoprozess gespeist werden, nicht parallel erhoben. Andernfalls entstehen zwei Bewertungen desselben Sachverhalts, die sich im Zweifel widersprechen – ein Befund, den jeder Prüfer sofort findet.

Siehe auch: ESRS · Wesentlichkeit

Lieferkette & ESG

ESG-Risiken

ESG-Risiken sind Risiken aus Umwelt-, Sozial- und Governance-Faktoren, die sich finanziell auswirken können – CO₂-Bepreisung, Lieferkettenunterbrechungen durch Extremwetter, Reputationsschäden, erschwerter Kapitalzugang.

Sie sind keine eigene Risikowelt, sondern eine Ursachenkategorie. Methodisch gehören sie in das bestehende Risikoinventar mit denselben Skalen und derselben Aggregationslogik. Ihre Besonderheit liegt im Zeithorizont: Während operative Risiken im Planungszeitraum wirken, entfalten Klimarisiken ihre Wirkung häufig erst über fünf bis fünfzehn Jahre – was eine getrennte Betrachtung von Zeithorizonten erfordert.

Siehe auch: Nachhaltigkeitsrisiken im RMS · Klimarisiken

Lieferkette & ESG

Klimarisiken

Klimarisiken werden in physische und transitorische Risiken unterschieden. Physische entstehen aus Extremwetterereignissen und langfristigen Klimaveränderungen, transitorische aus dem Übergang zur klimaneutralen Wirtschaft.

Beide Typen sind szenariobasiert über mehrere Zeithorizonte zu analysieren – die ESRS verlangen dafür ausdrücklich Szenarioanalysen.

Siehe auch: Szenarioanalyse · TCFD

Lieferkette & ESG

Scope-1-, -2- und -3-Emissionen

Das Greenhouse Gas Protocol unterteilt Treibhausgasemissionen in drei Bereiche: direkte Emissionen aus eigenen Quellen, indirekte Emissionen aus bezogener Energie und alle übrigen Emissionen der Wertschöpfungskette.

Scope 3 ist in den meisten Branchen der weitaus größte Block – häufig über achtzig Prozent der Gesamtemissionen – und zugleich der datenseitig schwierigste. Der übliche Weg führt über Durchschnittsfaktoren im ersten Schritt und die schrittweise Ablösung durch Primärdaten der wichtigsten Lieferanten.

Vorgehen bei Scope 3

1. Die fünfzehn Scope-3-Kategorien auf Relevanz prüfen – meist sind drei bis fünf wesentlich
2. Im ersten Jahr mit Durchschnittsfaktoren auf Basis von Einkaufsvolumen und Mengen rechnen
3. Die größten Emissionsquellen identifizieren und dort Primärdaten bei Lieferanten anfragen
4. Datenqualität je Kategorie dokumentieren – Primärdaten, Sekundärdaten oder Schätzung
5. Schrittweise Verbesserung planen statt sofortiger Vollerhebung

Der Berichtsstandard verlangt keine perfekte Datenlage, wohl aber Transparenz über Methodik und Unsicherheit. Eine offengelegte Schätzung mit nachvollziehbarer Herleitung ist belastbarer als eine scheingenaue Zahl ohne Quellenangabe.

Siehe auch: CO₂-Bilanzierung · ESRS

Lieferkette & ESG

CO₂-Bilanzierung

Die CO₂-Bilanzierung erfasst die Treibhausgasemissionen eines Unternehmens systematisch, meist nach dem Greenhouse Gas Protocol. Sie ist Grundlage für Reduktionsziele, Transformationspläne und die Berichterstattung nach ESRS.

Zu klären sind zuerst die Bilanzgrenzen: Welche Gesellschaften werden einbezogen, nach Beteiligungs- oder nach Kontrollansatz? Ohne diese Festlegung sind Vergleiche über Jahre hinweg wertlos. Ebenso wichtig ist ein festes Basisjahr mit definierten Regeln für Neuberechnungen bei Zukäufen und Verkäufen – sonst sinken Emissionen rechnerisch, ohne dass sich etwas geändert hat.

Siehe auch: Scope-Emissionen · Greenwashing

Lieferkette & ESG

TCFD

Die Empfehlungen der Task Force on Climate-related Financial Disclosures strukturieren die Berichterstattung über Klimarisiken entlang von vier Säulen: Governance, Strategie, Risikomanagement sowie Kennzahlen und Ziele.

Sie sind inhaltlich weitgehend in die ESRS und in internationale Standards eingeflossen und prägen deren Aufbau bis heute. Für Unternehmen, die bereits nach TCFD berichtet haben, ist der Übergang auf die ESRS deshalb eher eine Erweiterung als ein Neuanfang – insbesondere die Säule Risikomanagement lässt sich weitgehend übernehmen.

Siehe auch: Klimarisiken · ESRS

Lieferkette & ESG

Greenwashing

Greenwashing bezeichnet die Darstellung von Produkten oder Unternehmen als nachhaltiger, als sie tatsächlich sind. Es ist ein Compliance- und Haftungsrisiko, kein reines Kommunikationsthema.

Unzutreffende Umweltaussagen sind wettbewerbsrechtlich angreifbar; Abmahnungen und Unterlassungsklagen sind in der Praxis häufig. Bei berichtspflichtigen Angaben kommen aufsichtsrechtliche Folgen hinzu. Wirksamste Prävention ist ein Freigabeprozess für Nachhaltigkeitsaussagen mit belegter Datengrundlage – dieselbe Logik, die für Finanzkommunikation seit Langem selbstverständlich ist.

Siehe auch: Nachhaltigkeitsberichterstattung · CO₂-Bilanzierung

Lieferkette & ESG

Nachhaltigkeitsrisiken im Risikomanagementsystem

Nachhaltigkeitsrisiken gehören methodisch in das bestehende Risikomanagementsystem: gleiche Bewertungslogik, gleiche Skalen, gleiche Aggregation.

Ein separates ESG-Risikoregister führt zu widersprüchlichen Aussagen gegenüber Aufsichtsrat und Prüfer und verhindert, dass Nachhaltigkeitsrisiken in der Gesamtrisikoposition sichtbar werden. Praktisch bedeutet Integration: ESG wird als Ursachenkategorie ergänzt, die Bewertung erfolgt in denselben Bandbreiten, und die Zeithorizonte werden um mittel- und langfristige Betrachtungen erweitert.

Siehe auch: ESG-Risiken · Risikokategorien

Lieferkette & ESG

ILO-Kernarbeitsnormen

Die Kernarbeitsnormen der Internationalen Arbeitsorganisation umfassen Vereinigungsfreiheit und Recht auf Kollektivverhandlungen, das Verbot von Zwangs- und Kinderarbeit, das Diskriminierungsverbot sowie den Arbeitsschutz.

Sie bilden den inhaltlichen Maßstab der geschützten Rechtspositionen im LkSG und in den europäischen Regelwerken. Für die Praxis bedeutet das: Lieferantenkodex, Selbstauskunft und Auditkatalog sollten sich an diesen Normen orientieren, damit die Nachweise anschlussfähig an die gesetzlichen Anforderungen sind.

Siehe auch: Sorgfaltspflichten · Lieferantenaudit

Lieferkette & ESG

Konfliktmineralien

Die EU-Konfliktmineralien-Verordnung verpflichtet Importeure von Zinn, Tantal, Wolfram und Gold zu Sorgfaltspflichten in der Lieferkette, um die Finanzierung bewaffneter Konflikte zu vermeiden.

Gefordert sind ein Managementsystem, Risikoermittlung entlang der Kette bis zur Schmelze, unabhängige Prüfung durch Dritte und die jährliche Offenlegung der Ergebnisse. Auch Unternehmen, die nicht selbst importieren, sind mittelbar betroffen: Sie werden von Kunden zur Herkunftsauskunft aufgefordert und benötigen dafür Angaben ihrer eigenen Lieferanten.

Siehe auch: Sorgfaltspflichten

IT & Informationssicherheit

SMSI

Ein Informationssicherheits-Managementsystem ist der strukturierte Rahmen zum Schutz von Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. Es umfasst Sicherheitsleitlinie, Rollen, Risikoanalyse, Maßnahmen und kontinuierliche Verbesserung.

Methodisch entspricht es dem Risikomanagement – weshalb ISMS und RMS idealerweise dieselbe Bewertungsskala nutzen. In der Praxis laufen sie häufig getrennt: Die IT bewertet in Schutzbedarfsklassen, das Risikomanagement in Euro. Die Folge ist, dass ein als „hoch" eingestuftes IT-Risiko in der Gesamtrisikoposition nicht auftaucht. Die Verbindung beider Skalen ist deshalb einer der wirksamsten Integrationsschritte.

Siehe auch: ISO 27001 · Schutzbedarfsfeststellung

IT & Informationssicherheit

ISO 27001

ISO/IEC 27001 ist der international führende, zertifizierbare Standard für Informationssicherheits-Managementsysteme. Die Fassung von 2022 gliedert die Maßnahmen des Anhangs A in vier Themenbereiche: organisatorisch, personell, physisch und technologisch.

Eine Zertifizierung ist im B2B-Geschäft zunehmend Voraussetzung für die Lieferantenzulassung, insbesondere bei Cloud- und IT-Dienstleistern sowie im Automotive- und Gesundheitsbereich. Der Aufwand liegt weniger in der Technik als in der Dokumentation: Anwendungsbereich, Risikobehandlungsplan, Erklärung zur Anwendbarkeit und der Nachweis eines gelebten Verbesserungszyklus.

Typischer Projektverlauf

1. Anwendungsbereich festlegen – welche Standorte, Prozesse und Systeme werden einbezogen?
2. Sicherheitsleitlinie verabschieden und Rollen benennen
3. Werte und Systeme inventarisieren, Schutzbedarf feststellen
4. Risikoanalyse durchführen und Risikobehandlungsplan erstellen
5. Maßnahmen des Anhangs A prüfen, auswählen und die Erklärung zur Anwendbarkeit erstellen
6. Umsetzung, Schulung, internes Audit und Managementbewertung
7. Zertifizierungsaudit in zwei Stufen, danach jährliche Überwachungsaudits

Realistisch sind neun bis achtzehn Monate bis zum Zertifikat, abhängig vom Reifegrad. Der größte Einzelposten ist selten die Technik, sondern die Dokumentation vorhandener Abläufe – vieles wird bereits sicher betrieben, nur nicht nachweisbar.

Siehe auch: SMSI · BSI IT-Grundschutz

IT & Informationssicherheit

BSI IT-Grundschutz

Der IT-Grundschutz des BSI bietet ein methodisches Vorgehen mit umfangreichen Bausteinen für typische Systeme und Prozesse. Über die BSI-Standards 200-1 bis 200-4 deckt er Managementsystem, Vorgehensweise, Risikoanalyse und Business Continuity ab.

Gegenüber ISO 27001 ist er deutlich konkreter: Statt „angemessene Maßnahmen" zu fordern, benennt er sie bausteinweise. Das senkt den Konzeptionsaufwand erheblich, erhöht aber den Dokumentationsumfang. Im öffentlichen Sektor und bei dessen Auftragnehmern ist er der faktische Standard; eine Zertifizierung auf Basis von ISO 27001 ist möglich.

Siehe auch: ISO 27001 · Business Continuity Management

IT & Informationssicherheit

Schutzbedarfsfeststellung

Die Schutzbedarfsfeststellung ordnet Anwendungen, Systemen und Daten einen Schutzbedarf in den Kategorien Vertraulichkeit, Integrität und Verfügbarkeit zu – üblicherweise in den Stufen normal, hoch und sehr hoch.

Sie steuert die Tiefe der nachfolgenden Risikoanalyse und die Auswahl der Maßnahmen und verhindert, dass überall gleich stark investiert wird. Wichtig sind zwei Vererbungsregeln: Der Schutzbedarf einer Anwendung überträgt sich auf die Systeme, auf denen sie läuft (Maximumprinzip), und die Häufung vieler Systeme mit normalem Bedarf kann in Summe einen höheren Bedarf begründen (Kumulationseffekt).

Siehe auch: SMSI · Business Impact Analyse

IT & Informationssicherheit

Business Impact Analyse (BIA)

Die Business Impact Analyse ermittelt, welche Geschäftsprozesse zeitkritisch sind und welche Schäden ein Ausfall je Zeiteinheit verursacht. Ergebnis sind Wiederanlaufzeiten und Prioritäten.

Vorgehen

1. Geschäftsprozesse erheben und Verantwortliche benennen
2. Schadensverlauf über die Zeit bestimmen: Was kostet ein Ausfall nach 4 Stunden, 1 Tag, 1 Woche?
3. Maximal tolerierbare Ausfallzeit je Prozess festlegen
4. Abhängigkeiten ermitteln: IT-Systeme, Standorte, Personal, Lieferanten
5. Daraus RTO und RPO für die unterstützenden Systeme ableiten

Der häufigste Fehler ist, die BIA von der IT durchführen zu lassen. Die Frage, wie lange ein Prozess ausfallen darf, beantwortet der Fachbereich – die IT leitet daraus die technischen Anforderungen ab.

Siehe auch: Business Continuity Management · RTO und RPO

IT & Informationssicherheit

Business Continuity Management (BCM)

Business Continuity Management sichert die Aufrechterhaltung kritischer Geschäftsprozesse bei schwerwiegenden Störungen. Es umfasst Business Impact Analyse, Notfallstrategien, Notfallpläne, Übungen und laufende Aktualisierung.

Übungsformate

Eine jährliche Tabletop-Übung mit dem Krisenstab und ein technischer Wiederanlauftest der kritischsten Systeme sind das realistische Minimum. Entscheidend ist die Nachbereitung: Ohne dokumentierte Lessons Learned und daraus abgeleitete Maßnahmen bleibt die Übung folgenlos.

Siehe auch: Business Impact Analyse · Notfallmanagement

IT & Informationssicherheit

Notfallmanagement

Das Notfallmanagement regelt Alarmierung, Krisenstabsarbeit, Kommunikation und Wiederanlauf bei akuten Störungen. Es definiert Rollen und Entscheidungsbefugnisse für Situationen, in denen reguläre Abläufe nicht greifen.

Typische Schwachstellen sind veraltete Kontaktlisten, Pläne, die ausschließlich in den ausgefallenen Systemen liegen, und ungeklärte Entscheidungsbefugnisse – etwa die Frage, wer nachts über die Abschaltung der Produktion entscheiden darf. Ein Krisenstab braucht zudem einen definierten Vertreterkreis: Der Ernstfall hält sich nicht an Urlaubspläne.

Siehe auch: BCM · IT-Notfallhandbuch

IT & Informationssicherheit

RTO und RPO

Die Recovery Time Objective gibt an, innerhalb welcher Zeit ein System nach einem Ausfall wieder verfügbar sein muss. Die Recovery Point Objective beschreibt den maximal tolerierbaren Datenverlust, gemessen als Zeitraum seit der letzten Sicherung.

Beide Werte werden in der Business Impact Analyse durch den Fachbereich festgelegt – sie sind eine betriebswirtschaftliche, keine technische Entscheidung.

Siehe auch: Business Impact Analyse

IT & Informationssicherheit

IT-Notfallhandbuch

Das IT-Notfallhandbuch dokumentiert Systeme, Abhängigkeiten, Wiederanlaufreihenfolgen, Ansprechpartner und Sofortmaßnahmen.

Es muss offline und an einem alternativen Standort verfügbar sein – ein Handbuch, das nur im verschlüsselten Netzlaufwerk liegt, ist bei einem Ransomware-Angriff wertlos. Bewährt haben sich ausgedruckte Exemplare an definierten Orten sowie eine Kopie bei einem externen Dienstleister, ergänzt um eine jährliche Aktualitätsprüfung im Rahmen der Notfallübung.

Siehe auch: Notfallmanagement · Cyberrisiko

IT & Informationssicherheit

NIS2

Die NIS-2-Richtlinie erweitert die europäischen Cybersicherheitsanforderungen auf deutlich mehr Sektoren und Unternehmen. Gefordert sind Risikomanagementmaßnahmen für die Netz- und Informationssicherheit, Meldepflichten bei erheblichen Vorfällen, Anforderungen an die Lieferkette sowie eine ausdrückliche Verantwortung und Schulungspflicht der Leitungsorgane.

Die geforderten Maßnahmenbereiche

• Risikoanalyse und Konzepte für die Sicherheit von Informationssystemen
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs, Backup-Management und Krisenmanagement
• Sicherheit der Lieferkette einschließlich der Beziehungen zu Dienstleistern
• Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen
• Bewertung der Wirksamkeit der Maßnahmen
• Cyberhygiene und Schulungen
• Kryptografie, Zugriffskontrolle, Asset-Management, Multi-Faktor-Authentifizierung

Neu und praktisch bedeutsam ist die persönliche Verantwortung der Leitungsorgane: Sie müssen die Maßnahmen billigen, ihre Umsetzung überwachen und selbst geschult sein.

Erste Schritte zur Umsetzung

1. Betroffenheit prüfen: Sektor, Größenkriterien und Rolle in der Lieferkette – auch nicht direkt erfasste Unternehmen werden über Kundenanforderungen einbezogen.
2. Gap-Analyse: bestehende Maßnahmen gegen die geforderten Bereiche spiegeln, idealerweise entlang ISO 27001 oder IT-Grundschutz.
3. Meldeprozess aufsetzen: Wer erkennt einen erheblichen Vorfall, wer entscheidet über die Meldung, wer meldet innerhalb der Fristen?
4. Lieferkette einbeziehen: Sicherheitsanforderungen in Verträge mit IT-Dienstleistern aufnehmen.
5. Leitungsorgan schulen und Beschlüsse dokumentieren – die Billigung der Maßnahmen ist nachzuweisen.

Wer bereits ein ISMS nach ISO 27001 betreibt, erfüllt einen erheblichen Teil der Anforderungen. Die Lücken liegen typischerweise bei Meldeprozessen, Lieferkettensicherheit und der dokumentierten Einbindung der Geschäftsleitung.

Siehe auch: Gestion des incidents · Auslagerungsmanagement

IT & Informationssicherheit

DORA

Der Digital Operational Resilience Act schafft einheitliche Anforderungen an die digitale operationelle Widerstandsfähigkeit im europäischen Finanzsektor.

Die Verordnung regelt fünf Bereiche: IKT-Risikomanagement, Behandlung und Meldung IKT-bezogener Vorfälle, Testen der digitalen Resilienz einschließlich bedrohungsgeleiteter Penetrationstests, Management des IKT-Drittparteienrisikos mit verbindlichen Vertragsinhalten sowie den Austausch über Cyberbedrohungen. Für Dienstleister des Finanzsektors ist sie auch außerhalb der Branche relevant: Ihre Verträge müssen die geforderten Klauseln enthalten.

Siehe auch: Auslagerungsmanagement · MaRisk

IT & Informationssicherheit

Cyberrisiko

Cyberrisiken umfassen Angriffe wie Ransomware, Datenabfluss und Social Engineering sowie Ausfälle durch technisches Versagen. Charakteristisch ist die Kombination aus hoher Eintrittswahrscheinlichkeit und potenziell existenzbedrohender Schadenshöhe.

Schadenskomponenten

• Betriebsunterbrechung – meist der größte Posten
• Wiederherstellungskosten für Systeme und Daten
• Forensik, Rechtsberatung, Krisenkommunikation
• Vertragsstrafen und Schadensersatz gegenüber Kunden
• Bußgelder bei Datenschutz- oder Meldepflichtverletzungen
• Reputationsschaden und Kundenabwanderung

In der Risikoaggregation zählen Cyberrisiken regelmäßig zu den wesentlichen Treibern der Gesamtrisikoposition – und sie sind einer der wenigen Fälle, in denen eine Versicherung die Bewertung materiell verändert.

Siehe auch: Incident Response · BCM

IT & Informationssicherheit

Gestion des incidents

Incident Management ist der strukturierte Umgang mit Vorfällen: Erfassung, Klassifizierung, Priorisierung, Bearbeitung, Behebung und Auswertung.

Über die Störungsbeseitigung hinaus liefert es die empirische Datengrundlage des Risikomanagements. Eingetretene Vorfälle sind die verlässlichste Quelle zur Kalibrierung von Eintrittswahrscheinlichkeiten und Schadenshöhen – vorausgesetzt, sie werden vollständig erfasst und mit ihren tatsächlichen Kosten bewertet. Genau diese Rückkopplung fehlt in den meisten Unternehmen.

Siehe auch: Incident Response · Risikobewertung

IT & Informationssicherheit

Incident Response

Incident Response bezeichnet die geplante Reaktion auf Sicherheitsvorfälle in den Phasen Vorbereitung, Erkennung, Eindämmung, Beseitigung, Wiederherstellung und Nachbereitung.

Wesentlich sind vorab definierte Rollen, gesicherte Kommunikationswege außerhalb der potenziell kompromittierten Umgebung und die Einhaltung gesetzlicher Meldefristen – nach DSGVO in der Regel 72 Stunden gegenüber der Aufsichtsbehörde, nach NIS2 mit einer Erstmeldung binnen 24 Stunden für betroffene Einrichtungen. Wer diese Fristen erst im Ernstfall recherchiert, verliert sie.

Siehe auch: NIS2 · Notfallmanagement

IT & Informationssicherheit

Schwachstellenmanagement

Das Schwachstellenmanagement erfasst, bewertet und behebt technische Sicherheitslücken systematisch: Asset-Inventar, regelmäßige Scans, Bewertung nach Ausnutzbarkeit und Kritikalität, priorisiertes Patchen und Nachverfolgung offener Punkte.

Ohne vollständiges Asset-Inventar bleibt jedes Schwachstellenmanagement lückenhaft – nicht inventarisierte Systeme werden nicht gescannt und nicht gepatcht. Der zweite kritische Punkt ist die Priorisierung: Die Zahl bekannter Schwachstellen übersteigt jede Patch-Kapazität, weshalb nach tatsächlicher Ausnutzbarkeit im eigenen Umfeld gewichtet werden muss, nicht allein nach Schweregrad.

Siehe auch: SMSI · Cyberrisiko

IT & Informationssicherheit

Auslagerungs- und Drittparteienmanagement

Das Auslagerungsmanagement steuert Risiken aus der Einbindung externer Dienstleister: Risikobewertung vor Vergabe, vertragliche Sicherung von Informations-, Weisungs- und Prüfungsrechten, laufende Überwachung und Ausstiegsszenarien.

Regulatorisch verankert ist es in MaRisk, DORA und NIS2 – und es ist der Bereich, in dem Cyberrisiken am häufigsten eintreten: nicht im eigenen Netz, sondern beim Dienstleister.

Siehe auch: DORA · NIS2

IT & Informationssicherheit

TISAX

TISAX ist der Prüf- und Austauschmechanismus für Informationssicherheit in der Automobilindustrie, basierend auf dem VDA-ISA-Katalog.

Bewertungen werden über eine zentrale Plattform zwischen Hersteller und Zulieferer geteilt und ersetzen wiederholte Einzelaudits. Geprüft wird in Stufen, abhängig vom Schutzbedarf der verarbeiteten Informationen – von der Selbstbewertung bis zur Vor-Ort-Prüfung mit erweiterten Anforderungen für Prototypenschutz. Für Zulieferer ist ein gültiges Label regelmäßig Voraussetzung für die Auftragsvergabe.

Siehe auch: ISO 27001 · SMSI

Governance

Governance

Governance bezeichnet den Ordnungsrahmen der Unternehmensführung und -überwachung: Zuständigkeiten, Entscheidungswege, Kontrollmechanismen und Berichtslinien zwischen Geschäftsleitung, Aufsichtsorgan und Anteilseignern.

Sie schafft die Struktur, innerhalb derer Risikomanagement und Compliance überhaupt wirksam werden können. Praktisch konkretisiert sie sich in Geschäftsordnungen, Zustimmungsvorbehalten, Vertretungsregelungen, Berichtspflichten und der Besetzung von Gremien. Fehlende Governance zeigt sich selten als abstraktes Problem, sondern als konkrete Frage: Wer durfte diese Entscheidung eigentlich treffen?

Siehe auch: GRC · Corporate Governance Kodex

Governance

GRC

GRC steht für Governance, Risk und Compliance und beschreibt den integrierten Ansatz, diese drei Disziplinen mit gemeinsamer Methodik, einheitlicher Datenbasis und abgestimmten Prozessen zu führen.

Ziel ist die Beseitigung von Doppelarbeit. In gewachsenen Strukturen erheben Risikomanagement, IKS, Compliance, Datenschutz, Informationssicherheit und Interne Revision dieselben Prozesse mehrfach, mit unterschiedlichen Skalen und in getrennten Dateien. Für die Fachbereiche bedeutet das fünf Abfragen im Jahr zu denselben Sachverhalten – und für die Geschäftsleitung fünf Berichte, die sich widersprechen.

Wo Integration konkret Aufwand spart

• Eine Prozesslandkarte statt vier – nutzbar für IKS, Revision, Datenschutz und Notfallplanung
• Eine Kontrolle, mehrfach verwendet: einmal getestet, verwertet für IKS-Bericht, Nettorisiko, Revision und Zertifizierung
• Ein Maßnahmenpool statt getrennter Listen je Funktion
• Eine Erhebungsrunde bei den Fachbereichen statt vier Abfragen im Jahr
• Eine Berichtsbasis für Geschäftsleitung und Aufsichtsorgan

Der Widerstand gegen Integration kommt selten aus den Fachbereichen – sie profitieren am stärksten –, sondern aus den zweiten-Linie-Funktionen, die eigene Methodik und Berichtswege aufgeben müssen. Die Einführung ist deshalb überwiegend ein Organisations-, kein Softwareprojekt.

Siehe auch: Integriertes GRC · Three Lines Model

Governance

Integriertes GRC

Integriertes GRC führt Risiken, Kontrollen, Maßnahmen, Prüfungsfeststellungen und regulatorische Anforderungen in einem gemeinsamen Datenmodell zusammen.

Der Gewinn ist nicht primär die Softwareeinsparung, sondern die Widerspruchsfreiheit: Es gibt eine Version der Wahrheit, und sie ist aktuell.

Siehe auch: Single Source of Truth · GRC

Governance

Prüfungsausschuss

Der Prüfungsausschuss des Aufsichtsrats befasst sich mit der Rechnungslegung, der Wirksamkeit von internem Kontrollsystem, Risikomanagementsystem und Interner Revision, der Abschlussprüfung sowie der Nachhaltigkeitsberichterstattung.

Mindestens ein Mitglied muss über besonderen Sachverstand in Rechnungslegung oder Abschlussprüfung verfügen; mit der Ausweitung auf Nachhaltigkeitsberichterstattung kommt entsprechende Sachkunde hinzu. Der Ausschuss ist zugleich der Adressat, an den die Interne Revision und die Meldestelle in kritischen Fällen unmittelbar berichten – er ist damit der institutionelle Gegenpol zum Management Override.

Siehe auch: Aufsichtsrat und Risikoüberwachung · FISG

Governance

Risikoausschuss

Ein Risikoausschuss befasst sich schwerpunktmäßig mit Risikostrategie, Risikotragfähigkeit und wesentlichen Einzelrisiken.

In Kreditinstituten ist er aufsichtsrechtlich vorgesehen. Außerhalb des Finanzsektors wird die Aufgabe meist vom Prüfungsausschuss oder vom Gesamtaufsichtsrat wahrgenommen. Ein eigener Ausschuss lohnt sich dort, wo das Risikoprofil komplex ist – etwa bei hoher Internationalisierung, Projektgeschäft mit langen Laufzeiten oder starker Rohstoffabhängigkeit.

Siehe auch: Prüfungsausschuss

Governance

Aufsichtsrat und Risikoüberwachung

Der Aufsichtsrat überwacht die Geschäftsführung und hat sich dabei von der Wirksamkeit des Risikomanagementsystems zu überzeugen. Das ist mehr als die Entgegennahme von Berichten.

Fragen, die ein Aufsichtsorgan stellen sollte

• Wie hoch ist die aggregierte Gesamtrisikoposition, und wie verhält sie sich zur Risikotragfähigkeit?
• Welche Annahmen und Korrelationen liegen dem Aggregationsmodell zugrunde?
• Welche Risiken sind seit der letzten Sitzung hinzugekommen oder entfallen – und warum?
• Welche Maßnahmen sind überfällig, und was ist der Grund?
• Stimmt die interne Risikolage mit der Darstellung im Lagebericht überein?
• Was sagen Abschlussprüfer und Interne Revision zur Wirksamkeit des Systems?

Siehe auch: Risikoreporting · Interne Revision

Governance

Jahresabschlussprüfung

Die Jahresabschlussprüfung beurteilt, ob Abschluss und Lagebericht den gesetzlichen Vorschriften entsprechen. Der Prüfer verschafft sich dabei ein Verständnis vom rechnungslegungsbezogenen internen Kontrollsystem.

Wichtig ist die Abgrenzung: Die Abschlussprüfung ist keine Prüfung des IKS auf Wirksamkeit. Der Prüfer beurteilt Kontrollen nur insoweit, wie er sich auf sie stützen will, um den Umfang eigener Prüfungshandlungen zu reduzieren. Eine Aussage zur Wirksamkeit des gesamten Kontrollsystems erfolgt nur im gesonderten Auftrag nach IDW PS 982.

Siehe auch: § 317 Abs. 4 HGB · IDW PS 982

Governance

Prognosebericht

Der Prognosebericht als Teil des Lageberichts stellt die erwartete Entwicklung des Unternehmens mit ihren wesentlichen Annahmen dar.

Er steht in engem Zusammenhang mit dem Risikobericht: Die Risiken beschreiben genau die Abweichungsmöglichkeiten von den hier dargestellten Erwartungen. Inkonsistenzen zwischen beiden Teilen – optimistische Prognose bei gleichzeitig gravierender Risikolage, oder umgekehrt – gehören zu den häufigsten Prüfungsbefunden und sind zugleich ein Haftungsrisiko gegenüber Kapitalgebern.

Siehe auch: Lagebericht · Bandbreitenplanung

Governance

Geschäftsführerhaftung

Geschäftsführer und Vorstände haften gegenüber der Gesellschaft für Sorgfaltspflichtverletzungen. Im Streitfall müssen sie darlegen, dass sie auf angemessener Informationsgrundlage entschieden und die erforderlichen Organisationsmaßnahmen ergriffen haben.

Typische Haftungsfelder

Ein dokumentiertes Risikomanagement- und Compliance-System ist damit weniger Bürokratie als Beweismittel. Die Darlegungslast liegt beim Organmitglied – nicht bei der Gesellschaft.

Praktischer Selbstschutz

• Entscheidungsvorlagen mit dokumentierter Risikobetrachtung und Alternativen
• Protokollierte Beschlüsse mit Abstimmungsverhalten – abweichende Voten schriftlich festhalten
• Ressortverteilung schriftlich regeln, ohne die Überwachungspflicht für fremde Ressorts zu ignorieren
• Regelmäßige Berichte an das Aufsichtsorgan, auch über negative Entwicklungen
• Externe Expertise bei komplexen Rechtsfragen einholen und die Einholung dokumentieren
• Liquiditäts- und Fortbestehensprognose fortlaufend führen, nicht erst in der Krise

Der gemeinsame Nenner ist die Nachweisbarkeit: Die Business Judgement Rule schützt nicht die richtige Entscheidung, sondern die sorgfältig vorbereitete. Wer diese Vorbereitung nicht belegen kann, verliert den Schutz unabhängig davon, wie vernünftig die Entscheidung war.

Siehe auch: Business Judgement Rule · D&O-Versicherung

Governance

D&O-Versicherung

Die Directors-and-Officers-Versicherung deckt Vermögensschäden aus der Organhaftung ab. Sie ersetzt kein Risikomanagement.

Zu beachten sind drei Punkte: Vorsätzliche Pflichtverletzungen sind ausgeschlossen, für Vorstände einer AG ist ein gesetzlicher Selbstbehalt vorgesehen, und die Versicherer fragen den Reifegrad von Risikomanagement und Compliance im Zuge der Risikoprüfung zunehmend detailliert ab. Ein belegbar funktionierendes System wirkt sich damit unmittelbar auf Verfügbarkeit und Prämie der Deckung aus.

Siehe auch: Geschäftsführerhaftung

Governance

Compliance-Verantwortung der Leitung

Die Verantwortung für Compliance liegt bei der Unternehmensleitung als Gesamtorgan und ist nicht delegierbar. Übertragbar sind Aufgaben – die Pflicht zu Auswahl, Ausstattung, Anweisung und Überwachung der Beauftragten verbleibt bei der Leitung.

Bei Ressortaufteilung bleibt eine Überwachungspflicht aller Organmitglieder für die Ressorts der Kollegen bestehen. Sie verdichtet sich zur Handlungspflicht, sobald Anhaltspunkte für Missstände vorliegen. Genau an dieser Residualpflicht setzt die Bußgeldhaftung nach § 130 OWiG an – „das war nicht mein Ressort" entlastet nicht.

Siehe auch: Organisationsverschulden · Compliance Officer

Governance

Wesentlichkeit

Wesentlichkeit bestimmt, welche Sachverhalte berichtspflichtig oder prüfungsrelevant sind. In der Rechnungslegung wird sie über quantitative Schwellenwerte und qualitative Kriterien abgeleitet, in der Nachhaltigkeitsberichterstattung über die doppelte Wesentlichkeitsanalyse.

Für das Risikomanagement ist die Festlegung praktisch bedeutsam: Sie entscheidet, welche Risiken in die Berichterstattung an Geschäftsleitung und Aufsichtsorgan gelangen und welche auf Bereichsebene verbleiben. Die Schwelle ist eine Ermessensentscheidung, muss aber begründet, dokumentiert und über die Perioden hinweg konsistent angewendet werden.

Siehe auch: Doppelte Wesentlichkeitsanalyse · Risikoreporting

Systeme & Daten

Revisionssicherheit

Revisionssicherheit bedeutet, dass Daten und Dokumente unveränderbar, vollständig, nachvollziehbar und über die gesamte Aufbewahrungsfrist verfügbar gespeichert werden. Maßstab sind in Deutschland die GoBD.

Für Risiko- und Compliance-Daten ist sie Voraussetzung dafür, dass Bewertungen und Kontrollnachweise im Nachhinein als Beweismittel taugen. Konkret gefordert sind: Unveränderbarkeit nach Freigabe, lückenlose Protokollierung jeder Änderung, Schutz vor Verlust, Wiederauffindbarkeit innerhalb angemessener Zeit und eine dokumentierte Verfahrensdokumentation, die beschreibt, wie das System diese Anforderungen erfüllt.

Prüfpunkte bei der Systemauswahl

• Werden freigegebene Datensätze technisch gegen Änderung geschützt, oder nur organisatorisch?
• Protokolliert das System jede Änderung mit Zeitstempel, Benutzer und Vorher-Nachher-Wert?
• Lässt sich der Stand zu einem beliebigen Stichtag rekonstruieren?
• Sind Löschungen ausgeschlossen oder zumindest protokolliert und begründungspflichtig?
• Existiert eine Verfahrensdokumentation, die diese Eigenschaften beschreibt?
• Bleiben die Daten auch nach einem Anbieterwechsel lesbar exportierbar?

Der letzte Punkt wird regelmäßig übersehen: Aufbewahrungsfristen überdauern häufig die Vertragslaufzeit mit dem Systemanbieter. Ein Exportformat, das ohne die Software lesbar bleibt, gehört deshalb in den Vertrag.

Siehe auch: Audit Trail · Aufbewahrungsfristen

Systeme & Daten

Audit Trail

Der Audit Trail protokolliert lückenlos, wer wann welche Daten angelegt, geändert oder gelöscht hat. Er macht Bewertungsänderungen an Risiken, Freigaben und Kontrollnachweise nachvollziehbar.

Er ist eines der zentralen Prüfkriterien, an denen sich eine GRC-Software von einer Tabellenkalkulation unterscheidet. Die entscheidende Frage im Prüfungsgespräch lautet regelmäßig: Wer hat diese Risikobewertung wann von „hoch" auf „mittel" geändert, und mit welcher Begründung? In Excel ist diese Frage nicht beantwortbar.

Siehe auch: Revisionssicherheit · Risikoregister

Systeme & Daten

Modèle des rôles et des droits

Das Rollen- und Rechtekonzept regelt, welche Benutzergruppen welche Daten sehen und bearbeiten dürfen. Im GRC-Kontext ist es doppelt relevant: Es setzt die Funktionstrennung technisch um und schützt sensible Inhalte.

Siehe auch: Funktionstrennung · Vertraulichkeitsgebot

Systeme & Daten

Mandantenfähigkeit

Mandantenfähigkeit bezeichnet die Möglichkeit, mehrere Gesellschaften, Standorte oder Bereiche in einem System getrennt zu führen und zugleich konsolidiert auszuwerten.

In Konzernstrukturen ist sie Voraussetzung dafür, dass lokale Verantwortung und konzernweite Gesamtsicht ohne doppelte Datenpflege nebeneinander bestehen. Zu klären sind dabei drei Punkte: Welche Stammdaten sind konzernweit einheitlich, welche lokal? Welche Bewertungsskalen gelten für alle? Und wer darf gesellschaftsübergreifend auswerten – eine Frage, die bei Auslandsgesellschaften zugleich datenschutzrechtlich relevant ist.

Siehe auch: Modèle des rôles et des droits · Datenqualität

Systeme & Daten

Workflow-Management

Workflow-Management automatisiert wiederkehrende Abläufe im Risiko- und Compliance-Prozess: Erhebungsrunden, Freigaben, Wiedervorlagen, Eskalationen und Erinnerungen.

Es ersetzt die manuelle Nachverfolgung per E-Mail und erzeugt zugleich die Nachweise, die für Fristenwahrung und Prüfung benötigt werden. Der praktische Effekt ist erheblich: Die zentrale Funktion verbringt einen großen Teil ihrer Zeit mit dem Nachhalten offener Rückmeldungen – genau diese Arbeit übernimmt der Workflow, ohne dass jemand als Mahnender auftreten muss.

Siehe auch: Freigabeworkflow · Maßnahmenverfolgung

Systeme & Daten

Risiko-Dashboard

Ein Risiko-Dashboard verdichtet die Risikolage in Echtzeit: Gesamtrisikoposition, Top-Risiken, Veränderungen gegenüber der Vorperiode, Maßnahmenstatus und Grenzwertüberschreitungen.

Entscheidend ist die Adressatenorientierung. Die Geschäftsleitung braucht Aggregat, Trend und Ausnahmen; der Fachbereich die Detailsicht auf die eigenen Risiken; das Aufsichtsorgan die Entwicklung über mehrere Perioden mit Methodikhinweisen. Ein Dashboard, das für alle dasselbe zeigt, ist für niemanden richtig – und verleitet dazu, Vollständigkeit mit Aussagekraft zu verwechseln.

Siehe auch: Risikoreporting

Systeme & Daten

Maßnahmenverfolgung

Die Maßnahmenverfolgung überwacht Umsetzungsstand, Fristen und Wirksamkeit aller beschlossenen Maßnahmen aus Risikomanagement, IKS, Revision und Compliance an einer Stelle.

Sie verhindert die typische Situation, in der dieselbe Feststellung in mehreren Systemen unterschiedlich dokumentiert ist und keine Instanz den Gesamtstatus kennt. Aussagekräftig wird sie durch drei Kennzahlen: Anteil überfälliger Maßnahmen, durchschnittliche Verzugsdauer und Anteil der Maßnahmen mit belegter Wirksamkeit – nicht nur mit dem Status „erledigt".

Siehe auch: Maßnahmenmanagement · Workflow-Management

Systeme & Daten

Freigabeworkflow

Der Freigabeworkflow bildet mehrstufige Genehmigungen systemseitig ab – etwa die Bestätigung von Risikobewertungen durch den Risikoeigner und die anschließende Freigabe durch das zentrale Risikomanagement.

Er erzwingt das Vier-Augen-Prinzip und dokumentiert Freigaben automatisch mit Zeitstempel und Person. Wichtig ist eine hinterlegte Vertreterregelung: Ohne sie steht der Prozess bei Urlaub oder Krankheit still, und es entstehen genau die Umgehungen per E-Mail, die der Workflow verhindern sollte.

Siehe auch: Funktionstrennung · Audit Trail

Systeme & Daten

Versionierung und Dokumentenlenkung

Die Dokumentenlenkung stellt sicher, dass jederzeit nachvollziehbar ist, welche Fassung eines Dokuments gültig war, wer sie freigegeben hat und wer sie zur Kenntnis genommen hat.

Für Richtlinien, Prozessbeschreibungen und Nachweise ist sie die Grundlage jeder belastbaren Compliance-Dokumentation. Der praktische Prüfstein: Lässt sich zu einem beliebigen Datum in der Vergangenheit feststellen, welche Fassung der Reisekostenrichtlinie damals galt und welche Mitarbeitenden sie bestätigt hatten? Wenn nicht, ist die Nachweisführung im Verfahren angreifbar.

Siehe auch: Richtlinienmanagement · Revisionssicherheit

Systeme & Daten

Aufbewahrungsfristen

Aufbewahrungsfristen legen fest, wie lange Unterlagen vorzuhalten sind – handels- und steuerrechtlich in gestaffelten Fristen, in speziellen Bereichen abweichend geregelt.

Im Spannungsfeld zur datenschutzrechtlichen Löschpflicht braucht es ein Löschkonzept, das Fristbeginn, Fristende und Ausnahmen je Dokumentart eindeutig bestimmt. Besonders zu regeln sind Fälle, in denen eine Löschpflicht durch ein laufendes Verfahren gehemmt wird – dann ist ein Legal Hold erforderlich, der die automatische Löschung dokumentiert aussetzt.

Siehe auch: Revisionssicherheit · Dokumentenlenkung

Systeme & Daten

Schnittstellen im GRC-Kontext

Schnittstellen verbinden GRC-Systeme mit ERP, HR, Einkauf, Ticketsystemen und Datawarehouse. Sie ermöglichen die automatisierte Übernahme von Stammdaten, Kennzahlen und Frühwarnindikatoren.

Der Nutzen liegt weniger in der Zeitersparnis als in der Aktualität: Manuell gepflegte Risikodaten sind im Moment ihrer Erfassung bereits veraltet, automatisch übernommene Indikatoren nicht. Typische erste Schnittstellen sind Lieferantenstammdaten aus dem ERP, Kennzahlen aus dem Controlling und Vorfälle aus dem IT-Ticketsystem.

Siehe auch: Datenqualität · Key Risk Indicator

Systeme & Daten

Datenqualität im Risikomanagement

Die Qualität von Risikodaten entscheidet über die Belastbarkeit aller Auswertungen. Kriterien sind Vollständigkeit, Aktualität, Konsistenz der Bewertungsmaßstäbe und Nachvollziehbarkeit der Herkunft.

Schwächen zeigen sich typischerweise in uneinheitlich ausgelegten Skalen zwischen Bereichen: Was der Vertrieb als „hoch" einstuft, ist in der Produktion ein mittleres Risiko. Das ist ein Methodikproblem, kein Softwareproblem – die Lösung liegt in klaren Skalendefinitionen mit Euro-Werten und einer Plausibilisierung durch die zweite Linie.

Siehe auch: Risikobewertung · Risikohandbuch

Systeme & Daten

Single Source of Truth

Eine Single Source of Truth ist die eine führende Datenbasis, auf die sich alle Auswertungen stützen.

Im GRC-Umfeld verhindert sie, dass Risikoregister, IKS-Dokumentation und Revisionsfeststellungen auseinanderlaufen und Geschäftsleitung und Aufsichtsrat widersprüchliche Zahlen erhalten. Die Umsetzung scheitert selten an der Technik, sondern an der Klärung der Frage, welches System für welchen Datensatz führend ist – und wer Änderungen daran vornehmen darf.

Siehe auch: Integriertes GRC · Datenqualität

Systeme & Daten

Automatisierte Risikomeldung

Bei der automatisierten Risikomeldung lösen definierte Ereignisse oder Grenzwertüberschreitungen selbsttätig eine Meldung im System aus – etwa bei Überschreiten eines Frühwarnindikators oder beim Eintritt eines Schadensfalls.

Sie ergänzt die turnusmäßige Erhebung um die anlassbezogene Komponente, die der IDW PS 340 n.F. ausdrücklich erwartet. Zu definieren sind Auslöser, Empfänger, Eskalationsstufe und Reaktionsfrist. Wichtig ist die Kalibrierung der Schwellen: Zu viele Meldungen führen zur Gewöhnung, zu wenige zur Scheinsicherheit.

Siehe auch: Frühwarnindikator · Risikofrüherkennungssystem