Basisfuncties voor risicobeheer

Begrippen

Risico

Een risico is de mogelijkheid dat de werkelijke ontwikkeling afwijkt van een geplande doelstelling of verwachte waarde. Het wordt beschreven in twee dimensies: de kans op het optreden ervan en de omvang van de impact ervan. In bedrijfsmatige zin omvat de term ook positieve afwijkingen – kansen zijn risico’s met een omgekeerd karakter.

Afbakening: Risico, oorzaak, effect

In de praktijk worden regelmatig drie niveaus gemengd, waardoor de latere beoordeling ontoegankelijk wordt. Oorzaak is de oorzaak („een storing bij één leverancier"), Risico de gebeurtenis („productiestop van meer dan twee weken"), de Effect de consequenties („verlies van omzet van 3 tot 8 miljoen euro, contractstrafen"). Alleen als deze drie niveaus apart worden vastgesteld, kunnen maatregelen zinvol worden toegewezen: preventieve maatregelen richten zich op de oorzaak, mitigerende maatregelen op de effecten.

Er is altijd een risico verbonden aan een concreet doel. Zonder gedefinieerd doel – resultaten, liquiditeit, leveringscapaciteit, reputatie, naleving – bestaat er geen maatstaf voor een afwijking en dus geen meetbaar risico. Om deze reden begint elke risicobeoordeling met de vraag welke doelen überhaupt in gevaar kunnen komen.

Risicogroepen in het kort

Risico's correct beschrijven

De kwaliteit van een risicoinventaris wordt bepaald door de formulering. Onbruikbaar zijn slogans als „tekort aan personeel" of „digitalisering" – deze noemen een themagebied, geen meetbare gebeurtenis. Een beschrijving die oorzaak, gebeurtenis, doel en werkwijze bevat, is haalbaar en kan door iedereen worden nagelezen.

• Onbruikbaar: „Risico voor IT-veiligheid"
• Geschikt voor: „De versleuteling van productie-systemen door ransomware leidt tot een stilstand van 5 tot 15 werkdagen met verlies van de dekking en conventionele boetes"

Praktijk

Voor het registreren in het systeem zijn enkele velden vereist: risicobeoordeling, oorzaak, doelwit, categorie, risicobeheerder, brutowinst en netto, toegewezen maatregelen en de datum van de laatste actualisering. Alle overige gegevens zijn optioneel – extra velden verlagen de meldplichtigheid van de afdelingen naar ervaring, zonder de betrouwbaarheid te verhogen.

Zie ook: Risicobeheer · Risikomatrix · Risicoaggregatie

Begrippen

Risicobeheer

Risicomanagement is het systematische en terugkerende omgaan met risico’s: identificeren, analyseren, beoordelen, beheren, monitoren en rapporteren. Het doel is niet het vermijden van elk risico, maar het bewust aangaan van risico’s binnen de eigen risicodragbaarheid – en daarmee een betrouwbare basis voor ondernemingsbeslissingen.

Doel: Beslissingsgrondslag in plaats van verplichte oefening

De economische zin van risicomanagement ligt niet in het documenteren van de resultaten, maar in betere beslissingen. Wie de breedte van mogelijke resultaten kent, kan investeringen, financieringsstructuren, contractvoorwaarden en zekerheden daarop afstemmen. Een bedrijf met een betrouwbare risicomanagementkwalificatie kan aan banken en investeerders uitleggen waarom een planning haalbaar is – en dat komt tot uiting in de rating en de financieringskosten.

De tweede voordeel betreft de aansprakelijkheid: in een geschil moeten bedrijfsleiders aantonen dat zij op een redelijke informatiegrondslag hebben beslist. Een gedocumenteerd risicomanagementproces is hiervoor het centrale bewijsmiddel.

De regelkring

Rechtelijke context in het DACH-gebied

Reifegrade in de praktijk

Er zijn meerdere ontwikkelingsfasen tussen een Excel-lijst en een systeem dat betrekking heeft op de belasting. De rangschikking helpt om de volgende zinvolle stap te bepalen, in plaats van alles tegelijkertijd te willen doen.

1. Documentair: Risico's worden jaarlijks verzameld in een lijst, meestal kort voor de eindtoets. Geen invloed op de beslissingen.
2. Gestructureerd: Eénvormige categorieën, beoordelingsschalen en risicogroepen; regelmatige verzameling; maatregelen worden gevolgd.
3. Gekwantificeerd: Risico's worden in bandbreedten beoordeeld en geaggregeerd; de totale risicopositie wordt vergeleken met de risicobereidheid.
4. Geïntegreerd: Risicodata worden meegenomen in de planning, investeringsberekeningen en doelovereenkomsten; kansen worden op gelijke voet behandeld.

Typische fouten

• Eén keer per jaar verzamelen: Een inventaris die uitsluitend op de dag van de toetsing wordt opgesteld, geeft geen beeld van de huidige risicogebied en voldoet niet aan de vereiste van voortdurende monitoring.
• Alleen bekende risico's registreren: Workshops reproduceren regelmatig de schadegevallen uit het verleden. Strategische en externe risico’s ontbreken dan volledig.
• Onderwijs in klassen: „Hoog" en „middel" kunnen niet worden opgeteld – zonder kwantificering is geen aggregatie mogelijk.
• Acties zonder follow-up: Als de implementatie niet wordt gecontroleerd, blijft risicobeheer een intentieverklaring.
• Risicomanagement als staffunctie: De verantwoordelijkheid ligt bij de afdeling als risicobeheerder, niet bij de centrale functie.

Introductie over twaalf maanden

De meest voorkomende reden voor mislukte introducties is het proberen om alles tegelijk te doen. Een volgorde waarbij elke stap een bruikbaar tussentijds resultaat oplevert, heeft bewezen effectief te zijn.

Wie al een planning met scenario's heeft, kan de fasen drie en vier aanzienlijk verkorten: dan bestaan de bandbreedtes al en hoeven ze alleen maar te worden gekoppeld aan de risico's.

Economisch voordeel buiten de verplichting

• Financiering: Wie zijn risicoprofiel kwantificeert, onderhandelt met banken over feiten in plaats van over veiligheidsverhogingen.
• Investeringsbeslissingen: Projecten kunnen op risicogemakkelijke wijze worden vergeleken in plaats van alleen op rendementverwachtingen.
• Verzekeringen: De eigen risico's en dekkingsoverschotten kunnen worden geoptimaliseerd op basis van de werkelijke verdeling.
• Kwaliteit van de planning: De discussie over bandbreedten leidt tot onrealistische planning voorafgaand aan het opnemen in het budget.
• Schadengeschut: Gecontroleerde beslissingsgronden zijn het centrale bewijsmiddel in een geschil.

Veelgestelde vragen

Zie ook: Risicomanagement-systeem · Risicomanagementproces · Model van Three Lines

Begrippen

Risicomanagement-systeem (RMS)

Het risicomanagementsysteem omvat alle regelingen, processen, rollen, methoden en instrumenten waarmee een bedrijf risico’s detecteert, evalueert, beheert en controleert. Het is de organisatorische structuur waarin het risicomanagementproces plaatsvindt – en wat de eindcontroleurs en de raad van commissarissen beoordelen op geschiktheid en doeltreffendheid.

Componenten van een RMS

De toetsingsnorm IDW PS 981 verdeelt het risicomanagement-systeem in basiselementen. Ze vormen tegelijkertijd een bruikbaar checklist voor uw eigen opbouw: elk element moet gedocumenteerd, toegewezen en geïmplementeerd zijn.

Test van het systeem

Er zijn twee niveaus te onderscheiden: Doeltreffendheid oordeelt of het systeem in zijn ontwerp geschikt is om de gestelde doelen te bereiken. Effectiviteit beoordeelt of het daadwerkelijk gedurende een periode zo is geëxploiteerd. Een goed gedocumenteerd, maar niet toegepaste systeem is geschikt en tegelijkertijd ondoelmatig – een veel voorkomende constatering bij eerste controles.

Bij beursgenoteerde aandelenvennootschappen beoordeelt de accountant het vroegtijdige opsporingssysteem volgens § 317, lid 4, HGB verplicht. Buiten deze kring wordt een controle vrijwillig uitgevoerd, vaak op verzoek van de raad van toezicht of in het kader van een transactie.

Opbouwen in acht stappen

1. Risicostrategie en risicobeleid uit de bedrijfsstrategie afleiden en door het leidinggevend orgaan goedkeuren
2. Rolbezetting: Risicobeheerders in de afdelingen, centrale coördinatie, rapporteurs
3. Eénvormige categorieën en beoordelingsschalen definiëren en in het risicohandboek bindend maken
4. Eerst inventariseren over workshops en interviews per gebied
5. Beoordeling in bandbreedten in plaats van klassen, zodat aggregatie mogelijk wordt
6. Aggregatiemodel opstellen en risicobereidheid vergelijken
7. Maatregelen vastleggen bij verantwoordelijken en deadlines vastleggen en volgen
8. Formaat van rapporten en meldingsdrempels bepalen, daarna de gang van zaken in gang zetten

Afbakening van het interne controlesysteem

De RMS detecteert en evalueert risico's; het IKS beperkt deze door controles in het proces. Beide werken samen: de doeltreffendheid van de controles is precies het verschil tussen bruto- en netto-risico's. Als de RMS en het IKS apart worden opgezet, ontstaan dubbele enquêtes en tegenstrijdige verklaringen ten opzichte van de raad van commissarissen en de auditor.

Zie ook: Internele controlesysteem · Risicoaggregatie · Risicobeheer

Begrippen

Risicomanagementproces

Het risicomanagementproces is de terugkerende cyclus van identificatie, analyse, beoordeling, controle en monitoring en rapportage. ISO 31000 voegt communicatie en consultatie toe als procesonderdelen en legt aan het begin van elke cyclus de toepassingsruimte vast.

De fasen in detail

Ritme en contextgebonden triggers

Een jaarlijkse analyse volstaat niet om de vereiste van voortdurende monitoring te vervullen. De combinatie van een jaarlijkse volledige analyse, kwartaalwijze actualisering van de belangrijkste risico’s en gedefinieerde ad-hoc-triggers is bewezen effectief. Typische triggers zijn: overschrijding van een vroege waarschuwingsindicator, het ontstaan van een aanzienlijke schade, acquisitie of marktintroductie, nieuwe regelgevende vereisten en het verlies van een grote klant of een essentiële leverancier.

Rol in elke fase

• Risicogedrag: identificeert, beoordeelt en beheert de risico’s binnen zijn/haar eigen gebied en neemt de verantwoordelijkheid voor de maatregelen.
• Centraal risicomanagement: geeft methodologie en schalen voor, consolideert, aggregateert, valideert en rapporteert.
• Directie: beslist over het risicoprofiel, de essentiële maatregelen en de aanvaarding van resterende risico’s.
• Toezichthoudende autoriteit: beheert de effectiviteit van het systeem en onderzoekt de methodologie en de totale risicopositie.
• Interne revisie: keurt onafhankelijk na of het proces zoals beschreven verloopt.

Zie ook: Risicobeheer · Model van Three Lines

Begrippen

Risikomatrix (heatmap)

De risicomatrix geeft risico’s weer in een raster met inkomensverwachting en schadewaarde en maakt handhavingsprioriteiten overzichtelijk. Gewoonlijk zijn rastervormen van 4×4 of 5×5 met knoopkleuren gebruikelijk. Het is een communicatiemiddel – voor de beoordeling van risico’s voor de omgeving volstaat het methodisch gezien niet.

Opbouw

De assen zijn niet willekeurig: de impact wordt gedefinieerd in geldeenheden, gekwantificeerd over een uniforme referentieperiode – meestal een bedrijfsjaar. Zonder deze vaststellingen beoordelen sectoren de situatie op verschillende schalen, en de matrix vergelijkt onvergelijkbaar.

Schalen definiëren

De drempelwaarden zijn bedrijfsonafhankelijk af te leiden uit de resultaten en eigenvermogensmarge. Als richtlijn geldt vaak dat de hoogste klasse zich situeert op de grens van het risico op wanbetaling – op deze manier is de matrix aansluitbaar op de risicodragingscapaciteit.

Grenzen van de weergave

• Een toevoeging is niet mogelijk: Klassen zijn ordinaal gerangschikt. Tweeëndertig risico's in de gele zone kunnen in totaal levensbedreigend zijn, zonder dat de matrix dit aangeeft.
• Oplossing voor verwachtingstakel: Een zeldzame risico met een extreem groot schadegeval belandt in dezelfde cel als een veel voorkomend risico met een geringe schade – de consequenties voor de beheersing zijn totaal anders.
• Scheiding nauwkeurigheid: De positionering suggereert precisie, maar is gebaseerd op klassenindelingen met brede intervallen.
• Correlaties onzichtbaar: Risico's die samen optreden, lijken als onafhankelijke punten te verschijnen.

De risikomatrix blijft een waardevol communicatieformaat voor overlegorganen. Voor de beoordeling volgens IDW PS 340 n.F. moet deze echter worden aangevuld met een kwantitatieve aggregatie – deze vervangt deze niet.

Veelgestelde vragen

Zie ook: Risicobeoordeling · Risicoaggregatie · Risico

Begrippen

Model van Three Lines

Het Three Lines Model van het Institute of Internal Auditors verdeelt verantwoordelijkheden in drie niveaus: de operationele afdelingen, de toezichthoudende functies zoals risicomanagement en compliance, en de onafhankelijke interne audit. Het beantwoordt de vraag wie risico's aangaat, wie de randvoorwaarden stelt en wie beide onafhankelijk controleert.

Het model

De drie lijnen

De eerste lijn omvat alle gebieden waar risico’s bij dagelijkse activiteiten voorkomen: verkoop, productie, inkoop, IT. Zij is verantwoordelijk voor de risico’s binnen haar verantwoordelijkheidsgebied en voert de controles uit. tweede lijn geeft methodologie, schalen en randvoorwaarden, ondersteunt de eerste lijn deskundig en controleert of de randvoorwaarden worden nageleefd – zonder de verantwoordelijkheid op zich te nemen. derde lijn beoordeelt onafhankelijk of de eerste twee lijnen effectief werken en rapporteert rechtstreeks aan het management en het toezichstcomité.

De voormalige benaming „Three Lines of Defense" werd in 2020 bewust geschrapt. De term „verdediging" had de perceptie gevormd dat risicomanagement puur een verdedigingsfunctie had; het bijgewerkte model benadrukt in plaats daarvan de bijdrage aan de waardecreatie en de realisatie van de bedrijfsdoelstellingen.

Typische constructiefouten

• Mengeling van de lijnen: Als de tweede lijn risico's zelf beoordeelt en maatregelen toepast, neemt zij de verantwoordelijkheid van de eerste over – en kan zij deze niet meer controleren.
• Revision zonder onafhankelijkheid: Indien de interne revisie zich richt op het gebied dat zij onderzoekt, is de derde lijn feitelijk niet aanwezig.
• Lege tweede rij: Een compliancefunctie zonder middelen en bevoegdheden levert documentatie op, maar heeft geen effect.
• Overbelaste tweede lijn: Werkgemengde functies voor risico, compliance, IT-beveiliging, gegevensbescherming en informatiebeveiliging voeren meerdere keren dezelfde processen uit – de basis voor geïntegreerd GRC.

Zie ook: Internele controlesysteem · Compliance-management-systeem · Risicomanagement-systeem

Begrippen

Risicostrategie

De risicostrategie is afgeleid van de bedrijfsstrategie en legt vast welke risico’s het bedrijf bewust aanvaardt, welke het beperkt en welke het vermijdt. Ze concreet maakt het risicoprofiel in beperkingen per risicoklasse en vormt het referentiekader waaraan operationele beslissingen worden getoetst.

Wat erin past

• Afgeleid uit de bedrijfsstrategie: Welke doelstellingen moeten worden beschermd?
• Risicogevoeligheid is per categorie, zo mogelijk in kwantitatieve termen.
• Limieten en drempels waarboven escalatie plaatsvindt
• Beginselenbesluiten over risicotransmissie: verzekeringsstrategie, eigen risico, contractuele clausules
• Bewust risico’s accepteerde met reden – dat is het onderdeel dat telt in geval van aansprakelijkheid

Praktijk

Een risicostrategie die alleen algemene formuleringen bevat („Wij omgaan verantwoordelijk met risico’s") volstaat niet om haar doel te bereiken. Ze wordt pas belastend als ze wordt vergezeld van cijfers: maximale acceptabele variabiliteit van de resultaten, minimum liquiditeitsreserve, bovengrens voor klomprisico’s bij klanten en leveranciers. Deze wordt goedgekeurd door het leidinggevend orgaan en wordt minimaal jaarlijks gecontroleerd.

Zie ook: Risicobereidheid · Risicodragendheid · Risicopolitiek

Begrippen

Risicopolitiek en risicohandboek

De risicopolicy beschrijft de bindende beginselen voor het omgaan met risico’s. Deze wordt doorgaans gedocumenteerd in een risicohandboek en vormt de schriftelijke basis waarop controleurs en de raad van commissarissen zich bij de beoordeling van het risicomanagement-systeem kunnen baseren.

Inhoud van het risicohandboek

Het handboek moet kort en bruikbaar zijn. Vijftig pagina's die niemand leest, bieden minder zekerheid dan vijftien pagina's waar werkelijk aan wordt gewerkt.

Zie ook: Risicostrategie · Risicomanagement-systeem

Begrippen

Risicokultuur

Risicokultuur beschrijft de geadopteerde waarden en gedragspatronen in het omgaan met risico's – ofwel door slecht nieuws openlijk te benoemen of door angst voor consequenties te ontkennen. Het bepaalt de kwaliteit van het risicobeheer en daarmee de waarde van het hele systeem.

Hoe je ze kunt herkennen

• Hoe reageert de leiding als iemand een ongemakkelijk risico meldt?
• Zijn doelstellingen zo gesteld dat ze alleen bereikbaar zijn onder voorbehoud van regelovertredingen?
• Worden bestaande schade hersteld of gepersonaliseerd?
• Worden risicodiscussies onderdeel van de beslissingsdocumenten of een apart proces?

Een technisch geavanceerd systeem levert waardeloze gegevens wanneer medewerkers negatieve ontwikkelingen niet melden. De sleutel ligt daarom vaak niet in de methodiek, maar in het gedrag van de eerste twee leidinggevende niveaus.

Zie ook: Compliance-management-systeem · Risicobeoordeling

Begrippen

Risicobereidheid

De risicobereidheid geeft aan hoeveel risico een bedrijf bewust wil nemen om zijn doelen te bereiken. Het is een strategische vaststelling door het leidinggevend orgaan en wordt idealiter in kwantitatieve termen uiteengezet – als maximaal aanvaardbaar variatie in resultaten, als limiet per categorie of als minimumafstand tot het risico van een negatieve ontwikkeling.

Voorbeelden van formuleringen

Zie ook: Risicotolerantie · Risicostrategie

Begrippen

Risicodragendheid

De risicobereidheid geeft aan hoeveel risico een bedrijf zelfstandig kan aanvaarden zonder zijn bestaansvermogen in gevaar te brengen. De vergelijking van het totale aggregeerde risico en de risicobereidheid is de centrale test voor ontwikkelingen die de continuïteit van het bedrijf in gevaar brengen, in de zin van IDW PS 340 n.F.

Verificatie

Voor de beoordeling geldt: als het geaggregeerde risico in het gekozen niveau van vertrouwen de dekkingspotentieel overschrijdt, is sprake van een ontwikkelingssituatie die de solvabiliteit bedreigt – met directe handhavingsplichten voor het management.

Praktische implementatie

Voor de beoordeling worden twee horizonten apart beschouwd. Kortetermijnmatig is het liquiditeitsniveau van belang: welke middelen zijn binnen enkele weken beschikbaar om een schadegeval te dekken? Middellangetermijnmatig is het eigen vermogen van belang: welke verliezen kan de balans absorberen zonder de covenants te overtreden of de rating in gevaar te brengen?

Beide horizonten worden vergeleken met het aggregeerde risico. Het resultaat is een van de weinige indicatoren die zowel het management, de raad van toezicht als de banken interesseert – en de basis voor de beslissing of risico's moeten worden beperkt, overgedragen of gedekt door extra reserves.

Zie ook: Risicodekkingspotentieel · Ontwikkeling die het bestand bedreigt · Risicoaggregatie

Begrippen

Risicotolerantie

Risicotolerantie beschrijft de toegestane bandbreedte rondom het risicoprofiel – vanaf wanneer een overschrijding nog steeds aanvaardbaar is en vanaf wanneer escalatie noodzakelijk is. Terwijl het risicoprofiel strategisch is geformuleerd, is de tolerantie operationeel: deze wordt uitgedrukt in limieten, drempelwaarden en signaalgrenzen.

In de praktijk worden beide begrippen vaak synoniem gebruikt. De scheiding is echter nuttig: de eetlust geeft aan hoeveel risico men bereid is te nemen, de tolerantie geeft aan welke afwijking van de norm in het dagelijkse leven zonder escalatie toegestaan blijft. Zonder gedefinieerde tolerantie eindigt elke overschrijding van de grenswaarden ofwel in een speciale sessie ofwel in onverschilligheid.

Zie ook: Risicobereidheid · Vroege waarschuwingsindicator

Begrippen

Risicovoorraad

Het risicoinventaris is een gestructureerde samenvatting van alle geïdentificeerde risico's, ingedeeld naar categorieën en organisatieonderdelen. Het is het resultaat van de risicobeoordeling en het uitgangspunt voor evaluatie, controle en aggregatie.

Kwaliteitseigenschappen

• Volledigheid: alle belangrijke sectoren en risicogroepen worden gedekt, inclusief strategische en externe risico's
• Vrijheid van overlapping: Hetzelfde risico komt niet voor in drie verschillende benamingen.
• Geschikte granulatie: 40 tot 120 risico's zijn gebruikelijk in middelgrote organisaties; 400 individuele risico's zijn niet meer te beheersen
• Actualiteit: Elke risico houdt het datum van de laatste controle in.

Zorg over de tijd heen

Een inventaris verliest zijn waarde sneller dan hij wordt gegenereerd. Momenteel zijn er twee mechanismen aan het werk: de periodieke bevestiging door de risicodragers, waarbij elk risico wordt bevestigd, gewijzigd of met redenen wordt beantwoord, en de op initiatief gebaseerde aanvulling bij nieuwe bedrijfsactiviteiten, acquisities of regelgevende wijzigingen.

Net zo belangrijk als het toevoegen is het sluiten: risico’s die niet langer bestaan moeten gedocumenteerd worden beëindigd, niet stilzwijgend worden verwijderd. De geschiedenis van gesloten risico’s is een van de weinige bronnen waaruit later ervaringen voor beoordelingen kunnen worden opgedaan.

Zie ook: Risicoregister · Risicokategorien

Begrippen

Risicoregister

Het risicoregister is de operationele databank voor risicomanagement. Voor elk risico worden beschrijving, oorzaak, categorie, eigenaar van het risico, beoordeling, maatregelen en status vastgelegd – dit is daarmee het werkinstrument, terwijl het risicoinventar een totaaloverzicht vormt.

Gegevensvelden

Registernetten op basis van Excel mislukken meestal op drie punten: versieconflicten bij parallelle verwerking, ontbrekende geschiedenis van de beoordelingswijzigingen en geen rechtstreekse verdeling tussen gebieden.

Zie ook: Audit Trail · Risicovoorraad

Begrippen

Risicobeoordeling

De risicointervalisatie is de eerste stap in het regelcircuit en heeft tot doel alle relevante risico's zo volledig mogelijk vast te leggen. De kwaliteit ervan bepaalt alles wat daarna volgt: een niet geïdentificeerd risico wordt noch beoordeeld, noch gecontroleerd, noch gerapporteerd.

Vergelijking van methoden

De meest voorkomende fout

Workshops reproduceren de schadegevallen uit het verleden. Strategische risico’s – bedrijfsmodel, technologische ontwikkelingen, regelgeving, afhankelijkheden – ontbreken dan volledig, hoewel deze de grootste impact hebben. Een tegengif is een gestructureerde doorloop langs waardeketen, stakeholders en doelen, aangevuld met een bewuste vraag naar wat het bedrijfsmodel in principe zou kunnen bedreigen.

Bronnen die vaak over het hoofd worden gezien

• Verslagen van leidinggevenden en raad van bestuur – daar zijn de strategische zorgen al uiteengezet
• Reklamatie-, garantie- en medewerkinggegevens uit het kwaliteitsbeheersysteem
• Auditverslagen, certificeringsuitslagen en controlebriefs van de accountant
• Verzekeringsovereenkomsten: wat is verzekerd is al als risico geïdentificeerd
• Contractuele clausules met aansprakelijkheids-, boet- en beschikbaarheidsclausules
• Berichten uit het meldsysteem en het incidentbeheersysteem

Uit ervaring blijkt dat een bezoek aan deze zes bronnen een derde van het uiteindelijke inventaris oplevert voordat de eerste workshop heeft plaatsgevonden – en voorkomt dat het inventaris alleen een beeld geeft van wat deelnemers op de workshopdag hebben gedacht.

Zie ook: Risicovoorraad · Delphi-methode

Begrippen

Risicoanalyse

In de risicoanalyse worden oorzaken, samenhangen en mogelijke gevolgen van een risico onderzocht. Hierin wordt uiteengezet hoe een risico ontstaat, hoe het zich verspreidt en welke schade in welke scenario's realistisch is – en wordt daarmee de basis gelegd voor beoordeling en keuze van maatregelen.

Analytische diepte instellen

Niet elk risico rechtvaardigt een diepgaande analyse. Een verdeling is bewezen: risico's met een potentieel gevaar voor de bedrijfsvoering worden onderzocht met formele methoden – falenbaum, Bow-Tie, FMEA –, risico's van gemiddelde omvang worden beoordeeld door middel van een gestructureerde deskundigheidsmeting, naastrisico's worden alleen kwalitatief ingedeeld.

Zie ook: Bow-tie analyse · FMEA · Risicobeoordeling

Begrippen

Risicobeheer

Risicobeheer omvat alle maatregelen waarmee een risico wordt beïnvloed. Klassiek worden vier strategieën onderscheiden: vermijden, verminderen, overdragen en zelf dragen. Elke maatregel heeft een verantwoordelijke, een termijn en een controle op de effectiviteit.

De vier strategieën

Bewuste zelfverzekering is een legitieme keuze – maar deze moet gedocumenteerd zijn en vergeleken worden met de draagkracht van de risico’s. In geval van aansprakelijkheid is deze keuze niet te onderscheiden van onwetendheid.

Wat een belastbare maatregel inhoudt

• Werkingsrichting genoemd: Verlaagt de maatregel de kans op een incident of de schade? Beide tegelijk is zelden mogelijk.
• Verantwoordelijke met beslissingsbevoegdheid: niet de persoon die alleen rapporteert
• Termijn met tussentijdse stappen: Acties die meer dan twaalf maanden duren zonder dat er een mijlpaal is bereikt, vervallen automatisch.
• Kennelijke resultaten: Hoe kun je vaststellen dat de maatregel werkt?
• Kost en baten afgewogen: Een maatregel die duurder is dan de verwachte schade is geen risicobeheer, maar verspilling.

De effectbeoordeling is de stap die het vaakst ontbreekt. Zonder deze stap blijft het onduidelijk of het netto-risico daadwerkelijk is gedaald – en de netto-evaluatie in het risicoregister is dan een aanname, geen vaststelling.

Zie ook: Measures management · Risicokosten

Begrippen

Risicobeheer

De risicobeheerfunctie controleert voortdurend of de risicobeschouwing en de doeltreffendheid van de maatregelen zijn veranderd. Deze controle is gebaseerd op vroege waarschuwingsindicatoren, vergelijkingen tussen doelstellingen en de periodieke actualisering van het inventaris – en is de vergelijking tussen een referentiepunt en een functionerend systeem voor vroegtijdige detectie.

Het procesvolgende toezicht door de tweede lijn moet worden onderscheiden van de onafhankelijke toetsing door de interne revisie als derde lijn. Beide zijn noodzakelijk: de tweede lijn detecteert veranderingen vroegtijdig, de derde beoordeelt of het systeem in zijn geheel werkt.

Zie ook: Model van Three Lines · Belangrijk risicointerieur

Begrippen

Risicobeoordeling

Het risicoreporting vat de risicobeoordeling op adressaatniveau samen – voor het management, de raad van commissarissen en externe rapporteurs. Een betrouwbaar rapport toont niet alleen de individuele risico’s, maar ook de geaggregeerde totale risicopositie, de veranderingen daarvan en de status van de maatregelen.

Adressaatgerichte versnippering

Zie ook: Situatieverslag · Risico-dashboard

Begrippen

Risicobeheerder

De risicobeheerder is verantwoordelijk voor de beoordeling, controle en monitoring van een specifiek risico. Dit is meestal de leidinggevende van het betrokken gebied – niet de risicomanager, die de methodologie beschikbaar stelt en consolideert.

De juiste toewijzing is een voorwaarde voor het daadwerkelijk implementeren van maatregelen en wordt regelmatig door toetsers gecontroleerd. Een risico zonder benoemde eigenaar is een risico zonder verantwoordelijken – en dat is precies het bevinding dat in het toetsingsrapport terechtkomt. Bij transversale risico’s wordt een leidende eigenaar benoemd, niet meerdere gelijkwaardige.

Zie ook: Model van Three Lines · Risicoregister

Begrippen

Risicokategorien

Risicokategorien structureren het inventaris en maken risico’s over sectoren heen vergelijkbaar. Een consistente systematiek is een voorwaarde voor aggregatie, evaluatie en rapportage – en deze moet zich richten op de oorzaak, niet op de betrokken afdeling.

Een tweedelige indeling met vijf tot acht hoofdcategorieën en drie tot zes subcategorieën heeft zich bewezen. Het is belangrijk om de onderscheidingsgraad te behouden: een cyberaanval is een IT-risico, de schade die het veroorzaakt een operationeel risico en de schending van de meldingsplicht een compliance-risico. Zonder duidelijke toewijzingsregels in het risicohandboek worden dezelfde gebeurtenissen op verschillende gebieden verschillend ingedeeld.

Zie ook: Risicovoorraad · Risico

Begrippen

Bruto risico en netto risico

Het brutolijksrisico beschrijft een risico dat niet is meegerekend in bestaande maatregelen en controles; het netto-risico is de resterende omvang daarvan. Het verschil is de meetbare bijdrage van het interne controlesysteem.

Waarom beide maten nodig zijn

• De bruto waardering laat zien welke risico's zonder controles levensgevaarlijk zouden zijn – en stelt daarmee de investeringen in het IKS vast.
• De netto-waardering is van cruciaal belang voor aggregatie en vergelijking met de risicodragbaarheid.
• Het verschil maakt de afhankelijkheid van individuele controles zichtbaar: als een essentiële controle ontbreekt, stijgt het netto risico naar brutoniveau.

Voorwaarde: de effectiviteit van de controles moet worden bewezen. Als deze slechts wordt aangenomen, is de netto beoordeling een illusie – een punt dat de toetsingster specifiek wil onderzoeken.

Zie ook: Internele controlesysteem · Controleerbaarheid

Begrippen

Waarschijnlijkheid van toegang

De kansverwachting geeft aan hoe waarschijnlijk een risico binnen een gedefinieerde periode optreedt – meestal gerelateerd aan een bedrijfsjaar. Zonder een uniforme referentieperiode zijn beoordelingen van verschillende sectoren niet vergelijkbaar.

Twee foutbronnen komen regelmatig voor. Ten eerste de onduidelijke referentiekaderperiode: „Opkomt eens om de vijf jaar" komt overeen met 20 procent per jaar – als deze omrekeningsstap niet bindend wordt geregeld, ontstaan waarderingverschillen met een factor vijf. Ten tweede de verwarring tussen frequentie en waarschijnlijkheid bij risico’s die meerdere keren per jaar kunnen optreden; daar moet rekening gehouden worden met een verwachte frequentie en een schadewaarde per gebeurtenis.

Zie ook: Schadebedrag · Risicobeoordeling

Begrippen

Schadebedrag

De schadewaarde meet de financiële impact van een zich voorgedaan risico – als effect op de EBIT, de kasstroom of het eigen vermogen. Voor de aggregatie is niet één enkel waarde relevant, maar een bereik met minimum, meest waarschijnlijke waarde en maximum.

De referentiegrootte moet bindend worden vastgesteld. Een risico dat de omzet met 5 miljoen euro verlaagt, belast het EBIT met een aanzienlijk kleiner bedrag, afhankelijk van de dekking. Als de effecten op omzet en resultaten worden gemengd, is de totale uitspraak waardeloos. Ook moet worden bepaald of gevolgkosten zoals contractstrafen, reputatieverlies of verhoogde financieringskosten moeten worden meegerekend.

Zie ook: Waarschijnlijkheid van toegang · Dreieckverdeling

Begrippen

Kansenbeheer

Chancebeheer registreert systematisch positieve afwijkingen van de plannen en beheert deze met dezelfde methoden als risico's. Omdat kansen en risico's dezelfde oorzaken hebben, is een geïntegreerde benadering methodisch consequent – en dit verhoogt de acceptatie in het bedrijf aanzienlijk.

In het verslag van de situatie wordt § 289 HGB sowieso vereist dat de belangrijkste kansen worden uiteengezet. en Risico's. Wie beide aspecten apart behandelt, levert dubbele inspanning op; wie kansen volledig negeert, voldoet niet aan de rapportagevereisten en verkwichtelt tegelijkertijd het belangrijkste argument ten opzichte van de afdelingen: risicomanagement is dan niet alleen controle, maar ook een systematische zoektocht naar potentieel.

Zie ook: Situatieverslag · Bandbreedteplanning

Begrippen

Risicoopvangsysteem

Een risico-ontdekkingssysteem moet ontwikkelingen die de bestaanszekerheid bedreigen zo vroeg mogelijk detecteren, zodat nog maatregelen kunnen worden genomen. Voor aandelenvennootschappen is dit wettelijk verplicht volgens § 91, lid 2, van de AktG en bij genoteerde vennootschappen is dit onderwerp van de afsluitende controle volgens § 317, lid 4, van de HGB.

Inhoud

1. Bepaling van de risicogebieden die moeten worden gecontroleerd, afgeleid uit het bedrijfsmodel
2. Vroege waarschuwingsindicatoren per risicofield met een gedefinieerde meetfrequentie
3. Waarden die overschreden worden leiden tot een melding
4. Bindende escalatieprocessen tot het managementniveau
5. Aggregatie tot de totale risicopositie en vergelijking met de draagkracht
6. Documentatie van alle stappen als bewijs voor de toetsingsinstantie en de toezichthoudende autoriteit

Het cruciale verschil ten opzichte van algemeen risicomanagement ligt in de tijdsspecificatie: er wordt niet gevraagd om registratie, maar om op tijd Herkenning – dus een voorbereiding die de handeling nog mogelijk maakt.

Zie ook: § 91, lid 2, AktG · Ontwikkeling die het bestand bedreigt · Vroege waarschuwingsindicator

Begrippen

Vroege waarschuwingsindicator

Een vroege waarschuwingsindicator is een meetbare maatstaf die wijst op een zich aan het ontwikkelen risico voordat de schade optreedt. Een gedefinieerde drempelwaarde, een vastgestelde meetfrequentie en een ingebouwde escalatieroute zijn essentieel.

Voorbeelden per risicofield

Vijf tot vijftien goed gekozen indicatoren met duidelijke drempels lijken meer dan vijftig te zijn, die niemand evalueert.

Zie ook: Belangrijk risicointerieur · Risicoopvangsysteem

Methoden

Risicoaggregatie

De risicogroei combineert alle afzonderlijke risico’s tot één totale risicopositie en beantwoordt de cruciale vraag: kan het bedrijf zijn totale risico dragen zonder in een situatie terecht te komen die de bestaande situatie in gevaar brengt? Sinds de herziening van de IDW PS 340 is deze kwestie expliciet onderzocht – en is dit het punt waarop de meeste geavanceerde risicomanagementsystemen falen.

Waarom risico's niet kunnen worden opgeteld

Die naheliegende Vorgehensweise – alle Schadenshöhen summieren – führt systematisch zu falschen Ergebnissen. Der Grund liegt in der Wahrscheinlichkeit: Ein Risiko mit 10 Mio. Euro Schaden und 5 Prozent Eintrittswahrscheinlichkeit belastet die Planung anders als eines mit 10 Mio. Euro und 60 Prozent. Werden beide addiert, entsteht ein Maximalschaden, der praktisch nie eintritt und deshalb keine Steuerungsrelevanz hat.

Umgekehrt führt die Summe der Erwartungswerte zur Unterschätzung: Sie beschreibt den Durchschnittsfall, nicht das schlechte Szenario, das über den Fortbestand entscheidet. Hinzu kommen Korrelationen – Konjunktureinbruch, Forderungsausfall und Auslastungsrückgang treten gemeinsam auf. Wer sie ignoriert, unterschätzt das Gesamtrisiko regelmäßig deutlich.

Die Aggregation ist deshalb keine Rechenübung, sondern eine Simulation: Sie beantwortet, wie wahrscheinlich welche Ergebnis- und Liquiditätslage ist, wenn alle Risiken gleichzeitig wirken können.

Vergelijkende procedures

Lees het resultaat

Aus dieser Verteilung lassen sich die Kennzahlen ableiten, die für die Steuerung tatsächlich gebraucht werden:

Aanpak in zes stappen

1. Planung als Basis: Die Aggregation setzt auf der GuV- und Liquiditätsplanung auf, nicht auf einer separaten Risikoliste.
2. Risiken den Planpositionen zuordnen: Jedes wesentliche Risiko wirkt auf eine konkrete Position – Umsatz, Materialaufwand, Personalaufwand, Investitionen.
3. Bandbreiten statt Klassen: Je Risiko Minimum, wahrscheinlichster Wert und Maximum sowie die Eintrittswahrscheinlichkeit erheben.
4. Verteilungen wählen und begründen: Für die meisten Fälle genügt die Dreiecksverteilung; seltene Großschäden werden über eine Kombination aus Eintrittswahrscheinlichkeit und Schadensverteilung modelliert.
5. Korrelationen festlegen: Zumindest die offensichtlichen Zusammenhänge zwischen konjunkturabhängigen Risiken abbilden.
6. Simulieren und gegenüberstellen: Ergebnisverteilung berechnen und dem Risikodeckungspotenzial gegenüberstellen; Ergebnis, Annahmen und Modell dokumentieren.

Typische fouten

• Aggregation ohne Planungsbezug: Wird losgelöst von der Unternehmensplanung gerechnet, lässt sich das Ergebnis weder plausibilisieren noch für Entscheidungen nutzen.
• Alle Risiken einzeln modellieren: Der Aufwand explodiert ohne Erkenntnisgewinn. In der Regel bestimmen zehn bis zwanzig Risiken die Verteilung.
• Korrelationen auf null setzen: Das ist eine Annahme, keine Neutralität – und sie führt zur systematischen Unterschätzung.
• Modell nicht dokumentiert: Ohne nachvollziehbare Annahmen ist das Ergebnis im Prüfungsgespräch wertlos.

Rechenbeispiel: warum die Summe täuscht

Ein Unternehmen führt fünf wesentliche Risiken. Die folgende Tabelle zeigt, wie unterschiedlich die Gesamtaussage ausfällt, je nachdem welches Verfahren gewählt wird.

• Addition der Maximalschäden: 34,0 Mio. € – ein Szenario, in dem alle fünf Risiken gleichzeitig maximal eintreten. Rechnerisch möglich, praktisch nahezu ausgeschlossen, als Steuerungsgröße unbrauchbar.
• Summe der Erwartungswerte: 5,3 Mio. € – der Durchschnittsfall. Er unterschlägt, dass in ungünstigen Konstellationen ein Vielfaches eintreten kann.
• Simulation: liefert die Verteilung. Typischerweise liegt der Value at Risk bei 95 % deutlich über dem Erwartungswert und weit unter der Maximalsumme – und genau dieser Wert ist mit dem Risikodeckungspotenzial zu vergleichen.

Die Aussage lautet dann nicht mehr „wir haben fünf wesentliche Risiken", sondern: „In 5 von 100 Jahren belasten die Risiken das Ergebnis um mehr als X Mio. Euro; unser Deckungspotenzial beträgt Y Mio. Euro." Das ist eine Aussage, mit der ein Aufsichtsrat arbeiten kann.

Anforderungen an die Systemunterstützung

• Verknüpfung der Risiken mit Planpositionen statt isolierter Risikoliste
• Hinterlegung von Bandbreiten und Verteilungstypen je Risiko
• Abbildung gemeinsamer Treiber für korrelierte Risiken
• Nachvollziehbare Historie aller Annahmen und Bewertungsänderungen
• Reproduzierbarkeit: dieselben Eingaben müssen dasselbe Ergebnis liefern
• Exportfähige Dokumentation für Prüfer und Aufsichtsorgan

Veelgestelde vragen

Zie ook: Monte-Carlo-Simulation · Risikomatrix · Risicomanagement-systeem

Methoden

Monte-Carlo-Simulation

Die Monte-Carlo-Simulation berechnet die Gesamtrisikoposition, indem sie den Planungszeitraum viele tausend Mal mit zufällig gezogenen Ausprägungen aller Risiken durchrechnet. Das Ergebnis ist keine einzelne Zahl, sondern eine Verteilung möglicher Unternehmensergebnisse – die Grundlage für Value at Risk, Eigenkapitalbedarf und die Beurteilung der Bestandsgefährdung.

So funktioniert sie

In jedem Durchlauf zieht das Modell für jedes Risiko einen Zufallswert aus der hinterlegten Verteilung – etwa einen Umsatzrückgang von 4,2 Prozent und einen Materialpreisanstieg von 11 Prozent – und rechnet die vollständige Planung mit diesen Werten durch. Das Ergebnis wird gespeichert, der Vorgang wiederholt. Nach zehntausenden Läufen liegt eine Häufigkeitsverteilung aller möglichen Ergebnisse vor, aus der sich jede gewünschte Wahrscheinlichkeitsaussage ablesen lässt.

Ein einzelner Lauf sagt nichts aus – er ist eines von vielen denkbaren Szenarien. Erst die Verteilung über alle Läufe beantwortet, wie wahrscheinlich ein negatives EBIT, eine Covenant-Verletzung oder ein Liquiditätsengpass ist.

Welche Eingangsdaten nötig sind

• Planungsmodell: GuV, Bilanz und Liquidität in konsistenter Verknüpfung – die Simulation rechnet dieses Modell wiederholt durch.
• Bandbreiten je Risiko: Minimum, wahrscheinlichster Wert, Maximum; bei Ereignisrisiken zusätzlich die Eintrittswahrscheinlichkeit.
• Verteilungstyp: Dreiecks-, PERT- oder Normalverteilung für kontinuierliche Größen, Binomial- oder Poisson-Ansätze für Ereignisse.
• Korrelationen: mindestens die konjunkturgetriebenen Zusammenhänge zwischen Absatz, Preis und Forderungsausfall.

Grenzen

Die Simulation ist nur so gut wie ihre Annahmen. Sie erzeugt keine Information, sondern macht vorhandene Einschätzungen rechenbar. Zwei Punkte sind deshalb zu beachten: Die Qualität der Bandbreiten entscheidet über das Ergebnis, und Risiken, die nicht im Modell sind, tauchen auch in der Verteilung nicht auf. Die Simulation ersetzt damit weder die sorgfältige Identifikation noch die fachliche Diskussion der Annahmen – sie zwingt beides nur zur Präzision.

Zie ook: Risicoaggregatie · Risicobeoordeling

Methoden

Risicobeoordeling

Die Risikobewertung ordnet jedem Risiko eine Eintrittswahrscheinlichkeit und eine Auswirkung zu – entweder qualitativ über Klassen oder quantitativ über Bandbreiten und Verteilungen. Die Wahl zwischen beiden Wegen ist keine Geschmacksfrage: Nur quantitative Bewertungen lassen sich aggregieren und der Risikotragfähigkeit gegenüberstellen.

Qualitativ oder quantitativ

In der Praxis bewährt sich ein zweistufiges Vorgehen: Alle Risiken werden zunächst qualitativ eingeordnet, die wesentlichen anschließend quantitativ in Bandbreiten bewertet. Damit bleibt der Aufwand beherrschbar, und die Gesamtaussage wird trotzdem belastbar.

Brutto und netto

Die Bruttobewertung betrachtet das Risiko ohne die bestehenden Maßnahmen und Kontrollen, die Nettobewertung mit ihnen. Die Differenz ist der messbare Beitrag des internen Kontrollsystems und zugleich das stärkste Argument in der Diskussion mit dem Aufsichtsorgan über Investitionen in Kontrollen. Für Aggregation und Tragfähigkeitsvergleich ist die Nettobewertung maßgeblich – vorausgesetzt, die Wirksamkeit der Kontrollen ist tatsächlich nachgewiesen und nicht nur unterstellt.

Verzerrungen vermeiden

• Verfügbarkeitsverzerrung: Kürzlich eingetretene Ereignisse werden überschätzt, lange zurückliegende unterschätzt. Gegenmittel: strukturierte Checklisten statt freier Assoziation.
• Übermäßige Zuversicht: Bandbreiten werden zu eng geschätzt. Gegenmittel: Extremwerte zuerst abfragen, erst danach den wahrscheinlichsten Wert.
• Ankereffekt: Die erste genannte Zahl prägt alle weiteren Schätzungen. Gegenmittel: unabhängige Einzelschätzungen vor der Gruppendiskussion.
• Zielkonflikt: Wer für ein Risiko verantwortlich ist, bewertet es tendenziell milder. Gegenmittel: Plausibilisierung durch die zweite Linie.

Zie ook: Risikomatrix · Risicoaggregatie · Monte-Carlo-Simulation

Methoden

Value at Risk (VaR)

Der Value at Risk beziffert den Verlust, der innerhalb eines bestimmten Zeitraums mit einer festgelegten Wahrscheinlichkeit nicht überschritten wird – etwa 8 Mio. Euro bei 95 % Konfidenz und einem Jahr Betrachtungszeitraum. Er verdichtet eine ganze Verteilung auf eine Zahl und ist damit das gebräuchlichste Risikomaß.

Richtig lesen

Ein VaR von 8 Mio. Euro bei 95 % bedeutet: In 95 von 100 Szenarien fällt der Verlust geringer aus, in 5 von 100 höher. Die Aussage ist ausdrücklich nicht, dass der maximale Verlust 8 Mio. Euro beträgt – über die Höhe der Verluste jenseits der Schwelle sagt der VaR nichts. Genau diese Lücke schließt der Expected Shortfall.

Grenzen und typische Fehlanwendungen

Drei Punkte führen in der Praxis regelmäßig zu Fehlschlüssen. Erstens der Blick auf die Zahl ohne das Konfidenzniveau: Ein VaR ohne Angabe von Konfidenz und Zeitraum ist bedeutungslos. Zweitens die Interpretation als Maximalverlust – tatsächlich beschreibt der VaR die Schwelle, ab der es schlimmer wird, nicht wie viel schlimmer. Drittens die Addition von VaR-Werten verschiedener Bereiche: Der VaR ist nicht subadditiv, die Summe der Bereichs-VaR kann kleiner ausfallen als der Gesamt-VaR.

Für die Unternehmenssteuerung folgt daraus eine einfache Regel: Der VaR eignet sich als Kommunikationsgröße gegenüber Gremien und Banken, die Steuerungsentscheidung stützt sich zusätzlich auf den Expected Shortfall und auf die Wahrscheinlichkeit, definierte Schwellen wie Covenants oder Mindestliquidität zu verletzen.

Zie ook: Expected Shortfall · Risicoaggregatie

Methoden

Cash Flow at Risk (CFaR)

Der Cash Flow at Risk überträgt die Value-at-Risk-Logik auf den Zahlungsstrom: Er gibt an, um welchen Betrag der geplante Cashflow mit einer bestimmten Wahrscheinlichkeit unterschritten werden kann.

Für Industrie- und Handelsunternehmen ist er meist aussagekräftiger als der VaR auf Ergebnisbasis, weil nicht Marktwertschwankungen, sondern Liquiditätsengpässe die typische Insolvenzursache sind. In der Praxis wird er unmittelbar gegen die verfügbaren Liquiditätsreserven und Kreditlinien gehalten – das Ergebnis ist die belastbarste Antwort auf die Frage, wie lange das Unternehmen einen Stressfall durchhält.

Zie ook: Value at Risk · Risicodekkingspotentieel

Methoden

Expected Shortfall

Der Expected Shortfall – auch Conditional Value at Risk – gibt den durchschnittlichen Verlust in genau den Fällen an, in denen der Value at Risk überschritten wird. Er beschreibt damit das Ausmaß der Extremszenarien, über die der VaR schweigt.

Methodisch hat er einen weiteren Vorteil: Er ist subadditiv, das heißt das Risiko eines Portfolios ist nie größer als die Summe der Einzelrisiken. Der VaR erfüllt diese Eigenschaft nicht, was bei der Zusammenführung von Teilportfolios zu paradoxen Ergebnissen führen kann. Die Bankenregulierung ist deshalb schrittweise vom VaR auf den Expected Shortfall umgestiegen.

Zie ook: Value at Risk · Risikomaß

Methoden

Szenarioanalyse

Die Szenarioanalyse untersucht die Auswirkung konsistenter Zukunftsbilder auf Ergebnis, Liquidität und Bilanzkennzahlen. Sie eignet sich besonders für strategische Risiken, die sich einer statistischen Bewertung entziehen, und ist im Rahmen der Klimaberichterstattung nach CSRD ausdrücklich gefordert.

Aufbau eines Szenariosets

• Base Case: die verabschiedete Planung mit ihren Annahmen
• Downside: plausible Verschlechterung mehrerer Treiber gleichzeitig, konsistent hergeleitet
• Upside: die entsprechende Gegenrichtung, Grundlage des Chancenmanagements
• Extremszenario: unwahrscheinlich, aber existenzrelevant – Basis für den Stresstest

Wesentlich ist die innere Konsistenz: Ein Szenario mit Nachfrageeinbruch und gleichzeitig steigenden Absatzpreisen ist rechnerisch möglich, aber ökonomisch unplausibel und damit als Entscheidungsgrundlage unbrauchbar.

Zie ook: Stresstest · Klimaatrisico's

Methoden

Sensitivitätsanalyse

Die Sensitivitätsanalyse misst, wie stark sich eine Zielgröße verändert, wenn eine einzelne Einflussgröße variiert wird – etwa das EBIT bei zehn Prozent höheren Rohstoffpreisen. Sie identifiziert die kritischen Stellhebel des Geschäftsmodells.

In der Praxis wird sie der aufwendigeren Simulation vorgeschaltet: Sie zeigt, welche fünf bis zehn Treiber das Ergebnis dominieren. Genau diese Treiber werden anschließend mit Bandbreiten hinterlegt und simuliert – alle übrigen können qualitativ behandelt werden, ohne die Gesamtaussage zu verfälschen.

Zie ook: Monte-Carlo-Simulation · Bandbreedteplanning

Methoden

Stresstest

Ein Stresstest prüft die Widerstandsfähigkeit unter extremen, aber plausiblen Bedingungen – etwa einem Umsatzeinbruch von 30 Prozent bei gleichzeitigem Ausfall eines Hauptlieferanten. Er zielt auf die Frage, ab welchem Punkt Kapitaldienstfähigkeit oder Liquidität kippen.

Inverser Stresstest

Besonders aufschlussreich ist die Umkehrung der Fragestellung: Nicht „Was passiert bei Szenario X?", sondern „Welche Kombination von Ereignissen würde uns zahlungsunfähig machen?". Der inverse Stresstest deckt die tatsächlichen Bruchstellen des Geschäftsmodells auf und ist in der Bankenaufsicht etabliert. Für die Diskussion im Aufsichtsrat ist er meist wertvoller als jede Szenariotabelle.

Zie ook: Szenarioanalyse · Ontwikkeling die het bestand bedreigt

Methoden

Bandbreedteplanning

Die Bandbreitenplanung ersetzt starre Planwerte durch Wertebereiche mit Minimum, wahrscheinlichstem Wert und Maximum. Sie macht Planungsunsicherheit explizit und verbindet Controlling und Risikomanagement in einem Arbeitsschritt.

Der praktische Vorteil ist erheblich: Die Bandbreiten sind zugleich die Inputgrößen der Risikosimulation. Wo Planung ohnehin in Szenarien gedacht wird, entfällt eine separate Risikoerhebung für die Planpositionen fast vollständig – die Fachbereiche liefern eine Information statt zweier, und Planung und Risikobericht widersprechen sich nicht mehr.

Zie ook: Dreieckverdeling · Risicoaggregatie

Methoden

Dreieckverdeling

Die Dreiecksverteilung beschreibt ein Risiko über drei Parameter: Minimum, wahrscheinlichster Wert und Maximum. Sie ist in der Risikosimulation die verbreitetste Verteilungsform, weil sich diese drei Werte auch ohne statistische Historie durch Experteneinschätzung belastbar bestimmen lassen.

Ihre Schwäche liegt in den harten Grenzen: Werte außerhalb des angegebenen Bereichs sind ausgeschlossen. Wo Extremwerte relevant sind, ist die PERT-Verteilung – eine geglättete Variante mit stärkerer Gewichtung des wahrscheinlichsten Werts – oder eine Kombination aus Eintrittswahrscheinlichkeit und separater Schadensverteilung die bessere Wahl.

Zie ook: Verteilungsfunktion · Monte-Carlo-Simulation

Methoden

Verteilungsfunktion

Eine Verteilungsfunktion beschreibt, mit welcher Wahrscheinlichkeit ein Risiko welche Ausprägung annimmt. Die Wahl der Verteilung beeinflusst das Simulationsergebnis erheblich und sollte im Risikohandbuch begründet sein.

Zie ook: Dreieckverdeling · Standardabweichung

Methoden

Oorspronkelijke verwachting

Der Erwartungswert ist der mit den Eintrittswahrscheinlichkeiten gewichtete Mittelwert aller möglichen Ausprägungen eines Risikos. Er eignet sich zur Priorisierung, unterschätzt aber die Gefahr aus seltenen Großschäden systematisch.

Ein Beispiel verdeutlicht das Problem: Ein Risiko mit 1 % Wahrscheinlichkeit und 50 Mio. Euro Schaden hat denselben Erwartungswert wie eines mit 50 % und 1 Mio. Euro – 500.000 Euro. Für die Unternehmenssteuerung sind beide grundverschieden: Das zweite ist ein Kostenfaktor, das erste eine Existenzfrage. Für die Beurteilung bestandsgefährdender Entwicklungen ist der Erwartungswert daher allein untauglich.

Zie ook: Value at Risk · Risicobeoordeling

Methoden

Standardabweichung

Die Standardabweichung misst die Streuung möglicher Ergebnisse um den Erwartungswert und dient als einfaches Maß für die Höhe eines Risikos.

Da sie positive und negative Abweichungen gleich behandelt, wird eine unerwartet gute Entwicklung genauso als „Risiko" gewertet wie eine schlechte. In der Unternehmenssteuerung interessiert aber überwiegend die Unterseite, weshalb sie zunehmend durch Downside-Maße wie Value at Risk, Expected Shortfall oder die Ausfallwahrscheinlichkeit ergänzt wird.

Zie ook: Risikomaß · Verteilungsfunktion

Methoden

Risikokorrelation

Die Risikokorrelation beschreibt den statistischen Zusammenhang zwischen Risiken. Positiv korrelierte Risiken treten gemeinsam auf und verstärken sich – werden sie in der Aggregation als unabhängig behandelt, wird das Gesamtrisiko regelmäßig deutlich unterschätzt.

Umgang in der Praxis

Exakte Korrelationskoeffizienten lassen sich für Unternehmensrisiken meist nicht empirisch bestimmen. Üblich und prüfungsfest ist ein pragmatischer Weg: Risiken werden gemeinsamen Treibern zugeordnet – Konjunktur, Rohstoffpreise, Wechselkurs, Branchenzyklus –, und die Simulation zieht je Durchlauf einen gemeinsamen Zufallswert für den Treiber. Damit entsteht die Abhängigkeit modellseitig, ohne dass Koeffizienten geschätzt werden müssen.

Zie ook: Risicoaggregatie · Monte-Carlo-Simulation

Methoden

Risikomaß

Ein Risikomaß verdichtet eine Risikoverteilung auf eine einzelne Kennzahl. Gebräuchlich sind Standardabweichung, Value at Risk, Expected Shortfall und der Eigenkapitalbedarf. Die Wahl bestimmt, welche Eigenschaft der Verteilung sichtbar wird.

Die Auswahl sollte sich am Steuerungszweck orientieren: Geht es um Ergebnisschwankung, ist die Standardabweichung brauchbar; geht es um Kapitalausstattung, der Eigenkapitalbedarf; geht es um Bestandsgefährdung, der Value at Risk oder Expected Shortfall bei hohem Konfidenzniveau. Ein einziges Maß für alle Fragestellungen gibt es nicht.

Zie ook: Value at Risk · Expected Shortfall

Methoden

Risicokosten

Risikokosten sind die kalkulatorischen Kosten des Risikos: Versicherungsprämien, Rückstellungen, Selbstbehalte und die Kapitalkosten des risikobedingt gebundenen Eigenkapitals.

Ihre Zurechnung auf Bereiche, Projekte oder Aufträge macht Risikomanagement betriebswirtschaftlich wirksam. Ein Großauftrag mit hohem Vorleistungsanteil und schwacher Kundenbonität bindet mehr Risikokapital als ein Standardgeschäft – wird das in der Kalkulation berücksichtigt, verändert sich die Preisfindung. Genau an dieser Stelle wird aus einer Dokumentationspflicht ein Steuerungsinstrument.

Zie ook: Risicobeheer · Risicodekkingspotentieel

Methoden

Risicodekkingspotentieel

Das Risikodeckungspotenzial bezeichnet die Mittel, die zur Abdeckung eingetretener Risiken zur Verfügung stehen: freies Eigenkapital, stille Reserven, nicht ausgeschöpfte Kreditlinien und Liquiditätsreserven. Es ist die quantitative Ausprägung der Risikotragfähigkeit.

Bei der Ermittlung ist Vorsicht geboten. Kreditlinien sind in der Krise regelmäßig genau dann nicht verfügbar, wenn sie gebraucht werden; stille Reserven lassen sich kurzfristig kaum heben. Ein belastbarer Ansatz unterscheidet deshalb nach Verfügbarkeitshorizont und setzt für den Stressfall nur die kurzfristig gesicherten Bestandteile an.

Zie ook: Risicodragendheid · Cash Flow at Risk

Methoden

Ontwikkeling die het bestand bedreigt

Eine bestandsgefährdende Entwicklung liegt vor, wenn Risiken den Fortbestand des Unternehmens gefährden – typischerweise durch drohende Zahlungsunfähigkeit, Überschuldung oder den Verlust der Kapitaldienstfähigkeit. Ihre rechtzeitige Erkennung ist der Kern der gesetzlichen Pflicht nach § 91 Abs. 2 AktG und § 1 StaRUG.

Wie der Nachweis gelingt

1. Risiken quantifiziert erfassen und den Planpositionen zuordnen
2. Zur Gesamtrisikoposition aggregieren, Korrelationen berücksichtigen
3. Risikodeckungspotenzial nach Verfügbarkeitshorizont ermitteln
4. Beides gegenüberstellen und die Wahrscheinlichkeit einer Unterdeckung bestimmen
5. Ergebnis, Annahmen und Schlussfolgerung dokumentieren

Der Nachweis lässt sich mit einer rein qualitativen Risikomatrix nicht führen. Das ist der praktische Kern der Neufassung des IDW PS 340 – und der häufigste Grund für Feststellungen im Prüfungsbericht.

Typische Anzeichen

• Rückläufiger Auftragseingang über mehrere Perioden bei gleichbleibender Kostenbasis
• Verlängerte Debitorenlaufzeiten und steigender Anteil überfälliger Forderungen
• Ausschöpfung der Kreditlinien als Dauerzustand statt als Spitzenausgleich
• Annäherung an Covenant-Grenzen ohne Puffer im Planungsszenario
• Abhängigkeit von einem Großkunden oder Einzellieferanten ohne Alternative
• Wiederholte Verschiebung von Investitionen aus Liquiditätsgründen

Einzeln betrachtet ist keines dieser Anzeichen bestandsgefährdend. Ihre Kombination ist es häufig – was noch einmal zeigt, warum die Aggregation und nicht die Einzelbetrachtung über die gesetzliche Pflichterfüllung entscheidet.

Zie ook: StaRUG · Risicodragendheid · IDW PS 340 n.F.

Methoden

FMEA

Die Fehlermöglichkeits- und -einflussanalyse ist eine strukturierte Methode zur präventiven Fehlervermeidung in Produkten und Prozessen. Jeder potenzielle Fehler wird nach Bedeutung, Auftretens- und Entdeckungswahrscheinlichkeit bewertet.

Risikoprioritätszahl und ihre Kritik

Klassisch werden die drei Bewertungen auf einer Skala von 1 bis 10 multipliziert; das Produkt ist die Risikoprioritätszahl. Die Kritik daran ist berechtigt: Unterschiedliche Kombinationen ergeben dieselbe Zahl, obwohl die Handlungsdringlichkeit verschieden ist. Die aktuelle AIAG-VDA-Systematik ersetzt die reine Multiplikation deshalb durch eine Aufgabenpriorität, die Bedeutung stärker gewichtet.

Für das unternehmensweite Risikomanagement ist die FMEA eine wichtige Quelle: Die dort identifizierten technischen Risiken gehören – sofern wesentlich – in das Risikoinventar überführt.

Zie ook: Fehlerbaumanalyse · Risicoanalyse

Methoden

Fehlerbaumanalyse (FTA)

Die Fehlerbaumanalyse arbeitet deduktiv: Ausgehend von einem unerwünschten Ereignis werden alle möglichen Ursachenketten über logische Verknüpfungen zurückverfolgt.

Der Vorteil gegenüber rein qualitativen Methoden liegt in der Rechenbarkeit: Sind die Wahrscheinlichkeiten der Basisereignisse bekannt, lässt sich die Wahrscheinlichkeit des Spitzenereignisses über die UND- und ODER-Verknüpfungen berechnen. Damit eignet sich die FTA besonders für technisch komplexe Systeme mit Redundanzen – etwa die Frage, wie wahrscheinlich ein vollständiger Ausfall der Stromversorgung trotz zweier unabhängiger Notsysteme ist.

Zie ook: FMEA · Bow-tie analyse

Methoden

Bow-tie analyse

Die Bow-Tie-Analyse stellt ein Risiko grafisch als Fliege dar: links die Ursachen mit präventiven Barrieren, in der Mitte das Ereignis, rechts die Folgen mit mitigierenden Maßnahmen. Sie verbindet Risikoanalyse und Kontrollsystem in einem Bild.

Zie ook: Internele controlesysteem · Risicoanalyse

Methoden

Delphi-methode

Die Delphi-Methode strukturiert Experteneinschätzungen in mehreren anonymen Befragungsrunden. Zwischen den Runden erhalten die Teilnehmenden die aggregierten Ergebnisse und können ihre Einschätzung revidieren.

Die Anonymität dämpft Autoritäts- und Gruppendruckeffekte, die in klassischen Risikoworkshops erfahrungsgemäß die Bewertung dominieren. Für Risiken ohne statistische Datenbasis – strategische Entwicklungen, regulatorische Veränderungen, Technologiesprünge – liefert das Verfahren deutlich belastbarere Einschätzungen als eine Abstimmung im Plenum.

Zie ook: Risicobeoordeling · Risicobeoordeling

Methoden

Risk Scoring

Beim Risk Scoring werden Risiken über Punktwerte in Kategorien wie Wahrscheinlichkeit, Auswirkung und Steuerbarkeit bewertet und zu einem Gesamtscore verdichtet. Das Verfahren ist schnell und breit anwendbar.

Die methodische Grenze ist strikt zu beachten: Scores sind ordinalskaliert. Ein Risiko mit Score 40 ist nicht doppelt so gefährlich wie eines mit 20, und Scores dürfen weder addiert noch in Geldbeträge übersetzt werden. Als Priorisierungshilfe für die Auswahl der vertieft zu bewertenden Risiken ist Scoring dennoch nützlich – als Grundlage der Aggregation nicht.

Zie ook: Risicobeoordeling · Risikomatrix

Methoden

Key Risk Indicator (KRI)

Ein Key Risk Indicator ist eine Kennzahl, die die Entwicklung eines Risikos laufend messbar macht. Anders als Key Performance Indicators, die vergangene Leistung abbilden, blicken KRI nach vorn.

Kriterien für gute Indikatoren

• Vorlauf: Der Indikator reagiert, bevor der Schaden eintritt – sonst ist er eine Schadensstatistik.
• Verfügbarkeit: Die Daten entstehen ohnehin im System; manuell zu erhebende Indikatoren werden nach zwei Quartalen nicht mehr gepflegt.
• Eindeutigkeit: Eine Veränderung lässt sich klar interpretieren.
• Schwellenwert und Eskalation: Ohne definierte Grenze und hinterlegte Reaktion bleibt der Indikator folgenlos.

Zie ook: Vroege waarschuwingsindicator · Risicobeheer

Methoden

Risikoquantifizierung

Die Risikoquantifizierung drückt Risiken in Geldeinheiten und Wahrscheinlichkeiten aus, statt sie nur in Klassen einzuordnen. Sie ist Voraussetzung für Aggregation, Tragfähigkeitsvergleich und risikoadjustierte Entscheidungen.

Der häufigste Einwand lautet, die Daten seien nicht vorhanden. Das verkennt den Punkt: Auch eine Klasseneinordnung beruht auf einer Schätzung – sie macht sie nur unsichtbar. Die Quantifizierung zwingt dazu, die Annahme offenzulegen und diskutierbar zu machen. Eine begründete Bandbreite von 2 bis 9 Mio. Euro ist einer Einstufung als „hoch" in jeder Hinsicht überlegen: Sie ist prüfbar, aggregierbar und korrigierbar.

Zie ook: Risicobeoordeling · Risicoaggregatie

Regulatorik

Überblick: Wer muss was

Die Anforderungen an Risikomanagement und Compliance entstehen aus mehreren Quellen gleichzeitig: Gesellschaftsrecht, Insolvenzrecht, Handelsrecht, Prüfungsstandards, branchenspezifische Aufsicht und europäische Verordnungen. Diese Übersicht ordnet die wichtigsten Vorschriften nach Adressatenkreis.

Anwendungsbereiche und Fristen bei CSRD, LkSG und CSDDD werden im Zuge des europäischen Omnibus-Verfahrens überarbeitet. Der jeweils aktuelle Stand ist unternehmensindividuell zu prüfen – die inhaltlichen Anforderungen an Risikoanalyse, Maßnahmen und Dokumentation bleiben davon im Kern unberührt.

Regulatorik

KonTraG

Das Gesetz zur Kontrolle und Transparenz im Unternehmensbereich von 1998 ist der Ausgangspunkt des gesetzlichen Risikomanagements in Deutschland. Es führte § 91 Abs. 2 AktG ein und verpflichtete den Vorstand erstmals ausdrücklich, ein Überwachungssystem zur Früherkennung bestandsgefährdender Entwicklungen einzurichten.

Das KonTraG war die Reaktion auf eine Reihe spektakulärer Unternehmenszusammenbrüche. Es erweiterte zugleich die Pflichten des Abschlussprüfers und des Aufsichtsrats. Über die sogenannte Ausstrahlungswirkung wird der Maßstab auf große GmbH übertragen: Zwar richtet sich die Norm an die AG, doch die Sorgfaltspflicht eines ordentlichen Geschäftsmanns wird an ihr gemessen.

Zie ook: § 91, lid 2, AktG · FISG

Regulatorik

§ 91 Abs. 2 und 3 AktG

§ 91 Abs. 2 AktG ist die zentrale Norm des gesetzlichen Risikomanagements: Der Vorstand hat geeignete Maßnahmen zu treffen und insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden. Mit dem FISG kam Absatz 3 hinzu, der für börsennotierte Gesellschaften ein angemessenes und wirksames Risikomanagement- und internes Kontrollsystem ausdrücklich verlangt.

Praktische Konsequenz

• Das System muss früh erkennen – ein Stichtagsbild zum Jahresabschluss genügt nicht.
• Erfasst sind Entwicklungen, die den Fortbestand gefährden, also Illiquidität, Überschuldung und der Verlust der Kapitaldienstfähigkeit.
• Der Nachweis setzt eine Aggregation voraus: Einzelrisiken für sich genommen sind selten bestandsgefährdend, ihre Kombination sehr wohl.
• Die Einrichtung ist zu dokumentieren – im Streitfall trägt der Vorstand die Darlegungslast.

Zie ook: Risicoopvangsysteem · IDW PS 340 n.F. · § 317 Abs. 4 HGB

Regulatorik

§ 93 AktG und Business Judgement Rule

§ 93 AktG regelt Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder. Die darin verankerte Business Judgement Rule schützt unternehmerische Entscheidungen vor Haftung, wenn sie auf angemessener Informationsgrundlage und frei von Interessenkonflikten zum Wohl der Gesellschaft getroffen wurden.

Für das Risikomanagement folgt daraus ein handfester Nutzen: „Angemessene Informationsgrundlage" heißt, dass die mit einer Entscheidung verbundenen Risiken erhoben und bewertet wurden. Wer eine Investition ohne dokumentierte Risikobetrachtung beschließt, verliert den Schutz der Regel – nicht weil die Entscheidung falsch war, sondern weil die Grundlage fehlte. Die Darlegungslast liegt beim Organmitglied.

Zie ook: Geschäftsführerhaftung · D&O-Versicherung

Regulatorik

StaRUG

Das Unternehmensstabilisierungs- und -restrukturierungsgesetz gilt seit Anfang 2021. § 1 StaRUG verpflichtet die Geschäftsleiter haftungsbeschränkter Unternehmen, fortlaufend über Entwicklungen zu wachen, die den Fortbestand gefährden können, geeignete Gegenmaßnahmen zu ergreifen und den Überwachungsorganen unverzüglich zu berichten.

Warum das die GmbH-Welt verändert hat

Vor dem StaRUG war die Pflicht zur Krisenfrüherkennung im Aktienrecht verankert und für die GmbH nur über die allgemeine Sorgfaltspflicht herleitbar. Seit 2021 gilt sie rechtsformübergreifend und ausdrücklich. Damit trifft jede GmbH, UG und GmbH & Co. KG die Pflicht, ein System zu unterhalten, das bestandsgefährdende Entwicklungen erkennt – unabhängig von Größe und Kapitalmarktbezug.

Das Gesetz enthält zudem den Restrukturierungsrahmen: ein Verfahren, das eine Sanierung außerhalb der Insolvenz mit Mehrheitsentscheidungen der Gläubiger ermöglicht. Der Zugang setzt drohende Zahlungsunfähigkeit voraus – also genau den Zustand, den die Früherkennung rechtzeitig sichtbar machen soll.

Was Geschäftsleiter konkret tun müssen

1. Fortlaufende Überwachung der Entwicklungen, die den Fortbestand gefährden können – nicht anlassbezogen, sondern laufend
2. Integrierte Planung mit Liquiditätsvorschau über einen angemessenen Zeitraum, üblicherweise mindestens zwölf Monate rollierend
3. Erkennen von Krisenanzeichen über definierte Indikatoren und Schwellenwerte
4. Ergreifen geeigneter Gegenmaßnahmen bei Feststellung einer Bestandsgefährdung
5. Unverzügliche Berichterstattung an die Überwachungsorgane
6. Dokumentation aller Schritte – im Haftungsfall ist sie der einzige Nachweis

Die Pflicht endet nicht bei der Feststellung. Wer eine bestandsgefährdende Entwicklung erkennt und untätig bleibt, haftet persönlich – die Früherkennung ohne anschließende Handlung verschlechtert die Position im Streitfall sogar.

Zie ook: Ontwikkeling die het bestand bedreigt · Risicoopvangsysteem

Regulatorik

IDW PS 340 n.F.

Der neu gefasste Prüfungsstandard des IDW zur Prüfung des Risikofrüherkennungssystems ist für Abschlussprüfungen von Geschäftsjahren ab dem 15. Dezember 2021 anzuwenden. Prägend ist die ausdrückliche Anforderung, Einzelrisiken zu einer Gesamtrisikoposition zu aggregieren und dieser die Risikotragfähigkeit gegenüberzustellen.

Was sich gegenüber der alten Fassung geändert hat

Konsequenz für die Praxis

Unternehmen, die ihr Risikomanagement auf Risikomatrix und Maßnahmenliste aufgebaut haben, erfüllen den Standard nicht mehr. Erforderlich sind quantitative Bewertungen in Bandbreiten, ein Aggregationsmodell und eine dokumentierte Gegenüberstellung mit dem Risikodeckungspotenzial. Der Aufwand dafür ist überschaubar, wenn er an die bestehende Planung angedockt wird – und erheblich, wenn parallel ein zweites System aufgebaut wird.

Zie ook: Risicoaggregatie · Risicodragendheid · IDW PS 981

Regulatorik

IDW PS 981

IDW PS 981 beschreibt die Grundsätze ordnungsmäßiger Prüfung von Risikomanagementsystemen. Er gliedert das RMS in acht Grundelemente und dient als Referenzrahmen für freiwillige Wirksamkeitsprüfungen – etwa im Auftrag des Aufsichtsrats, der Gesellschafter oder im Rahmen einer Transaktion.

Zu unterscheiden sind drei Prüfungsarten: die Konzeptionsprüfung beurteilt die Beschreibung, die Angemessenheitsprüfung die Eignung zum Stichtag, die Wirksamkeitsprüfung den Betrieb über einen Zeitraum. Der Aufwand steigt in dieser Reihenfolge deutlich; für den ersten Nachweis gegenüber einem Aufsichtsorgan genügt häufig die Angemessenheitsprüfung.

Zie ook: Risicomanagement-systeem · IDW PS 340 n.F.

Regulatorik

IDW PS 980

IDW PS 980 ist der maßgebliche Standard für die Prüfung von Compliance-Management-Systemen. Er definiert sieben Grundelemente von der Compliance-Kultur bis zur Überwachung und Verbesserung und ist im deutschsprachigen Raum der übliche Nachweis eines angemessenen CMS.

Die Prüfung kann auf einzelne Teilbereiche beschränkt werden – etwa Korruptionsprävention oder Kartellrecht –, was den Aufwand erheblich senkt und in der Praxis die Regel ist. Ein uneingeschränktes Prüfungsurteil zur Wirksamkeit wirkt gegenüber Behörden, Gerichten und Geschäftspartnern als starkes Indiz dafür, dass die Organisationspflichten erfüllt wurden.

Zie ook: Compliance-management-systeem · ISO 37301

Regulatorik

IDW PS 982

Der Standard regelt die Prüfung des internen Kontrollsystems der Unternehmensberichterstattung. Er beschreibt Angemessenheit und Wirksamkeit von Kontrollen entlang der berichtsrelevanten Prozesse und folgt in der Struktur dem COSO-Rahmenwerk.

Mit der Ausweitung der Berichterstattung auf Nachhaltigkeitsinformationen gewinnt er zusätzlich an Bedeutung: Auch ESG-Daten benötigen ein Kontrollsystem, das Vollständigkeit, Richtigkeit und Nachvollziehbarkeit sichert – mit denselben Anforderungen, die für Finanzdaten seit Langem gelten.

Zie ook: Internele controlesysteem · Nachhaltigkeitsberichterstattung

Regulatorik

IDW PS 983

IDW PS 983 beschreibt die Grundsätze ordnungsmäßiger Prüfung von internen Revisionssystemen. Er ist der Maßstab für Quality Assessments, die der IIA-Standard alle fünf Jahre durch einen externen Dritten vorsieht.

Geprüft werden Aufbau und Ablauf der Revisionsfunktion: Unabhängigkeit, Berichtslinien, Qualifikation, risikoorientierte Prüfungsplanung, Durchführung und Nachverfolgung der Feststellungen. Für Unternehmen ohne eigene Revision ist der Standard mittelbar relevant, weil er beschreibt, was von einer ausgelagerten Revisionsfunktion zu erwarten ist.

Zie ook: Interne revisie

Regulatorik

COSO ERM Framework

Das COSO-Rahmenwerk „Enterprise Risk Management – Integrating with Strategy and Performance" von 2017 verknüpft Risikomanagement ausdrücklich mit Strategie und Unternehmensleistung. Es ist international das verbreitetste ERM-Referenzmodell.

Zie ook: ISO 31000 · COSO Internal Control

Regulatorik

COSO Internal Control Framework

Das COSO-Rahmenwerk für interne Kontrollsysteme definiert fünf Komponenten – Kontrollumfeld, Risikobeurteilung, Kontrollaktivitäten, Information und Kommunikation sowie Überwachung – und untergliedert sie in siebzehn Prinzipien.

Es ist weltweit der De-facto-Standard für die Ausgestaltung des IKS und Referenzmodell für die Prüfung nach IDW PS 982 wie auch für die US-amerikanische SOX-Compliance. Der praktische Wert liegt in der Vollständigkeit: Die Prinzipien eignen sich als Checkliste, um zu prüfen, ob ein gewachsenes Kontrollsystem strukturelle Lücken aufweist.

Zie ook: Internele controlesysteem · IDW PS 982

Regulatorik

ISO 31000

ISO 31000:2018 ist die internationale Leitlinie für Risikomanagement. Sie beschreibt Prinzipien, Rahmenwerk und Prozess, ist branchenübergreifend formuliert und ausdrücklich nicht zertifizierungsfähig.

Ihr Wert liegt in der einheitlichen Begrifflichkeit und der klaren Verankerung des Risikomanagements in der Führungsverantwortung. Die Norm ist bewusst schlank gehalten und lässt offen, mit welchen Methoden bewertet wird – diese Lücke füllt die ergänzende IEC 31010. Wer eine zertifizierbare Grundlage sucht, greift im DACH-Raum auf die ONR 49000 zurück.

Zie ook: IEC 31010 · ONR 49000

Regulatorik

IEC 31010

IEC/ISO 31010 ergänzt ISO 31000 um einen Katalog von Bewertungsmethoden – von Brainstorming und Checklisten über FMEA, Fehlerbaum- und Bow-Tie-Analyse bis zur Monte-Carlo-Simulation.

Zu jeder Methode nennt die Norm Eignung, Aufwand, benötigte Datenbasis und Grenzen. Für die Erstellung eines Risikohandbuchs ist sie deshalb die nützlichste Quelle, um die Methodenwahl zu begründen – ein Punkt, den Prüfer regelmäßig hinterfragen.

Zie ook: ISO 31000 · Risicoanalyse

Regulatorik

ONR 49000 ff.

Die österreichische Normenreihe ONR 49000 konkretisiert ISO 31000 für die Anwendung in Organisationen und ist – anders als diese – zertifizierungsfähig.

Sie umfasst Begriffe und Grundsätze, den Risikomanagement-Prozess sowie Anforderungen an die Qualifikation von Risikomanagern. Im DACH-Raum ist sie vor allem in Österreich verbreitet und dort häufig Grundlage von Zertifizierungen, die deutsche Unternehmen bei österreichischen Tochtergesellschaften vorfinden.

Zie ook: ISO 31000

Regulatorik

ISO 37301

ISO 37301:2021 ist der internationale Standard für Compliance-Management-Systeme und löste die frühere ISO 19600 ab. Anders als diese ist sie als Anforderungsnorm formuliert und damit zertifizierbar.

Sie folgt der High-Level-Structure und lässt sich dadurch mit ISO 9001, ISO 14001, ISO 27001 und ISO 37001 zu einem integrierten Managementsystem verbinden – gemeinsame Leitung, gemeinsame Dokumentenlenkung, gemeinsames internes Audit. Für Unternehmen mit mehreren Managementsystemen ist das der größte Effizienzhebel.

Zie ook: Compliance-management-systeem · IDW PS 980

Regulatorik

ISO 37001

ISO 37001 definiert Anforderungen an Managementsysteme zur Korruptionsbekämpfung: Anti-Korruptionsrichtlinie, Geschäftspartner-Due-Diligence, Kontrollen bei Zuwendungen, Spenden und Sponsoring sowie geschützte Meldewege.

Die Zertifizierung dient international als Nachweis angemessener Präventionsmaßnahmen und wird von Konzernen zunehmend von Lieferanten und Vertriebspartnern in Hochrisikomärkten verlangt. Sie ersetzt keine eigene Risikoanalyse, strukturiert aber die Maßnahmen entlang eines anerkannten Rahmens.

Zie ook: Korruptionsprävention · Third Party Due Diligence

Regulatorik

FISG

Das Finanzmarktintegritätsstärkungsgesetz von 2021 war die gesetzgeberische Antwort auf den Wirecard-Skandal. Es verpflichtet börsennotierte Aktiengesellschaften über § 91 Abs. 3 AktG zu einem angemessenen und wirksamen Risikomanagement- und internen Kontrollsystem.

Daneben stärkt es den Prüfungsausschuss, verschärft Rotations- und Haftungsregeln für Abschlussprüfer und erweitert die Befugnisse der BaFin. Praktisch bedeutsam ist die Verlagerung: Was zuvor Empfehlung des Corporate Governance Kodex war, ist für den erfassten Kreis nun Gesetz.

Zie ook: § 91 AktG · Prüfungsausschuss

Regulatorik

Deutscher Corporate Governance Kodex

Der DCGK bündelt Grundsätze, Empfehlungen und Anregungen guter Unternehmensführung für börsennotierte Gesellschaften. Zu Risikomanagement und Compliance enthält er konkrete Empfehlungen, unter anderem zu internem Kontroll- und Risikomanagementsystem einschließlich Nachhaltigkeitsaspekten sowie zu einem Hinweisgebersystem.

Der Kodex ist kein Gesetz, entfaltet aber Wirkung über die Entsprechenserklärung nach § 161 AktG: Abweichungen sind offenzulegen und zu begründen. Für nicht börsennotierte Unternehmen dient er als Orientierung – insbesondere Familienunternehmen greifen häufig auf eigene, daran angelehnte Governance-Kodizes zurück.

Zie ook: Bestuur · Aufsichtsrat

Regulatorik

Lagebericht und Risikobericht

Nach § 289 HGB ist im Lagebericht die voraussichtliche Entwicklung mit ihren wesentlichen Chancen und Risiken zu beurteilen und zu erläutern. Der Risikobericht ist damit die externe Schnittstelle des Risikomanagements.

Anforderungen an den Risikobericht

• Darstellung der wesentlichen Risiken, nicht eine Aufzählung aller Risiken
• Nachvollziehbare Ableitung aus dem internen Risikoinventar
• Angabe der Bewertungsmaßstäbe und der Risikolage insgesamt
• Konsistenz mit dem Prognosebericht: Die Risiken beschreiben die Abweichungen von den dort dargestellten Erwartungen

Abweichungen zwischen interner Risikolage und externer Darstellung sind ein klassischer Prüfungsschwerpunkt. Wer intern ein bestandsgefährdendes Risiko führt und extern von einer stabilen Lage berichtet, hat ein Problem, das über die Rechnungslegung hinausgeht.

Zie ook: Prognosebericht · Risicobeoordeling

Regulatorik

§ 317 Abs. 4 HGB

Die Vorschrift verpflichtet den Abschlussprüfer bei börsennotierten Aktiengesellschaften zu beurteilen, ob der Vorstand das Überwachungssystem nach § 91 Abs. 2 AktG in geeigneter Form eingerichtet hat und dieses seine Aufgaben erfüllen kann.

Sie ist die gesetzliche Grundlage der Prüfung nach IDW PS 340 n.F. Der Prüfungsauftrag ist bewusst eng gefasst: Beurteilt wird die Einrichtung und grundsätzliche Funktionsfähigkeit, nicht die Wirksamkeit über einen Zeitraum. Eine weitergehende Wirksamkeitsprüfung erfolgt nur im gesonderten Auftrag.

Zie ook: IDW PS 340 n.F. · Jahresabschlussprüfung

Regulatorik

MaRisk

Die Mindestanforderungen an das Risikomanagement der BaFin konkretisieren § 25a KWG für Kreditinstitute. Sie regeln Risikotragfähigkeit, Strategien, interne Kontrollverfahren, Stresstests, Auslagerungsmanagement und die Ausgestaltung der Internen Revision.

Auch außerhalb des Finanzsektors lohnt der Blick hinein: Die MaRisk beschreiben ein durchreguliertes Risikomanagement mit hohem Detailgrad und dienen vielen Industrieunternehmen als Referenz für Themen wie Auslagerungsmanagement oder Risikotragfähigkeitskonzept. Für Versicherer gelten die MaGo als Entsprechung.

Zie ook: KWG · Auslagerungsmanagement

Regulatorik

KWG

Das Kreditwesengesetz ist die aufsichtsrechtliche Grundlage für Kreditinstitute in Deutschland. § 25a KWG verlangt eine ordnungsgemäße Geschäftsorganisation mit angemessenem Risikomanagement, internem Kontrollsystem und Compliance-Funktion.

Für Nicht-Banken ist das KWG mittelbar relevant, wenn Finanzdienstleistungen erbracht werden – etwa bei Zahlungsabwicklung, Factoring oder Absatzfinanzierung im Konzern. Die Abgrenzung erlaubnispflichtiger Tätigkeiten gehört in diesen Fällen in die Compliance-Risikoanalyse.

Zie ook: MaRisk

Regulatorik

Solvency II

Solvency II ist das europäische Aufsichtsregime für Versicherungsunternehmen und ruht auf drei Säulen: quantitative Kapitalanforderungen, qualitative Governance-Anforderungen einschließlich der unternehmenseigenen Risiko- und Solvabilitätsbeurteilung sowie Berichts- und Offenlegungspflichten.

Die zweite Säule ist auch für Industrieunternehmen aufschlussreich: Die ORSA verlangt eine vorausschauende Beurteilung des Gesamtrisikoprofils und der Kapitalausstattung über den Planungshorizont – methodisch genau das, was der IDW PS 340 n.F. für Nichtversicherer fordert.

Zie ook: Risicodragendheid

Regulatorik

Basel III und IV

Die Basler Rahmenwerke definieren internationale Eigenkapital- und Liquiditätsstandards für Banken und werden in der EU über die Capital Requirements Regulation und Directive umgesetzt.

Für Unternehmen außerhalb des Finanzsektors sind sie mittelbar bedeutsam: Sie prägen Ratingverfahren, Kreditkonditionen und den Informationsbedarf der Banken. Ein Unternehmen, das seine Risikolage quantifiziert darstellen kann, verbessert seine Verhandlungsposition messbar – weil die Bank sonst mit Sicherheitsaufschlägen arbeitet.

Zie ook: Risicoaggregatie

Regulatorik

CSRD

Die Corporate Sustainability Reporting Directive erweitert die Nachhaltigkeitsberichterstattung in der EU erheblich: Berichtsinhalte nach den ESRS, Prüfpflicht durch einen unabhängigen Dritten, digitales Tagging und Integration in den Lagebericht statt in einen separaten Bericht.

Was sich dadurch ändert

• Prüfpflicht: Nachhaltigkeitsdaten unterliegen erstmals einer externen Prüfung – mit entsprechenden Anforderungen an Datenqualität und Kontrollen.
• Doppelte Wesentlichkeit: Berichtet wird über Auswirkungen des Unternehmens en finanzielle Auswirkungen auf das Unternehmen.
• Wertschöpfungskette: Die Berichtsgrenze endet nicht am eigenen Werkstor.
• Integration: ESG-Risiken gehören methodisch in das bestehende Risikomanagement.

Anwendungsbereich und Erstanwendungszeitpunkte werden im Rahmen des EU-Omnibus-Verfahrens überarbeitet und sind unternehmensindividuell zu prüfen.

Vorbereitung in fünf Schritten

1. Anwendbarkeit und Zeitpunkt klären: Größenkriterien, Kapitalmarktbezug und Konzerneinbindung prüfen – einschließlich der Frage, ob eine Befreiung über den Konzernbericht möglich ist.
2. Doppelte Wesentlichkeitsanalyse: methodisch sauber, dokumentiert und mit Stakeholder-Einbindung – sie bestimmt den gesamten Berichtsumfang.
3. Datenlücken ermitteln: Für jede geforderte Angabe klären, ob die Daten existieren, woher sie stammen und wer sie verantwortet.
4. Prozesse und Kontrollen aufbauen: Nachhaltigkeitsdaten werden prüfungspflichtig und benötigen dieselbe Kontrolltiefe wie Finanzdaten.
5. Probelauf: einen vollständigen Berichtszyklus vor der Erstanwendung durchspielen, inklusive Abstimmung mit dem Prüfer.

Der zeitkritische Engpass ist regelmäßig Schritt drei: Die Datenerhebung über Standorte, Beteiligungen und Lieferanten dauert länger als die Berichtserstellung selbst.

Zie ook: ESRS · Doppelte Wesentlichkeitsanalyse

Regulatorik

ESRS

Die European Sustainability Reporting Standards konkretisieren die Berichtspflichten der CSRD. Sie umfassen übergreifende Standards zu allgemeinen Anforderungen und Angaben sowie themenspezifische Standards zu Umwelt, Sozialem und Governance.

Welche Themenstandards anzuwenden sind, ergibt sich aus der doppelten Wesentlichkeitsanalyse – mit Ausnahme der übergreifenden Standards, die immer gelten.

Zie ook: CSRD · Doppelte Wesentlichkeitsanalyse

Regulatorik

EU-Taxonomie

Die EU-Taxonomie ist ein Klassifikationssystem für ökologisch nachhaltige Wirtschaftstätigkeiten. Eine Tätigkeit gilt als taxonomiekonform, wenn sie wesentlich zu einem der sechs Umweltziele beiträgt, kein anderes erheblich beeinträchtigt und Mindestschutzstandards einhält.

Berichtspflichtige Unternehmen weisen aus, welcher Anteil von Umsatz, Investitionen und Betriebsausgaben taxonomiefähig und taxonomiekonform ist. Die praktische Schwierigkeit liegt in der Datengrundlage: Die Zuordnung erfordert eine Aufteilung der Erlöse und Investitionen nach Tätigkeiten, die das Rechnungswesen in dieser Form meist nicht vorhält.

Zie ook: CSRD · Nachhaltigkeitsberichterstattung

Regulatorik

Wet op de verantwoordelijkheid van toeleveringsketen (SCDDA)

Das LkSG verpflichtet Unternehmen ab einer bestimmten Beschäftigtenzahl, menschenrechts- und umweltbezogene Sorgfaltspflichten in der eigenen Geschäftstätigkeit und in der Lieferkette umzusetzen. Es ist als Bemühenspflicht ausgestaltet: Geschuldet ist ein angemessenes, dokumentiertes Vorgehen, nicht eine verstoßfreie Lieferkette.

Die neun Pflichten im Überblick

Umsetzung in der Praxis

Der Aufwand konzentriert sich auf drei Punkte. Erstens die Datengrundlage: Viele Unternehmen kennen ihre unmittelbaren Zulieferer aus dem ERP, nicht aber deren Produktionsstandorte – genau die sind für die Länderrisikobewertung entscheidend. Zweitens die Priorisierung: Bei mehreren tausend Lieferanten ist eine Einzelbetrachtung unmöglich, weshalb die abstrakte Analyse über Portfoliokriterien den Kreis auf eine bearbeitbare Zahl reduzieren muss. Drittens die Verzahnung mit dem Einkauf: Werden Nachhaltigkeitskriterien nicht in Vergabe und Vertragsgestaltung verankert, bleibt die Risikoanalyse folgenlos.

Für nicht unmittelbar betroffene Unternehmen gilt die Pflicht mittelbar: Sie werden von berichtspflichtigen Kunden über Lieferantenkodizes, Selbstauskünfte und Auditrechte in die Pflicht genommen. Ein eigenes, schlankes Vorgehen ist deshalb auch unterhalb der Schwellenwerte sinnvoll.

Zie ook: Risikoanalyse nach LkSG · CSDDD

Regulatorik

CSDDD

Die Corporate Sustainability Due Diligence Directive ist die europäische Richtlinie zu unternehmerischen Sorgfaltspflichten. Sie erweitert die Logik des LkSG auf die gesamte Aktivitätskette, verlangt einen Klimatransformationsplan und sieht zivilrechtliche Haftung vor.

Umfang, Schwellenwerte und Zeitplan werden im Rahmen des Omnibus-Pakets angepasst; die nationale Umsetzung ist entsprechend zu beobachten. Unabhängig vom finalen Anwendungsbereich gilt: Unternehmen, die ihre Lieferkettenprozesse bereits nach LkSG aufgebaut haben, müssen diese vor allem in der Reichweite erweitern, nicht methodisch neu erfinden.

Zie ook: SCDDA · Sorgfaltspflichten

Regulatorik

Hinweisgeberschutzgesetz (HinSchG)

Das HinSchG setzt die EU-Whistleblower-Richtlinie in deutsches Recht um. Es verpflichtet Unternehmen ab 50 Beschäftigten zur Einrichtung einer internen Meldestelle, schützt hinweisgebende Personen vor Repressalien und schreibt Fristen für Eingangsbestätigung und Rückmeldung vor.

Umsetzungsschritte

• Meldestelle einrichten und Zuständige benennen – intern, ausgelagert oder in Kombination
• Meldekanäle bereitstellen, mindestens schriftlich und mündlich, persönliches Gespräch auf Wunsch
• Verfahrensordnung und Datenschutzkonzept erstellen, Betriebsrat einbinden
• Berechtigungskonzept umsetzen, das Vertraulichkeit technisch absichert
• Beschäftigte über das System und den Schutz vor Repressalien informieren
• Fristenüberwachung und Dokumentation systemseitig sicherstellen
• Aufbewahrung der Falldokumentation nach den gesetzlichen Vorgaben regeln

Konzernweite Meldestellen sind zulässig, entbinden die einzelne Tochtergesellschaft ab 50 Beschäftigten aber nicht von ihrer eigenen Verantwortung – die Zuständigkeit für Folgemaßnahmen muss klar zugewiesen bleiben.

Zie ook: Interne Meldestelle · Repressalienverbot

Regulatorik

§§ 30, 130 OWiG

Die beiden Vorschriften des Ordnungswidrigkeitengesetzes sind die rechtliche Grundlage der Unternehmenshaftung in Deutschland. § 130 OWiG sanktioniert die Verletzung der Aufsichtspflicht, § 30 OWiG ermöglicht die Verhängung von Geldbußen gegen das Unternehmen selbst.

Die praktische Bedeutung ist erheblich: Bestraft wird nicht nur, wer einen Verstoß begeht, sondern auch, wer ihn durch gehörige Aufsicht hätte verhindern können. Was „gehörige Aufsicht" bedeutet, bemisst sich am Risikoprofil des Unternehmens – und genau das begründet die Notwendigkeit einer dokumentierten Compliance-Risikoanalyse.

Zie ook: Organisationsverschulden · Compliance-management-systeem

Internele controlesysteem

Internele controlesysteem (IKS)

Das interne Kontrollsystem umfasst alle Grundsätze, Verfahren und Maßnahmen, die die Wirksamkeit der Geschäftstätigkeit, die Verlässlichkeit der Berichterstattung und die Einhaltung rechtlicher Vorgaben sicherstellen. Während das Risikomanagement Risiken erkennt und bewertet, begrenzt das IKS sie durch konkrete Kontrollen im Prozess – die Differenz zwischen Brutto- und Nettorisiko ist genau seine messbare Leistung.

Die fünf Komponenten nach COSO

Das COSO-Rahmenwerk ist international der De-facto-Standard und auch Referenz für die Prüfung nach IDW PS 982. Es beschreibt fünf zusammenwirkende Komponenten – wird eine davon vernachlässigt, verlieren die übrigen an Wirkung.

Kontrollarten

Automatisierte Kontrollen sind manuellen überlegen, weil sie nicht vergessen werden und ihren Nachweis selbst erzeugen. Der Aufwand für Wirksamkeitstests sinkt deutlich: Bei einer Systemkontrolle genügt der Nachweis, dass die Konfiguration im Prüfungszeitraum unverändert galt, während eine manuelle Kontrolle über Stichproben belegt werden muss.

Aufbau entlang der Prozesse

1. Prozesslandkarte: Führungs-, Kern- und Unterstützungsprozesse abgrenzen und Verantwortliche benennen.
2. Wesentlichkeit festlegen: Nur Prozesse mit relevanter Auswirkung auf Abschluss, Recht oder Betriebsfähigkeit vertiefen.
3. Risiken je Prozessschritt erheben: Was kann schiefgehen – Vollständigkeit, Richtigkeit, Berechtigung, Zeitpunkt?
4. Kontrollen zuordnen und Lücken schließen: Bestehende Kontrollen aufnehmen, Kontrollziele formulieren, fehlende ergänzen.
5. Schlüsselkontrollen bestimmen: Risikoorientiert auswählen und begründen, welche Kontrollen getestet werden.
6. Testplan aufsetzen: Stichprobenumfang, Methode und Turnus je Kontrolle festlegen.
7. Feststellungen in Maßnahmen überführen: Mit Verantwortlichem, Frist und Nachweis der Behebung.

Angemessenheit und Wirksamkeit

Beide Begriffe werden regelmäßig verwechselt, bezeichnen aber unterschiedliche Prüfungsfragen. Die Doeltreffendheid fragt: Ist die Kontrolle so konzipiert, dass sie das Kontrollziel erreichen kann? Die Effectiviteit fragt: Wurde sie im Prüfungszeitraum tatsächlich durchgängig und korrekt ausgeführt? Eine perfekt beschriebene Kontrolle, für die kein Nachweis existiert, gilt im Test als nicht ausgeführt.

Praxisregel: Keine Kontrolle ohne Nachweis. Wenn nicht dokumentiert ist, wer wann was geprüft hat, existiert die Kontrolle für den Prüfer nicht – unabhängig davon, wie zuverlässig sie tatsächlich gelebt wird.

Rechtelijke context

• § 91 Abs. 3 AktG: Börsennotierte Aktiengesellschaften benötigen ein angemessenes und wirksames internes Kontrollsystem.
• § 289 Abs. 4 HGB: Kapitalmarktorientierte Unternehmen beschreiben die wesentlichen Merkmale des rechnungslegungsbezogenen IKS im Lagebericht.
• IDW PS 982: Maßstab für die gesonderte Prüfung des IKS der Unternehmensberichterstattung.
• Branchenspezifisch: MaRisk für Kreditinstitute, DORA für den Finanzsektor, GoBD für steuerrelevante Prozesse.

Kontrollen entlang der Kernprozesse

Typische Schwächen in der Praxis

• Kontrollen ohne Nachweis: Die Prüfung findet statt, wird aber nicht dokumentiert – im Test ist sie damit nicht existent.
• Kontrollbeschreibung ohne Reaktion: Es ist geregelt, was geprüft wird, aber nicht, was bei einer Abweichung geschieht.
• Personengebundene Kontrollen: Beschreibungen nennen Namen statt Rollen und werden bei Personalwechsel wertlos.
• Vier-Augen-Prinzip nur auf dem Papier: Der Zweitprüfer zeichnet ab, ohne Zugriff auf die Prüfungsgrundlage zu haben.
• Keine Anpassung nach Prozessänderungen: Das Kontrollsystem beschreibt einen Prozess, den es so nicht mehr gibt.
• Überkontrolle: Hunderte dokumentierte Kontrollen ohne Priorisierung binden Kapazität, die für die wesentlichen fehlt.

Veelgestelde vragen

Zie ook: Risicomanagement-systeem · Model van Three Lines · Compliance-management-systeem

Internele controlesysteem

Rechnungslegungsbezogenes IKS

Das rechnungslegungsbezogene IKS ist der Teil des Kontrollsystems, der die Ordnungsmäßigkeit von Buchführung und Abschlusserstellung sichert. Es steht im Fokus der Abschlussprüfung und der Prüfung nach IDW PS 982.

Abgedeckt werden die abschlussrelevanten Prozesse – Einkauf und Verbindlichkeiten, Vertrieb und Forderungen, Personal, Anlagevermögen, Vorräte, Liquidität und der Abschlussprozess selbst – einschließlich der IT-Anwendungskontrollen und der allgemeinen IT-Kontrollen. Kapitalmarktorientierte Unternehmen beschreiben die wesentlichen Merkmale zusätzlich im Lagebericht nach § 289 Abs. 4 HGB.

Zie ook: Internele controlesysteem · IDW PS 982

Internele controlesysteem

Kontrollziel

Ein Kontrollziel beschreibt, welches Risiko eine Kontrolle abdecken soll – etwa die Vollständigkeit erfasster Umsätze oder die Berechtigung von Zahlungsfreigaben. Ohne formuliertes Kontrollziel lässt sich weder Angemessenheit noch Wirksamkeit beurteilen.

Für die Rechnungslegung haben sich standardisierte Kontrollziele etabliert: Vollständigkeit, Richtigkeit, Existenz, Bewertung, Eigentum und Periodenabgrenzung. Jede Kontrolle wird einem oder mehreren dieser Ziele zugeordnet; Lücken in der Zuordnung sind zugleich Lücken im Kontrollsystem.

Zie ook: Risk Control Matrix · Kontrolldesign

Internele controlesysteem

Kontrolldesign

Das Kontrolldesign beschreibt, wie eine Kontrolle konzipiert ist: wer sie durchführt, wie häufig, auf welcher Informationsgrundlage, mit welchem Nachweis und mit welcher Reaktion bei Abweichungen.

Die fünf W der Kontrollbeschreibung

• Wer führt die Kontrolle aus – Rolle, nicht Person
• Was wird geprüft, gegen welchen Sollwert
• Wann und wie häufig
• Womit – welche Auswertung, welches System, welcher Beleg
• Was folgt bei Abweichung – Korrektur, Eskalation, Dokumentation

Fehlt eines dieser Elemente, ist die Kontrolle nicht testbar. Die häufigste Lücke ist der letzte Punkt: Viele Kontrollbeschreibungen enden bei der Prüfung und lassen offen, was bei einem Befund geschieht.

Zie ook: Controleerbaarheid · Kontrollnachweis

Internele controlesysteem

Controleerbaarheid

Die Kontrollwirksamkeit beurteilt, ob eine angemessen konzipierte Kontrolle im Prüfungszeitraum tatsächlich durchgängig und korrekt ausgeführt wurde. Der Nachweis erfolgt über Stichprobentests anhand dokumentierter Kontrollnachweise.

Eine angemessene, aber nicht gelebte Kontrolle gilt als unwirksam. Der Befund „Design effective, operating ineffective" ist in Erstprüfungen der Regelfall – meist, weil Nachweise nicht aufbewahrt wurden.

Zie ook: Kontrolltest · Brutto- und Nettorisiko

Internele controlesysteem

Schlüsselkontrolle

Schlüsselkontrollen sind die Kontrollen, deren Ausfall unmittelbar zu einem wesentlichen Fehler oder Schaden führen würde. Die Beschränkung der Wirksamkeitstests auf sie hält den Prüfaufwand beherrschbar.

Die Auswahl muss risikoorientiert begründet und dokumentiert sein. Kriterien sind die Höhe des abgedeckten Risikos, das Fehlen kompensierender Kontrollen und die Abhängigkeit weiterer Prozessschritte. Als Faustregel gilt: Wenn der Ausfall einer Kontrolle ohne weitere Absicherung zu einem wesentlichen Fehler führt, ist sie eine Schlüsselkontrolle.

Zie ook: Kontrolltest · Risk Control Matrix

Internele controlesysteem

Präventive und detektive Kontrollen

Präventive Kontrollen verhindern Fehler im Vorfeld – Berechtigungskonzepte, Freigabegrenzen, Plausibilitätsprüfungen bei der Eingabe. Detektive Kontrollen decken bereits eingetretene Fehler auf – Abstimmungen, Auswertungen, Nachkalkulationen.

Ein belastbares IKS kombiniert beide Typen. Rein detektive Systeme reagieren systematisch zu spät: Der Fehler ist eingetreten, der Schaden häufig schon entstanden. Rein präventive Systeme wiederum bleiben blind gegenüber Fehlern, die die Prävention umgangen haben – etwa durch Management Override.

Zie ook: Management Override · Funktionstrennung

Internele controlesysteem

Risk Control Matrix (RCM)

Die Risk Control Matrix verbindet Prozessschritte, Risiken, Kontrollziele und Kontrollen in einer strukturierten Übersicht. Sie ist das zentrale Arbeitsdokument des IKS.

Zie ook: Internele controlesysteem · Prozesslandkarte

Internele controlesysteem

Kontrolltest

Beim Kontrolltest wird anhand einer Stichprobe geprüft, ob eine Kontrolle im Betrachtungszeitraum wie definiert ausgeführt wurde. Testverfahren sind Befragung, Beobachtung, Einsichtnahme und Nachvollzug – in dieser Reihenfolge steigender Beweiskraft.

Das Ergebnis wird als wirksam, eingeschränkt wirksam oder unwirksam eingestuft. Jede Abweichung ist zu dokumentieren und zu bewerten: Handelt es sich um einen Einzelfall oder um ein systematisches Versagen? Diese Unterscheidung entscheidet darüber, ob eine Nacharbeit genügt oder das Kontrolldesign geändert werden muss.

Zie ook: Controleerbaarheid · Measures management

Internele controlesysteem

Walkthrough

Beim Walkthrough wird ein einzelner Geschäftsvorfall vollständig durch den Prozess verfolgt, um das tatsächliche Kontrolldesign zu verstehen und die Prozessdokumentation zu verifizieren.

Er dient der Angemessenheitsbeurteilung und ersetzt keinen Wirksamkeitstest – eine einzelne Beobachtung erlaubt keine Aussage über den gesamten Zeitraum. Sein praktischer Wert liegt woanders: Walkthroughs decken regelmäßig auf, dass die dokumentierte Prozessbeschreibung von der gelebten Praxis abweicht.

Zie ook: Kontrolltest · Kontrolldesign

Internele controlesysteem

Funktionstrennung (Segregation of Duties)

Die Funktionstrennung verhindert, dass eine Person einen Vorgang allein anlegen, freigeben und abrechnen kann. Sie ist die wirksamste präventive Kontrolle gegen dolose Handlungen.

In kleinen Einheiten ist vollständige Funktionstrennung nicht immer möglich. Dann sind kompensierende Kontrollen erforderlich – etwa die nachgelagerte Prüfung durch die Geschäftsleitung –, und diese Entscheidung ist zu dokumentieren.

Umsetzung im System

Technisch wird Funktionstrennung über Rollenkonzepte und Konfliktmatrizen abgebildet. Eine Konfliktmatrix listet Kombinationen von Berechtigungen, die nicht in einer Hand liegen dürfen, und wird regelmäßig gegen die tatsächlich vergebenen Rollen geprüft. Verstöße entstehen selten absichtlich, sondern durch Vertretungsregelungen, Rollenanhäufung bei Positionswechseln und projektbezogene Zusatzrechte, die nicht zurückgenommen werden.

Deshalb gehören zwei Kontrollen dazu: die periodische Rezertifizierung kritischer Berechtigungen durch die Fachbereiche und die automatisierte Auswertung von Rollenkonflikten nach jeder Berechtigungsänderung. Wo eine Trennung organisatorisch nicht möglich ist, wird eine kompensierende Kontrolle dokumentiert – etwa die nachgelagerte Einzelprüfung aller Vorgänge durch eine unabhängige Stelle.

Zie ook: Rol- en rechtsoverzicht · Management Override

Internele controlesysteem

Management Override

Management Override bezeichnet die Umgehung bestehender Kontrollen durch die Führungsebene. Es ist das strukturell schwerste Kontrollrisiko, weil sich Kontrollen gegen ihre eigenen Ausnahmeberechtigten kaum designen lassen.

Gegenmaßnahmen setzen deshalb an anderer Stelle an: lückenlose Protokollierung aller Ausnahmen und manuellen Buchungen, Vier-Augen-Prinzip auch auf Leitungsebene, Auswertung ungewöhnlicher Journalbuchungen, funktionierendes Hinweisgebersystem und die unabhängige Prüfung durch Interne Revision und Aufsichtsorgan. In nahezu allen großen Bilanzskandalen war Management Override der zentrale Mechanismus.

Zie ook: Waarschuwingssysteem · Interne revisie

Internele controlesysteem

Prozesslandkarte

Die Prozesslandkarte gliedert das Unternehmen in Führungs-, Kern- und Unterstützungsprozesse und bildet die Struktur, an der Risiken und Kontrollen verankert werden.

Sie sorgt dafür, dass das IKS prozessorientiert statt abteilungsorientiert aufgebaut wird – und damit auch dort greift, wo Prozesse Bereichsgrenzen überschreiten. Genau an diesen Schnittstellen entstehen die meisten Kontrolllücken: Jeder Bereich geht davon aus, der andere prüfe bereits.

Zie ook: Risk Control Matrix · Internele controlesysteem

Internele controlesysteem

Measures management

Das Maßnahmenmanagement steuert die Behebung festgestellter Schwächen: Jede Feststellung erhält eine Maßnahme mit Verantwortlichem, Frist, Status und Wirksamkeitsnachweis.

Es ist die Schnittstelle, an der Risikomanagement, IKS, Interne Revision und Compliance zusammenlaufen – und in der Praxis der häufigste Anlass, Excel durch eine workflowgestützte Lösung zu ersetzen. Der Grund ist simpel: Feststellungen entstehen in vier Systemen, die Umsetzung verantworten dieselben Fachbereiche, und niemand kennt den Gesamtstatus.

Zie ook: Maßnahmenverfolgung · Risicobeheer

Internele controlesysteem

Interne revisie

Die Interne Revision ist die unabhängige, objektive Prüfungs- und Beratungsfunktion der dritten Linie. Sie beurteilt Angemessenheit und Wirksamkeit von Risikomanagement, IKS und Governance und berichtet direkt an Geschäftsleitung und Prüfungsausschuss.

Voraussetzungen der Unabhängigkeit

• Direkte Berichtslinie an das Leitungs- und Überwachungsorgan
• Keine Verantwortung für operative Prozesse, die sie prüft
• Uneingeschränktes Informations- und Zugangsrecht
• Eigenes, nicht von den geprüften Bereichen abhängiges Budget

In mittelständischen Strukturen wird die Funktion häufig ausgelagert oder als Teilzeitfunktion geführt. Beides ist zulässig, solange die Unabhängigkeit gewahrt bleibt – problematisch wird es, wenn dieselbe Person Prozesse gestaltet und anschließend prüft.

Ablauf einer Prüfung

1. Prüfungsankündigung und Anforderung der Unterlagen
2. Eröffnungsgespräch mit dem geprüften Bereich, Abstimmung von Umfang und Zeitplan
3. Prüfungshandlungen: Dokumentenanalyse, Interviews, Stichproben, Datenanalysen
4. Feststellungen mit Sachverhalt, Ursache, Risiko und Empfehlung
5. Schlussbesprechung mit Stellungnahme des Bereichs
6. Bericht an Geschäftsleitung und Prüfungsausschuss
7. Nachverfolgung bis zur belegten Umsetzung – der Schritt, an dem sich die Wirksamkeit entscheidet

Gute Feststellungen benennen die Ursache, nicht nur das Symptom. „Drei von zwanzig Zahlungen ohne zweite Freigabe" ist ein Befund; „die Freigabegrenze ist im System nicht hinterlegt, sondern organisatorisch geregelt" ist die Ursache, an der eine Maßnahme ansetzen kann.

Zie ook: Model van Three Lines · IDW PS 983

Internele controlesysteem

Prüfungsplanung

Die risikoorientierte Prüfungsplanung leitet aus dem Risikoinventar ab, welche Prozesse und Einheiten in welchem Turnus geprüft werden.

Sie verbindet Risikomanagement und Interne Revision methodisch: Prüfungsschwerpunkte folgen der Risikolage, nicht der Gewohnheit. Üblich ist ein Mehrjahresplan, der alle wesentlichen Prozesse in einem definierten Zyklus abdeckt, ergänzt um jährlich festgelegte Schwerpunkte und Reserve für anlassbezogene Prüfungen.

Zie ook: Interne revisie · Risicovoorraad

Internele controlesysteem

Kontrollnachweis

Der Kontrollnachweis dokumentiert, dass eine Kontrolle durchgeführt wurde – ein Freigabeprotokoll, eine abgezeichnete Abstimmung, ein Systemlog. Ohne Nachweis gilt eine Kontrolle im Test als nicht ausgeführt.

Systemseitig erzeugte Nachweise haben höhere Beweiskraft als manuelle, weil sie nicht nachträglich erstellt werden können. Entscheidend ist die Aufbewahrung: Nachweise müssen über den gesamten Prüfungszeitraum verfügbar und auffindbar sein – ein per E-Mail erteiltes Freigabezeichen im persönlichen Postfach erfüllt diese Anforderung nicht.

Zie ook: Revisionssicherheit · Audit Trail

Compliance

Compliance-Management-System (CMS)

Ein Compliance-Management-System bündelt alle Maßnahmen zur Verhinderung, Aufdeckung und Aufarbeitung von Regelverstößen. Es ist kein Selbstzweck: Ein angemessenes und nachweisbar wirksames CMS kann bußgeldmindernd wirken, ist zentrales Element der Enthaftung der Geschäftsleitung und wird zunehmend von Geschäftspartnern als Zulassungsvoraussetzung verlangt.

Die sieben Grundelemente nach IDW PS 980

Compliance-Risikoanalyse

Sie ist der Ausgangspunkt des gesamten Systems und zugleich das Element, das im Prüfungsfall zuerst hinterfragt wird. Ohne dokumentierte Risikoanalyse lässt sich weder begründen, warum bestimmte Maßnahmen ergriffen wurden, noch warum andere unterblieben sind – und genau diese Begründung entscheidet über die Angemessenheit.

Die Analyse berücksichtigt Branche, Märkte, Vertriebsmodell, Beschaffungsstruktur, Beteiligung öffentlicher Auftraggeber sowie Erfahrungen aus vergangenen Vorfällen. Aus ihr ergibt sich die Priorisierung: In einem exportorientierten Anlagenbauer dominieren Korruptions-, Export- und Sanktionsrisiken, in einem konsumnahen Handelsunternehmen Kartell-, Produkt- und Datenschutzrisiken.

Haftungswirkung

Nach §§ 30, 130 OWiG können gegen Unternehmen und Leitungspersonen Bußgelder verhängt werden, wenn zumutbare Aufsichtsmaßnahmen unterblieben sind – auch ohne eigenes aktives Fehlverhalten. Die Rechtsprechung erkennt an, dass ein wirksames CMS bei der Bemessung berücksichtigt wird; entscheidend ist dabei nicht die Existenz von Dokumenten, sondern die nachweisbare Wirksamkeit in der Praxis.

Ein CMS, das nach einem Vorfall nachgeschärft und dokumentiert wird, wirkt ebenfalls strafmildernd. Der deutlich günstigere Weg bleibt allerdings, die Angemessenheit vorher belegen zu können.

Standards und Zertifizierung

Aufbau in der Praxis

1. Bestandsaufnahme: Welche Richtlinien, Prozesse und Kontrollen existieren bereits – häufig mehr als angenommen, nur unsystematisch.
2. Compliance-Risikoanalyse: Rechtskataster, Risikotreiber, Bewertung, Priorisierung.
3. Zuständigkeiten klären: Compliance-Funktion, Schnittstellen zu Recht, Revision, Datenschutz, Personal.
4. Regelwerk ordnen: Verhaltenskodex als Dach, darunter Richtlinien zu den priorisierten Risiken.
5. Prozesse und Kontrollen verankern: Geschäftspartnerprüfung, Freigaben, Sanktionsscreening – dort, wo das Risiko entsteht.
6. Meldewege einrichten: Hinweisgebersystem mit Fallbearbeitung und Fristenüberwachung.
7. Schulen und kommunizieren: risikoorientiert nach Zielgruppen, mit dokumentierter Teilnahme.
8. Überwachen und verbessern: Kennzahlen, Stichproben, jährliche Aktualisierung der Risikoanalyse.

Woran sich Wirksamkeit messen lässt

Veelgestelde vragen

Zie ook: Internele controlesysteem · Model van Three Lines · Risicomanagement-systeem

Compliance

Compliance

Compliance bezeichnet die Einhaltung aller für das Unternehmen geltenden rechtlichen Vorgaben sowie selbst gesetzter interner Regeln. Der Begriff umfasst mehr als Regeltreue: Er schließt die organisatorische Pflicht der Geschäftsleitung ein, Verstöße durch geeignete Strukturen zu verhindern.

Diese Organisationspflicht ist der eigentliche Kern. Ein Verstoß eines Mitarbeiters begründet für sich genommen noch keine Unternehmenshaftung – die entsteht erst, wenn zumutbare Aufsichtsmaßnahmen unterblieben sind. Compliance ist damit weniger eine Frage des Wollens als des Nachweisens: Was nicht dokumentiert ist, gilt im Verfahren als nicht geschehen.

Zie ook: Compliance-management-systeem · Organisationsverschulden

Compliance

Compliance-Risikoanalyse

Die Compliance-Risikoanalyse identifiziert die für das Unternehmen relevanten Rechtsrisiken und bewertet sie nach Eintrittswahrscheinlichkeit und Schadenspotenzial. Sie ist der Ausgangspunkt jedes CMS und das Element, das im Prüfungsfall zuerst hinterfragt wird.

Vorgehen

1. Rechtskataster erstellen: Welche Rechtsgebiete sind für Geschäftsmodell und Märkte einschlägig?
2. Risikotreiber bestimmen: Auslandsgeschäft, Vermittler, öffentliche Auftraggeber, Bargeldgeschäft, regulierte Produkte
3. Bewerten nach Schadenspotenzial – Bußgeld, Schadensersatz, Ausschluss von Vergaben, Reputationsschaden
4. Bestehende Maßnahmen gegenüberstellen und Lücken identifizieren
5. Priorisieren und im Compliance-Programm mit Fristen hinterlegen

Ohne dokumentierte Risikoanalyse lässt sich nicht begründen, warum bestimmte Maßnahmen ergriffen und andere unterlassen wurden. Genau diese Begründung entscheidet über die Angemessenheit des Systems.

Zie ook: Compliance-Programm · Compliance-management-systeem

Compliance

Compliance-Kultur

Die Compliance-Kultur beschreibt die Grundhaltung im Unternehmen zur Regeltreue. Sie wird maßgeblich vom Verhalten der Führungsebene geprägt und entscheidet darüber, ob Richtlinien gelebt oder umgangen werden.

Prüfer beurteilen sie über Mitarbeiterbefragungen, den Umgang mit vergangenen Verstößen und die Konsistenz von Zielvorgaben und Compliance-Erwartungen. Der aufschlussreichste Indikator ist der Zielkonflikt: Wenn Vertriebsziele nur unter Inkaufnahme fragwürdiger Praktiken erreichbar sind, ist die Kultur unabhängig von jedem Kodex definiert.

Zie ook: Tone from the Top · Risicokultuur

Compliance

Compliance-Programm

Das Compliance-Programm bündelt die aus der Risikoanalyse abgeleiteten Maßnahmen: Richtlinien, Prozesse, Kontrollen, Schulungen und Kommunikationsformate.

Entscheidend ist die risikoorientierte Priorisierung. Ein Programm, das alle Themen gleich behandelt, bindet Ressourcen an Nebenrisiken und lässt die tatsächlichen Hauptrisiken unterbesetzt. Praktisch bedeutet das: In einem Unternehmen mit intensivem Auslandsvertrieb über Vermittler gehören Korruptionsprävention und Geschäftspartnerprüfung an die erste Stelle – nicht die jährliche Datenschutzschulung für alle.

Zie ook: Compliance-Risikoanalyse · Schulungsmanagement

Compliance

Compliance Officer

Der Compliance Officer verantwortet Aufbau und Betrieb des CMS, berät die Fachbereiche, überwacht die Einhaltung der Regeln und berichtet an die Geschäftsleitung. Entscheidend sind fachliche Unabhängigkeit, ausreichende Ressourcen und ein direkter Berichtsweg.

Die Rechtsprechung hat der Funktion eine besondere Stellung zugewiesen: Wer Compliance-Verantwortung übernimmt, kann im Einzelfall selbst haften, wenn er erkannte Verstöße nicht verfolgt. Die Gesamtverantwortung verbleibt jedoch bei der Geschäftsleitung – delegierbar sind Aufgaben, nicht die Pflicht zu Auswahl, Ausstattung und Überwachung.

Zie ook: Compliance-Verantwortung der Leitung · CMS

Compliance

Code of Conduct

Der Verhaltenskodex formuliert die verbindlichen Grundsätze für das Verhalten von Mitarbeitenden und Führungskräften – zu Korruption, Interessenkonflikten, Geschenken, Wettbewerb, Diskriminierung und Umgang mit Informationen.

Wirksam wird er erst durch drei Ergänzungen: Konkretisierung in Richtlinien mit klaren Wertgrenzen und Verfahren, verpflichtende Schulung mit dokumentierter Kenntnisnahme und konsequente Sanktionierung von Verstößen. Ein Kodex ohne diese drei Elemente ist ein Imagedokument und im Verfahren wertlos.

Zie ook: Richtlinienmanagement · Schulungsmanagement

Compliance

Richtlinienmanagement

Das Richtlinienmanagement steuert den Lebenszyklus interner Regelungen: Erstellung, Freigabe, Veröffentlichung, Kenntnisnahme, turnusmäßige Überprüfung und Außerkraftsetzung.

Nachweisbar ist Compliance nur, wenn dokumentiert ist, welche Fassung wann galt und welche Mitarbeitenden sie zur Kenntnis genommen haben. Ein häufiges Versäumnis ist das Fehlen eines Außerkraftsetzungsprozesses: Über Jahre sammeln sich widersprüchliche Regelungen, und im Ernstfall lässt sich nicht mehr feststellen, welche Vorgabe zum Tatzeitpunkt galt.

Zie ook: Dokumentenlenkung · Code of Conduct

Compliance

Schulungsmanagement

Das Schulungsmanagement plant, führt durch und dokumentiert Compliance-Schulungen risikoorientiert nach Zielgruppen. Nachweisbarkeit ist entscheidend: Teilnahmequoten, Testergebnisse und Wiederholungsintervalle sind die Belege, die im Ernstfall die Angemessenheit stützen.

Zie ook: Compliance-Programm

Compliance

Korruptionsprävention

Korruptionsprävention umfasst alle Maßnahmen gegen Bestechung und Vorteilsgewährung: Verhaltensregeln zu Geschenken und Einladungen mit Wertgrenzen, Freigabeprozesse für Spenden und Sponsoring, Kontrollen bei Vermittlern und Beratern sowie die Prüfung von Geschäftspartnern.

Typische Risikofelder

• Vermittler und Handelsvertreter: überhöhte Provisionen als verdeckte Zahlungswege
• Amtsträgerkontakt: Genehmigungen, Zoll, Vergabeverfahren – hier gelten strengere Maßstäbe als im Privatgeschäft
• Spenden und Sponsoring: Zuwendungen mit Nähe zu Entscheidungsträgern
• Einladungen und Bewirtung: Angemessenheit und Anlassbezug
• Facilitation Payments: in Deutschland strafbar, auch wenn lokal üblich

Wirksame Einzelmaßnahmen

Der wirksamste Hebel ist selten eine zusätzliche Richtlinie, sondern die Verankerung der Prüfung im Prozess: Ein Vermittlervertrag, der ohne dokumentierte Due Diligence im System gar nicht angelegt werden kann, wirkt stärker als jede Schulung.

Zie ook: ISO 37001 · Third Party Due Diligence

Compliance

Kartellrechts-Compliance

Kartellrechts-Compliance zielt auf die Vermeidung wettbewerbsbeschränkender Absprachen, des Missbrauchs marktbeherrschender Stellungen und unzulässiger Vertikalvereinbarungen wie Preisbindung der zweiten Hand.

Risikoschwerpunkte sind Verbandstreffen, Messen und jeder Informationsaustausch mit Wettbewerbern – auch über Preise, Kapazitäten oder Kundenzuordnungen. Wegen der Bußgeldhöhe von bis zu zehn Prozent des Konzernumsatzes und der Kronzeugenregelung, die den Erstmelder privilegiert, gehören klare Verhaltensregeln für Wettbewerberkontakte und ein funktionierendes internes Meldesystem zum Standard.

Zie ook: Waarschuwingssysteem · Compliance-Risikoanalyse

Compliance

Geldwäscheprävention

Das Geldwäschegesetz verpflichtet bestimmte Unternehmen zu Sorgfaltspflichten gegenüber Vertragspartnern: Identifizierung, Feststellung des wirtschaftlich Berechtigten, Abklärung des Geschäftszwecks, laufende Überwachung und Meldung von Verdachtsfällen an die FIU.

Verpflichtete sind nicht nur Finanzdienstleister, sondern unter anderem auch Güterhändler ab bestimmten Barzahlungsgrenzen, Immobilienmakler und Treuhänder. Sie benötigen ein internes Risikomanagement mit dokumentierter Risikoanalyse, internen Sicherungsmaßnahmen und – ab bestimmter Größe – einem Geldwäschebeauftragten.

Zie ook: Sanktionsprüfung · Third Party Due Diligence

Compliance

Sanktions- und Embargoprüfung

Die Sanktionsprüfung gleicht Geschäftspartner, Empfänger und Zahlungen mit den Sanktionslisten der EU, der Vereinten Nationen und gegebenenfalls der USA ab. Verstöße sind unabhängig vom Verschulden bußgeldbewehrt und können strafrechtliche Folgen haben.

Die Prüfung muss laufend erfolgen, da Listen kurzfristig geändert werden – ein Abgleich bei Vertragsschluss genügt nicht. In der Praxis erfolgt sie über automatisierte Screening-Läufe im ERP- oder Compliance-System gegen aktualisierte Listen, mit dokumentierter Trefferbearbeitung. Zu beachten ist auch die Eigentumskontrolle: Sanktioniert können Unternehmen sein, die mehrheitlich gelisteten Personen gehören, ohne selbst gelistet zu sein.

Zie ook: Geschäftspartnerprüfung · Geldwäscheprävention

Compliance

Third Party Due Diligence

Die Geschäftspartner-Due-Diligence prüft Lieferanten, Vermittler, Berater und Vertriebspartner risikoorientiert vor Vertragsschluss – auf wirtschaftliche Verhältnisse, Eigentümerstruktur, Sanktionslistentreffer, Korruptionsindex des Sitzlandes und negative Presseberichte.

Ablauf und Dokumentation

Der Prozess beginnt mit einer Risikoeinstufung anhand weniger objektiver Kriterien – Sitzland, Leistungsart, Volumen, Amtsträgerkontakt, Vermittlerrolle. Erst danach richtet sich die Prüfungstiefe. Das verhindert, dass bei jedem Lieferanten derselbe Aufwand betrieben wird, und macht die Priorisierung gegenüber Prüfern begründbar.

Zu dokumentieren sind Einstufung, durchgeführte Prüfschritte, Ergebnisse, festgestellte Auffälligkeiten und die Freigabeentscheidung einschließlich etwaiger Auflagen. Bei Auffälligkeiten ohne Ablehnung ist die Begründung besonders sorgfältig festzuhalten – genau diese Fälle werden im Ernstfall geprüft. Ergänzend gehören Prüf- und Auditrechte, Compliance-Zusicherungen und außerordentliche Kündigungsrechte in den Vertrag.

Zie ook: Korruptionsprävention · Lieferantenbewertung

Compliance

Geschäftspartnerprüfung im Bestand

Die Geschäftspartnerprüfung ist die laufende Fortsetzung der Due Diligence: turnusmäßige Wiedervorlage nach Risikoklasse, anlassbezogene Prüfung bei auffälligen Vorgängen und automatisierte Überwachung von Sanktions- und Negativlisten.

Sie verhindert, dass eine einmalige Prüfung bei Vertragsbeginn zum Feigenblatt wird. Auslöser für eine anlassbezogene Prüfung sind unter anderem Gesellschafterwechsel, Änderung der Bankverbindung, ungewöhnliche Provisionsforderungen, Zahlungen in Drittländer und negative Medienberichte.

Zie ook: Third Party Due Diligence · Sanktionsprüfung

Compliance

Interessenkonflikt

Ein Interessenkonflikt liegt vor, wenn persönliche Interessen die objektive Wahrnehmung dienstlicher Aufgaben beeinflussen können – bei Nebentätigkeiten, Beteiligungen an Lieferanten oder Auftragsvergaben an Angehörige.

Ein Konflikt ist für sich genommen kein Verstoß; problematisch wird erst der unerklärte Konflikt. Übliche Steuerung sind daher Offenlegungspflicht, ein geführtes Register, der Ausschluss von der jeweiligen Entscheidung und – bei wesentlichen Fällen – die Dokumentation der getroffenen Schutzmaßnahmen.

Zie ook: Code of Conduct · Verstoßmanagement

Compliance

Verstoßmanagement und Case Management

Das Verstoßmanagement regelt den Umgang mit Hinweisen und Verdachtsfällen: Erfassung, Plausibilisierung, interne Untersuchung, Entscheidung über Konsequenzen und Ableitung präventiver Maßnahmen.

Grundsätze der internen Untersuchung

• Trennung von Untersuchung und Entscheidung über Konsequenzen
• Wahrung der Vertraulichkeit und der Rechte betroffener Personen
• Beweissicherung vor der ersten Befragung, nicht danach
• Einbindung des Datenschutzes und gegebenenfalls des Betriebsrats
• Lückenlose Dokumentation jedes Schritts
• Abschluss mit Maßnahmen, die die Ursache beheben – nicht nur den Einzelfall

Zie ook: Fallbearbeitung im Hinweisgebersystem · Measures management

Compliance

Compliance-Reporting

Das Compliance-Reporting informiert Geschäftsleitung und Aufsichtsrat über Risikolage, Fallzahlen, Schulungsquoten, Status offener Maßnahmen und regulatorische Änderungen.

Ein aussagekräftiger Bericht bleibt nicht bei Aktivitätskennzahlen stehen. Die Zahl durchgeführter Schulungen sagt wenig; die Frage, ob die Maßnahmen die identifizierten Hauptrisiken abdecken und ob die Kontrollen wirken, beantwortet den Informationsbedarf des Aufsichtsorgans. Auffällig niedrige Meldezahlen sind dabei kein Erfolg, sondern ein Warnsignal für fehlendes Vertrauen in das Meldesystem.

Zie ook: Waarschuwingssysteem · Risicobeoordeling

Compliance

Tone from the Top

Tone from the Top beschreibt die sichtbare Haltung der Unternehmensleitung zu Integrität und Regeltreue – ausgedrückt in Kommunikation, Zielsystemen, Beförderungsentscheidungen und im Umgang mit aufgedeckten Verstößen.

Er gilt als wichtigster Einzelfaktor für die Wirksamkeit eines CMS. Der Grund ist einfach: Beschäftigte orientieren sich nicht an Dokumenten, sondern an dem, was in ihrem Umfeld folgenlos bleibt. Wird ein umsatzstarker Vertriebsleiter trotz belegtem Verstoß befördert, ist jede Schulung entwertet – ergänzt wird der Begriff daher zunehmend um den „Tone from the Middle", da die mittlere Führungsebene den Alltag prägt.

Zie ook: Compliance-Kultur

Compliance

Organisationsverschulden

Organisationsverschulden bezeichnet die Verletzung der Pflicht, den Betrieb so zu organisieren, dass Rechtsverstöße verhindert werden. Nach §§ 30, 130 OWiG können Unternehmen und Leitungspersonen mit Bußgeldern belegt werden, wenn Aufsichtsmaßnahmen unterblieben sind.

Das ist die zentrale rechtliche Begründung für ein dokumentiertes CMS – und zugleich der Grund, warum Dokumentation kein Selbstzweck ist: Im Verfahren muss das Unternehmen darlegen, welche Aufsichtsmaßnahmen getroffen wurden. Gelingt das nicht, wird zugunsten der Behörde unterstellt, dass sie unterblieben sind.

Zie ook: §§ 30, 130 OWiG · Compliance-management-systeem

Waarschuwingssysteem

Whistleblowing und Hinweisgebersystem

Ein Hinweisgebersystem ermöglicht Beschäftigten und Dritten, Rechtsverstöße vertraulich zu melden. Es ist zugleich gesetzliche Pflicht und wirksamstes Aufdeckungsinstrument: Ein erheblicher Teil aller Wirtschaftsdelikte wird über Hinweise entdeckt, nicht über Kontrollen oder Prüfungen.

Was über die Akzeptanz entscheidet

• Vertrauen in die Vertraulichkeit: getrenntes Berechtigungskonzept, keine Einsicht durch Vorgesetzte
• Erreichbarkeit: mehrere Kanäle, auch für externe Dritte und in den Sprachen der Belegschaft
• Rückmeldung: Wer nie erfährt, ob etwas passiert ist, meldet kein zweites Mal
• Sichtbare Konsequenzen: anonymisierte Berichterstattung über bearbeitete Fälle
• Schutz vor Repressalien: nicht nur rechtlich, sondern erkennbar gelebt

Niedrige Meldezahlen sind kein Qualitätsbeweis. Ein System ohne Meldungen ist in aller Regel ein System ohne Vertrauen – nicht ein Unternehmen ohne Verstöße.

Einführung und Betrieb

Die Einführung entscheidet über die spätere Nutzung. Bewährt hat sich, das System vor dem Start gemeinsam mit dem Betriebsrat auszugestalten, die Verfahrensordnung zu veröffentlichen und die Kommunikation nicht als Pflichtmitteilung, sondern als Einladung zu formulieren: Es geht darum, Probleme früh zu erfahren, nicht darum, Kollegen anzuzeigen.

Im Betrieb sind drei Kennzahlen aussagekräftig: die Zahl der Meldungen im Verhältnis zur Belegschaftsgröße, der Anteil der Meldungen, die zu Maßnahmen führen, und die durchschnittliche Zeit bis zur ersten Rückmeldung. Auffällig ist weniger eine hohe als eine dauerhaft sehr niedrige Meldezahl – sie deutet auf fehlendes Vertrauen oder mangelnde Bekanntheit hin, nicht auf Regeltreue.

Zie ook: Hinweisgeberschutzgesetz · Interne Meldestelle

Waarschuwingssysteem

Interne Meldestelle

Die interne Meldestelle nimmt Hinweise entgegen, bestätigt den Eingang, prüft die Stichhaltigkeit, hält Kontakt zur hinweisgebenden Person und ergreift Folgemaßnahmen. Unternehmen ab 50 Beschäftigten müssen sie einrichten.

Die beauftragten Personen müssen unabhängig und fachkundig sein. Die Aufgabe kann intern vergeben – etwa an Compliance, Recht oder Interne Revision – oder an einen externen Dritten ausgelagert werden, häufig an eine Kanzlei oder einen Ombudsmann. Die Verantwortung für die Einrichtung und die Erfüllung der Pflichten verbleibt in jedem Fall beim Unternehmen.

Zie ook: Externe Meldestelle · Vertraulichkeitsgebot

Waarschuwingssysteem

Externe Meldestelle

Neben der internen Meldestelle steht hinweisgebenden Personen eine externe Meldestelle offen – in Deutschland beim Bundesamt für Justiz, bei besonderen Zuständigkeiten bei BaFin und Bundeskartellamt.

Hinweisgebende Personen haben die Wahl zwischen internem und externem Weg; eine Pflicht zur vorherigen internen Meldung besteht nicht. Genau darin liegt das Eigeninteresse des Unternehmens: Ein leicht erreichbares, vertrauenswürdiges internes System erhöht die Wahrscheinlichkeit, dass ein Missstand zuerst intern bekannt wird und intern behoben werden kann.

Zie ook: Interne Meldestelle · HinSchG

Waarschuwingssysteem

EU-Whistleblower-Richtlinie

Die Richtlinie (EU) 2019/1937 begründet den europaweiten Mindestschutz für Personen, die Verstöße gegen Unionsrecht melden. Sie verpflichtet zu internen Meldekanälen, definiert Fristen und verbietet Repressalien.

Für Unternehmen mit Tochtergesellschaften in mehreren Mitgliedstaaten ist die nationale Umsetzung relevant: Sie unterscheidet sich in Details, etwa bei der Zulässigkeit konzernweiter Meldestellen und beim sachlichen Anwendungsbereich. Ein konzerneinheitliches System ist möglich, muss aber die jeweils strengere nationale Anforderung erfüllen.

Zie ook: Hinweisgeberschutzgesetz

Waarschuwingssysteem

Anonyme Meldung

Anonyme Meldungen erfolgen ohne Preisgabe der Identität. Nach dem HinSchG sollen sie bearbeitet werden; eine Pflicht, anonyme Meldekanäle vorzuhalten, besteht nicht.

Praktisch sind sie dennoch zu empfehlen. Die Hemmschwelle sinkt deutlich, und über anonymisierte Dialogfunktionen bleibt die Rückfrage möglich – der entscheidende Punkt, weil anonyme Meldungen ohne Nachfragemöglichkeit häufig zu unspezifisch für eine Untersuchung sind. Digitale Systeme lösen das über ein anonymes Postfach mit Zugangscode.

Zie ook: Meldekanal · Fallbearbeitung

Waarschuwingssysteem

Meldekanal

Meldekanäle sind die Wege, über die Hinweise eingehen können – mündlich per Telefon, persönlich auf Wunsch, schriftlich oder über ein digitales Meldesystem.

Zie ook: Anonyme Meldung · Interne Meldestelle

Waarschuwingssysteem

Fallbearbeitung im Hinweisgebersystem

Die Fallbearbeitung folgt einem definierten Ablauf: Eingangsbestätigung, Plausibilitätsprüfung, Untersuchung, Entscheidung über Maßnahmen und Rückmeldung an die hinweisgebende Person.

Jeder Schritt ist zu dokumentieren – als Nachweis der Fristenwahrung und zur Beweissicherung für spätere arbeits- oder strafrechtliche Verfahren. Zu regeln ist außerdem der Umgang mit Fällen, die die Meldestelle selbst betreffen oder die Geschäftsleitung: Für diese Konstellation braucht es einen vorab definierten Eskalationsweg, in der Regel direkt an das Aufsichtsorgan.

Zie ook: Verstoßmanagement · Fristen im Meldeverfahren

Waarschuwingssysteem

Vertraulichkeitsgebot

Das Vertraulichkeitsgebot verpflichtet die Meldestelle, die Identität der hinweisgebenden Person, der betroffenen Personen und weiterer Genannter zu schützen. Eine Weitergabe ist nur in eng begrenzten gesetzlichen Ausnahmefällen zulässig.

Organisatorisch erfordert das ein strikt getrenntes Berechtigungskonzept: Vorgesetzte dürfen keinen Zugriff auf Fälle ihres eigenen Bereichs haben, und auch IT-Administratoren sollten keine Einsicht in Fallinhalte nehmen können. Genau an dieser Anforderung scheitern improvisierte Lösungen über E-Mail-Postfächer oder Netzlaufwerke.

Zie ook: Rol- en rechtsoverzicht · Repressalienverbot

Waarschuwingssysteem

Repressalienverbot

Hinweisgebende Personen dürfen wegen einer berechtigten Meldung nicht benachteiligt werden – weder durch Kündigung, Abmahnung oder Versetzung noch durch das Zurückhalten von Beförderungen oder Weiterbildung.

Das Gesetz kehrt die Beweislast um: Erleidet eine Person nach einer Meldung eine Benachteiligung, muss das Unternehmen belegen, dass diese auf anderen Gründen beruht. Praktisch folgt daraus eine klare Empfehlung: Personalmaßnahmen gegenüber hinweisgebenden Personen sind besonders sorgfältig zu dokumentieren und sollten vorab rechtlich geprüft werden.

Zie ook: HinSchG · Waarschuwingssysteem

Waarschuwingssysteem

Fristen im Meldeverfahren

Nach dem HinSchG ist der Eingang einer Meldung innerhalb von sieben Tagen zu bestätigen; die Rückmeldung über geplante oder ergriffene Folgemaßnahmen muss spätestens drei Monate nach der Eingangsbestätigung erfolgen.

Beide Fristen gelten unabhängig davon, ob sich der Hinweis als berechtigt erweist, und ihre Verletzung ist bußgeldbewehrt. Die Rückmeldung darf laufende Ermittlungen nicht gefährden – zulässig und üblich ist deshalb eine Information über den Verfahrensstand ohne Details zu Inhalt und beteiligten Personen. Die Fristenüberwachung gehört zwingend systemseitig abgesichert, nicht in eine Wiedervorlage im Kalender.

Zie ook: HinSchG · Fallbearbeitung

Lieferkette & ESG

Sorgfaltspflichten in der Lieferkette

Die Sorgfaltspflichten verlangen, menschenrechtliche und umweltbezogene Risiken in der eigenen Geschäftstätigkeit und bei Zulieferern zu ermitteln, zu vermeiden und zu minimieren. Sie sind als Bemühenspflicht ausgestaltet – geschuldet ist ein angemessenes, dokumentiertes Vorgehen.

Die Angemessenheit bemisst sich nach vier Kriterien: Art und Umfang der Geschäftstätigkeit, Einflussvermögen auf den Verursacher, Schwere und Umkehrbarkeit der Verletzung sowie Art des Verursachungsbeitrags. Diese Kriterien sind der Maßstab, an dem im Prüfungsfall gemessen wird – und der Grund, warum ein kleiner Zulieferbetrieb andere Maßnahmen schuldet als ein Konzern mit Direktbezug aus Hochrisikoländern.

Zie ook: SCDDA · CSDDD

Lieferkette & ESG

Risikoanalyse nach LkSG

Die LkSG-Risikoanalyse ermittelt jährlich und anlassbezogen die menschenrechtlichen und umweltbezogenen Risiken im eigenen Geschäftsbereich und bei unmittelbaren Zulieferern.

Zweistufiges Vorgehen

1. Abstrakte Risikoermittlung: Bewertung des Lieferantenportfolios anhand von Länderindizes, Branchenrisiken und Rohstoffrisiken – dies geschieht datenbasiert über das gesamte Portfolio.
2. Konkrete Risikoermittlung: Vertiefung bei den priorisierten Lieferanten über Selbstauskünfte, Audits, Vor-Ort-Besuche und Beschwerdedaten.
3. Priorisierung: Gewichtung nach Schwere, Umkehrbarkeit, Wahrscheinlichkeit, Verursachungsbeitrag und Einflussvermögen.
4. Ableitung: Übersetzung in Präventions- und gegebenenfalls Abhilfemaßnahmen mit Fristen.

Anlassbezogen ist die Analyse zu wiederholen, wenn sich das Risikoprofil ändert – etwa bei neuen Beschaffungsmärkten, neuen Produkten oder substantiierter Kenntnis über Verstöße bei mittelbaren Zulieferern.

Zie ook: Lieferantenbewertung · Präventionsmaßnahmen

Lieferkette & ESG

Präventionsmaßnahmen

Präventionsmaßnahmen sollen erkannte Risiken gar nicht erst zu Verstößen werden lassen. Sie sind im eigenen Geschäftsbereich und gegenüber unmittelbaren Zulieferern zu verankern und mindestens jährlich auf Wirksamkeit zu überprüfen.

• Verankerung der Erwartungen in Einkaufsbedingungen und Lieferantenkodex
• Berücksichtigung von Nachhaltigkeitskriterien bei Auswahl und Vergabe
• Schulungen in Einkauf, Qualitätssicherung und den betroffenen Fachbereichen
• Vertragliche Zusicherungen mit Weitergabepflicht in die Kette
• Risikobasierte Kontrollmechanismen wie Audits und Stichproben

Zie ook: Lieferantenaudit · Abhilfemaßnahmen

Lieferkette & ESG

Abhilfemaßnahmen

Liegt ein Verstoß vor oder droht unmittelbar, sind Abhilfemaßnahmen zu ergreifen. Im eigenen Geschäftsbereich muss die Verletzung beendet werden; bei Zulieferern ist ein Konzept mit konkretem Zeitplan zu erstellen.

Der Abbruch der Geschäftsbeziehung ist ausdrücklich das letzte Mittel. Der Gesetzgeber geht davon aus, dass ein Rückzug die Lage der Betroffenen meist verschlechtert – erwartet wird deshalb zunächst die Zusammenarbeit zur Verbesserung, gegebenenfalls im Verbund mit anderen Abnehmern.

Zie ook: Präventionsmaßnahmen · Beschwerdeverfahren

Lieferkette & ESG

Grundsatzerklärung

Die Grundsatzerklärung ist das von der Geschäftsleitung verabschiedete öffentliche Bekenntnis zur Achtung der Menschenrechte. Sie ist kein Leitbildtext, sondern ein Dokument mit vorgegebenem Mindestinhalt.

• Beschreibung des Verfahrens zur Ermittlung der Risiken
• Benennung der für das Unternehmen prioritären Risiken
• Festlegung der menschenrechts- und umweltbezogenen Erwartungen an Beschäftigte und Zulieferer
• Kommunikation an Beschäftigte, Betriebsrat, Zulieferer und Öffentlichkeit

Zie ook: SCDDA · Menschenrechtsbeauftragter

Lieferkette & ESG

Berichterstattung an die Behörde

Berichtspflichtige Unternehmen dokumentieren die Erfüllung ihrer Sorgfaltspflichten und legen der zuständigen Behörde einen Bericht vor, der zugleich öffentlich zugänglich zu machen ist.

Inhaltlich beschreibt er identifizierte Risiken, ergriffene Maßnahmen, deren Wirksamkeitsbewertung und die daraus gezogenen Schlussfolgerungen. Umfang, Format und Rhythmus unterliegen der laufenden europäischen Harmonisierung; die zugrunde liegende Dokumentationspflicht bleibt davon unberührt – wer sauber dokumentiert, kann jede Berichtsform bedienen.

Zie ook: SCDDA · CSDDD

Lieferkette & ESG

Menschenrechtsbeauftragter

Der Menschenrechtsbeauftragte überwacht das Risikomanagement zu den Sorgfaltspflichten und berichtet der Geschäftsleitung regelmäßig, mindestens jährlich.

Die Funktion kann an bestehende Rollen angebunden werden – Compliance, Nachhaltigkeit oder Einkaufsleitung –, muss aber klar zugewiesen und mit ausreichenden Befugnissen ausgestattet sein. Ein Interessenkonflikt ist zu vermeiden: Wer für Einkaufspreise verantwortlich ist, sollte nicht allein darüber entscheiden, ob ein Lieferant wegen Menschenrechtsrisiken ausgetauscht wird.

Zie ook: Grundsatzerklärung

Lieferkette & ESG

Beschwerdeverfahren

Das Beschwerdeverfahren ermöglicht Betroffenen entlang der Lieferkette, auf Risiken und Verletzungen hinzuweisen. Anforderungen sind Zugänglichkeit – auch sprachlich –, Vertraulichkeit, Schutz vor Benachteiligung und eine öffentlich zugängliche Verfahrensordnung.

In der Praxis wird es häufig technisch mit dem Hinweisgebersystem zusammengeführt. Das ist zulässig und sinnvoll, erfordert aber Anpassungen: mehrsprachige Oberfläche, niedrigschwelliger Zugang ohne Unternehmens-Login und eine Fallbearbeitung, die auch Meldungen externer Betroffener sachgerecht behandelt.

Zie ook: Waarschuwingssysteem · Abhilfemaßnahmen

Lieferkette & ESG

Lieferantenbewertung

Die Lieferantenbewertung ordnet Zulieferer nach Risikogehalt ein und verbindet Qualitäts-, Liefer- und Nachhaltigkeitskriterien mit Länder- und Branchenrisiken.

Zie ook: Risikoanalyse nach LkSG · Third Party Due Diligence

Lieferkette & ESG

Lieferantenaudit

Das Lieferantenaudit prüft vor Ort oder remote, ob ein Zulieferer die vereinbarten Standards einhält. Es ergänzt Selbstauskünfte, die allein als Nachweis regelmäßig nicht genügen.

Wirksam wird es durch drei Elemente: unangekündigte oder kurzfristig angekündigte Termine bei erhöhtem Risiko, Einbeziehung von Beschäftigtengesprächen statt reiner Dokumentenprüfung und verbindliche Maßnahmenpläne mit Nachaudit. Ein Audit ohne Nachverfolgung erzeugt Dokumentation, aber keine Verbesserung.

Zie ook: Lieferantenbewertung · Präventionsmaßnahmen

Lieferkette & ESG

Nachhaltigkeitsberichterstattung

Die Nachhaltigkeitsberichterstattung legt Umwelt-, Sozial- und Governance-Informationen nach verbindlichen Standards offen. Mit der CSRD wird sie Teil des Lageberichts, prüfpflichtig und digital auswertbar.

Damit gelten für nichtfinanzielle Daten dieselben Anforderungen wie für Finanzdaten: definierte Prozesse, Kontrollen, Nachvollziehbarkeit der Herkunft und Belegführung. Das ist der eigentliche Umbruch – nicht der Berichtsinhalt, sondern die Notwendigkeit eines Kontrollsystems für Daten, die bisher aus Excel-Abfragen und Schätzungen stammten.

Zie ook: CSRD · IDW PS 982

Lieferkette & ESG

Doppelte Wesentlichkeitsanalyse

Die doppelte Wesentlichkeitsanalyse bestimmt, über welche Nachhaltigkeitsthemen berichtet werden muss. Sie prüft zwei Richtungen: die Auswirkungen des Unternehmens auf Mensch und Umwelt und die finanziellen Auswirkungen von Nachhaltigkeitsthemen auf das Unternehmen.

Ein Thema ist berichtspflichtig, wenn es aus einer der beiden Perspektiven wesentlich ist. Die Analyse einschließlich Stakeholder-Einbindung, Schwellenwerten und Begründung der Ergebnisse ist vollständig zu dokumentieren – sie ist der erste Prüfungsgegenstand.

Vorgehen in der Praxis

1. Themenuniversum bilden: ausgehend von den ESRS-Themen, ergänzt um branchenspezifische Sachverhalte entlang der eigenen Wertschöpfungskette
2. Stakeholder identifizieren und einbinden: Beschäftigte, Kunden, Lieferanten, Kapitalgeber, betroffene Gemeinschaften
3. Impact bewerten: je Thema Schweregrad, Umfang, Unumkehrbarkeit und – bei potenziellen Auswirkungen – Wahrscheinlichkeit
4. Finanzielle Wesentlichkeit bewerten: Risiken und Chancen mit Eintrittswahrscheinlichkeit und finanzieller Auswirkung, methodisch identisch zum Risikomanagement
5. Schwellenwerte festlegen und begründen – der am häufigsten beanstandete Schritt
6. Ergebnis dokumentieren: Themenliste, Bewertung, Schwellen, Beteiligte, Entscheidungen

Die finanzielle Perspektive sollte aus dem bestehenden Risikoprozess gespeist werden, nicht parallel erhoben. Andernfalls entstehen zwei Bewertungen desselben Sachverhalts, die sich im Zweifel widersprechen – ein Befund, den jeder Prüfer sofort findet.

Zie ook: ESRS · Wesentlichkeit

Lieferkette & ESG

ESG-risico's

ESG-Risiken sind Risiken aus Umwelt-, Sozial- und Governance-Faktoren, die sich finanziell auswirken können – CO₂-Bepreisung, Lieferkettenunterbrechungen durch Extremwetter, Reputationsschäden, erschwerter Kapitalzugang.

Sie sind keine eigene Risikowelt, sondern eine Ursachenkategorie. Methodisch gehören sie in das bestehende Risikoinventar mit denselben Skalen und derselben Aggregationslogik. Ihre Besonderheit liegt im Zeithorizont: Während operative Risiken im Planungszeitraum wirken, entfalten Klimarisiken ihre Wirkung häufig erst über fünf bis fünfzehn Jahre – was eine getrennte Betrachtung von Zeithorizonten erfordert.

Zie ook: Nachhaltigkeitsrisiken im RMS · Klimaatrisico's

Lieferkette & ESG

Klimaatrisico's

Klimarisiken werden in physische und transitorische Risiken unterschieden. Physische entstehen aus Extremwetterereignissen und langfristigen Klimaveränderungen, transitorische aus dem Übergang zur klimaneutralen Wirtschaft.

Beide Typen sind szenariobasiert über mehrere Zeithorizonte zu analysieren – die ESRS verlangen dafür ausdrücklich Szenarioanalysen.

Zie ook: Szenarioanalyse · TCFD

Lieferkette & ESG

Scope-1-, -2- und -3-Emissionen

Das Greenhouse Gas Protocol unterteilt Treibhausgasemissionen in drei Bereiche: direkte Emissionen aus eigenen Quellen, indirekte Emissionen aus bezogener Energie und alle übrigen Emissionen der Wertschöpfungskette.

Scope 3 ist in den meisten Branchen der weitaus größte Block – häufig über achtzig Prozent der Gesamtemissionen – und zugleich der datenseitig schwierigste. Der übliche Weg führt über Durchschnittsfaktoren im ersten Schritt und die schrittweise Ablösung durch Primärdaten der wichtigsten Lieferanten.

Vorgehen bei Scope 3

1. Die fünfzehn Scope-3-Kategorien auf Relevanz prüfen – meist sind drei bis fünf wesentlich
2. Im ersten Jahr mit Durchschnittsfaktoren auf Basis von Einkaufsvolumen und Mengen rechnen
3. Die größten Emissionsquellen identifizieren und dort Primärdaten bei Lieferanten anfragen
4. Datenqualität je Kategorie dokumentieren – Primärdaten, Sekundärdaten oder Schätzung
5. Schrittweise Verbesserung planen statt sofortiger Vollerhebung

Der Berichtsstandard verlangt keine perfekte Datenlage, wohl aber Transparenz über Methodik und Unsicherheit. Eine offengelegte Schätzung mit nachvollziehbarer Herleitung ist belastbarer als eine scheingenaue Zahl ohne Quellenangabe.

Zie ook: CO₂-Bilanzierung · ESRS

Lieferkette & ESG

CO₂-Bilanzierung

Die CO₂-Bilanzierung erfasst die Treibhausgasemissionen eines Unternehmens systematisch, meist nach dem Greenhouse Gas Protocol. Sie ist Grundlage für Reduktionsziele, Transformationspläne und die Berichterstattung nach ESRS.

Zu klären sind zuerst die Bilanzgrenzen: Welche Gesellschaften werden einbezogen, nach Beteiligungs- oder nach Kontrollansatz? Ohne diese Festlegung sind Vergleiche über Jahre hinweg wertlos. Ebenso wichtig ist ein festes Basisjahr mit definierten Regeln für Neuberechnungen bei Zukäufen und Verkäufen – sonst sinken Emissionen rechnerisch, ohne dass sich etwas geändert hat.

Zie ook: Scope-Emissionen · Greenwashing

Lieferkette & ESG

TCFD

Die Empfehlungen der Task Force on Climate-related Financial Disclosures strukturieren die Berichterstattung über Klimarisiken entlang von vier Säulen: Governance, Strategie, Risikomanagement sowie Kennzahlen und Ziele.

Sie sind inhaltlich weitgehend in die ESRS und in internationale Standards eingeflossen und prägen deren Aufbau bis heute. Für Unternehmen, die bereits nach TCFD berichtet haben, ist der Übergang auf die ESRS deshalb eher eine Erweiterung als ein Neuanfang – insbesondere die Säule Risikomanagement lässt sich weitgehend übernehmen.

Zie ook: Klimaatrisico's · ESRS

Lieferkette & ESG

Greenwashing

Greenwashing bezeichnet die Darstellung von Produkten oder Unternehmen als nachhaltiger, als sie tatsächlich sind. Es ist ein Compliance- und Haftungsrisiko, kein reines Kommunikationsthema.

Unzutreffende Umweltaussagen sind wettbewerbsrechtlich angreifbar; Abmahnungen und Unterlassungsklagen sind in der Praxis häufig. Bei berichtspflichtigen Angaben kommen aufsichtsrechtliche Folgen hinzu. Wirksamste Prävention ist ein Freigabeprozess für Nachhaltigkeitsaussagen mit belegter Datengrundlage – dieselbe Logik, die für Finanzkommunikation seit Langem selbstverständlich ist.

Zie ook: Nachhaltigkeitsberichterstattung · CO₂-Bilanzierung

Lieferkette & ESG

Nachhaltigkeitsrisiken im Risikomanagementsystem

Nachhaltigkeitsrisiken gehören methodisch in das bestehende Risikomanagementsystem: gleiche Bewertungslogik, gleiche Skalen, gleiche Aggregation.

Ein separates ESG-Risikoregister führt zu widersprüchlichen Aussagen gegenüber Aufsichtsrat und Prüfer und verhindert, dass Nachhaltigkeitsrisiken in der Gesamtrisikoposition sichtbar werden. Praktisch bedeutet Integration: ESG wird als Ursachenkategorie ergänzt, die Bewertung erfolgt in denselben Bandbreiten, und die Zeithorizonte werden um mittel- und langfristige Betrachtungen erweitert.

Zie ook: ESG-risico's · Risicokategorien

Lieferkette & ESG

ILO-Kernarbeitsnormen

Die Kernarbeitsnormen der Internationalen Arbeitsorganisation umfassen Vereinigungsfreiheit und Recht auf Kollektivverhandlungen, das Verbot von Zwangs- und Kinderarbeit, das Diskriminierungsverbot sowie den Arbeitsschutz.

Sie bilden den inhaltlichen Maßstab der geschützten Rechtspositionen im LkSG und in den europäischen Regelwerken. Für die Praxis bedeutet das: Lieferantenkodex, Selbstauskunft und Auditkatalog sollten sich an diesen Normen orientieren, damit die Nachweise anschlussfähig an die gesetzlichen Anforderungen sind.

Zie ook: Sorgfaltspflichten · Lieferantenaudit

Lieferkette & ESG

Konfliktmineralien

Die EU-Konfliktmineralien-Verordnung verpflichtet Importeure von Zinn, Tantal, Wolfram und Gold zu Sorgfaltspflichten in der Lieferkette, um die Finanzierung bewaffneter Konflikte zu vermeiden.

Gefordert sind ein Managementsystem, Risikoermittlung entlang der Kette bis zur Schmelze, unabhängige Prüfung durch Dritte und die jährliche Offenlegung der Ergebnisse. Auch Unternehmen, die nicht selbst importieren, sind mittelbar betroffen: Sie werden von Kunden zur Herkunftsauskunft aufgefordert und benötigen dafür Angaben ihrer eigenen Lieferanten.

Zie ook: Sorgfaltspflichten

IT & Informationssicherheit

ISMS

Ein Informationssicherheits-Managementsystem ist der strukturierte Rahmen zum Schutz von Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. Es umfasst Sicherheitsleitlinie, Rollen, Risikoanalyse, Maßnahmen und kontinuierliche Verbesserung.

Methodisch entspricht es dem Risikomanagement – weshalb ISMS und RMS idealerweise dieselbe Bewertungsskala nutzen. In der Praxis laufen sie häufig getrennt: Die IT bewertet in Schutzbedarfsklassen, das Risikomanagement in Euro. Die Folge ist, dass ein als „hoch" eingestuftes IT-Risiko in der Gesamtrisikoposition nicht auftaucht. Die Verbindung beider Skalen ist deshalb einer der wirksamsten Integrationsschritte.

Zie ook: ISO 27001 · Schutzbedarfsfeststellung

IT & Informationssicherheit

ISO 27001

ISO/IEC 27001 ist der international führende, zertifizierbare Standard für Informationssicherheits-Managementsysteme. Die Fassung von 2022 gliedert die Maßnahmen des Anhangs A in vier Themenbereiche: organisatorisch, personell, physisch und technologisch.

Eine Zertifizierung ist im B2B-Geschäft zunehmend Voraussetzung für die Lieferantenzulassung, insbesondere bei Cloud- und IT-Dienstleistern sowie im Automotive- und Gesundheitsbereich. Der Aufwand liegt weniger in der Technik als in der Dokumentation: Anwendungsbereich, Risikobehandlungsplan, Erklärung zur Anwendbarkeit und der Nachweis eines gelebten Verbesserungszyklus.

Typischer Projektverlauf

1. Anwendungsbereich festlegen – welche Standorte, Prozesse und Systeme werden einbezogen?
2. Sicherheitsleitlinie verabschieden und Rollen benennen
3. Werte und Systeme inventarisieren, Schutzbedarf feststellen
4. Risikoanalyse durchführen und Risikobehandlungsplan erstellen
5. Maßnahmen des Anhangs A prüfen, auswählen und die Erklärung zur Anwendbarkeit erstellen
6. Umsetzung, Schulung, internes Audit und Managementbewertung
7. Zertifizierungsaudit in zwei Stufen, danach jährliche Überwachungsaudits

Realistisch sind neun bis achtzehn Monate bis zum Zertifikat, abhängig vom Reifegrad. Der größte Einzelposten ist selten die Technik, sondern die Dokumentation vorhandener Abläufe – vieles wird bereits sicher betrieben, nur nicht nachweisbar.

Zie ook: ISMS · BSI IT-Grundschutz

IT & Informationssicherheit

BSI IT-Grundschutz

Der IT-Grundschutz des BSI bietet ein methodisches Vorgehen mit umfangreichen Bausteinen für typische Systeme und Prozesse. Über die BSI-Standards 200-1 bis 200-4 deckt er Managementsystem, Vorgehensweise, Risikoanalyse und Business Continuity ab.

Gegenüber ISO 27001 ist er deutlich konkreter: Statt „angemessene Maßnahmen" zu fordern, benennt er sie bausteinweise. Das senkt den Konzeptionsaufwand erheblich, erhöht aber den Dokumentationsumfang. Im öffentlichen Sektor und bei dessen Auftragnehmern ist er der faktische Standard; eine Zertifizierung auf Basis von ISO 27001 ist möglich.

Zie ook: ISO 27001 · Business Continuity Management

IT & Informationssicherheit

Schutzbedarfsfeststellung

Die Schutzbedarfsfeststellung ordnet Anwendungen, Systemen und Daten einen Schutzbedarf in den Kategorien Vertraulichkeit, Integrität und Verfügbarkeit zu – üblicherweise in den Stufen normal, hoch und sehr hoch.

Sie steuert die Tiefe der nachfolgenden Risikoanalyse und die Auswahl der Maßnahmen und verhindert, dass überall gleich stark investiert wird. Wichtig sind zwei Vererbungsregeln: Der Schutzbedarf einer Anwendung überträgt sich auf die Systeme, auf denen sie läuft (Maximumprinzip), und die Häufung vieler Systeme mit normalem Bedarf kann in Summe einen höheren Bedarf begründen (Kumulationseffekt).

Zie ook: ISMS · Business Impact Analyse

IT & Informationssicherheit

Business Impact Analyse (BIA)

Die Business Impact Analyse ermittelt, welche Geschäftsprozesse zeitkritisch sind und welche Schäden ein Ausfall je Zeiteinheit verursacht. Ergebnis sind Wiederanlaufzeiten und Prioritäten.

Vorgehen

1. Geschäftsprozesse erheben und Verantwortliche benennen
2. Schadensverlauf über die Zeit bestimmen: Was kostet ein Ausfall nach 4 Stunden, 1 Tag, 1 Woche?
3. Maximal tolerierbare Ausfallzeit je Prozess festlegen
4. Abhängigkeiten ermitteln: IT-Systeme, Standorte, Personal, Lieferanten
5. Daraus RTO und RPO für die unterstützenden Systeme ableiten

Der häufigste Fehler ist, die BIA von der IT durchführen zu lassen. Die Frage, wie lange ein Prozess ausfallen darf, beantwortet der Fachbereich – die IT leitet daraus die technischen Anforderungen ab.

Zie ook: Business Continuity Management · RTO und RPO

IT & Informationssicherheit

Business Continuity Management (BCM)

Business Continuity Management sichert die Aufrechterhaltung kritischer Geschäftsprozesse bei schwerwiegenden Störungen. Es umfasst Business Impact Analyse, Notfallstrategien, Notfallpläne, Übungen und laufende Aktualisierung.

Übungsformate

Eine jährliche Tabletop-Übung mit dem Krisenstab und ein technischer Wiederanlauftest der kritischsten Systeme sind das realistische Minimum. Entscheidend ist die Nachbereitung: Ohne dokumentierte Lessons Learned und daraus abgeleitete Maßnahmen bleibt die Übung folgenlos.

Zie ook: Business Impact Analyse · Notfallmanagement

IT & Informationssicherheit

Notfallmanagement

Das Notfallmanagement regelt Alarmierung, Krisenstabsarbeit, Kommunikation und Wiederanlauf bei akuten Störungen. Es definiert Rollen und Entscheidungsbefugnisse für Situationen, in denen reguläre Abläufe nicht greifen.

Typische Schwachstellen sind veraltete Kontaktlisten, Pläne, die ausschließlich in den ausgefallenen Systemen liegen, und ungeklärte Entscheidungsbefugnisse – etwa die Frage, wer nachts über die Abschaltung der Produktion entscheiden darf. Ein Krisenstab braucht zudem einen definierten Vertreterkreis: Der Ernstfall hält sich nicht an Urlaubspläne.

Zie ook: BCM · IT-Notfallhandbuch

IT & Informationssicherheit

RTO und RPO

Die Recovery Time Objective gibt an, innerhalb welcher Zeit ein System nach einem Ausfall wieder verfügbar sein muss. Die Recovery Point Objective beschreibt den maximal tolerierbaren Datenverlust, gemessen als Zeitraum seit der letzten Sicherung.

Beide Werte werden in der Business Impact Analyse durch den Fachbereich festgelegt – sie sind eine betriebswirtschaftliche, keine technische Entscheidung.

Zie ook: Business Impact Analyse

IT & Informationssicherheit

IT-Notfallhandbuch

Das IT-Notfallhandbuch dokumentiert Systeme, Abhängigkeiten, Wiederanlaufreihenfolgen, Ansprechpartner und Sofortmaßnahmen.

Es muss offline und an einem alternativen Standort verfügbar sein – ein Handbuch, das nur im verschlüsselten Netzlaufwerk liegt, ist bei einem Ransomware-Angriff wertlos. Bewährt haben sich ausgedruckte Exemplare an definierten Orten sowie eine Kopie bei einem externen Dienstleister, ergänzt um eine jährliche Aktualitätsprüfung im Rahmen der Notfallübung.

Zie ook: Notfallmanagement · Cyberrisiko

IT & Informationssicherheit

NIS2

Die NIS-2-Richtlinie erweitert die europäischen Cybersicherheitsanforderungen auf deutlich mehr Sektoren und Unternehmen. Gefordert sind Risikomanagementmaßnahmen für die Netz- und Informationssicherheit, Meldepflichten bei erheblichen Vorfällen, Anforderungen an die Lieferkette sowie eine ausdrückliche Verantwortung und Schulungspflicht der Leitungsorgane.

Die geforderten Maßnahmenbereiche

• Risikoanalyse und Konzepte für die Sicherheit von Informationssystemen
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs, Backup-Management und Krisenmanagement
• Sicherheit der Lieferkette einschließlich der Beziehungen zu Dienstleistern
• Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen
• Bewertung der Wirksamkeit der Maßnahmen
• Cyberhygiene und Schulungen
• Kryptografie, Zugriffskontrolle, Asset-Management, Multi-Faktor-Authentifizierung

Neu und praktisch bedeutsam ist die persönliche Verantwortung der Leitungsorgane: Sie müssen die Maßnahmen billigen, ihre Umsetzung überwachen und selbst geschult sein.

Erste Schritte zur Umsetzung

1. Betroffenheit prüfen: Sektor, Größenkriterien und Rolle in der Lieferkette – auch nicht direkt erfasste Unternehmen werden über Kundenanforderungen einbezogen.
2. Gap-Analyse: bestehende Maßnahmen gegen die geforderten Bereiche spiegeln, idealerweise entlang ISO 27001 oder IT-Grundschutz.
3. Meldeprozess aufsetzen: Wer erkennt einen erheblichen Vorfall, wer entscheidet über die Meldung, wer meldet innerhalb der Fristen?
4. Lieferkette einbeziehen: Sicherheitsanforderungen in Verträge mit IT-Dienstleistern aufnehmen.
5. Leitungsorgan schulen und Beschlüsse dokumentieren – die Billigung der Maßnahmen ist nachzuweisen.

Wer bereits ein ISMS nach ISO 27001 betreibt, erfüllt einen erheblichen Teil der Anforderungen. Die Lücken liegen typischerweise bei Meldeprozessen, Lieferkettensicherheit und der dokumentierten Einbindung der Geschäftsleitung.

Zie ook: Incidentbeheer · Auslagerungsmanagement

IT & Informationssicherheit

DORA

Der Digital Operational Resilience Act schafft einheitliche Anforderungen an die digitale operationelle Widerstandsfähigkeit im europäischen Finanzsektor.

Die Verordnung regelt fünf Bereiche: IKT-Risikomanagement, Behandlung und Meldung IKT-bezogener Vorfälle, Testen der digitalen Resilienz einschließlich bedrohungsgeleiteter Penetrationstests, Management des IKT-Drittparteienrisikos mit verbindlichen Vertragsinhalten sowie den Austausch über Cyberbedrohungen. Für Dienstleister des Finanzsektors ist sie auch außerhalb der Branche relevant: Ihre Verträge müssen die geforderten Klauseln enthalten.

Zie ook: Auslagerungsmanagement · MaRisk

IT & Informationssicherheit

Cyberrisiko

Cyberrisiken umfassen Angriffe wie Ransomware, Datenabfluss und Social Engineering sowie Ausfälle durch technisches Versagen. Charakteristisch ist die Kombination aus hoher Eintrittswahrscheinlichkeit und potenziell existenzbedrohender Schadenshöhe.

Schadenskomponenten

• Betriebsunterbrechung – meist der größte Posten
• Wiederherstellungskosten für Systeme und Daten
• Forensik, Rechtsberatung, Krisenkommunikation
• Vertragsstrafen und Schadensersatz gegenüber Kunden
• Bußgelder bei Datenschutz- oder Meldepflichtverletzungen
• Reputationsschaden und Kundenabwanderung

In der Risikoaggregation zählen Cyberrisiken regelmäßig zu den wesentlichen Treibern der Gesamtrisikoposition – und sie sind einer der wenigen Fälle, in denen eine Versicherung die Bewertung materiell verändert.

Zie ook: Incident Response · BCM

IT & Informationssicherheit

Incidentbeheer

Incident Management ist der strukturierte Umgang mit Vorfällen: Erfassung, Klassifizierung, Priorisierung, Bearbeitung, Behebung und Auswertung.

Über die Störungsbeseitigung hinaus liefert es die empirische Datengrundlage des Risikomanagements. Eingetretene Vorfälle sind die verlässlichste Quelle zur Kalibrierung von Eintrittswahrscheinlichkeiten und Schadenshöhen – vorausgesetzt, sie werden vollständig erfasst und mit ihren tatsächlichen Kosten bewertet. Genau diese Rückkopplung fehlt in den meisten Unternehmen.

Zie ook: Incident Response · Risicobeoordeling

IT & Informationssicherheit

Incident Response

Incident Response bezeichnet die geplante Reaktion auf Sicherheitsvorfälle in den Phasen Vorbereitung, Erkennung, Eindämmung, Beseitigung, Wiederherstellung und Nachbereitung.

Wesentlich sind vorab definierte Rollen, gesicherte Kommunikationswege außerhalb der potenziell kompromittierten Umgebung und die Einhaltung gesetzlicher Meldefristen – nach DSGVO in der Regel 72 Stunden gegenüber der Aufsichtsbehörde, nach NIS2 mit einer Erstmeldung binnen 24 Stunden für betroffene Einrichtungen. Wer diese Fristen erst im Ernstfall recherchiert, verliert sie.

Zie ook: NIS2 · Notfallmanagement

IT & Informationssicherheit

Schwachstellenmanagement

Das Schwachstellenmanagement erfasst, bewertet und behebt technische Sicherheitslücken systematisch: Asset-Inventar, regelmäßige Scans, Bewertung nach Ausnutzbarkeit und Kritikalität, priorisiertes Patchen und Nachverfolgung offener Punkte.

Ohne vollständiges Asset-Inventar bleibt jedes Schwachstellenmanagement lückenhaft – nicht inventarisierte Systeme werden nicht gescannt und nicht gepatcht. Der zweite kritische Punkt ist die Priorisierung: Die Zahl bekannter Schwachstellen übersteigt jede Patch-Kapazität, weshalb nach tatsächlicher Ausnutzbarkeit im eigenen Umfeld gewichtet werden muss, nicht allein nach Schweregrad.

Zie ook: ISMS · Cyberrisiko

IT & Informationssicherheit

Auslagerungs- und Drittparteienmanagement

Das Auslagerungsmanagement steuert Risiken aus der Einbindung externer Dienstleister: Risikobewertung vor Vergabe, vertragliche Sicherung von Informations-, Weisungs- und Prüfungsrechten, laufende Überwachung und Ausstiegsszenarien.

Regulatorisch verankert ist es in MaRisk, DORA und NIS2 – und es ist der Bereich, in dem Cyberrisiken am häufigsten eintreten: nicht im eigenen Netz, sondern beim Dienstleister.

Zie ook: DORA · NIS2

IT & Informationssicherheit

TISAX

TISAX ist der Prüf- und Austauschmechanismus für Informationssicherheit in der Automobilindustrie, basierend auf dem VDA-ISA-Katalog.

Bewertungen werden über eine zentrale Plattform zwischen Hersteller und Zulieferer geteilt und ersetzen wiederholte Einzelaudits. Geprüft wird in Stufen, abhängig vom Schutzbedarf der verarbeiteten Informationen – von der Selbstbewertung bis zur Vor-Ort-Prüfung mit erweiterten Anforderungen für Prototypenschutz. Für Zulieferer ist ein gültiges Label regelmäßig Voraussetzung für die Auftragsvergabe.

Zie ook: ISO 27001 · ISMS

Bestuur

Bestuur

Governance bezeichnet den Ordnungsrahmen der Unternehmensführung und -überwachung: Zuständigkeiten, Entscheidungswege, Kontrollmechanismen und Berichtslinien zwischen Geschäftsleitung, Aufsichtsorgan und Anteilseignern.

Sie schafft die Struktur, innerhalb derer Risikomanagement und Compliance überhaupt wirksam werden können. Praktisch konkretisiert sie sich in Geschäftsordnungen, Zustimmungsvorbehalten, Vertretungsregelungen, Berichtspflichten und der Besetzung von Gremien. Fehlende Governance zeigt sich selten als abstraktes Problem, sondern als konkrete Frage: Wer durfte diese Entscheidung eigentlich treffen?

Zie ook: GRC · Corporate Governance Kodex

Bestuur

GRC

GRC steht für Governance, Risk und Compliance und beschreibt den integrierten Ansatz, diese drei Disziplinen mit gemeinsamer Methodik, einheitlicher Datenbasis und abgestimmten Prozessen zu führen.

Ziel ist die Beseitigung von Doppelarbeit. In gewachsenen Strukturen erheben Risikomanagement, IKS, Compliance, Datenschutz, Informationssicherheit und Interne Revision dieselben Prozesse mehrfach, mit unterschiedlichen Skalen und in getrennten Dateien. Für die Fachbereiche bedeutet das fünf Abfragen im Jahr zu denselben Sachverhalten – und für die Geschäftsleitung fünf Berichte, die sich widersprechen.

Wo Integration konkret Aufwand spart

• Eine Prozesslandkarte statt vier – nutzbar für IKS, Revision, Datenschutz und Notfallplanung
• Eine Kontrolle, mehrfach verwendet: einmal getestet, verwertet für IKS-Bericht, Nettorisiko, Revision und Zertifizierung
• Ein Maßnahmenpool statt getrennter Listen je Funktion
• Eine Erhebungsrunde bei den Fachbereichen statt vier Abfragen im Jahr
• Eine Berichtsbasis für Geschäftsleitung und Aufsichtsorgan

Der Widerstand gegen Integration kommt selten aus den Fachbereichen – sie profitieren am stärksten –, sondern aus den zweiten-Linie-Funktionen, die eigene Methodik und Berichtswege aufgeben müssen. Die Einführung ist deshalb überwiegend ein Organisations-, kein Softwareprojekt.

Zie ook: Integriertes GRC · Model van Three Lines

Bestuur

Integriertes GRC

Integriertes GRC führt Risiken, Kontrollen, Maßnahmen, Prüfungsfeststellungen und regulatorische Anforderungen in einem gemeinsamen Datenmodell zusammen.

Der Gewinn ist nicht primär die Softwareeinsparung, sondern die Widerspruchsfreiheit: Es gibt eine Version der Wahrheit, und sie ist aktuell.

Zie ook: Eén bron van waarheid · GRC

Bestuur

Prüfungsausschuss

Der Prüfungsausschuss des Aufsichtsrats befasst sich mit der Rechnungslegung, der Wirksamkeit von internem Kontrollsystem, Risikomanagementsystem und Interner Revision, der Abschlussprüfung sowie der Nachhaltigkeitsberichterstattung.

Mindestens ein Mitglied muss über besonderen Sachverstand in Rechnungslegung oder Abschlussprüfung verfügen; mit der Ausweitung auf Nachhaltigkeitsberichterstattung kommt entsprechende Sachkunde hinzu. Der Ausschuss ist zugleich der Adressat, an den die Interne Revision und die Meldestelle in kritischen Fällen unmittelbar berichten – er ist damit der institutionelle Gegenpol zum Management Override.

Zie ook: Aufsichtsrat und Risikoüberwachung · FISG

Bestuur

Risikoausschuss

Ein Risikoausschuss befasst sich schwerpunktmäßig mit Risikostrategie, Risikotragfähigkeit und wesentlichen Einzelrisiken.

In Kreditinstituten ist er aufsichtsrechtlich vorgesehen. Außerhalb des Finanzsektors wird die Aufgabe meist vom Prüfungsausschuss oder vom Gesamtaufsichtsrat wahrgenommen. Ein eigener Ausschuss lohnt sich dort, wo das Risikoprofil komplex ist – etwa bei hoher Internationalisierung, Projektgeschäft mit langen Laufzeiten oder starker Rohstoffabhängigkeit.

Zie ook: Prüfungsausschuss

Bestuur

Aufsichtsrat und Risikoüberwachung

Der Aufsichtsrat überwacht die Geschäftsführung und hat sich dabei von der Wirksamkeit des Risikomanagementsystems zu überzeugen. Das ist mehr als die Entgegennahme von Berichten.

Fragen, die ein Aufsichtsorgan stellen sollte

• Wie hoch ist die aggregierte Gesamtrisikoposition, und wie verhält sie sich zur Risikotragfähigkeit?
• Welche Annahmen und Korrelationen liegen dem Aggregationsmodell zugrunde?
• Welche Risiken sind seit der letzten Sitzung hinzugekommen oder entfallen – und warum?
• Welche Maßnahmen sind überfällig, und was ist der Grund?
• Stimmt die interne Risikolage mit der Darstellung im Lagebericht überein?
• Was sagen Abschlussprüfer und Interne Revision zur Wirksamkeit des Systems?

Zie ook: Risicobeoordeling · Interne revisie

Bestuur

Jahresabschlussprüfung

Die Jahresabschlussprüfung beurteilt, ob Abschluss und Lagebericht den gesetzlichen Vorschriften entsprechen. Der Prüfer verschafft sich dabei ein Verständnis vom rechnungslegungsbezogenen internen Kontrollsystem.

Wichtig ist die Abgrenzung: Die Abschlussprüfung ist keine Prüfung des IKS auf Wirksamkeit. Der Prüfer beurteilt Kontrollen nur insoweit, wie er sich auf sie stützen will, um den Umfang eigener Prüfungshandlungen zu reduzieren. Eine Aussage zur Wirksamkeit des gesamten Kontrollsystems erfolgt nur im gesonderten Auftrag nach IDW PS 982.

Zie ook: § 317 Abs. 4 HGB · IDW PS 982

Bestuur

Prognosebericht

Der Prognosebericht als Teil des Lageberichts stellt die erwartete Entwicklung des Unternehmens mit ihren wesentlichen Annahmen dar.

Er steht in engem Zusammenhang mit dem Risikobericht: Die Risiken beschreiben genau die Abweichungsmöglichkeiten von den hier dargestellten Erwartungen. Inkonsistenzen zwischen beiden Teilen – optimistische Prognose bei gleichzeitig gravierender Risikolage, oder umgekehrt – gehören zu den häufigsten Prüfungsbefunden und sind zugleich ein Haftungsrisiko gegenüber Kapitalgebern.

Zie ook: Situatieverslag · Bandbreedteplanning

Bestuur

Geschäftsführerhaftung

Geschäftsführer und Vorstände haften gegenüber der Gesellschaft für Sorgfaltspflichtverletzungen. Im Streitfall müssen sie darlegen, dass sie auf angemessener Informationsgrundlage entschieden und die erforderlichen Organisationsmaßnahmen ergriffen haben.

Typische Haftungsfelder

Ein dokumentiertes Risikomanagement- und Compliance-System ist damit weniger Bürokratie als Beweismittel. Die Darlegungslast liegt beim Organmitglied – nicht bei der Gesellschaft.

Praktischer Selbstschutz

• Entscheidungsvorlagen mit dokumentierter Risikobetrachtung und Alternativen
• Protokollierte Beschlüsse mit Abstimmungsverhalten – abweichende Voten schriftlich festhalten
• Ressortverteilung schriftlich regeln, ohne die Überwachungspflicht für fremde Ressorts zu ignorieren
• Regelmäßige Berichte an das Aufsichtsorgan, auch über negative Entwicklungen
• Externe Expertise bei komplexen Rechtsfragen einholen und die Einholung dokumentieren
• Liquiditäts- und Fortbestehensprognose fortlaufend führen, nicht erst in der Krise

Der gemeinsame Nenner ist die Nachweisbarkeit: Die Business Judgement Rule schützt nicht die richtige Entscheidung, sondern die sorgfältig vorbereitete. Wer diese Vorbereitung nicht belegen kann, verliert den Schutz unabhängig davon, wie vernünftig die Entscheidung war.

Zie ook: Business Judgement Rule · D&O-Versicherung

Bestuur

D&O-Versicherung

Die Directors-and-Officers-Versicherung deckt Vermögensschäden aus der Organhaftung ab. Sie ersetzt kein Risikomanagement.

Zu beachten sind drei Punkte: Vorsätzliche Pflichtverletzungen sind ausgeschlossen, für Vorstände einer AG ist ein gesetzlicher Selbstbehalt vorgesehen, und die Versicherer fragen den Reifegrad von Risikomanagement und Compliance im Zuge der Risikoprüfung zunehmend detailliert ab. Ein belegbar funktionierendes System wirkt sich damit unmittelbar auf Verfügbarkeit und Prämie der Deckung aus.

Zie ook: Geschäftsführerhaftung

Bestuur

Compliance-Verantwortung der Leitung

Die Verantwortung für Compliance liegt bei der Unternehmensleitung als Gesamtorgan und ist nicht delegierbar. Übertragbar sind Aufgaben – die Pflicht zu Auswahl, Ausstattung, Anweisung und Überwachung der Beauftragten verbleibt bei der Leitung.

Bei Ressortaufteilung bleibt eine Überwachungspflicht aller Organmitglieder für die Ressorts der Kollegen bestehen. Sie verdichtet sich zur Handlungspflicht, sobald Anhaltspunkte für Missstände vorliegen. Genau an dieser Residualpflicht setzt die Bußgeldhaftung nach § 130 OWiG an – „das war nicht mein Ressort" entlastet nicht.

Zie ook: Organisationsverschulden · Compliance Officer

Bestuur

Wesentlichkeit

Wesentlichkeit bestimmt, welche Sachverhalte berichtspflichtig oder prüfungsrelevant sind. In der Rechnungslegung wird sie über quantitative Schwellenwerte und qualitative Kriterien abgeleitet, in der Nachhaltigkeitsberichterstattung über die doppelte Wesentlichkeitsanalyse.

Für das Risikomanagement ist die Festlegung praktisch bedeutsam: Sie entscheidet, welche Risiken in die Berichterstattung an Geschäftsleitung und Aufsichtsorgan gelangen und welche auf Bereichsebene verbleiben. Die Schwelle ist eine Ermessensentscheidung, muss aber begründet, dokumentiert und über die Perioden hinweg konsistent angewendet werden.

Zie ook: Doppelte Wesentlichkeitsanalyse · Risicobeoordeling

Systeme & Daten

Revisionssicherheit

Revisionssicherheit bedeutet, dass Daten und Dokumente unveränderbar, vollständig, nachvollziehbar und über die gesamte Aufbewahrungsfrist verfügbar gespeichert werden. Maßstab sind in Deutschland die GoBD.

Für Risiko- und Compliance-Daten ist sie Voraussetzung dafür, dass Bewertungen und Kontrollnachweise im Nachhinein als Beweismittel taugen. Konkret gefordert sind: Unveränderbarkeit nach Freigabe, lückenlose Protokollierung jeder Änderung, Schutz vor Verlust, Wiederauffindbarkeit innerhalb angemessener Zeit und eine dokumentierte Verfahrensdokumentation, die beschreibt, wie das System diese Anforderungen erfüllt.

Prüfpunkte bei der Systemauswahl

• Werden freigegebene Datensätze technisch gegen Änderung geschützt, oder nur organisatorisch?
• Protokolliert das System jede Änderung mit Zeitstempel, Benutzer und Vorher-Nachher-Wert?
• Lässt sich der Stand zu einem beliebigen Stichtag rekonstruieren?
• Sind Löschungen ausgeschlossen oder zumindest protokolliert und begründungspflichtig?
• Existiert eine Verfahrensdokumentation, die diese Eigenschaften beschreibt?
• Bleiben die Daten auch nach einem Anbieterwechsel lesbar exportierbar?

Der letzte Punkt wird regelmäßig übersehen: Aufbewahrungsfristen überdauern häufig die Vertragslaufzeit mit dem Systemanbieter. Ein Exportformat, das ohne die Software lesbar bleibt, gehört deshalb in den Vertrag.

Zie ook: Audit Trail · Aufbewahrungsfristen

Systeme & Daten

Audit Trail

Der Audit Trail protokolliert lückenlos, wer wann welche Daten angelegt, geändert oder gelöscht hat. Er macht Bewertungsänderungen an Risiken, Freigaben und Kontrollnachweise nachvollziehbar.

Er ist eines der zentralen Prüfkriterien, an denen sich eine GRC-Software von einer Tabellenkalkulation unterscheidet. Die entscheidende Frage im Prüfungsgespräch lautet regelmäßig: Wer hat diese Risikobewertung wann von „hoch" auf „mittel" geändert, und mit welcher Begründung? In Excel ist diese Frage nicht beantwortbar.

Zie ook: Revisionssicherheit · Risicoregister

Systeme & Daten

Rol- en rechtsoverzicht

Das Rollen- und Rechtekonzept regelt, welche Benutzergruppen welche Daten sehen und bearbeiten dürfen. Im GRC-Kontext ist es doppelt relevant: Es setzt die Funktionstrennung technisch um und schützt sensible Inhalte.

Zie ook: Funktionstrennung · Vertraulichkeitsgebot

Systeme & Daten

Mandantenfähigkeit

Mandantenfähigkeit bezeichnet die Möglichkeit, mehrere Gesellschaften, Standorte oder Bereiche in einem System getrennt zu führen und zugleich konsolidiert auszuwerten.

In Konzernstrukturen ist sie Voraussetzung dafür, dass lokale Verantwortung und konzernweite Gesamtsicht ohne doppelte Datenpflege nebeneinander bestehen. Zu klären sind dabei drei Punkte: Welche Stammdaten sind konzernweit einheitlich, welche lokal? Welche Bewertungsskalen gelten für alle? Und wer darf gesellschaftsübergreifend auswerten – eine Frage, die bei Auslandsgesellschaften zugleich datenschutzrechtlich relevant ist.

Zie ook: Rol- en rechtsoverzicht · Datenqualität

Systeme & Daten

Workflow-Management

Workflow-Management automatisiert wiederkehrende Abläufe im Risiko- und Compliance-Prozess: Erhebungsrunden, Freigaben, Wiedervorlagen, Eskalationen und Erinnerungen.

Es ersetzt die manuelle Nachverfolgung per E-Mail und erzeugt zugleich die Nachweise, die für Fristenwahrung und Prüfung benötigt werden. Der praktische Effekt ist erheblich: Die zentrale Funktion verbringt einen großen Teil ihrer Zeit mit dem Nachhalten offener Rückmeldungen – genau diese Arbeit übernimmt der Workflow, ohne dass jemand als Mahnender auftreten muss.

Zie ook: Freigabeworkflow · Maßnahmenverfolgung

Systeme & Daten

Risico-dashboard

Ein Risiko-Dashboard verdichtet die Risikolage in Echtzeit: Gesamtrisikoposition, Top-Risiken, Veränderungen gegenüber der Vorperiode, Maßnahmenstatus und Grenzwertüberschreitungen.

Entscheidend ist die Adressatenorientierung. Die Geschäftsleitung braucht Aggregat, Trend und Ausnahmen; der Fachbereich die Detailsicht auf die eigenen Risiken; das Aufsichtsorgan die Entwicklung über mehrere Perioden mit Methodikhinweisen. Ein Dashboard, das für alle dasselbe zeigt, ist für niemanden richtig – und verleitet dazu, Vollständigkeit mit Aussagekraft zu verwechseln.

Zie ook: Risicobeoordeling

Systeme & Daten

Maßnahmenverfolgung

Die Maßnahmenverfolgung überwacht Umsetzungsstand, Fristen und Wirksamkeit aller beschlossenen Maßnahmen aus Risikomanagement, IKS, Revision und Compliance an einer Stelle.

Sie verhindert die typische Situation, in der dieselbe Feststellung in mehreren Systemen unterschiedlich dokumentiert ist und keine Instanz den Gesamtstatus kennt. Aussagekräftig wird sie durch drei Kennzahlen: Anteil überfälliger Maßnahmen, durchschnittliche Verzugsdauer und Anteil der Maßnahmen mit belegter Wirksamkeit – nicht nur mit dem Status „erledigt".

Zie ook: Measures management · Workflow-Management

Systeme & Daten

Freigabeworkflow

Der Freigabeworkflow bildet mehrstufige Genehmigungen systemseitig ab – etwa die Bestätigung von Risikobewertungen durch den Risikoeigner und die anschließende Freigabe durch das zentrale Risikomanagement.

Er erzwingt das Vier-Augen-Prinzip und dokumentiert Freigaben automatisch mit Zeitstempel und Person. Wichtig ist eine hinterlegte Vertreterregelung: Ohne sie steht der Prozess bei Urlaub oder Krankheit still, und es entstehen genau die Umgehungen per E-Mail, die der Workflow verhindern sollte.

Zie ook: Funktionstrennung · Audit Trail

Systeme & Daten

Versionierung und Dokumentenlenkung

Die Dokumentenlenkung stellt sicher, dass jederzeit nachvollziehbar ist, welche Fassung eines Dokuments gültig war, wer sie freigegeben hat und wer sie zur Kenntnis genommen hat.

Für Richtlinien, Prozessbeschreibungen und Nachweise ist sie die Grundlage jeder belastbaren Compliance-Dokumentation. Der praktische Prüfstein: Lässt sich zu einem beliebigen Datum in der Vergangenheit feststellen, welche Fassung der Reisekostenrichtlinie damals galt und welche Mitarbeitenden sie bestätigt hatten? Wenn nicht, ist die Nachweisführung im Verfahren angreifbar.

Zie ook: Richtlinienmanagement · Revisionssicherheit

Systeme & Daten

Aufbewahrungsfristen

Aufbewahrungsfristen legen fest, wie lange Unterlagen vorzuhalten sind – handels- und steuerrechtlich in gestaffelten Fristen, in speziellen Bereichen abweichend geregelt.

Im Spannungsfeld zur datenschutzrechtlichen Löschpflicht braucht es ein Löschkonzept, das Fristbeginn, Fristende und Ausnahmen je Dokumentart eindeutig bestimmt. Besonders zu regeln sind Fälle, in denen eine Löschpflicht durch ein laufendes Verfahren gehemmt wird – dann ist ein Legal Hold erforderlich, der die automatische Löschung dokumentiert aussetzt.

Zie ook: Revisionssicherheit · Dokumentenlenkung

Systeme & Daten

Schnittstellen im GRC-Kontext

Schnittstellen verbinden GRC-Systeme mit ERP, HR, Einkauf, Ticketsystemen und Datawarehouse. Sie ermöglichen die automatisierte Übernahme von Stammdaten, Kennzahlen und Frühwarnindikatoren.

Der Nutzen liegt weniger in der Zeitersparnis als in der Aktualität: Manuell gepflegte Risikodaten sind im Moment ihrer Erfassung bereits veraltet, automatisch übernommene Indikatoren nicht. Typische erste Schnittstellen sind Lieferantenstammdaten aus dem ERP, Kennzahlen aus dem Controlling und Vorfälle aus dem IT-Ticketsystem.

Zie ook: Datenqualität · Belangrijk risicointerieur

Systeme & Daten

Datenqualität im Risikomanagement

Die Qualität von Risikodaten entscheidet über die Belastbarkeit aller Auswertungen. Kriterien sind Vollständigkeit, Aktualität, Konsistenz der Bewertungsmaßstäbe und Nachvollziehbarkeit der Herkunft.

Schwächen zeigen sich typischerweise in uneinheitlich ausgelegten Skalen zwischen Bereichen: Was der Vertrieb als „hoch" einstuft, ist in der Produktion ein mittleres Risiko. Das ist ein Methodikproblem, kein Softwareproblem – die Lösung liegt in klaren Skalendefinitionen mit Euro-Werten und einer Plausibilisierung durch die zweite Linie.

Zie ook: Risicobeoordeling · Risikohandbuch

Systeme & Daten

Eén bron van waarheid

Eine Single Source of Truth ist die eine führende Datenbasis, auf die sich alle Auswertungen stützen.

Im GRC-Umfeld verhindert sie, dass Risikoregister, IKS-Dokumentation und Revisionsfeststellungen auseinanderlaufen und Geschäftsleitung und Aufsichtsrat widersprüchliche Zahlen erhalten. Die Umsetzung scheitert selten an der Technik, sondern an der Klärung der Frage, welches System für welchen Datensatz führend ist – und wer Änderungen daran vornehmen darf.

Zie ook: Integriertes GRC · Datenqualität

Systeme & Daten

Automatisierte Risikomeldung

Bei der automatisierten Risikomeldung lösen definierte Ereignisse oder Grenzwertüberschreitungen selbsttätig eine Meldung im System aus – etwa bei Überschreiten eines Frühwarnindikators oder beim Eintritt eines Schadensfalls.

Sie ergänzt die turnusmäßige Erhebung um die anlassbezogene Komponente, die der IDW PS 340 n.F. ausdrücklich erwartet. Zu definieren sind Auslöser, Empfänger, Eskalationsstufe und Reaktionsfrist. Wichtig ist die Kalibrierung der Schwellen: Zu viele Meldungen führen zur Gewöhnung, zu wenige zur Scheinsicherheit.

Zie ook: Vroege waarschuwingsindicator · Risicoopvangsysteem