Risikomanagementsystem (ERM): was es ist und wie Sie es einführen

Ein unternehmensweites Risikomanagementsystem ist die Gesamtheit aus Richtlinien, Rollen, Prozessen und Werkzeugen, mit der eine Organisation alle ihre Risiken nach einheitlichen Kriterien identifiziert, bewertet, behandelt und überwacht und sie mit ihrer Strategie verknüpft. Im Englischen heißt das ERM (Enterprise Risk Management). Das Wort, auf das es ankommt, ist „alle“: Finanzrisiken, operationelle Risiken, IT-Risiken, Lieferantenrisiken und Compliance-Risiken stehen im selben Register und werden mit demselben Maßstab gemessen.

Viele Unternehmen haben das Gegenteil: Jeder Bereich führt seine eigene Liste in seiner eigenen Tabelle. Die Informationssicherheit bewertet von 1 bis 5, die Finanzabteilung in Euro, Compliance mit Ampelfarben. Jede Liste ergibt für sich Sinn, aber niemand kann die Frage beantworten, die der Vorstand stellt: Welches sind die zehn schwerwiegendsten Risiken des Unternehmens, und liegen sie innerhalb dessen, was wir zu tragen bereit sind?

Die Bausteine eines unternehmensweiten Risikomanagementsystems

Ein einheitliches Modell gibt es nicht, aber alle Systeme, die funktionieren, haben diese Bausteine, und meist scheitern sie an dem, der fehlt:

• Governance und Risikoappetit. Wer entscheidet, welches Risiko akzeptabel ist, und wo diese Grenze liegt. Ohne einen von der Geschäftsleitung genehmigten Risikoappetit misst das System zwar, hilft aber nicht beim Entscheiden.
• Taxonomie. Die Kategorien, in die jedes Risiko eingeordnet wird, damit dasselbe Problem in allen Bereichen gleich heißt. Mehr dazu unter Risikotaxonomie.
• Gemeinsame Methodik. Für alle dieselben Skalen für Eintrittswahrscheinlichkeit und Auswirkung und dieselbe Risikomatrix zur Darstellung des Ergebnisses.
• Register mit Verantwortlichen. Jedes Risiko mit einer namentlich benannten Person als Risikoeigner, nicht mit einer Abteilung.
• Kontrollen und Kennzahlen. Was getan wird, um jedes Risiko zu senken, und woran man rechtzeitig erkennt, dass es sich verschlechtert, mit Risikoindikatoren (KRI).
• Berichterstattung an die Geschäftsleitung. Ein regelmäßiger Bericht, der inhärentes Risiko und Restrisiko vergleicht und zeigt, was sich seit dem letzten Mal geändert hat.

ISO 31000 oder COSO ERM: welcher Rahmen als Referenz

Fast alle Systeme stützen sich auf einen dieser beiden Rahmen. Keiner ist zertifizierbar und keiner ist aus sich heraus verbindlich: Es sind Leitfäden. Was sich unterscheidet, ist der Ansatz.

Unsere Empfehlung: Wenn Sie bereits mit ISO-Normen arbeiten (27001, 22301, 37301), gehen Sie von ISO 31000 aus, weil Sie dann Begriffe und Struktur teilen. Fordern Aufsichtsrat oder Prüfungsausschuss das System an und steht die Verknüpfung von Risiko und Geschäftszielen im Vordergrund, passt COSO ERM besser. Die beiden schließen sich nicht aus: Viele Organisationen nutzen den Prozess der ISO 31000 und die Governance-Sprache von COSO.

Was die Vorschriften in Spanien verlangen

Für die meisten Unternehmen ist das System freiwillig, in einigen Fällen wird es aber verlangt:

• Börsennotierte Gesellschaften. Der Kodex für gute Unternehmensführung der CNMV empfiehlt eine Richtlinie zur Risikokontrolle und zum Risikomanagement, die finanzielle und nichtfinanzielle Risiken abdeckt und das akzeptable Risikoniveau festlegt (Empfehlung 45), sowie eine interne Risikokontroll- und Risikomanagementfunktion unter Aufsicht des Prüfungsausschusses (Empfehlung 46). Es gilt der Grundsatz „comply or explain“.
• Versicherungsunternehmen. Die Solvabilität-II-Richtlinie verlangt in Artikel 44 ein wirksames Risikomanagementsystem.
• Finanzunternehmen. Die DORA-Verordnung schreibt einen Rahmen für das IKT-Risikomanagement vor (Artikel 6), der sich in das allgemeine Risikomanagementsystem einfügen muss.

Schritt für Schritt einführen

1. Risikoappetit und Governance festlegen. Wem das System gehört, welches Gremium es wie oft prüft und welches Risikoniveau akzeptabel ist.
2. Taxonomie und Methodik definieren. Kategorien, Skalen mit konkreten Definitionen und die Matrix. An diesem Schritt wird am meisten diskutiert, und er spart später die meiste Zeit.
3. Die erste Risikolandkarte mit den Hauptrisiken erstellen. Beginnen Sie mit den zwanzig oder dreißig Risiken, die die Geschäftsleitung wirklich beschäftigen, nicht mit einem Inventar von vierhundert.
4. Kontrollen, Verantwortliche und Kennzahlen zuordnen. Jedes Risiko oberhalb des Risikoappetits braucht einen Maßnahmenplan mit verantwortlicher Person und Frist.
5. Berichten und wiederholen. Ein regelmäßiger Bericht an die Geschäftsleitung und eine Überprüfung, die bei den Änderungen ansetzt.

Der Fehler, den wir am häufigsten sehen, ist der Start mit Schritt drei: ein großer Workshop zur Risikoinventur, ohne dass vorher die Skala abgestimmt wurde. Das Ergebnis ist ein riesiges Register, das niemand vergleichen kann und das bei der zweiten Überprüfung aufgegeben wird.

Tabellenkalkulation oder Risikomanagement-Software

Ein kleines System kann in Excel starten, und dafür gibt es unsere Vorlage für eine Risikomatrix. Problematisch wird es, sobald mehrere Bereiche das Register befüllen: Es entstehen parallele Versionen, jede Person legt die Skalen anders aus, und der konsolidierte Bericht muss vor jeder Gremiensitzung von Hand zusammengebaut werden.

Dann ist es Zeit für eine Software für unternehmensweites Risikomanagement. In GlobalSuite® Risk Management ist die Methodik bereits hinterlegt (ISO 31000, COSO ERM oder Ihre eigene), jeder Bereich bewertet seine Risiken mit derselben Skala, und Heatmap, KRI und Bericht an die Geschäftsleitung entstehen automatisch, auf Wunsch mit Monte-Carlo-Simulation, um Risiken in Euro zu quantifizieren.

Inhalt überarbeitet im Oktober 2026.