Riskmanagement & IKS News

Wer in einem obersten Leitungsorgan sitzt – sei es als Verwaltungsrat eines KMU, als Stiftungsrat einer NPO, in der Kantonsregierung oder dem Stadt-/Gemeinderat – trägt Verantwortung. Auch fürs Risikomanagement.

Doch wie erfüllt man diese Verantwortung konkret? Was muss dem Gremium berichtet werden? Und welche Fragen sollte das oberste Organ stellen, um seine gesetzlichen Pflichten zu erfüllen – ohne operativ einzugreifen?

Die Pflicht ist klar – und unabhängig von der Grösse

Entgegen einem verbreiteten Irrtum gilt die Pflicht zum Risikomanagement nicht nur für börsenkotierte Unternehmen. Auch kleine und mittlere Organisationen müssen sicherstellen, dass Risiken identifiziert, bewertet und gesteuert werden.

Und: Mit der Aktienrechtsrevision 2023 ist der Verwaltungsrat zusätzlich persönlich haftbar für die Zahlungsfähigkeit des Unternehmens.

Was muss die Geschäftsleitung dem obersten Organ berichten?

Damit die Überwachungsfunktion wahrgenommen werden kann, braucht es ein fundiertes, verständliches und strukturiertes Risk Reporting. Es geht nicht um formale Berichte, sondern um die Grundlage für informierte Fragen und strategische Entscheide.

Diese sieben Elemente sollte jedes Risk Reporting enthalten:

1. Risikolandschaft im Überblick

Visuelle Darstellung (z. B. Heatmap) der aktuellen Gesamtrisikolage inkl. Kategorisierung.

2. Entwicklung und Dynamik

Veränderungen seit dem letzten Bericht: neue Risiken, verschobene Bewertungen, abgeschlossene Risiken.

3. Kritische Einzelrisiken im Detail

Vertiefte Beschreibung ausgewählter Risiken mit Ursache, Eintrittswahrscheinlichkeit, Wirkung, Szenarien und Steuerungsmassnahmen.

4. Massnahmenübersicht

Liste laufender und geplanter Massnahmen inkl. Umsetzungsstand (z. B. Ampelsystem), Verantwortlichkeit und Fälligkeiten.

5. Status der Kontrollen (IKS)

Darstellung relevanter Schlüsselkontrollen, festgestellter Lücken, Häufigkeit und Ergebnisse.

6. Risikokultur und Hinweise

Bericht über Vorfälle (Incidents), Beinahe-Ereignisse (Near Misses), interne Hinweise, Lessons Learned und Stimmungsindikatoren.

7. Management-Empfehlungen / Entscheidungsbedarf

Explizite Aussagen zu allfälligen Entscheidungsbedarfen, Budgetfreigaben oder strategischen Implikationen

Was sollte das oberste Leitungsorgan fragen?

Die norwegische IIA (The Institute of Internal Auditors) hat 2025 einen wegweisenden Fragenkatalog publiziert. Daraus lassen sich fünf Handlungsfelder ableiten, die jede Führungsinstanz regelmässig thematisieren sollte – basierend auf dem Reporting.

1. Rolle und Verantwortung

• Verstehen wir unsere Verantwortung im Risikomanagement?
• Wird uns transparent berichtet, wie das RM strukturiert ist?
  
  

2. Ziel und Ambition

• Ist klar, wie RM zur Zielerreichung beiträgt?
• Haben wir die Ambition und Reife, die unserer Verantwortung entspricht?
  
  

3. Risikoprofil

• Wird unser Risikoprofil kontinuierlich überwacht?
• Erkennen wir Veränderungen frühzeitig?
  
  

4. Methodik

• Wie werden Risiken bewertet?
• Wie wird mit Unsicherheit umgegangen?
  
  

5. Organisation

• Ist klar, wer wofür zuständig ist?
• Hat die Risikofunktion genug Ressourcen und Mandat?
  
  

Diese Fragen müssen nicht alle gleichzeitig gestellt werden – aber sie sollten über das Jahr hinweg systematisch adressiert sein.

Fazit: Ohne fundiertes Reporting keine wirksame Aufsicht

Das Risikomanagement ist nur so stark wie seine Einbindung in die Führungsarbeit.

Für Verwaltungs-, Stiftungs-, Regierungs- oder den Stadt-/Gemeinderat bedeutet das:

Denn: Wer fragt, führt. Und wer führt, trägt Verantwortung.