Riskmanagement & IKS News

In vielen Organisationen wird Risikomanagement noch immer primär als Prüfungs-, Kontroll- oder Compliance-Thema verstanden. Entsprechend wird es häufig von der internen Revision, der externen Prüfung oder anderen Kontrollfunktionen geprägt.

Das ist verständlich – aber problematisch.

Denn Risikomanagement ist keine Prüfungsdisziplin. Es ist eine Führungsaufgabe.

Wie es dazu kam

Viele heute etablierte Risikomanagement-Prozesse stammen ursprünglich aus der Welt der Finanzberichterstattung und der internen Kontrolle.

Risikoregister und -portfolios, Kontrollkataloge, Prüfberichte und Compliance-Nachweise haben wesentlich dazu beigetragen, Risiken sichtbar und nachvollziehbar zu machen. Dafür gebührt den Revisionsfunktionen Anerkennung.

Doch diese Herkunft hat auch eine Nebenwirkung:

Risiken werden oft vor allem durch die Brille von Kontrollen, Mängeln und Prüfungen betrachtet.

Die entscheidende Frage lautet dann:

“Sind die Kontrollen wirksam?”

Dabei gerät eine andere Frage zunehmend in den Hintergrund:

“Treffen wir die richtigen Entscheidungen?”

Das eigentliche Ziel von Risikomanagement

Risikomanagement soll nicht primär Fehler verhindern.

Es soll bessere Entscheidungen ermöglichen.

Jede Organisation steht regelmässig vor Unsicherheiten:

• Soll eine neue Dienstleistung eingeführt werden?
• Ist die Investition in eine neue Technologie sinnvoll?
• Wie abhängig wollen wir von einzelnen Lieferanten sein?
• Wie viel regulatorisches Risiko akzeptieren wir?
• Welche Projekte verfolgen wir – und welche nicht?
  
  

Keine dieser Fragen kann durch Kontrollen beantwortet werden.

Sie sind Führungsfragen.

Die Gefahr eines zu engen Verständnisses

Wo Risikomanagement hauptsächlich von Prüfungsfunktionen geprägt wird, entsteht oft ein defensiver Blick:

• Risiken werden dokumentiert
• Kontrollen werden getestet
• Mängel werden verfolgt
• Berichte werden erstellt
  
  

Das ist wichtig.

Aber es reicht nicht.

Organisationen werden nicht erfolgreich, weil sie Risiken vermeiden.

Sie werden erfolgreich, weil sie die richtigen Risiken eingehen.

Wer nur fragt, wie Risiken reduziert werden können, übersieht möglicherweise die wichtigere Frage:

Welche Chancen verpassen wir, weil wir Risiken falsch einschätzen?

Die Rolle der Revisoren

Die Aussage dieses Artikels lautet nicht, dass Revisoren weniger wichtig wären.

Im Gegenteil.

Eine starke interne Revision ist ein zentraler Bestandteil guter Governance.

Ihre Aufgabe ist jedoch eine andere:

• prüfen
• hinterfragen
• Transparenz schaffen
• Schwachstellen aufzeigen

Die Revision schafft Assurance.

Sie trifft aber keine unternehmerischen Entscheidungen.

Die Verantwortung liegt beim Leitungsorgan

Die Verantwortung für Risiken kann nicht delegiert werden.

Verwaltungsräte, Gemeinderäte, Stiftungsräte und Geschäftsleitungen müssen festlegen:

• Welche Risiken akzeptieren wir?
• Welche Risiken wollen wir vermeiden?
• Wo investieren wir zusätzliche Ressourcen?
• Welche Unsicherheiten beobachten wir besonders aufmerksam?
  
  

Dazu braucht es mehr als ein Risikoportfolio.

Es braucht eine klare Risikohaltung.

Die richtigen Fragen stellen

Viele Leitungsorgane diskutieren Risiken anhand von Heatmaps, Scores und Berichten.

Wertvoller sind oft andere Fragen:

• Welche Risiken gehen wir bewusst ein?
• Welche Risiken verstehen wir noch nicht ausreichend?
• Welche Annahmen tragen unsere Strategie?
• Welche Entwicklungen könnten unser Geschäftsmodell verändern?
• Welche Chancen haben wir aus Vorsicht oder Trägheit nicht genutzt?
  
  

Solche Fragen führen weg von der Kontrolle und hin zur eigentlichen Führungsaufgabe.

Eine klare Rollenverteilung

Ein wirksames Risikomanagement braucht klare Verantwortlichkeiten:

Funktion	Aufgabe
Operatives Management	Risiken erkennen und steuern
Risk Management	Moderieren, konsolidieren, herausfordern
Interne Revision	Unabhängig prüfen
Externe Prüfung	Bestätigen und beurteilen
Leitungsorgan	Prioritäten setzen und Entscheidungen treffen

Diese Rollen ergänzen sich.

Sie dürfen aber nicht verwechselt werden. 

Fazit: Risiken führen statt nur kontrollieren

Revisoren haben wesentlich dazu beigetragen, dass Risikomanagement in Organisationen heute strukturierter und sichtbarer ist als früher.

Doch die wichtigste Aufgabe bleibt eine Führungsaufgabe.

Die zentrale Frage lautet nicht:

“Haben wir ein Risikomanagementsystem?”

Sondern:

“Hilft uns unser Risikomanagement, bessere Entscheidungen zu treffen?”

Erst wenn diese Frage mit Ja beantwortet werden kann, erfüllt Risikomanagement seinen eigentlichen Zweck.