Risiko-Management

In aller Regel ja. Was lange vor allem für Aktiengesellschaften galt, trifft seit dem StaRUG faktisch auch haftungsbeschränkte Gesellschaften wie die GmbH. Die Geschäftsleitung ist verpflichtet, bestandsgefährdende Entwicklungen fortlaufend zu überwachen und bei einer drohenden Krise geeignete Gegenmaßnahmen zu ergreifen. Ein strukturiertes System ist der praktikabelste Weg, diese Pflicht zu erfüllen und im Zweifel auch nachzuweisen. Der Umfang richtet sich dabei nach Größe und Risikoprofil Ihres Unternehmens.

Eine Liste ist ein Anfang, aber kein System. Sie wird meist einmal jährlich gepflegt, bildet keine Kombinationseffekte ab und ist nicht in die Steuerung eingebunden. Ein Risikomanagementsystem ist ein gelebter Kreislauf aus Identifikation, Bewertung, Steuerung, Überwachung und Berichterstattung, mit klaren Verantwortlichkeiten und einem Berichtswesen an die Leitung. Gerade die Risikoaggregation, also das Zusammenwirken mehrerer Einzelrisiken, lässt sich in einer einfachen Liste nicht abbilden, ist aber für die Früherkennung entscheidend.

Mit Ihnen. Unser Modell ist der Aufbau interner Strukturen, nicht die stellvertretende Risikosteuerung. Wir bringen Methodik, Prozessaufbau und Dokumentationsvorlagen ein und richten alles auf Ihr Geschäftsmodell aus. Betrieben wird das System anschließend von Ihrem Haus, mit geschultem Personal und klaren Verantwortlichkeiten. Die unternehmerischen Risikoentscheidungen und die Verantwortung dafür bleiben bei Ihrer Geschäftsleitung, dort, wo das Gesetz sie verortet.

Den methodischen Rahmen bildet die ISO 31000:2018 mit ihren drei Säulen Grundsätze, Rahmenwerk und Prozess. Sie ist kein Zertifizierungsstandard, sondern der anerkannte Bezugspunkt für den Aufbau. Ergänzend orientieren wir uns an den einschlägigen Prüfungsstandards des Instituts der Wirtschaftsprüfer, insbesondere an der dort betonten Risikoaggregation, damit Ihr System auch dem Maßstab standhält, an dem es im Prüfungsfall gemessen würde.

Beide Systeme befassen sich mit Risiken, betrachten sie aber aus unterschiedlichen Blickwinkeln. Das Compliance-Management-System konzentriert sich auf Risiken aus der Verletzung von Regeln und Vorgaben, während das Risikomanagementsystem alle wesentlichen Unternehmensrisiken in den Blick nimmt, von strategischen über finanzielle bis zu operativen. Beide teilen die Risikomethodik, weshalb wir sie aufeinander abstimmen, statt zwei getrennte Welten aufzubauen. So folgen Kontrollen, Compliance-Risiken und Unternehmensrisiken einer gemeinsamen Logik.

Das hängt von Größe, Komplexität und dem vorhandenen Reifegrad ab. Bei einem mittelständischen Unternehmen mit überschaubarer Struktur lässt sich ein tragfähiges Grundsystem in einigen Wochen bis wenigen Monaten aufbauen. Unternehmen, die bereits ein Compliance- oder Informationssicherheits-Managementsystem betreiben, erreichen das untere Ende dieser Spanne, weil sich Methodik und Routinen übernehmen lassen. Wichtiger als die reine Aufbaudauer ist, dass die ersten Durchläufe des Kreislaufs begleitet werden, bis das System selbsttragend läuft.

Es ist ein wesentlicher Baustein dazu. Die Pflicht zur Risikofrüherkennung ist unmittelbar mit der Verantwortung der Geschäftsleitung verbunden. Wer eine bestandsgefährdende Entwicklung mangels geeigneten Systems übersieht, setzt sich dem Vorwurf eines Organisationsverschuldens aus. Ein dokumentiertes, nachweislich gelebtes Risikomanagementsystem zeigt, dass die Leitung ihrer Sorgfaltspflicht nachgekommen ist, und trägt damit erheblich zur Entlastung der handelnden Personen bei. Eine rechtsverbindliche Bewertung des Einzelfalls bleibt allerdings der anwaltlichen Beratung vorbehalten.