Enterprise Risk Management (ERM)

Was ist Enterprise Risk Management?

Enterprise Risk Management (ERM) repräsentiert einen Paradigmenwechsel vom traditionellen, isolierten Risikomanagement — bei dem jede Abteilung ihre eigenen Risiken für sich verwaltet — hin zu einem integrierten, unternehmensweiten Ansatz, der der Führung einen konsolidierten Überblick über alle wesentlichen Risiken und ihre wechselseitigen Abhängigkeiten gibt.

Das Grundprinzip ist, dass Risikomanagement keine reaktive, compliance-getriebene Übung sein sollte. Stattdessen sollte es in die Strategiefindung und das Performance-Management eingebettet sein und Organisationen dabei helfen, nicht nur die Bedrohungen zu verstehen, denen sie gegenüberstehen, sondern auch die Chancen, die aus gut gesteuerter Risikobereitschaft entstehen.

Das COSO-ERM-Rahmenwerk

Das weltweit am häufigsten verwendete ERM-Rahmenwerk ist das COSO Enterprise Risk Management — Integrating with Strategy and Performance, das 2017 aktualisiert wurde. COSO steht für das Committee of Sponsoring Organizations of the Treadway Commission, eine US-Initiative, deren Rahmenwerke international übernommen wurden und von Aufsichtsbehörden und Wirtschaftsprüfern weltweit referenziert werden.

Das COSO-ERM-Rahmenwerk organisiert seine Komponenten in fünf miteinander verknüpfte Kategorien:

1. Governance und Kultur — Vorstandsaufsicht, Risikomanagementkultur, Betriebsstruktur, Bekenntnis zu Kernwerten, Gewinnung und Entwicklung von Talenten
2. Strategie und Zielsetzung — Analyse des Geschäftskontexts, Definition der Risikobereitschaft, Strategiebewertung, risikobewusste Zielsetzung
3. Performance — Risikoidentifizierung, Bewertung der Risikoschwere, Risikopriorisierung, Risikomaßnahmen (akzeptieren, vermeiden, verfolgen, reduzieren, teilen)
4. Überprüfung und Revision — Überwachung wesentlicher Änderungen, Überprüfung von Risiken und Performance, Verfolgung von Verbesserungen
5. Information, Kommunikation und Berichterstattung — Nutzung von Informationen, Technologieeinsatz, Kommunikation von Risikoinformationen, Berichterstattung über Risiken, Kultur und Performance

Risikokategorien in der Praxis

ERM-Rahmenwerke organisieren Risiken typischerweise in Kategorien, die je nach Organisation und Sektor variieren. Häufige Kategorien für spanische Unternehmen umfassen:

• Strategische Risiken: Markteintrittsfehler, Wettbewerberdisruption, M&A-Integrationsfehler, bedeutende Kundenkonzentration
• Finanzielle Risiken: Liquiditätsengpässe, Kreditrisiko von Kunden, Fremdwährungsexposition, Zinsrisiko, Fortführungsbedrohungen
• Operationelle Risiken: Prozessausfälle, Systemausfälle, Lieferkettenunterbrechungen, Abhängigkeit von Schlüsselpersonen, Produktqualitätsfehler
• Rechtliche und regulatorische Risiken: Regulatorische Änderungen (Steuer, Arbeit, Umwelt), Rechtsstreitrisiko, Datenschutzverletzungen, Antikorruptionshaftung
• Reputationelle Risiken: Markenschäden durch operative Fehler, Social-Media-Krisen, ESG-Verstöße, Fehlverhalten von Dritten
• Cyber- und Technologierisiken: Ransomware, Systemausfälle, Datenpannen, Vendor-Lock-in, technologische Obsoleszenz

Risikobereitschaft und Risikotoleranz

Zwei grundlegende ERM-Konzepte, die häufig falsch verwendet werden:

Risikobereitschaft ist die allgemeine Menge und Art von Risiken, die eine Organisation bereit ist, bei der Verfolgung ihrer strategischen Ziele zu akzeptieren. Sie wird vom Vorstand festgelegt und in qualitativen Aussagen ausgedrückt (“Wir sind nicht bereit, in unseren regulierten Kernaktivitäten ein Risiko regulatorischer Sanktionen zu akzeptieren”) oder nützlicher in quantitativen Parametern.

Risikotoleranz ist die akzeptable Abweichung in der Performance relativ zu einem spezifischen Ziel — die taktischen Grenzen, innerhalb derer die Organisation operiert. Risikotoleranzen sollten von der Risikobereitschaft auf Vorstandsebene zu den Betriebseinheiten heruntergebrochen werden.

ERM und spanische regulatorische Anforderungen

Mehrere spanische regulatorische und Governance-Rahmenwerke referenzieren ERM-Konzepte:

• Börsennotierte Unternehmen (CNMV): Das Sistema de Control Interno sobre la Información Financiera (SCIIF) und das Sistema de Gestión de Riesgos, die im spanischen Code of Good Governance für börsennotierte Unternehmen gefordert werden, greifen direkt auf COSO-Konzepte zurück
• Versicherungen (Solvabilität II): ORSA-Anforderungen (Own Risk and Solvency Assessment) machen ERM für spanische Versicherungsunternehmen faktisch obligatorisch
• Banken (Pillar 2): Der interne Kapitaladäquanzprozess (ICAAP) gemäß Basel III/Pillar 2 erfordert umfassende Risikomanagement-Rahmenwerke
• Strafrechts-Compliance (LO 1/2015): Unternehmen, die sich auf die Strafrechts-Compliance-Verteidigung stützen, müssen ein effektives Programm zur Risikoidentifizierung, -bewertung und -minderung in den Bereichen Korruption, Steuer, Arbeit und anderen strafrechtlichen Risikobereichen nachweisen

ERM-Implementierung in einem spanischen KMU

Für mittelgroße spanische Unternehmen, die ERM erstmals implementieren, umfasst ein pragmatischer Ansatz:

1. Governance-Mandat — Vorstandsbeschluss, der ERM als Managementpriorität etabliert
2. Risikoinventar — Moderierte Workshops mit dem Führungsteam zur Identifizierung und Beschreibung wesentlicher Risiken (typischerweise 25–50 Risiken für ein mittelgroßes Unternehmen)
3. Risikoregister — Strukturiertes Register mit Risikobeschreibungen, Risikoverantwortlichen, Wahrscheinlichkeits-/Auswirkungsbewertungen und bestehenden Kontrollen
4. Priorisierung — Heatmap oder Bewertungsmethodik zur Identifizierung der 10–15 vorrangigen Risiken
5. Reaktionspläne — Für vorrangige Risiken dokumentierte Maßnahmen, Verantwortliche und Zeitpläne
6. Vorstandsberichterstattung — Vierteljährlicher Risikobericht an den Vorstand oder den Prüfungsausschuss
7. Jährlicher Überprüfungszyklus — Aktualisierung des Risikoregisters bei Änderungen des Geschäftskontexts

Wie BMC helfen kann

Wir entwerfen und implementieren ERM-Rahmenwerke für spanische Unternehmen, von der anfänglichen Risikoinventar-Moderation über COSO-konforme Governance-Strukturdesigns, Risikoregister-Entwicklung, Vorstandsberichterstattungsvorlagen bis hin zur Integration mit Finanzplanung und strategischen Überprüfungsprozessen.