Risikomanagementsystem: Grundlagen und Aufbau / 3.2 Risikomanagementprozess

Die inhaltliche Ausgestaltung eines Risikomanagementsystems ist vom Gesetzgeber nicht näher bestimmt worden. Das bestehende Normvakuum muss somit von den betroffenen Aktiengesellschaften in ihren Organisationen individuell ausgefüllt werden.

Mindest­anforderungen gem. IDW PS 340

In einer Verlautbarung hat das Institut der Wirtschaftsprüfer (IDW) den Gegenstand für die Prüfung des Risikofrüherkennungssystems des Vorstands gemäß § 91 Abs. 2 AktG in einem Prüfungsstandard (PS) näher beschrieben (IDW PS 340). Damit hat das IDW indirekt Mindestanforderungen an ein derartiges Risikofrüherkennungssystem formuliert.

Zur Abgrenzung des Prüfungsumfangs des Wirtschaftsprüfers muss zwischen

• Risikofrüherkennungssystem und
• Risikomanagementsystem

unterschieden werden.

Ein Risikofrüherkennungssystem gemäß § 91 Abs. 2 AktG umfasst nur einzelne Teilaspekte eines gesamten Risikomanagementsystems:

• Risikoidentifikation (IDW: Risikoerkennung, vgl. PS 340, Tz. 5 und 9),
• Risikobewertung und -aggregation (IDW: Risikoanalyse, vgl. PS 340, Tz. 5 und 10),
• Risikokommunikation (IDW PS 340, Tz. 5 und 11 f.).
• Hinzu kommt noch das Überwachungssystem (IDW PS 340, Tz. 15 ff.).

Das Risikomanagementsystem umfasst auch die Maßnahmen zur Risikosteuerung (auch bezeichnet als Risikohandhabung, Risikobewältigung).

Aufbauend auf der Risikostrategie muss ein Risikomanagementprozess im Unternehmen eingeführt werden, der folgende Bestandteile umfasst:

• Risikoidentifikation (einschl. Risikosystematisierung),
• Risikobewertung (einschl. Risikoaggregation),
• Risikosteuerung und -überwachung i. e. S.,
• Risikokommunikation.

Die genannten Bestandteile des Risikomanagementsystems und deren Inhalte und Maßnahmen sind gemäß den Anforderungen des IDW zu dokumentieren (Risikodokumentation) und zu überwachen.

Abbildung 3 zeigt diese Bestandteile, integriert in einen fortlaufenden Risikomanagementprozess.

Abb. 3: Fortlaufender Risikomanagementprozess