Aktuelles
Datum:
Dieser Artikel wurde verfasst von
Steuerberater, Partner, Forensic, Risk & Compliance
Jede Organisation steht täglich vor Unsicherheiten – doch nur die Risiken, die erkannt werden, können auch aktiv gesteuert werden. Die Risikoidentifikation bildet daher den Ausgangspunkt eines wirksamen Risikomanagements. Sie entscheidet maßgeblich darüber, ob Risiken vollständig erfasst und in der Folge realistisch bewertet und gezielt gesteuert werden können. Unvollständige oder unsystematische Ansätze führen hingegen zu blinden Flecken, Fehleinschätzungen und ineffizientem Mitteleinsatz.
Im Rahmen unserer Risk Management Blueprint-Reihe beleuchten wir in diesem Beitrag, wie Unternehmen Risiken strukturiert identifizieren, geeignete Methoden kombinieren und ein belastbares Risikoradar aufbauen können.
Die Risikoidentifikation ist der erste operative Schritt im Risikomanagementprozess und bildet die Grundlage für alle weiteren Aktivitäten. Im Kontext des CRIC-Modells, das wir in unserem Beitrag „CRIC-Taxonomie erklärt“ erläutert haben, erfolgt die strukturierte Betrachtung von Risiken entlang von vier Dimensionen:
Die Risikoidentifikation setzt genau hier an, indem sie Ursachen und Risiken verbindet und damit die Grundlage für Bewertung und Steuerung schafft.
Eine effektive Risikoidentifikation verfolgt nicht das Ziel, möglichst viele Risiken zu sammeln, sondern:
Ergebnis ist ein konsistentes Gesamtbild der Risikolandschaft, das dann mit Hilfe einer methodisch sauberen Bewertung nach Priorität und Wesentlichkeit gesteuert werden kann.
Eine wirksame Risikoidentifikation erfordert die Kombination unterschiedlicher Perspektiven:
Top-down-Ansatz
Bottom-up-Ansatz
Der Best Practice stellt eine Kombination beider Ansätze dar, da nur so ein vollständiges und ausgewogenes Risikobild entsteht.
In der Praxis hat sich ein Methodenmix bewährt. Die folgenden Ansätze ergänzen sich und sollten idealerweise kombiniert werden:
Strukturierte Workshops und Interviews mit Fachbereichen bilden den Kern vieler Risikoidentifikationsprozesse
Typische Inhalte:
Klassischerweise ist diese Methode besonders effektiv im Rahmen eines Risk and Control Self-Assessment (RCSA), welches wir im Artikel „Selbstbewertung von Risiken und Kontrollen“ näher beleuchtet haben.
Mehr dazu in unserem Artikel zum RCSA.
Eine besonders wirkungsvolle Methode ist die Bow-Tie-Analyse.
Sie verbindet:
Damit integriert sie alle Elemente des CRIC-Modells in einer Darstellung. Die Bow-Tie-Analyse erklären wir spezifischer in unserem Beitrag „Bow-Tie-Analyse: Ihre zentralen Risikotreiber abbilden“.
Kreative Methoden wie Brainstorming oder Brainwriting ermöglichen eine offene und breit angelegte Identifikation von Risiken.
Ansatz:
Besonders geeignet sind diese Methoden in Kombination mit den bereits genannten Workshops, idealerweise zu Beginn von Workshops und damit als breite Diskussionsbasis zur Identifikation neuer oder unerwarteter Risiken.
Risiken werden systematisch entlang von Geschäftsprozessen identifiziert, bspw. in Einkauf, Produktion, Vertrieb oder den Supportfunktionen. Der Ansatz basiert auf der Analyse einzelner Prozessschritte und der damit verbundenen Identifikation potenzieller Störungen und Schwachstellen. Besonders geeignet ist diese Methode für operative Risiken und Qualitätsrisiken.
Vergangene Ereignisse liefern eine belastbare Grundlage für die Risikoidentifikation.
Quellen sind konkrete Schadensfälle aus der Vergangenheit, Incident Reports, Near Misses, Audit Findings oder Controlling- und Performance-Daten. Vorteil dieser Methode ist die stark objektive und datenbasierte Identifikation und daraus ableitbare realistische Einschätzung von Risiken. Wichtige Basis ist der Aufbau eines strukturierten Schadensinventars.
Checklisten bieten eine strukturierte Möglichkeit, Risiken systematisch zu erfassen. Beispiele sind branchen- oder kategorienspezifische Risikokataloge (z. B. vom BSI), regulatorische Anforderungen oder interne Risiko-Templates. Klare Vorteile ergeben sich aus einer relativ hohen Grundvollständigkeit und der einfachen Anwendung. Vorsicht ist jedoch geboten, diesen Unterlagen nur primär zu glauben, da es das Risiko einer möglichen „Checklistenblindheit“ und blinden Flecken auf der Risikolandkarte mit sich bringt. Idealerweise wird diese Methodik also zusammen mit den kreativen Methoden wie bspw. Workshops angewendet.
Strategische Methoden helfen insbesondere bei der Identifikation von übergeordneten Risiken.
Typische Ansätze:
Besonders geeignet sind diese Ansätze für strategische Risiken, externe Risiken und Marktveränderungen.
In der Praxis zeigt sich, dass keine einzelne Methode alle relevanten Risiken vollständig erfassen kann. Erst die Kombination verschiedener Ansätze ermöglicht eine umfassende und belastbare Risikoidentifikation.
Klare Struktur durch Risikotaxonomie |
|
Verknüpfung mit Unternehmenszielen |
|
Integration in bestehende Prozesse |
|
Interdisziplinäre Zusammenarbeit |
|
Regelmäßige Aktualisierung |
|
Die identifizierten Risiken bilden die Grundlage für die nächste Phase: die Risikobewertung.
Typischerweise erfolgt diese entlang von:
Wichtig!
Eine strukturierte Risikoidentifikation ist Voraussetzung für eine belastbare und konsistente Risikobewertung.
Ein besonders wirkungsvoller Ansatz ist das Risk and Control Self-Assessment (RCSA).
Es kombiniert die Risikoidentifikation, Bewertung sowie die Analyse von Kontrollen und schafft damit eine direkte Verbindung zwischen Risiken, Steuerungsmaßnahmen und Risikobereitschaft.
Mehr zur praktischen Umsetzung finden Sie in unserem RCSA-Artikel.
Für eine nachhaltige Umsetzung sind klare Strukturen erforderlich:
Ziel ist die Konsistenz und Vergleichbarkeit im gesamten Unternehmen. Die identifizierten Risiken sollten dabei strukturiert und gemäß einer standardisierten Syntax dokumentiert werden:
Diese Struktur bildet die Grundlage für die darauffolgende Bewertung, Aggregation und das Reporting.
Eine wirksame Risikoidentifikation ist weit mehr als eine einmalige Übung. Sie ist integraler Bestandteil der Unternehmenssteuerung, die Grundlage für fundierte Entscheidungen und der Ausgangspunkt für ein proaktives Risikomanagement. Organisationen, die ihre Risiken systematisch identifizieren, schaffen Transparenz, erhöhen ihre Resilienz und verbessern ihre Steuerungsfähigkeit nachhaltig.
Viele Unternehmen verfügen über historisch gewachsene oder fragmentierte Ansätze zur Risikoidentifikation. Gemeinsam mit unseren Expertinnen und Experten können Sie: