Risiko- und Compliance-Management oft getrennt


Compliance rückt beim Thema Risikomanagement stärker ins Blickfeld - PwC-Studie zeigt Defizite bei Risikokultur auf
Manko beim Risk Management: Langfristige Risiken bleiben meist unerkannt


(18.04.12) - Das Risikomanagement zählt zu den wesentlichen Managementfeldern: Seine Aufgabe ist nicht nur die Vermeidung von Gefahren, sondern auch die Identifizierung von Chancen. Damit das Risikomanagement diese Funktion erfüllen kann, müssen Risiken definiert, erkannt und bewertet werden.

Die aktuelle Studie "Risk-Management-Benchmarking 2011/12" analysiert zum zweiten Mal nach 2010/2011, mit welchen Strukturen und Prozessen deutsche Großunternehmen Risiken bearbeiten. Der Untersuchung liegen detaillierte Datensätze aus 38 zumeist börsennotierten Unternehmen zu Grunde, die PwC mit der Abschlussprüfung oder einer separaten Analyse beauftragt haben. Die Ergebnisse spiegeln also nicht die Selbsteinschätzung der Unternehmen, sondern die externe Beratersicht wieder. Wegen der Besonderheiten des Risikomanagements in der Finanzdienstleistungsbranche wurden Unternehmen dieses Sektors nicht berücksichtigt.

Während die große Mehrheit der Unternehmen die gesetzlichen Anforderungen an die Risikofrüherkennungssysteme erfüllt (§ 91 II AktG), zeigen sich beim Risikomanagement Defizite. Zwar verfügen so gut wie alle Unternehmen über dokumentierte Risikorichtlinien, einer expliziten Risikostrategie folgen jedoch nur wenige. Auch eine Risikokultur ist nur bei einer Minderheit fest verankert. Entsprechend selten kann das Risikomanagement als effizientes Instrument der Unternehmenssteuerung genutzt werden.

Risikokultur ist oft unterentwickelt
Eine entwickelte Risikokultur, also das Bewusstsein der Mitarbeiter für Risiken sowie deren Bearbeitung, ist wesentliche Voraussetzung eines effizienten Risikomanagements. Positiv fällt zunächst auf, dass fast alle analysierten Unternehmen einer Risikorichtlinie mit definierten Risikofeldern sowie Regeln für die Berichterstattung folgen. Allerdings gelingt es oft nicht, diese Grundsätze in den Unternehmensalltag zu überführen.

So gab es im Untersuchungszeitraum nur bei jedem dritten Unternehmen eine Schulung für die Risikoverantwortlichen, jedes vierte führte keine erkennbaren Trainings- oder Qualifizierungsmaßnahmen durch. Eine Diskussion der Risikomanagementmethodik mit der Geschäftsleitung fand nur in jedem zehnten Unternehmen statt.

Eine operativ anwendbare Risikostrategie existiert in gut jedem fünften Unternehmen. Dies ist zwar eine deutliche Steigerung gegenüber der Vorgängerstudie, dennoch bleibt es dabei, dass die meisten Unternehmen das Risikomanagement nicht als strategisches Steuerungsinstrument begreifen. Dafür spricht auch, dass die Geschäftsführung in den meisten untersuchten Fällen zwar regelmäßig über Risiken informiert wird, eine kontinuierliche Chancenberichterstattung aber nur bei einem Fünftel der Unternehmen etabliert ist.

Compliance-Management verbessert
Risiken werden in den Unternehmen durch einen Risikoverantwortlichen bzw. -bereich gesteuert. Drei Viertel der Unternehmen haben eine entsprechende Funktion zur Steuerung von Finanzrisiken etabliert. An Bedeutung gewonnen hat die Auseinandersetzung mit Compliance-Risiken. Mittlerweile haben 58 Prozent der Unternehmen einen Risikoverantwortlichen für Compliance-Themen, vor einem Jahr waren es erst 42 Prozent. Organisatorisch sind allerdings in vielen Unternehmen Risiko- und Compliance-Management getrennt. Eine Zusammenlegung der Bereiche könnte in vielen Unternehmen Effizienzgewinne bringen.

Kurzfristige Risiken im Fokus
Die Mehrzahl der analysierten Unternehmen (57 Prozent) bewertet Risiken lediglich über einen Zeithorizont von einem Jahr. Nur in knapp jedem zehnten Fall werden Risiken einbezogen, die sich auf Sicht von drei oder mehr Jahren ergeben können. Bei der Mehrzahl der Unternehmen besteht daher die Gefahr, dass strategische Risiken zu spät erkannt werden.

Problematisch ist auch die Bewertung der identifizierten Risiken. Die finanziellen Auswirkungen möglicher Schäden bzw. negativer Entwicklungen werden überwiegend geschätzt, wobei soweit möglich auf Erfahrungswerte aus eingetretenen Schadensfällen zurückgegriffen wird. Nur jedes vierte Unternehmen bewertet Risikofolgen in Abhängigkeit von verschiedenen Szenarien.
Die systematische Verknüpfung von Risikomanagement und übergeordneter Unternehmenssteuerung erschweren aber nicht nur die genannten methodischen Probleme, sondern oft auch die eingesetzten Werkzeuge.

So müssen wesentliche Daten in vielen Unternehmen manuell verwaltet werden. Zur Risikoerfassung und -dokumentation setzen 55 Prozent der Unternehmen Standardsoftware wie MS Excel ein, nur 26 Prozent verwenden eine spezielle Risikomanagementsoftware und weitere acht Prozent nutzen selbst erstellte Datenbanklösungen. Damit existieren nur selten automatisierte Schnittstellen zwischen den Informations- und Steuerungsprozessen im Risikomanagement und denen anderer Unternehmensbereiche. Hier bestehen erhebliche Potenziale zur Effizienz- und Qualitätssteigerung. (PwC: ra)

PricewaterhouseCoopers: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Studien

  • Viele Schulen regeln den KI-Einsatz nicht

    Um schneller einen Aufsatz zu schreiben, die Antwort im Unterricht nachzuschlagen oder Ideen für das Kunstprojekt zu sammeln - Künstliche Intelligenz ist längst auch in vielen deutschen Klassenzimmern angekommen. Allerdings hat nicht einmal jede vierte Schule zentral geregelt, was dabei erlaubt und was verboten ist. Lediglich an 23 Prozent der weiterführenden Schulen gibt es zentrale KI-Regeln, die für die ganze Schule gelten.

  • Ein Fünftel wurde im Job zu KI geschult

    Mit KI die Mail formulieren, eine Hintergrundrecherche starten oder aus Gesprächsnotizen ein Protokoll erstellen - Künstliche Intelligenz kann im Job unterstützen, wenn man weiß wie. Ein Fünftel (20 Prozent) der Berufstätigen wurde deshalb von ihrem Arbeitgeber bereits im KI-Einsatz geschult. Bei weiteren 6 Prozent gibt es zwar entsprechende Fortbildungen, sie haben sie aber noch nicht wahrgenommen. Der großen Mehrheit von 70 Prozent der Beschäftigten wird allerdings keine KI-Fortbildungen angeboten. Das sind Ergebnisse einer repräsentativen Befragung von 1.005 Personen ab 16 Jahren in Deutschland im Auftrag des Digitalverbands Bitkom.

  • Mindestens ein Datenschutzvorfall

    The Business Digital Index (BDI), eine Initiative von Cybernews, hat die digitale Sicherheit von 75 EU-Institutionen untersucht. Das Ergebnis ist besorgniserregend: 67 Prozent der untersuchten Einrichtungen erhielten die Noten "D" oder "F" und gelten damit als "hohes" oder "kritisches" Risiko.

  • Überwachung und Compliance stets im Fokus

    Mit der Einführung der elektronischen Patientenakte (ePA) setzt die Bundesregierung einen Meilenstein für die Zukunft der digitalen Gesundheitsversorgung. Ziel ist es, eine umfassende Datentransparenz - sowohl für Patienten als auch das medizinische Personal - zu schaffen, um die Qualität der Versorgung zu optimieren und Mitarbeitende im Healthcare-Sektor zu entlasten. Wie die Studie "Digitale Zwickmühle im Gesundheitswesen: Zwischen Innovationsdruck und Systemrisiken" von Soti jedoch zeigt, mangelt es in vielen deutschen Gesundheitseinrichtungen noch immer an den nötigen technischen Voraussetzungen, um diesem Anspruch in der Praxis auch wirklich gerecht zu werden. Für diese Erhebung wurden weltweit IT-Entscheidungsträger im Healthcare-Bereich befragt.

  • Haftungsrisiko bei Cyber-Schäden

    Führungskräfte in Deutschland blicken mit wachsender Sorge auf ihr Haftungsrisiko bei Cyber-Schäden - für 88 Prozent sind Cyber-Attacken und für 86 Prozent Datenverluste das Top-Risiko für Manager 2025. Das zeigt der aktuelle "Directors' and Officers' Liability Survey" des Risikoberaters und Großmaklers Willis, einem Geschäftsbereich von WTW, und der internationalen Anwaltssozietät Clyde & Co. Außerdem zeigt die Studie, dass vielen Themen im Management Board nicht genug Zeit eingeräumt wird: 38 Prozent der befragten Führungskräfte in Deutschland sind der Meinung, dass im Vorstands- und Geschäftsführungskreis mehr Zeit für das Thema Cybersicherheit aufgewendet werden sollte. "Das ist ein deutliches Signal dafür, dass viele Unternehmen sich der Bedrohung zwar bewusst sind, sich ihr aber noch nicht ausreichend widmen", sagt Lukas Nazaruk, Head of Corporate Risk & Broking Deutschland und Österreich bei Willis.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen