Leitfaden · Fachwissen & Markt · Audit, Risk & Compliance
Risikomanagement aufbauen: Wo Unternehmen typischerweise anfangen
Ein Risikomanagementsystem entsteht nicht durch eine Software, sondern durch eine Systematik.
Veröffentlicht am 20.01.2026 · 6 Min. Lesezeit
Risikoinventur als Ausgangspunkt
Der erste Schritt ist nie die Systemauswahl, sondern die Bestandsaufnahme: Welche Ereignisse können die Ziele des Unternehmens gefährden? Gesammelt wird in Interviews mit den Bereichen, ergänzt um Schadensfälle der Vergangenheit und um Themen, die im Management ohnehin diskutiert werden.
Wichtig ist die Formulierung. Ein Risiko ist kein Zustand, sondern ein Ereignis mit Ursache und Wirkung: nicht „Lieferkette“, sondern „Ausfall eines Einzellieferanten führt zu Produktionsstillstand“. Erst diese Präzision macht eine Bewertung und später eine Maßnahme möglich.
In dieser Phase gilt Vollständigkeit vor Genauigkeit. Wer zu früh aussortiert, verliert genau die Themen, die selten eintreten und dann wehtun. Die Priorisierung kommt im nächsten Schritt.
Bewertung und Aggregation
Bewertet wird üblicherweise nach Eintrittswahrscheinlichkeit und Schadenshöhe, jeweils in nachvollziehbaren Klassen. Entscheidend ist weniger die Skala als die Konsistenz: Alle Bereiche müssen denselben Maßstab anlegen, sonst ist die Rangfolge am Ende ein Vergleich von Temperamenten.
Sinnvoll ist die Unterscheidung zwischen Brutto- und Nettobetrachtung – also vor und nach den bereits wirksamen Maßnahmen. Diese Differenz zeigt, welche Kontrollen tatsächlich etwas tragen und wo Aufwand ohne Wirkung betrieben wird.
Die Aggregation ist der anspruchsvollste Teil. Einzelrisiken einfach zu addieren überzeichnet die Lage, sie isoliert zu betrachten unterzeichnet sie. Für die meisten Häuser reicht zunächst eine saubere Betrachtung der wesentlichen Risiken und ihrer Wechselwirkungen, bevor mit Verteilungsmodellen gearbeitet wird.
Berichtsweg und Rhythmus
Ein Risikobericht ohne festen Adressaten und festen Termin verläuft. Üblich ist ein regelmäßiger Turnus an Geschäftsführung und Aufsichtsgremium, ergänzt um eine Ad-hoc-Pflicht für Risiken, die zwischen zwei Berichten bestandsgefährdend werden.
Der Bericht sollte kurz sein und eine Rangfolge zeigen: Welche Risiken haben sich verändert, welche Maßnahmen laufen, welche Entscheidung wird erwartet. Lange Registerauszüge werden nicht gelesen und erzeugen den Eindruck, das System sei Selbstzweck.
Der Rhythmus prägt die Akzeptanz. Wenn die Bereiche merken, dass ihre Meldungen zu Entscheidungen führen, melden sie weiter. Wenn nichts passiert, wird die nächste Abfrage zur Pflichtübung mit Vorjahreswerten.
Wer die Funktion trägt
In mittelständischen Unternehmen liegt Risikomanagement häufig beim kaufmännischen Leiter oder im Controlling – naheliegend, weil dort Planung, Zahlen und Bereichszugang zusammenkommen. Mit wachsender Komplexität entsteht daraus eine eigene Stelle.
Das gesuchte Profil ist selten das des reinen Methodikers. Gefragt sind Menschen, die mit Produktion, Vertrieb und IT auf Augenhöhe sprechen, Sachverhalte strukturieren und Widerspruch aushalten können. Die Methodik ist erlernbar, der Zugang zu den Bereichen nicht.
Was die Funktion zusätzlich braucht, ist Nähe zur Geschäftsleitung. Ohne diesen direkten Draht bleibt Risikomanagement eine Dokumentationsaufgabe und wird nicht Teil der Entscheidungsvorbereitung.
Abgrenzung zu Revision und Compliance
Die drei Funktionen werden oft vermischt. Compliance sorgt für die Einhaltung von Regeln, Risikomanagement identifiziert und steuert Gefährdungen der Unternehmensziele, die Interne Revision prüft unabhängig, ob beides wirkt.
Diese Trennung ist keine Formalie: Wer prüft, darf nicht dasselbe verantworten, was er prüft. Werden die Rollen in Personalunion geführt, verliert die Prüfung ihre Aussagekraft – ein Punkt, der spätestens beim Abschlussprüfer oder in einer Aufsichtssituation auffällt.
In kleinen Organisationen lässt sich das nicht immer sauber personell trennen. Dann hilft eine klare Dokumentation der Rollen und, für die Prüfungssicht, punktuelle externe Unterstützung – besser als eine Vermischung, die niemand benennt.
Matching Finance – Personalberatung für das Finanzwesen
Fragen zu diesem Thema? Sprechen Sie uns an.
Das könnte Sie ebenfalls interessieren
Fachbeitrag
Geldwäscheprävention: Anforderungen an Funktion und Person
Eine Funktion mit persönlicher Verantwortung – und damit mit Anforderungen, die über Fachwissen hinausgehen.
6 Min. Lesezeit
Fachbeitrag
Interne Revision im Wandel: Von der Prüfung zur Beratung
Die Rolle der Internen Revision verschiebt sich, und mit ihr das gesuchte Profil. Was das für beide Seiten bedeutet.
5 Min. Lesezeit
Fachbeitrag
Gehaltstrends im Finanzbereich: Was sich 2026 bewegt – und wie Sie Entwicklungen richtig einordnen
Gehälter im Finanzbereich entwickeln sich weiter nach oben. Wie man Gehaltstabellen richtig liest, welche Faktoren die Position bestimmen und wo die größten Sprünge liegen.
6 Min. Lesezeit
Sprechen wir über Ihre Vakanz.
Beschreiben Sie uns kurz die Position – wir melden uns mit einer ersten Einschätzung zum Markt.