Risikomanagementsystem und Grundelemente
Das Risikomanagementsystem (kurz „RMS“) ist nach Tz 31 und Tz 48 f. des IDWP PS 981 die Gesamtheit der Regelungen, die einen strukturierten Umgang mit Risiken (i.S.v. positiven und negativen Zielabweichungen) im Unternehmen sicherstellt. Ein wirksames Risikomanagementsystems nimmt auch im Hinblick auf das FISG an Bedeutung zu. Ein Risikomanagementsystem besteht aus nachfolgenden acht Grundelementen.
1.) Risikokultur (vgl. Tz 21)
Die Risikokultur als Teil der Unternehmenskultur umfasst die grundsätzliche Einstellung und die Verhaltensweisen beim Um-gang mit Risikosituationen. Sie beeinflusst maßgeblich das Risikobewusstsein im Unternehmen und bildet die Grundlage für ein wirksames RMS.
2.) Ziele des RMS (vgl. Tz A22)
Ableitung einer Risikostrategie und für ein systematisches Risikomanagement des Unternehmens. In der Risikostrategie wird festgelegt, in welchem Ausmaß unter Berücksichtigung der Risikotragfähigkeit des Unternehmens Risiken eingegangen werden sollen (Risikoappetit), ergänzt durch unternehmerische Vorgaben zum erwünschten Umgang mit Risiken in Form einer Risikopolitik
Die Ziele des RMS sind darauf ausgerichtet sicherzustellen, dass die Unternehmensziele entsprechend der Risikostrategie erreicht werden.
3.) Organisation des Risikomanagementsystems (vgl. Tz A23)
Von entscheidender Bedeutung für das RMS sind eine transparente und eindeutige Aufbauorganisation sowie eine klar definierte Ablauforganisation. Verantwortungsbereiche und Rollensind klar geregelt, abgegrenzt, kommuniziert und dokumentiert. Die Aufgabenträger erfüllen die erforderlichen persönlichen und fachlichen Voraussetzungen. Es stehen ausreichende Ressourcen für Risikomanagementmaßnahmen zur Verfügung (insb. Personen, Technologie, Hilfsmittel). Die wesentlichen Regelungen zur Aufbau- und Ablauforganisation des Risikomanagements sind dokumentiert und verbindlich vorgegeben.
4.) Risikoidentifikation (vgl. Tz A24)
Die Risikoidentifikation umfasst die regelmäßige, systematische Analyse von internen und externen Entwicklungen und Ereignissen, die zu negativen oder positiven Abweichungen von den festgelegten Zielen des RMS führen können.
5.) Risikobewertung (vgl. Tz A25)
Risiken werden hinsichtlich ihrer Ursache-Wirkungs-Zusammenhänge systematisch untersucht sowie typischerweise im Hinblick auf Eintrittswahrscheinlichkeit und mögliche Auswirkungen beurteilt. Bewertungsverfahren und -kriterien sind(auch für nicht quantifizierbare Risiken) eindeutig definiert.
Dies umfasst die Verwendung einer Bewertungssystematik, die es erlaubt, die Bedeutung und den Wirkungsgrad von Risikosteuerungsmaßnahmen einzuschätzen. Die einzelnen Risikobewertungen werden systematisch aggregiert. Risikointerdependenzen werden dabei analysiert und berücksichtigt.
6.) Risikosteuerung (vgl. Tz A26)
Auf der Grundlage der identifizierten und bewerteten Risiken trifft die Unternehmensleitung Entscheidungen über Maßnahmen zur Risikosteuerung (Risikovermeidung, Risikoreduktion, Risikoteilung bzw. -transfer sowie Risikoakzeptanz). Als Be-zugsrahmen dienen die festgelegten Ziele des RMS.
7.) Risikokommunikation (vgl. Tz A27)
Die Risikokommunikation gewährleistet einen angemessenen Informationsfluss im RMS. Dies umfasst einen standardisierten Prozess auf der Basis konkreter Zuständigkeiten, Periodizitäten, Schwellenwerte und Berichtsformate. Für eilbedürftige Risikomeldungen ist ein separater Berichtsprozess etabliert, der eine zeitnahe Übermittlung der relevanten Informationen sicherstellt. Für die Risikobeurteilung werden die entscheidungsrelevanten Informationen gesammelt, auf ihre Zuverlässigkeit überprüft und aktualisiert.
8.) Überwachung und Verbesserung des RMS (vgl. Tz A28)
Die Angemessenheit und Wirksamkeit des RMS werden durchprozessintegrierte und prozessunabhängige Kontrollen über-wacht. Voraussetzung für die Überwachung ist eine angemessene Dokumentation des RMS. Die Ergebnisse der Überwachungsmaßnahmen (insb. festgestellte Mängel im RMS)werden in geeigneter Form berichtet und ausgewertet, damit die erforderlichen Maßnahmen zur Verbesserung des Systems und zur Beseitigung von Mängeln ergriffen werden können
Quelle: IDW PS 981: Grundsätze ordnungsmäßiger Prüfung von Risikomanagementsystemen