Rolle
Risikomanagement
Woher wissen Sie, dass Ihr Risikoregister das heutige Unternehmen beschreibt? Wenn Sie es zuletzt vor der letzten Vorstandssitzung aktualisiert haben, beschreibt es das Unternehmen von vor einem Jahr.
Erstgespräch
Vier Fragen, mit denen wir beginnen würden
Woher wissen Sie, dass das Risikoregister aktuell ist?
Wenn der einzige Moment der Aktualisierung ein Workshop einmal im Jahr ist, dann ist das Register zwischen den Workshops ein historisches Dokument.
Wann wird eine Maßnahme zur Minderung eines Risikos entschieden?
Bei einer Überprüfung oder erst, wenn sich das Risiko schon verwirklicht hat. Dieser Unterschied entscheidet, ob die Risikofunktion Sinn ergibt.
Was bleibt nach einem Risiko-Workshop, wenn seine Teilnehmer gegangen sind?
Wenn es eine Liste ohne Begründung und ohne zugewiesene Maßnahmen ist, beginnt der nächste Workshop bei null.
Welche Art von Ereignis wiederholt sich am häufigsten?
Bereits eingetretene Ereignisse sind die günstigste Wissensquelle über Risiko - vorausgesetzt, jemand führt sie zusammen.
Wir übernehmen die Pflege des Registers, Sie behalten die Risikobewertung
Signale zu sammeln, das Register zu pflegen, den Maßnahmen nachzugehen und die Berichte vorzubereiten lässt sich vom Schreibtisch nehmen. Eintrittswahrscheinlichkeit und Auswirkung zu beurteilen bleibt bei einem Menschen.
- Das Register aktualisiert sich aus Signalen, nicht nur aus Workshops. - Ereignisse, Beschwerden, Ausfälle und Prüfungsfeststellungen speisen das Risikobild zwischen den Überprüfungen.
- Ein Risiko hat eine zugewiesene Maßnahme und einen Verantwortlichen. - Ein Eintrag ohne Maßnahme ist als Eintrag ohne Maßnahme sichtbar, nicht als Zeile in einer Tabelle.
- Die Bewertung bleibt subjektiv, hört aber auf, unbegründet zu sein. - Wir halten fest, worauf die Bewertung beruht, damit sie bei der nächsten Überprüfung infrage gestellt oder bestätigt werden kann.
Umfang
Was sich aus dem Risikomanagement herausnehmen lässt
Achtzehn Aufgaben als Beispiel. Jede hat einen Punkt menschlicher Freigabe. Unten eine Auswahl; den Umfang passen wir an Ihr Risikomodell an.
Risiken erkennen
- Signale aus Ereignissen, Prüfungen und Beschwerden sammeln
- Ein vorgeschlagener neuer Eintrag im Register (Entscheidung: der Spezialist)
- Verknüpfung eines Risikos mit einem Prozess und einem Verantwortlichen
- Hinweis auf Bereiche ohne erkannte Risiken
Bewertung und Prioritäten
- Ein Register der Bewertungen mit Begründung und Datum
- Abgleich einer Bewertung mit der Ereignishistorie in diesem Bereich
- Ein Signal über ein lange bewertetes und nie überprüftes Risiko
- Die Risiken nach Priorität aufgefächert (Entscheidung: der Spezialist)
Mindernde Maßnahmen
- Zuweisung einer Maßnahme zu einem Risiko mit Termin und Verantwortlichem
- Hinweis auf Risiken ohne zugewiesene Maßnahme
- Eine Erinnerung an eine Maßnahme, deren Termin näher rückt
- Beurteilung, ob eine Maßnahme das Risikoniveau verändert hat (Einschätzung: der Spezialist)
Signale beobachten
- Frühwarnindikatoren je Risiko
- Ein Signal beim Überschreiten eines Schwellenwerts
- Ereignisse, die auf eine Verwirklichung hindeuten können, aufgefächert
Der Bericht für den Vorstand
- Ein Berichtsentwurf aus dem Register und den Maßnahmen (Freigabe: der Spezialist)
- Die Veränderungen im Register seit der vorigen Überprüfung
- Die Risiken, die eine Entscheidung des Vorstands brauchen, aufgefächert
Ein Arbeitstag
Heute
- Sie aktualisieren das Register vor einer Überprüfung und sammeln die Daten per E-Mail
- Die Bewertungen beruhen auf einem Workshop von vor einem Jahr, ohne festgehaltene Begründung
- Sie gehen den den Risiken zugewiesenen Maßnahmen mit Erinnerungen nach
- Sie wissen nicht, welche Risiken überhaupt keine Maßnahme haben
- Ereignisse im Unternehmen erreichen das Register nicht
- Den Bericht für den Vorstand stellen Sie über mehrere Tage von Hand zusammen
Mit AI-Unterstützung
- Das Register wird von Signalen aus Ereignissen und Feststellungen gespeist
- Eine Bewertung hat ihre Begründung und ihr Datum festgehalten und lässt sich überprüfen
- Die Maßnahmen haben einen Verantwortlichen, einen Termin und eine Erinnerung
- Risiken ohne Maßnahme werden aufgezeigt
- Ereignisse im Unternehmen werden nach Art zusammengefasst
- Der Bericht kommt aus dem Register, Sie liefern die Schlüsse
- Ein aktuelles Register
das Register beschreibt das heutige Unternehmen
Signale speisen es zwischen den Überprüfungen
- Mit Maßnahmen verknüpfte Risiken
weniger Einträge ganz ohne Antwort
eine fehlende Maßnahme ist als fehlend sichtbar
- Signale vor der Verwirklichung
ein sich verwirklichendes Risiko kann früher sichtbar sein
Schwellenindikatoren werden beobachtet
- Eine Grundlage für Vorstandsentscheidungen
die Überprüfung dreht sich um die Veränderungen statt um die Rekonstruktion der Liste
der Bericht entsteht laufend aus dem Register
Wir beginnen mit der Verknüpfung von Risiken und Maßnahmen, weil sie am schnellsten zeigt, wo das Register tot ist.
- Schritt 1
Ein Register mit Verantwortlichen und Maßnahmen
Jedes Risiko mit einem Prozess, einem Verantwortlichen und einer Maßnahme - oder mit ausdrücklich benanntem Fehlen einer Maßnahme.
- Schritt 2
Signale aus Ereignissen
Ereignisse, Beschwerden, Ausfälle und Prüfungsfeststellungen, die das Register speisen.
- Schritt 3
Frühwarnindikatoren
Schwellen und Signale für die Risiken, die sich messen lassen.
- Schritt 4
Der Bericht für den Vorstand
Die Veränderungen seit der letzten Überprüfung und die Risiken, die eine Entscheidung brauchen. Zuletzt, weil es ein lebendiges Register voraussetzt.
Häufige Fragen
Fragen, die beim ersten Treffen aufkommen
Worin unterscheidet sich das von interner Revision und Compliance?
Die Revision prüft, ob getan wird, was vereinbart wurde. Compliance wacht über die Übereinstimmung mit Pflichten. Risiko befasst sich mit dem, was passieren kann, obwohl es noch nicht passiert ist - und deshalb ist es das einzige der drei Gebiete, das ohne harte Nachweise arbeitet.
Überlebt diese Rolle, wenn sich das Register selbst aktualisiert?
Das Register aktualisiert sich aus Signalen, aber Eintrittswahrscheinlichkeit und Auswirkung zu beurteilen ist eine Einschätzung - und diese Einschätzung ist diese Rolle. Wir übernehmen das Sammeln, das Nachgehen bei Maßnahmen und das Zusammenstellen des Berichts für eine Überprüfung. Ein Spezialist, der nicht zwei Wochen mit der Vorbereitung von Material verbringt, arbeitet an den Risiken, die noch niemand benannt hat.
Fällt das unter die KI-Verordnung?
Risikomanagement ist keine Hochrisiko-Anwendung. Der einzige Punkt, der Aufmerksamkeit braucht: Signale über Ereignisse dürfen sich nicht zu einer Bewertung der für Bereiche verantwortlichen Menschen summieren - wir führen das Register nach Prozess, nicht nach Person.
Ihre Frage steht nicht dabei? Gespräch vereinbaren
Nächster Schritt
Wie viele Einträge in Ihrem Risikoregister haben keine zugewiesene Maßnahme?
Wir zeigen Ihnen, wie Risikomanagement aussieht, wenn das Register von Ereignissen gespeist wird und eine Bewertung ihre Begründung festgehalten hat.