10 Wege, Risiken zu erkennen und zu messen

Allein durch ihre Geschäftstätigkeit sind Unternehmen täglich Tausenden von Risiken ausgesetzt, was robuste Risikomessmethoden erforderlich macht. Von Lieferkettenrisiken, Lieferantenrisiken, Reputationsrisiken und Technologieausfällen bis hin zu Unfällen und Vorfällen, Nichteinhaltung von Vorschriften, strategischen Risiken und externen Bedrohungen durch Wettbewerber, Hacker und geopolitische Umstände haben Unternehmen viel zu bewältigen.

Risiken kategorisieren und bewerten für ein besseres Management

Um Risiken ins rechte Licht zu rücken, müssen Unternehmen die Risiken, denen sie in jeder Abteilung begegnen, kategorisieren und einen gemeinsamen Rahmen zur Bewertung und Überwachung dieser Risiken schaffen. Im Großen und Ganzen lassen sich Risiken in fünf gängige Kategorien unterteilen: strategische, Compliance-, operative, finanzielle und Reputationsrisiken. Die Aufteilung von Risiken in Kernkategorien hilft Unternehmen, unangenehme Überraschungen zu vermeiden, indem ein systematischer, strukturierter und konsistenter Ansatz zur Risikoidentifizierung etabliert wird.

Risiken priorisieren für fundierte Entscheidungen

Sobald Risiken identifiziert und kategorisiert wurden, müssen Unternehmen eine prioritätsbasierte Risikoerkennung und datengesteuerte Messung dieser Risiken etablieren, um deren Wahrscheinlichkeit und Auswirkungen zu verstehen. Diese Risikoanalyse bietet Unternehmen dann die Grundlage, einen Rahmen für risikobasierte Entscheidungen zu schaffen, indem Faktoren identifiziert und bewertet werden, die sich negativ auf das Unternehmen auswirken oder Chancen bieten könnten.

Um die Risiken, denen sie gegenüberstehen, zu verstehen und bereit zu sein, zu reagieren, müssen Unternehmen ihre Risikolandschaft durch effektive Risikomessmethoden erfassen und jedes Risiko genau überwachen, damit sie schnell reagieren können, um Probleme zu mindern und Chancen zu nutzen.

Diese Fähigkeit, risikobasierte Entscheidungen zu treffen, macht die Analyse zu einem entscheidenden Schritt im Risikomanagementzyklus. Doch wie geht ein Unternehmen bei der Erkennung und Messung von Risiken vor? Lassen Sie uns zehn Schlüsselprozesse und -methoden untersuchen, die üblicherweise zur Durchführung von Risikoanalysen verwendet werden.

Risikoregister

Ein Risikoregister ist im Wesentlichen eine Bibliothek möglicher Risiken sowie deren potenzieller Wahrscheinlichkeit und Auswirkungen, die es den Stakeholdern ermöglicht, jedes identifizierte Risiko und die damit verbundenen relevanten Informationen zu verfolgen. Dieser Prozess zielt darauf ab, Risiken kollektiv zu identifizieren, zu analysieren und zu mindern, bevor sie beabsichtigte Ergebnisse gefährden, indem ein zentraler Überwachungspunkt genutzt wird. Durch die Automatisierung dieses Prozesses wird für jedes Risiko automatisch ein Auswirkungs- und Wahrscheinlichkeitswert berechnet und es wird mit den zugehörigen Assets und mindernden Kontrollen verknüpft. Dies ermöglicht es den Stakeholdern, Risiken auf granularer Ebene zu analysieren und zusammenzufassen, wodurch das Unternehmen die gesamten geschäftlichen Auswirkungen untersuchen kann.

Nach sorgfältiger Berücksichtigung während der Planungsphase wird das Risikoregister typischerweise im täglichen Geschäftsbetrieb als Teil des umfassenderen Risikomanagementplans verwendet. Obwohl Risikoregister oft in verschiedene Kategorien unterteilt sind, teilen die meisten Vorlagen gemeinsame Elemente, die es ermöglichen, Risiken zu bewerten und zu vergleichen:

• Risiko beschreibung: Eine kurze Erläuterung des Risikos.
• Risiko-Strukturplan: Ein Diagramm, das es den Stakeholdern ermöglicht, alle mit einer Geschäftsfunktion oder einem Projekt verbundenen Risiken zu identifizieren und zu kategorisieren.
• Risikokategorien: Risiken werden formal kategorisiert, um den Prozess der Risikoidentifizierung und -priorisierung zu verbessern.
• Risikoanalyse: Dies bestimmt die Wahrscheinlichkeit und die Auswirkungen eines Risikos unter Verwendung quantitativer und qualitativer Analysen.
• Risikowahrscheinlichkeit: Dies liefert eine Schätzung der Wahrscheinlichkeit des Eintretens jedes Risikos und weist einen qualitativen oder quantitativen Wert zu.
• Risikopriorität: Diese wird durch die Zuweisung eines Scores zu jedem Risiko bestimmt, der durch Multiplikation der Risikoeinwirkungs- und Wahrscheinlichkeitswerte erhalten wird. Bei der Verwendung qualitativer Messungen müssen Risiken mit den höchsten Auswirkungen und der höchsten Wahrscheinlichkeit priorisiert werden.
• Risikoreaktion: Jede Risikominderungsmaßnahme wird in einem Reaktionsplan dokumentiert.
• Risikoverantwortung: Jedes Risiko muss einem Stakeholder zugewiesen werden, der als Risikoverantwortlicher für die Umsetzung einer angemessenen Reaktion zuständig ist.

Beinaheunfall- und Vorfallsberichterstattung

Der reaktive Charakter vieler Risikomanagementprogramme führt dazu, dass Beinaheunfälle und scheinbar geringfügige Vorfälle übersehen werden, was Unternehmen eine undurchsichtige Sicht auf die Sicherheitsleistung und das Arbeitsplatzrisiko verschafft. Werden diese Ereignisse jedoch effektiv gemeldet, bieten sie Gelegenheiten, die Grundlagen der Prävention zu schaffen, wie z. B. relevante Schulungsprogramme, die das Verhalten positiv beeinflussen, und betriebliche Änderungen, die Beinaheunfälle adressieren.

Eine umfassende Beinaheunfall- und Vorfallsberichterstattung unterstützt die vier Kernelemente eines effektiven Vorfallsmanagements: Identifizierung, Reaktion, Behebung und Analyse. Durch die Integration dieses Prozesses in GRC-Software für maximale Agilität sind Unternehmen in der Lage, aus früheren Fehlern oder Beinaheunfällen zu lernen und deren Wiederauftreten zu verhindern. Dies bietet die Struktur, die für die Durchführung gründlicher Untersuchungen, Ursachenanalysen und die Identifizierung von wahrscheinlichen Risikobereichen erforderlich ist.

Überwachung von Schlüsselrisikoindikatoren

Beinaheunfall- und Vorfallsberichterstattung sollte auch dazu genutzt werden, ein weiteres Werkzeug im Risikoanalyseprozess zu informieren: Schlüsselrisikoindikatoren (KRIs). KRIs können definiert werden als: „ kritische Prädiktoren ungünstiger Ereignisse, die sich nachteilig auf Organisationen auswirken können. Sie überwachen Veränderungen im Grad der Risikoexposition und tragen zu den Frühwarnzeichen bei, die es Organisationen ermöglichen, Risiken zu melden, Krisen zu verhindern und diese rechtzeitig zu mindern. “

KRIs konzentrieren sich auf die kritischsten Indikatoren für das Management der höchsten Risikostufen, die je nach den Zielen und Prioritäten eines Unternehmens variieren. Sie werden verwendet, um Risiken zu messen, denen das Unternehmen ausgesetzt ist, und um es zu alarmieren, wenn die Risikoexposition tolerierbare Werte überschreitet. Dies untermauert den Prozess der Überwachung und Vorhersage potenzieller Hochrisikobereiche und der Ergreifung schneller Maßnahmen zur Verhinderung oder Minderung ihrer Auswirkungen.

KRIs müssen auf realen Transaktions- und Betriebsdaten basieren, die eine einzige Quelle der Wahrheit darstellen, und müssen mit den strategischen Prioritäten des Unternehmens verknüpft sein. Dies befähigt das Unternehmen, die wichtigsten Risiken im Zusammenhang mit jedem Ziel zu identifizieren und KRIs zu etablieren, die diese verfolgen und Stakeholder alarmieren, wenn das Unternehmen Gefahr läuft, seine Ziele oder Vorgaben nicht zu erreichen.

Risikobewertungen

Regelmäßige Risikobewertungen in verschiedenen Geschäftsbereichen sind eine hervorragende Möglichkeit, potenzielle Risiken zu identifizieren. Qualitative und quantitative Risikobewertungen bieten unterschiedliche Perspektiven. Durch deren Kombination können Unternehmen Ergebnisse vergleichen und tiefere Einblicke gewinnen, wobei die Einschränkungen eines Datentyps durch die Stärken des anderen ausgeglichen werden.

Qualitative Risikobewertungen nutzen Wissen, Erfahrung und Bauchgefühl, um die Risikowahrscheinlichkeit und deren Auswirkungen auf das Unternehmen zu bestimmen. Risiken werden typischerweise durch Meetings, Diskussionsforen und Marktkenntnisse identifiziert und auf einer etablierten Skala gemessen, die die Wahrscheinlichkeit schätzt, und sie werden normalerweise basierend auf ihrer Quelle oder Auswirkung kategorisiert.

Quantitative Risikobewertungen stützen sich auf objektive, messbare Daten, um Einblicke in den Risikomanagementprozess eines Unternehmens zu geben. Dies beinhaltet die Verknüpfung Ihres Risikomanagementprozesses mit Transaktions- und Betriebsdaten und den Einsatz von Fragebögen, Umfragen und Risikobewertungen, um Daten zu sammeln, die in Echtzeit verfolgt und überwacht werden können.

Qualitative Bewertungen sind typischerweise weniger genau, da sie keine objektiven, numerischen Daten liefern, um Einblicke in den Risikomanagementprozess eines Unternehmens zu geben. Stattdessen stützen sie sich auf die Meinungen und Urteile derjenigen, die Kenntnisse über das Unternehmen und die Branche haben.

Durch die Verwendung realer Geschäftsdaten zur Bestimmung der Wahrscheinlichkeit und numerischer Werte zur Bestimmung der Auswirkungen spiegeln quantitative Risikobewertungen die Bedrohungslandschaft genau wider. Diese objektive Sichtweise ermöglicht es Unternehmen, zukünftige Ergebnisse vorherzusagen oder die Wahrscheinlichkeit der Zielerreichung abzuschätzen.

Organisationen, die GRC-Software zur Risikosteuerung nutzen, haben Zugriff auf eine Vielzahl von Best-Practice-Risikobewertungsvorlagen und -formularen, die mithilfe automatisierter Workflows und Warnmeldungen im gesamten Unternehmen eingeführt werden können. Dies ermöglicht eine schnelle Erfassung von Risikodaten, die zur Bestimmung der Risikowahrscheinlichkeit verwendet werden können.

Risiko- und Strategieintegration

Oft besteht eine Diskrepanz zwischen Risikomanagement und strategischer Planung in Unternehmen. Folglich fehlt Risikomanagementprogrammen typischerweise die strategische Grundlage, von der aus sie durch die Information von Entscheidungsprozessen und die Sicherstellung der Zuweisung von Ressourcen zu strategischen Risiken einen organisatorischen Wert aufbauen können.

Um diese Lücke zu schließen, verankern proaktive Unternehmen das Risikomanagement in bestehende strategische Planungsprozesse. Durch die Ausrichtung des Risikomanagements an den strategischen Zielen und Vorgaben der Organisation können Unternehmen inhärente Risiken, die sie an der Umsetzung ihrer Strategie hindern würden, besser verstehen, und sie können auch kalkulierte Risiken bei Schlüsselinitiativen eingehen, die das Geschäft voraussichtlich wachsen lassen oder die Unternehmensstrategie unterstützen.

Der Aufbau einer effektiven risikobasierten strategischen Planungsfunktion ist kein einfacher Prozess. Eine ganzheitliche GRC-Softwarelösung wird am besten eingesetzt, um diese Ausrichtung zu automatisieren, indem strategische Ziele und Vorgaben in eine Reihe von Programmen, Projekten, Aufgaben, Aktionen und Risiken unterteilt und diese mit klarer Verantwortlichkeit im gesamten Unternehmen zugewiesen werden. Diese Fähigkeit, disparate Prozesse, Systeme und Datenquellen in einem einzigen Überwachungspunkt zu konsolidieren, stellt sicher, dass das Unternehmen agil und widerstandsfähig bleibt, indem es aus strategischer Risikoperspektive vorwegnimmt, was passieren könnte, im Guten wie im Schlechten.

Automatisierte Kontrollüberwachung

Risikomanagementprogramme können sich nicht einfach darauf verlassen, dass Risikomanagementteams Risikodaten manuell interpretieren und KRIs überwachen. Sie sollten automatisierte Kontrollüberwachung nutzen, um Schlüsselrisikoindikatoren (KRIs) in großen Datensätzen zu erkennen.

Von einer irregulären Transaktion bis zum Risiko der Nichteinhaltung von Vorschriften oder einem Auditversagen kann die automatisierte Kontrollüberwachung Risiken basierend auf vordefinierten Regeln erkennen und Warnmeldungen senden. Kontrollen können so eingestellt werden, dass sie Problembereiche kennzeichnen, einschließlich verpasster Fristen, Datenanomalien, Budgetüberschreitungen, zu vieler Vorfälle oder wenn KRIs untragbare Niveaus erreichen. Automatische Benachrichtigungen können an den relevanten Stakeholder gesendet werden, damit schnell Maßnahmen und Interventionen ergriffen werden können.

Um sicherzustellen, dass Compliance- und interne Audit-Teams die erforderliche Agilität besitzen, wird die automatisierte Kontrollüberwachung eingesetzt. Diese zusätzliche Überwachungsebene gewährleistet eine robuste interne Überwachung von risikoreichen Betriebsprozessen. Die Automatisierung begegnet Risiken proaktiv, indem sie die Abhängigkeit von isolierten manuellen Daten durch einen ganzheitlichen Ansatz ersetzt, der die Erkennung von Risiken in großen Datensätzen und eine effektive Ressourcenallokation erleichtert. Unternehmen, die einen Ad-hoc-Ansatz zur Überwachung verfolgen, schaffen derweil Lücken in ihrer Kontrollumgebung, die zu kostspieligen Problemen führen können.

Standardabweichung

Die Standardabweichung ist ein statistisches Werkzeug, das verwendet wird, um Risiken über einen bestimmten Zeitraum zu messen und zu managen und die Entscheidungsfindung als Teil einer Risikomanagementstrategie zu informieren. Im Geschäftsumfeld angewendet, kann die Standardabweichung verwendet werden, um Risiken über einen bestimmten Zeitraum zu überwachen. Zum Beispiel könnten Sie Ihre Risikotoleranz für 1 oder 2 Tage pro Monat überschreiten, aber alles darüber hinaus könnte für das Unternehmen als inakzeptabel angesehen werden.

Sie können die Standardabweichung verwenden, wenn Sie die automatisierte Kontrollüberwachung einrichten, um die genauen Regeln festzulegen, wann ein Risiko als das Erreichen Ihrer Risikotoleranz gekennzeichnet wird.

Die Standardabweichung misst das Ausmaß, in dem einzelne Datenpunkte vom Mittelwert oder Durchschnitt eines Datensatzes abweichen. Bei der Verwendung zur Entscheidungsfindung sprechen Risikomanager oft davon, dass die Berechnung eine bestimmte Anzahl von Standardabweichungen vom Mittelwert entfernt ist. Statistiker erwarten, 68 % der Messungen innerhalb einer Standardabweichung vom Mittelwert zu finden, was ein tolerierbares Risikoniveau darstellen würde. Innerhalb von zwei Standardabweichungen vom Mittelwert werden üblicherweise 95 % der Risikomessungen gefunden.

Über diesen Punkt hinaus können Variationen Risikomanagementstrategien potenziell beeinflussen. Innerhalb von drei Standardabweichungen vom Mittelwert werden üblicherweise 99,7 % der Messungen gefunden. Daher sind nur 0,3 % der Messungen, die außerhalb von drei Standardabweichungen liegen, auf normale Schwankungen in den Daten zurückzuführen, was auf eine signifikante Änderung hinweist. Diese Art von Berechnungen kann entscheidend sein, wenn Risiken über die Zeit verglichen und gemessen werden.

Bowtie Analyse

Die Bowtie-Analyse kann zur Unterstützung der Risikobehandlungsplanung eingesetzt werden, indem sie Organisationen hilft zu identifizieren, wo neue oder verbesserte Kontrollen erforderlich sein könnten, wenn das Risikoniveau hoch ist oder die Kontrolleffektivität als gering eingeschätzt wird.

Sie zeigt Pfade von den Ursachen eines Ereignisses oder Risikos zu seinen Konsequenzen in einem klaren qualitativen Diagramm, das als Bowtie dargestellt wird und eine Unterscheidung zwischen proaktivem und reaktivem Risikomanagement schafft. Der zentrale Knoten ist der Punkt, an dem die Pfade des Fehlerbaums konvergieren, und der Ereignisbaum breitet sich aus, wodurch sich die resultierende Analyse auf zwei Dinge konzentrieren kann: die Barrieren oder Kontrollen, die durch den Fehlerbaum links vom Knoten dargestellt werden und die Wahrscheinlichkeit des Ereignisses oder Risikos beeinflussen können, und diejenigen, die durch den Ereignisbaum rechts dargestellt werden und deren Konsequenzen ändern können.

Die Bowtie-Analyse wird typischerweise verwendet, um Kontrolllücken zu identifizieren, indem überprüft wird, ob jeder Pfad effektive Kontrollen aufweist; von Ursache zu Ereignis und von Ereignis zu Konsequenz. Faktoren, die zu ihrem Versagen führen könnten, werden mit dieser Methodik leicht identifiziert.

Definition der Risikobereitschaft

Unternehmen, die ihre Risikobereitschaft nicht definieren, setzen sich der Gefahr aus, zu viel Risiko aufzunehmen und Dinge zu tun, die ihr Überleben gefährden. Eine Risikobereitschaftserklärung ist definiert als: „die schriftliche Formulierung des aggregierten Niveaus und der Arten von Risiken, die ein Unternehmen bereit ist zu akzeptieren oder zu vermeiden, um seine Ziele zu erreichen.“

Die Erklärung, die in Zusammenarbeit mit dem gesamten Unternehmen erstellt werden sollte, dient als wichtiges Kommunikationsinstrument, um den Ton auf Vorstandsebene vorzugeben und das Verhalten einzelner Mitarbeiter zu leiten. Daher muss sie in einer transparenten Sprache der Risikobereitschaft formuliert werden, die die gesamte Organisation einbezieht, und von einem Risikobereitschaftsrahmen begleitet werden, der bewusstes Eingehen von Risiken identifiziert und quantifiziert und Risiken mit den Zielen und der Strategie der Organisation in Einklang bringt.

Die Risikobereitschaftserklärung und der Rahmen bleiben ohne klare Kommunikationskanäle steuerlos, wodurch es nahezu unmöglich wird, innerhalb ihrer Grenzen zu agieren. Die Annahme eines robusten Ansatzes zur Risikokommunikation unterstützt den Informationsfluss relevanter Informationen von oben nach unten und die Schaffung einer proaktiven Risikokultur von unten nach oben, die die richtigen Personen befähigt, die richtigen Entscheidungen zur richtigen Zeit zu treffen.

Festlegung von Schlüsselkennzahlen

Proaktive Unternehmen drücken nicht die Daumen und hoffen, dass sie ihre Risikoexposition unter dem gewünschten Niveau halten; sie nutzen Metriken, um die Leistung aus Risikoperspektive zu messen, wie der renommierte Unternehmensberater Peter Drucker bekanntlich sagte: „Was gemessen wird, wird erledigt.“

Die am häufigsten verwendete Metrik zu diesem Zweck sind Key Performance Indicators (KPIs). Diese reaktiven Indikatoren helfen einem Unternehmen, zukünftige Ergebnisse zu messen. Ob sie erreicht oder verfehlt werden, KPIs bieten einen Fahrplan für den Fortschritt zu einem beabsichtigten Ergebnis, indem sie die historische Leistung messen. KPIs tragen dazu bei, die strategische und operative Verbesserung voranzutreiben, eine analytische Grundlage für die Entscheidungsfindung zu schaffen und die Aufmerksamkeit auf das Wesentliche zu lenken.

Die Risikobewertung anhand dieser quantifizierbaren Messungen beinhaltet das Festlegen von Zielen (dem gewünschten Leistungsniveau) und das Verfolgen des Fortschritts im Vergleich zu diesem Ziel. Beispiele für KPIs, die für das Risikomanagement verwendet werden können, sind:

• Identifizierte Risiken
• Tatsächlich auftretende Risiken
• Unidentifizierte und unvorhergesehene Risiken
• Häufigkeit von Risiken
• Schweregrad von Risiken
• Durch Risiken entstandene Kosten
• Geschwindigkeit und Effektivität von Lösungen.

Automatisierung der Risikoanalyse

Die Risikomessung und -erkennung wurde traditionell durch die Abhängigkeit von manuellen Prozessen wie E-Mails und Tabellenkalkulationen sowie isolierten Daten behindert. Diese veralteten Prozesse sind umständlich, zeitaufwändig und fehleranfällig, entziehen Unternehmen hochwertige risikobezogene Informationen und fördern eine reaktive Perspektive. Dieser Mangel an Effizienz und Konnektivität hindert Unternehmen daran, einen proaktiven, integrierten Ansatz zur Risikoanalyse zu etablieren, der die gesamte Organisation und ihre Strategie informiert.

Aus diesem Grund nutzen gut etablierte, risikobewusste Organisationen speziell entwickelte GRC-Lösungen, um ihr Risikomanagementprogramm zu erleichtern. Diese Lösungen sind vollgepackt mit Funktionen, darunter:

• Vorlagen für die Risikobewertung.
• Ein Framework zum Aufbau eines Best-Practice-Risikoregisters.
• API-Integrationen, die es Ihnen ermöglichen, Live-Transaktions- und Betriebsdaten als Teil Ihres Risikomanagementprogramms zu nutzen.
• Automatisierte Kontrollüberwachung mit Workflows und Benachrichtigungen zur Alarmierung des Personals.
• Möglichkeit zum Festlegen von Schlüsselrisikoindikatoren (KRIs) und Leistungsindikatoren (KPIs) mit automatisierten Warnmeldungen.
• Umfangreiche Dashboard- und Berichtsfunktionen, einschließlich Bow-Tie-Analyse, die zur Treffung risikobasierter Geschäftsentscheidungen genutzt werden können.
• Einige Lösungen bieten die Möglichkeit, das Risikomanagement mit der strategischen Planung in einer einzigen Lösung zu integrieren, wodurch Sie kalkulierte Risiken eingehen können, um Ihre Strategie zu erreichen, während das Unternehmen vor einem unerwünschten Risikoniveau geschützt wird.

GRC-Software ermöglicht eine vernetzte, kontinuierliche Risikoanalyse durch die Bereitstellung automatisierter Funktionen, die Mitarbeiter einbezieht und sie dazu ermutigt, Verantwortung für die Erkennung und Messung von Risiken im Zusammenhang mit ihrer Rolle zu übernehmen. Sie unterstützt eine Organisation beim Aufbau eines Best-Practice-Risikoframeworks, wodurch sie ihr Risikomanagementprogramm mit dem Wachstum des Unternehmens weiterentwickeln können. Sie fördert eine risikobewusste Kultur, die alle Abteilungen in den Risikomanagementprozess einbezieht und Risikomanagementexperten mit den Erkenntnissen und Daten ausstattet, die sie benötigen, um das Unternehmen zu schützen und strategische Chancen zu nutzen.

Um mehr über die Riskonnect Risikomanagementlösung zu erfahren und herauszufinden, wie sie Ihr Unternehmen dabei unterstützen kann, seinen Risikomanagementansatz zu reifen, fordern Sie jetzt eine Demo an!