Die Diskussion um ERM vs. IRM wird oft als Wahl dargestellt: Was ist besser? Was sollten Organisationen übernehmen? Diese Darstellung geht von einer klaren Unterscheidung aus, aber es ist nicht so einfach.

Das Konzept von IRM (Integrated Risk Management) hat eine Debatte ausgelöst, die einen Wandel in der Denkweise von Organisationen über Risiken widerspiegelt. Es reicht nicht mehr aus, Risiken nach Typ oder Abteilung zu kategorisieren. Unternehmensführer und Regulierungsbehörden fordern nun eine integriertere, Echtzeit-Sicht auf Risiken, die Aufschluss darüber gibt, wie ein Unternehmen geführt wird. In diesem Kontext geht es bei dem Vergleich von ERM vs. IRM weniger um konkurrierende Frameworks und mehr um sich entwickelnde Perspektiven.

Der Reifegrad von ERM

Vor IRM stellte das Aufkommen von ERM (Enterprise Risk Management) einen früheren Wandel im Risikodenken dar. Anstatt Bedrohungen in Silos zu managen, führte ERM die Idee eines zentralisierten, strategischen Ansatzes ein.

Mit Frameworks wie COSO und ISO 31000 gab ERM Organisationen die Struktur, um ein breites Spektrum von Risiken unter einer soliden Methodik zu managen. Heute ist ERM branchenübergreifend verankert. Der AFERM Federal ERM Survey berichtete 2022, dass 85 % der US-Bundesbehörden ein formelles ERM-Programm hatten, und COSO wurde von 37 % der Organisationen als ihr vorherrschendes Framework genannt. In regulierten Branchen ist ERM oft eine Compliance-Notwendigkeit.

Was ist IRM? Warum es schwer zu definieren ist

IRM ist dagegen immer noch ein bewegliches Ziel. Es gibt kein einzelnes Framework und keinen vereinbarten Umfang. Die Definitionen variieren stark; einige sehen IRM als eine neue Methodik, andere immer noch als eine natürliche Weiterentwicklung des traditionellen ERM.

Dieser Mangel an Präzision kann verwirrend sein, spiegelt aber auch ein Muster wider: Risikoverantwortliche tun sich schwer, Risiken zu definieren, da diese immer vernetzter und weniger an traditionelle Definitionen und Grenzen gebunden werden. In diesem Sinne ist IRM ein Versuch, mit sich ändernden Ideen Schritt zu halten.

Konkurrierende Visionen von IRM

Grundlegendes IRM

Einige, wie John Wheeler von Wheelhouse Advisors, sehen IRM als Antwort auf die Fragmentierung im Risikobereich. Risikomanagement-Tools, -Prozesse und -Datenquellen haben sich im Laufe der Zeit verbreitet, arbeiten aber oft unabhängig voneinander. IRM geht in dieser Sichtweise darum, diese zu konsolidieren. Es geht darum, Daten zu zentralisieren und eine einzige, funktionsübergreifende Sicht auf Risiken aufzubauen. Im Gegensatz zu ERM, das oft auf die Berichterstattung fokussiert bleibt, bettet diese Vision Risiken in jeden Prozess ein.

Anstatt eines Rebrandings von ERM kann es als eine tiefere Integration von Fähigkeiten gesehen werden. Es ist eine Verschiebung hin zu Risiken als etwas, das in Geschäftssysteme eingebettet ist, nicht als etwas, das darübergelegt wird.

IRM als reifes GRC

Kritiker, wie Michael Rasmussen, argumentieren, dass das Konzept von IRM eine Unterscheidung ohne Unterschied ist. Aus dieser Perspektive ist es einfach eine moderne Interpretation von GRC (Governance, Risk und Compliance); die Art, die Technologie effektiver nutzt und enger an der Strategie ausgerichtet ist. In dieser Sichtweise mag der Begriff IRM neu klingen, aber die Kernideen sind die gleichen.

Kritiker von IRM sehen die Bezeichnung als unnötig an. Sie argumentieren, dass ausgereifte ERM- und GRC-Programme bereits das tun, was IRM verspricht. Was fehlt, so sagen sie, ist kein neues Konzept, sondern eine bessere Umsetzung der bestehenden.

IRM in der breiteren Entwicklung des Risikomanagements


Im historischen Kontext betrachtet, ist IRM Teil einer längeren Entwicklung. Das Risikomanagement hat sich im Laufe der Zeit stetig erweitert, von der Versicherung über die Compliance bis hin zur unternehmensweiten Strategie. Die Verschiebung hin zum IRM-Denken ist eine Fortsetzung dieser Entwicklung, getrieben durch die wachsende Komplexität des Risikomanagements.

Was jetzt anders ist, ist die Betonung der Interkonnektivität. Organisationen erkennen, dass Risiken nicht isoliert entstehen und nicht in ihren Bahnen bleiben. Eine Datenpanne ist nicht nur ein Cybersicherheitsproblem – sie sollte auch als Reputations-, Regulierungs- und operatives Problem betrachtet werden. IRM spiegelt die Notwendigkeit wider, dieser Komplexität Rechnung zu tragen. Die Reichweite von ERM zu erweitern bedeutet, Geschäftsführern den Zugriff auf Risikoeinblicke in Echtzeit zu ermöglichen, anstatt sie auf Berichte auf Vorstandsebene angewiesen zu lassen.

Warum „ERM vs. IRM“ den Kern verfehlt

Die Spannung zwischen ERM und IRM wird oft überbewertet. IRM entwertet ERM nicht; wenn überhaupt, hängt es davon ab. Auch, je nachdem wie es definiert wird, erweitert IRM entweder das ERM-Framework oder gibt ihm eine operativere Grundlage.

Die Wahl des „richtigen“ Modells ist nicht das eigentliche Problem, das eigentliche Problem ist die Fragmentierung. Organisationen, die Risiken in getrennten Systemen managen, können sich schwer tun, schnell auf Probleme zu reagieren. Die Bezeichnungen spielen keine Rolle, wenn die Organisation nicht auf die vorhandenen Daten reagieren kann.

Die effektivsten Programme vereinheitlichen Strategie und Ausführung. Sie behandeln Risiken nicht als Checkliste, sondern als Geschäftsfunktion; sie ziehen keine künstlichen Grenzen zwischen Frameworks – sie bauen darauf auf.

Technologie vereinheitlicht ERM und IRM


Technologie ermöglicht diese Konvergenz zwischen ERM und IRM. Risikomanagement-Software bietet die Infrastruktur, um unterschiedliche Daten zu verbinden und Arbeitsabläufe zu integrieren.

Die richtige Plattform unterstützt sowohl ERM- als auch IRM-Prinzipien:

  • Risiko- und Kontrollbibliotheken zentralisieren
  • Echtzeit-Analysen und -Berichterstattung ermöglichen
  • Grundursachen abbilden
  • Risikobereitschaft definieren
  • Szenarien planen
  • Strategie und Risikoposition abstimmen

Technologie bricht Silos auf, operationalisiert Strategie und gibt Führungskräften die nötige Transparenz zum Handeln.

Der Aufstieg von IRM spiegelt ein sich entwickelndes Feld wider. Da Organisationen mit komplexeren, systemischen und schnelllebigen Risiken konfrontiert sind, müssen ihre Frameworks mithalten. Das bedeutet nicht, ERM aufzugeben; es bedeutet, darauf aufzubauen. Die wahre Frage ist nicht, welches Akronym Sie verwenden, sondern ob Sie Risiken zu einem Treiber der Strategie machen.

Für weitere Informationen zum Enterprise Risk Management und Integrated Risk Management laden Sie unsere E-Books, Einen Kurs für das Enterprise Risk Management festlegen und Die neue Welt des Risikos mit integriertem Risikomanagement erobern, herunter und sehen Sie sich die ERM-Software von Riskonnect an.