ORM vs. ERM | Was sind die grundlegenden Unterschiede?

Was ist der Unterschied zwischen operativem Risikomanagement und Enterprise Risk Management?

In Wirklichkeit ist das operative Risikomanagement (ORM) nur ein kleiner Teil eines wirklich ganzheitlichen Enterprise Risk Management (ERM)-Frameworks. In diesem Blog untersuchen wir die grundlegenden Unterschiede zwischen operativem Risikomanagement und Enterprise Risk Management. Wir beleuchten den deutlichen Kontrast zwischen den Fokusbereichen der einzelnen Programme, erläutern, wie sich die primären Ziele und Stakeholder unterscheiden, und untersuchen die zusätzlichen Vorteile, die ein ERM-Programm durch die Ausrichtung der Risikomanagementaktivitäten an strategischen Zielen und der Unternehmensleistung mit sich bringen kann.

Ein Unterschied in den Hauptfokusbereichen

ORM konzentriert sich speziell auf die Steuerung von Risiken, die mit dem Tagesgeschäft innerhalb des Unternehmens verbunden sind. Dazu gehören die operationellen Risiken, die mit Prozessen, Systemen, Personal und externen Faktoren verbunden sind, die das Betriebsmodell des Unternehmens beeinflussen können.

ERM hingegen hat einen wesentlich breiteren Anwendungsbereich, mit dem Fokus auf die Identifizierung und Steuerung von Risiken im gesamten Unternehmen, einschließlich strategischer, finanzieller, operativer, IT- und Cyber-, Drittanbieter- und Compliance-bezogener Risiken. ERM legt einen starken Fokus auf die Risikosteuerung im Einklang mit strategischen Zielen und der Unternehmensleistung, wodurch Unternehmen bestimmte Risiken eingehen können, um ihre langfristigen Ziele zu erreichen, und Risiken vermeiden können, die sich nachteilig auf die operative Leistung auswirken könnten.

Unterschiedliche Ziele

Das Ziel von ORM ist es, Risiken zu identifizieren, zu bewerten und zu mindern, die den täglichen Betrieb des Unternehmens stören oder negativ beeinflussen könnten. Es konzentriert sich auf die Minimierung der Wahrscheinlichkeit und der Auswirkungen von Betriebsfehlern, wie z. B. Prozessausfällen, Technologieversagen, menschlichem Versagen oder externen Ereignissen.

Das Hauptziel von ERM ist es, sicherzustellen, dass das Unternehmen seine strategischen Ziele erreicht, während Risiken effektiv gemanagt werden. ERM zielt darauf ab, einen umfassenden Rahmen für die Identifizierung, Bewertung, Priorisierung und Steuerung verschiedener Arten von Risiken im gesamten Unternehmen bereitzustellen. Mit diesem breiteren Spektrum an Zielen erfordert ERM einen stärker integrierten Ansatz mit umfassender Datenzuordnung, um einem Unternehmen zu ermöglichen, die Auswirkungen von Risiken auf strategische Ziele und die Unternehmensleistung zu verstehen. Die Risikoteams und Vorstandsmitglieder würden dann die konsolidierten ERM-Daten nutzen, um strategische Entscheidungen zu unterstützen, die es ihnen ermöglichen, Risiken in Bereichen einzugehen, in denen der Nutzen das Risiko überwiegt.

Unterschiedliche Einbindung von Stakeholdern

Da sich ORM mit rein operativen Risiken in Bezug auf Personal, Systeme und Verfahren befasst, gehören zu den Stakeholdern in der Regel Betriebsleiter, Prozesseigner und Mitarbeiter an vorderster Front, die direkt an der Identifizierung und Steuerung operativer Risiken in ihren spezifischen Verantwortungsbereichen beteiligt sind. Risikoteams werden wahrscheinlich den Prozess verantworten, die Berichterstattung übernehmen und die Ergebnisse mit den Führungsteams teilen.

Obwohl ERM typischerweise weiterhin vom Risikoteam vorangetrieben wird, erfordert es eine stärkere Einbindung des Senior Managements und des Vorstands bei der Festlegung der Risikobereitschaft, der Kennzeichnung strategischer Risikoentscheidungen und der Überwachung der gesamten Risikoexposition eines Unternehmens. ERM berücksichtigt die Interessen aller Stakeholder, einschließlich Aktionäre, Kunden, Mitarbeiter, Aufsichtsbehörden und anderer externer Parteien.

Natürlich ist ORM immer noch ein Aspekt von ERM, und dieselben Betriebsleiter, Prozesseigner und Mitarbeiter an vorderster Front werden weiterhin Daten in die operativen Aspekte des ERM-Programms einspeisen, aber ganzheitliches ERM umfasst viele weitere Teams, Abteilungen und Einzelpersonen aus dem gesamten Unternehmen. IT-Teams werden in den Cyber- und IT-Risikoaspekt involviert sein, diejenigen, die mit Lieferanten, Anbietern und Dienstleistern zu tun haben, müssen in das Drittanbieter-Risikomanagement-Framework einbezogen werden. Das Compliance-Team und die operativen Mitarbeiter werden eingebunden, um die Einhaltung von Richtlinien, Verfahren und Vorschriften sicherzustellen, und Mitarbeiter aller Ebenen werden an der Protokollierung von Vorfällen, Gefahren und Beinaheunfällen beteiligt sein, um die Risikoexposition zu verstehen.

ERM erfordert eine wesentlich stärkere Einbindung des Vorstands und des Senior Leadership Teams als traditionelle operative Risikomanagementprogramme. Der Vorstand wird an der Definition der Unternehmensziele und strategischen Pläne beteiligt sein und diese im gesamten Unternehmen kaskadieren, um deren Umsetzung sicherzustellen. Als Teil ihres strategischen Plans werden sie strategische Risiken erfassen und managen wollen, und sie werden die Befugnis wünschen, bestimmte Risiken zu ermöglichen, wenn das wahrscheinliche Ergebnis ihre strategischen Pläne unterstützt und das Risiko überwiegt. Die Zuordnung von Risiken zur strategischen Planung durch ein effektives ERM-Programm ist für Führungskräfte unerlässlich, um Transparenz darüber zu erhalten, wie Risiken Leistung und Strategie beeinflussen, um wichtige strategische Entscheidungen bezüglich Risikobereitschaft, Budgetierung und Ressourcenplanung zu treffen.

Unterschiedliche Integrationsgrade erforderlich

ORM ist oft eine Untermenge von ERM und ist in die operativen Prozesse des Unternehmens integriert und konzentriert sich speziell auf operative Risiken und deren Minderungsstrategien.

ERM hingegen bietet den übergeordneten Rahmen für die Steuerung anderer Risikoarten zusätzlich zum operativen Risiko, einschließlich IT- und Cyber-, Drittanbieter-, strategischer und Compliance-bezogener Risiken.

ERM integriert das Risikomanagement in die gesamte strategische Planung und Entscheidungsfindung des Unternehmens. Es berücksichtigt die Wechselwirkungen zwischen verschiedenen Risikoarten und deren potenziellen Einfluss auf die Fähigkeit des Unternehmens, seine Ziele zu erreichen. ERM berücksichtigt auch die Auswirkungen von Risiken auf die operative Leistung, wodurch das Unternehmen Risiken eingehen kann, um die Leistung zu verbessern, und solche Risiken vermeiden kann, die sich negativ auf die Leistung auswirken.

Unterschiedliche Software-Funktionen

Während ERM- und ORM-Programme beide am besten mit GRC-Software verwaltet werden, erfordern ERM-Programme, dass die Plattform komplexere Funktionen bietet.

ORM-Programme erfordern, dass die GRC-Plattform traditionelle operative Risikofunktionen bietet. Dazu gehören die Möglichkeit, ein operatives Risikoregister zu erstellen, Online-Risikobewertungen durchzuführen, Kontrollregister aufzubauen und Kontrollprüfungen durchzuführen sowie Risikominderungs-Workflows zur Risikoreduzierung zu implementieren. Sie bieten auch eine Vielzahl von Berichten, die es Risikoteams ermöglichen, die Risikoexposition zusammenzufassen und das Unternehmen über die beste Vorgehensweise zu beraten. Für ORM konfigurierte GRC-Plattformen bieten auch eine Vielzahl personalisierter Dashboards, die es jedem Benutzer ermöglichen, eine Zusammenfassung der Aktionen und Aufgaben sowie eine Zusammenfassung der Risiken in seinem spezifischen Bereich zu erhalten.

GRC-Plattformen, die ERM-Funktionen bieten, tendieren dazu, eine breitere Palette von Anforderungen abzudecken. Diese Plattformen ermöglichen es Unternehmen, mehrere Risikoregister mit verschiedenen Kategorien und Typen einzurichten. Organisationen können eine Vielzahl unterschiedlicher Risikobewertungsformulare erstellen, basierend auf den verschiedenen Arten von Risiken, die bewertet werden. ERM-Plattformen ermöglichen es Unternehmen weiterhin, eine Kontrollbibliothek aufzubauen, Kontrollprüfungen durchzuführen und Risikominderungsstrategien zu implementieren, bieten aber auch zusätzliche Funktionen.

Teams können ein Best-Practice-Programm für das Drittanbieter-Risikomanagement einrichten, um Lieferantenrisiken zu steuern. Sie können eine Lieferantenbibliothek aufbauen, die kritische Details zu jedem Lieferanten erfasst, Benchmarking und Score-Carding durchführen und die Leistung anhand von KPIs und SLAs überwachen. ERM-Plattformen bieten oft ein Online-Lieferantenportal, das es Lieferanten ermöglicht, Drittanbieter-Risikobewertungen online durchzuführen.

ERM-Plattformen ermöglichen es Unternehmen auch, Cyber- und IT-Risiken zu steuern, indem sie ein Cyber-Risikoregister erstellen, Cyber-Risikobewertungen durchführen, die Einhaltung von IT-Richtlinien und Datenschutzbestimmungen überwachen, IT-bezogene Vorfälle verwalten und die Nutzung von IT-Assets überwachen.

Der Hauptunterschied zwischen ORM-Plattformfunktionen und den Anforderungen an eine ERM-Plattform liegt jedoch in der Integration von Risikomanagement, Unternehmensleistung und strategischen Zielen. ERM-Plattformen ermöglichen es Unternehmen, ihre Strategie zu planen und umzusetzen, die Auswirkungen von Risiken auf ihre strategischen Ziele zu verstehen und strategische Risiken zu steuern. ERM-Plattformen ermöglichen es Unternehmen auch, die Auswirkungen von Risiken auf die operative Leistung zu verstehen und bieten oft API-Integrationen mit anderen Systemen und Datenquellen, die Unternehmensleistungsdaten in die und aus der Plattform ziehen, um ein klares Bild davon zu erhalten, wie Risiken die Unternehmensleistung beeinflussen.

Risikobereitschaft spielt auch eine große Rolle in jedem ERM-Programm. Der Vorstand wird mit dem Risikoteam zusammenarbeiten, um die Risikobereitschaft zu definieren und den Umfang des Risikos festzulegen, das sie zur Erreichung ihrer strategischen Ziele einzugehen bereit sind. Es liegt in der Verantwortung des Risikoteams in Zusammenarbeit mit dem Rest des Unternehmens, sicherzustellen, dass das Geschäft innerhalb der vereinbarten Niveaus agiert, indem Risiken überwacht und die Wirksamkeit der Kontrollen sichergestellt werden.

Natürlich bringt die Integration von Risiken mit der Unternehmensleistung und strategischen Zielen auch eine Fülle von Berichtsoutputs mit sich, um Organisationen zu helfen, die Auswirkungen von Risiken auf die Unternehmensleistung und strategische Initiativen zu verstehen. Diese Daten werden Führungsteams dabei unterstützen, zu wissen, welche Risiken einzugehen sind und wo wichtige Budgets und Ressourcen zur Risikoreduzierung zugewiesen werden sollen.

Wo beginne ich meine Reise von ORM zu ERM?

Wenn Ihr Unternehmen ein operatives Risikomanagementprogramm implementiert hat, es aber zu einem vollständig integrierten ERM-Programm weiterentwickeln möchte, sind hier einige wichtige Faktoren zu berücksichtigen.

Stellen Sie zunächst sicher, dass Sie eine Best-Practice-GRC-Plattform verwenden, die ausreichende ERM-Funktionen für Ihre aktuellen und zukünftigen Anforderungen bietet. Dies umfasst:

• Strategische Planungsfunktionen und Unternehmenszielsetzung.
• API-Integrationen zur Zuordnung von Risiken zur operativen Leistung.
• IT- und Cyber-Risiko- sowie Compliance-Funktionen.
• Risikomanagement für Dritte.
• ERM-Dashboarding.
• Funktionalität der Risikobereitschaft.
• Incident Management, das es der Organisation ermöglicht, Vorfälle den ursprünglichen Risiken und Kontrollen zuzuordnen.
• Unbegrenzte Risikoregister, Kategorien und Typen.
• Berichte und Dashboards auf Führungsebene für Führungsteams, einschließlich Power BI-Berichten, Heatmaps und Bow-Tie-Analysen.
• Eine einfache, intuitive Benutzeroberfläche, die es Mitarbeitern aller Ebenen ermöglicht, in das ERM-Programm einzuspeisen.

Stellen Sie sicher, dass Sie den Umfang und die Hauptanforderungen Ihres ERM-Programms im Voraus festlegen und eine Vielzahl von Stakeholdern einbeziehen, von Vorstandsmitgliedern und Führungskräften, die die Strategie und Risikobereitschaft leiten müssen, bis hin zu mittlerem Management und operativem Personal, das Risikobewertungen, Kontrollprüfungen und strategische Aufgaben und Aktionen durchführen wird. Eine klare Definition, wie die Mitarbeiter die Plattform nutzen und welche Daten sie im Voraus extrahieren müssen, gewährleistet eine erfolgreiche Implementierung.

Denken Sie daran, dass eine ERM-Plattform mit Ihrem Unternehmen skalieren und wachsen kann, wenn die Anforderungen steigen, also fühlen Sie sich nicht unter Druck gesetzt, jeden Aspekt von ERM während der anfänglichen Implementierung einer GRC-Plattform einzurichten. Wählen Sie die Funktionalität, die Ihre wichtigsten Problembereiche anspricht, und fügen Sie weitere hinzu, wenn die Lösung tiefer in Ihre Abläufe integriert wird.

Für weitere Informationen, wie die Riskonnect-Plattform Ihr Unternehmen bei der Implementierung eines Best-Practice-Risikomanagementprozesses unterstützen kann, der Ihren Anforderungen entspricht, fordern Sie eine Demo an.