Die 10 Schritte einer effektiven Risikobewertung für Ethik und Compliance
Nutzen Sie diese Checkliste, um sicherzustellen, dass Sie die wesentlichen Aktivitäten für einen strukturierten, nachvollziehbaren und effektiven Risikobewertungsprozess berücksichtigt haben.
1. Unterstützung der Unternehmensleitung sichern
Die aktive und sichtbare Unterstützung durch Führungskräfte und den Vorstand ist ein wesentlicher Bestandteil einer erfolgreichen Risikobewertung.
Ohne diese Unterstützung können Risikobewertungen an Dynamik verlieren, bestimmte Themen unzureichend behandeln oder an Qualität einbüßen, wenn andere Führungskräfte und Manager nicht aktiv mitwirken.
2. Rollen und Verantwortlichkeiten festlegen
Legen Sie fest, wer für die Risikobewertung verantwortlich ist und wer daran beteiligt werden sollte. Rollen und Verantwortlichkeiten sollten klar definiert, kommuniziert und verstanden werden.
3. Ausreichende Ressourcen sicherstellen
Die Funktion, die die Risikobewertung leitet – sei es Compliance oder eine andere Abteilung – verfügt wahrscheinlich nicht über Fachwissen in allen Bereichen. Daher ist die Unterstützung weiterer Funktionen erforderlich, darunter Recht, Risikomanagement, Interne Revision, Vertrieb und Marketing, Beschaffung, Finanzen, Personalwesen, Lieferkette und Unternehmenskommunikation (diese Liste ist nicht abschließend).
Die beteiligten Stakeholder sollten den Umsetzungsplan, den Zeitrahmen, die verfügbaren Ressourcen sowie mögliche Verbesserungen besprechen, die die Risikobewertung effektiver machen könnten.
4. Risikoappetit und Risikotoleranz festlegen
Bestimmen Sie den Risikoappetit und die Risikotoleranz Ihres Unternehmens frühzeitig im Risikobewertungsprozess.
- Risikoappetit beschreibt das Maß an Risiko, das ein Unternehmen bereit ist zu akzeptieren oder zu tragen, und stellt eine allgemeine Sicht auf Risiken dar.
- Risikotoleranz bezieht sich auf spezifische Risiken und Leistungsziele. Sie kann als die Flexibilität eines Unternehmens im Umgang mit bestimmten Risiken definiert werden.
5. Das Umfeld verstehen
Sie sollten genau verstehen, wie Ihr Unternehmen funktioniert. Unternehmen müssen ihre individuellen Risiken im Kontext ihrer Tätigkeiten, geografischen Präsenz, Branche, Wettbewerbssituation, regulatorischen Anforderungen sowie ihrer Kunden und Geschäftspartner analysieren und adressieren.
Durch ein besseres Verständnis Ihrer Geschäftstätigkeit und Standorte können Sie die für Ihr Unternehmen relevanten Risiken sowie die potenziellen Folgen eines Verstoßes besser einschätzen.
6. Risikoindikatoren identifizieren
Risikoindikatoren sind Kennzahlen, mit denen sich Risiken für das Unternehmen messen lassen. Sie können als Frühindikatoren dienen und auf steigende Risikobelastungen hinweisen. Die Analyse von Risikoindikatoren sollte ganzheitlich erfolgen und sowohl interne als auch externe Quellen einbeziehen.
7. Daten erfassen
Interviews, Umfragen, Selbstbewertungen und Brainstorming-Sitzungen sind verschiedene Methoden, um Daten und Informationen darüber zu sammeln, wie und warum Compliance-Risiken in einem Unternehmen entstehen können. Verstehen Sie die Vor- und Nachteile jeder Methode, bevor Sie diejenige auswählen, die Ihre Ziele am besten unterstützt.
8. Risiken identifizieren
Nachdem Sie den Umfang der Geschäftstätigkeit und die relevanten Risikoindikatoren verstanden haben, sollten Sie die Risiken auf einer angemessenen Detailebene erfassen. Ziel der Risikoidentifizierung ist es, ein umfassendes Verzeichnis der Ethik- und Compliance-Risiken zu erstellen, denen Ihr Unternehmen, Ihre Branche und Ihre Regionen ausgesetzt sind.
9. Eintrittswahrscheinlichkeit und Auswirkungen bewerten
Bewerten Sie sowohl die Wahrscheinlichkeit des Eintretens jedes Risikos als auch die potenziellen Auswirkungen. Ziel ist es, Maßnahmen für die identifizierten Risiken in einer logischen Reihenfolge zu priorisieren.
10. Maßnahmenplan entwickeln
Sobald die Risikobewertung abgeschlossen ist, sollten die Ergebnisse und Empfehlungen in einem umfassenden Bericht zusammengefasst und dem Vorstand zur Prüfung und Genehmigung vorgelegt werden. Der Prozess sollte jedoch nicht an diesem Punkt enden.
Im nächsten Schritt sollte ein Maßnahmenplan entwickelt werden, der die Empfehlungen aus der Risikobewertung priorisiert und sicherstellt, dass die erforderlichen Verbesserungen umgesetzt werden.
