Risikoinventur: Jährliche Risikolandkarte in 6 Wochen – Methodik und Kosten

Die Risikoinventur ist das Fundament jedes Compliance-Management-Systems. Ohne vollständige Erfassung aller wesentlichen Risiken ist jedes CMS ein Blindflug. IDW PS 980 verlangt die Risikoinventur als Element der Compliance-Risiken. MaRisk AT 4.1 verlangt die vollständige Risikoerfassung für Kreditinstitute. Der DIIR Revisionsstandard Nr. 3 setzt die Risikoinventur als Prüfungsgrundlage voraus.

Methodik: Die Risikoinventur erfasst alle Risiken, denen das Unternehmen ausgesetzt ist. Gliederung nach Risikokategorien: Strategische Risiken, Operationelle Risiken, Finanzrisiken, Compliance-Risiken, Reputationsrisiken. Jedes Risiko wird beschrieben, bewertet und priorisiert. Die Bewertung erfolgt nach Eintrittswahrscheinlichkeit (1–5) und Schadenshöhe (1–5). Ergebnis: Risikokennzahl = Eintrittswahrscheinlichkeit × Schadenshöhe.

Der Prozess läuft in sechs Schritten. Schritt 1: Vorbereitung – Risikokategorien definieren, Bewertungsmatrix festlegen, Stakeholder identifizieren. Schritt 2: Risikoidentifikation – Workshops mit Fachabteilungen, Interviews, Dokumentenanalyse. Schritt 3: Risikobewertung – Bewertung der identifizierten Risiken durch die Fachabteilungen. Schritt 4: Risikoaggregation – Zusammenführung der Einzelbewertungen, Plausibilisierung, Kalibrierung.

Schritt 5: Risikolandkarte – Visualisierung der Risiken in einer Matrix. X-Achse: Eintrittswahrscheinlichkeit. Y-Achse: Schadenshöhe. Die Risiken im roten Bereich (hohe Wahrscheinlichkeit × hoher Schaden) sind prioritär zu behandeln. Schritt 6: Maßnahmenableitung – Für jedes Risiko im roten Bereich wird eine Maßnahme definiert: Vermeiden, Vermindern, Überwälzen, Akzeptieren.

Aufwand: Ein 200-MA-Unternehmen benötigt für die jährliche Risikoinventur 80–160 Personenstunden über 4–6 Wochen. Externe Moderation und Validierung: 8.000–18.000 EUR. Ergebnis: Eine Risikolandkarte mit 40–70 identifizierten Einzelrisiken. Davon liegen typischerweise 8–15 Risiken im roten Bereich, die aktiv gesteuert werden müssen.

Praxisfall: Mittelständischer Automobilzulieferer mit 180 MA. Risikoinventur 2025. Identifizierte Risiken: 52 Einzelrisiken in 6 Kategorien. Top-5-Risiken: 1) Lieferkettenabhängigkeit von einem einzigen Halbleiterlieferanten (Eintrittsw. 4, Schaden 5 = 20). 2) DSGVO-Verstoß durch veraltetes Verarbeitungsverzeichnis (3, 4 = 12). 3) Kartellverstoß im Vertrieb (2, 5 = 10). 4) Ausfall der ERP-Systeme (2, 4 = 8). 5) Fachkräftemangel in der Entwicklung (4, 2 = 8).

Maßnahmen aus der Risikoinventur: Für Risiko 1: Zweitlieferant qualifizieren, Lagerbestand erhöhen. Für Risiko 2: Verarbeitungsverzeichnis aktualisieren, DSB bestellen. Für Risiko 3: Kartellrechtsschulung für Vertrieb, Hinweisgebersystem. Für Risiko 4: Notfallkonzept IT, Backup-System. Für Risiko 5: Personalentwicklungsprogramm, Kooperation mit Hochschulen.

Typische Fehler: Risikoinventur wird nur einmal durchgeführt und nie aktualisiert. IDW PS 980 verlangt jährliche Aktualisierung. Risiken werden nur von der Geschäftsleitung bewertet, nicht von den Fachabteilungen. Die operative Perspektive fehlt. Risiken werden nicht priorisiert, alle 52 Risiken werden gleich behandelt. Keine Maßnahmenableitung – die Risikolandkarte bleibt ein Papier.

Geschäftsleiterhaftung und Risikoinventur: Fehlt eine dokumentierte Risikoinventur, kann der Geschäftsleiter nicht nachweisen, dass er die Risiken des Unternehmens kennt. Ohne diese Kenntnis ist keine angemessene Informationsgrundlage für unternehmerische Entscheidungen gegeben. Der Schutz der Business Judgment Rule entfällt. BGH, Urteil vom 14.07.2020 – II ZR 10/19.

Integration in das CMS: Die Risikoinventur ist das Steuerungsinstrument des gesamten CMS. Sie liefert die Grundlage für: Compliance-Programm (welche Maßnahmen brauchen wir?), Compliance-Kommunikation (welche Risiken müssen geschult werden?), Compliance-Überwachung (welche Risiken müssen überwacht werden?). Ohne Risikoinventur ist das CMS nicht steuerbar.

Fazit: Die Risikoinventur ist kein Papier für die Schublade. Sie ist das operative Steuerungsinstrument des Risikomanagements. Jährlich, dokumentiert, mit Maßnahmen. KanB Access führt Ihre Risikoinventur durch. 6 Wochen. 40–70 Risiken. Risikolandkarte. Maßnahmenplan. Audit-ready.