Neue Risiken nehmen zu – hält Ihr Risikomanagement Schritt?

Unternehmen müssen weiterhin klassische operative Risiken steuern. Diese überschneiden sich jedoch zunehmend mit Risiken rund um Lieferketten, künstliche Intelligenz und ESG.

Der Ausfall eines Lieferanten kann die Geschäftskontinuität beeinträchtigen. Der Einsatz von KI kann Risiken für Informationssicherheit, Datenschutz, Compliance, Sicherheit und Zuverlässigkeit mit sich bringen. ESG-bezogene Risiken können sich auf den Geschäftsbetrieb, Lieferketten, die Einhaltung gesetzlicher und regulatorischer Anforderungen sowie die Reputation auswirken. Diese Risiken stehen nicht für sich: Sie können mehrere Unternehmensbereiche betreffen und sich gegenseitig verstärken.

Risiken lassen sich nicht isoliert betrachten

Neue Risiken rücken demnach zunehmend in den Fokus der Unternehmensführung. Werden sie jeweils isoliert betrachtet, kann dies das Risikomanagement erschweren. Für jedes Risikofeld ein eigenes Programm, Gremium oder Verfahren einzuführen, kann die übergreifende Steuerung erschweren, Doppelarbeit verursachen und Lücken zwischen den Unternehmensbereichen entstehen lassen.

Die ViewPoint-Umfrage zeigt einen wirksameren Ansatz auf: „LEADERS“ (führende Unternehmen) – also diejenigen, die nach eigenen Angaben in allen Phasen des Risikomanagementprozesses sehr strukturiert vorgehen – berücksichtigen ein breiteres Spektrum etablierter und neu aufkommender Risiken. Dies deutet darauf hin, dass sie neue Risiken in bestehende Governance-Strukturen und Managementsysteme einbinden, statt dafür parallele Strukturen aufzubauen.

Dieser Ansatz ist nicht nur effizienter, sondern ermöglicht auch ein besseres Reputationsmanagement. So können beispielsweise eine Datenschutzverletzung, ein Umweltvorfall oder eine unzureichend gesteuerte KI-Anwendung das Vertrauen in das gesamte Unternehmen beeinträchtigen. Eine integrierte Betrachtung erleichtert es, diese Zusammenhänge zu erkennen, Maßnahmen aufeinander abzustimmen und die Organisation als Ganzes zu schützen.

Auf bestehenden Managementsystemen aufbauen

Unternehmen, die bereits über ein zertifiziertes Managementsystem verfügen, haben meist schon wesentliche Grundlagen für einen integrierten Ansatz geschaffen.

Managementsysteme nach internationalen Normen schaffen klare Abläufe und regeln Verantwortlichkeiten. Sie unterstützen den Umgang mit Risiken und Chancen, die Leistungsüberwachung und die fortlaufende Verbesserung.

In der ViewPoint-Umfrage nennen 57 % der Befragten risikobezogene ISO-Anforderungen als einen Grund für die Einführung von Risikomanagementprozessen. Damit ist dies der am häufigsten genannte Treiber. Sieben von zehn Befragten geben zudem an, dass die Anforderungen der ISO-Managementsystemnormen einen wesentlichen oder grundlegenden Beitrag zu ihrer Risikomanagementkultur leisten.

Da ISO-Managementsystemnormen einer gemeinsamen Struktur folgen, können Unternehmen neu auftretende Risiken in bestehende Prozesse integrieren, statt ganz von vorn zu beginnen.

So können sie bestehende Governance-Verfahren, Maßnahmen, Daten, Werkzeuge und internes Fachwissen nutzen und zugleich zusammenhängende Risikofelder miteinander verknüpfen. ISO/IEC 42001 bietet beispielsweise einen Rahmen für ein Managementsystem für künstliche Intelligenz, während ISO/IEC 27001 die Informationssicherheit adressiert. In Verbindung mit weiteren relevanten Managementsystemen helfen diese Normen, Verantwortlichkeiten, Maßnahmen und Verbesserungsprozesse für voneinander abhängige Risiken aufeinander abzustimmen.

KI zeigt, warum Risikomanagement vernetzt sein muss

Laut Umfrage berücksichtigen 36 % der Befragten KI-bezogene Risiken nur gelegentlich, 33 % gar nicht.

Eine weitere ViewPoint-Umfrage von DNV zum Thema Künstliche Intelligenz (KI) verdeutlicht, wie eng KI-Risiken mit etablierten Fachgebieten zusammenhängen.

Cybersicherheit ist das meistgenannte KI-bezogene Risiko: 50 % aller Befragten und 61 % derjenigen, die an der KI-Einführung arbeiten, nennen es. Das Management von KI-Risiken darf deshalb nicht allein bei der IT liegen.

Je nach Einsatzgebiet kann KI die Cyber- und Informationssicherheit, den Datenschutz, die Compliance, die betriebliche Zuverlässigkeit, die Sicherheit und die Belegschaft beeinflussen. Eine gemeinsame Betrachtung und Steuerung dieser Aspekte hilft Unternehmen, Abhängigkeiten zu erkennen und widersprüchliche oder doppelte Kontrollmaßnahmen zu vermeiden.

Integration schafft Klarheit und Resilienz

Integration bedeutet nicht, Verantwortlichkeiten zu verwischen. Eine wirksame Governance braucht weiterhin eine einheitliche Risikoklassifizierung, klar zugewiesene Verantwortlichkeiten, definierte Prozesse zur Risikobehandlung und -überwachung sowie eindeutige Eskalationskriterien. Die Integration relevanter Managementsysteme auf Basis von ISO-Normen schafft eine gemeinsame Struktur, um diese Grundsätze sowohl auf etablierte als auch auf neu aufkommende Risiken anzuwenden.

Diese gemeinsame Struktur hilft Unternehmen, eine fragmentierte Governance zu vermeiden und über Funktionsbereiche und Risikofelder hinweg systematisch und nach einem wiederholbaren Verfahren vorzugehen. So können sie auf vorhandenen Kompetenzen, Maßnahmen und Verbesserungsprozessen aufbauen, statt für jedes neue Risiko einen eigenen Rahmen zu schaffen.

Eine Zertifizierung durch eine unabhängige dritte Stelle stärkt diese Grundlage. Sie bestätigt, dass das Managementsystem anerkannte Anforderungen erfüllt und in der Praxis angewendet wird. Das Ergebnis ist nicht nur ein besserer Umgang mit heutigen Risiken, sondern auch eine widerstandsfähige Basis für die Zukunft.