Definition
Ganzheitlicher, unternehmensweiter Ansatz zur Identifikation, Bewertung, Steuerung und Überwachung aller wesentlichen Risiken — strategisch, operativ, finanziell, Compliance, Reputations- und Cyber-Risiken. Standards: COSO ERM (2017), ISO 31000 (allgemein), ISO 22301 (BCM). Reife Organisationen verzahnen ERM mit Strategieprozess, Balanced Scorecard und Compliance-Management. Voraussetzung für aussagekräftige Risikoberichte an Aufsichtsräte und Investoren.
In der Praxis
Enterprise Risk Management im Mittelstand heißt in der Realität oft: Einmal im Jahr aktualisiert jemand eine Excel-Liste für den Abschlussprüfer, und danach ist sie tot. Das ist Risiko-Buchhaltung, kein Risikomanagement. Drei Mängel sehe ich fast immer: Erstens haben Risiken keine Owner und kein Maßnahmen-Tracking — dann ist das Register eine Bestandsaufnahme ohne Steuerungswirkung. Zweitens fehlt die Aggregation: Die Summe der Einzelrisiken ist nicht das Unternehmensrisiko, weil Risiken sich gegenseitig verstärken oder abschwächen — Lieferkettenausfall trifft Liquidität trifft Kundenbindung. Drittens fehlt die Verbindung zur Strategie: Ein dokumentierter Risk Appetite, also die Antwort auf „wie viel Risiko wollen wir tragen", existiert praktisch nie. Dabei ist genau das der Unterschied zwischen COSO ERM und einer Liste — Risikomanagement als Bestandteil der Strategie- und Performance-Steuerung. Wer ISO 9001, ISO 14001 oder ein ISMS nach ISO 27001 führt, hat die Bausteine längst; ERM heißt, sie auf Unternehmensebene zusammenzuführen und in der Managementbewertung wirksam werden zu lassen.
Verwandte Begriffe
Häufige Fragen zu Enterprise Risk Management
Was unterscheidet ERM vom klassischen Risikomanagement in den Managementsystemen?
Das Risikomanagement in ISO 9001, ISO 14001 oder ISO 27001 ist themenbezogen: Es betrachtet Qualitäts-, Umwelt- oder Informationssicherheitsrisiken im jeweiligen Systemkontext. Enterprise Risk Management denkt eine Ebene höher und integriert alle Risikoarten — strategisch, operativ, finanziell, Compliance, Reputation, Cyber — in einer unternehmensweiten Sicht mit gemeinsamer Sprache, Skala und Berichtslinie. Der entscheidende Unterschied ist die Aggregations- und Strategieebene: ERM beantwortet, ob die Gesamtrisikoposition zum Risk Appetite der Unternehmensführung passt. Die Systeme unterhalb bleiben dabei bestehen; ERM ersetzt sie nicht, sondern bündelt sie. COSO ERM (2017) beschreibt diese Integration mit Strategie und Performance, ISO 31000 liefert den prozessualen Rahmen dafür.
Sind wir als mittelständische GmbH verpflichtet, ein Enterprise-Risk-Management einzuführen?
Eine ausdrückliche ERM-Pflicht für die GmbH gibt es nicht — aber die Sorgfaltslogik greift trotzdem. § 91 Abs. 2 AktG verpflichtet den Vorstand einer AG, ein Überwachungssystem einzurichten, damit bestandsgefährdende Entwicklungen früh erkannt werden; § 91 Abs. 3 AktG fordert darüber hinaus ein angemessenes und wirksames IKS und Risikomanagementsystem — das gilt nur für börsennotierte Gesellschaften. Für die GmbH ist § 43 GmbHG der Anker: Die Geschäftsführer haben die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden (Abs. 1) und haften bei Obliegenheitsverletzungen solidarisch für den entstandenen Schaden (Abs. 2). Als Maßstab übertragen heißt das: Auch die GmbH-Geschäftsführung muss Risiken früh erkennen und steuern können — ein formales ERM-System ist dafür der sauberste Nachweis, keine gesetzliche Pflicht. Hinzu kommen Erwartungen von Banken, Kunden und Versicherern, die ein funktionierendes Risikomanagement längst voraussetzen.
Wie starten wir mit ERM, ohne ein Bürokratiemonster zu bauen?
Beginnen Sie mit einer Gap-Analyse dessen, was Sie schon haben: Risikobetrachtungen aus den Managementsystemen, die Gefährdungsbeurteilung, das Notfallkonzept, Finanzplanung und Versicherungsmanagement — das ist mehr Substanz, als die meisten denken. Führen Sie daraus zwanzig bis dreißig Unternehmensrisiken in einem schlanken Register zusammen, jedes mit Owner, Bewertung und Maßnahmenstatus. Definieren Sie mit der Geschäftsführung einen einfachen Risk Appetite: Welche Risikoklassen tragen wir selbst, welche versichern wir, welche meiden wir? Verankern Sie einen festen Rhythmus — quartalsweise Owner-Reviews, jährliche Gesamtschau in der Managementbewertung mit Blick auf die Gesamtrisikoposition. Und nutzen Sie Kennzahlen als Frühwarner, statt nur Schäden zu zählen. COSO ERM (2017) und ISO 31000 geben die Struktur; die Größe bestimmen Sie.