Risikomanagement

Risikomanagement im KMU: Was Geschäftsführer wirklich regeln müssen

In jedem Betrieb gibt es Risiken, die im Alltag leicht übersehen werden. Dieser Artikel erklärt, wie Sie Risiken systematisch bewerten und welche staatlich empfohlenen Vorgehensweisen dafür existieren.

Warum ein strukturierter Risikoprozess heute Standard ist

Viele kleine und mittlere Unternehmen steuern Risiken bisher eher aus dem Bauch heraus, oft ohne feste Abläufe und ohne Dokumentation. Das Bundesamt für Sicherheit in der Informationstechnik beschreibt Risikomanagement dagegen als alle Aktivitäten zur strategischen und operativen Behandlung von Risiken mit klaren Prozessschritten. Dazu gehören Identifikation, Einschätzung und Bewertung, Behandlung, Überwachung und Kommunikation von Risiken. Ein dokumentierter Regelprozess mit diesen Schritten gilt fachlich als Standard und wird von Banken und Wirtschaftsprüfern als gute Unternehmensführung erwartet. Außerhalb regulierter Branchen besteht meist keine ausdrückliche Rechtspflicht, eine nachvollziehbare Struktur hilft der Geschäftsleitung aber bei Prüfungen und im Streitfall.

Aufbau des Risikomanagements nach Vorgaben des BSI

Der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik liefert eine Methodik, die sich auch auf nicht technische Risiken übertragen lässt. Der zugehörige Standard bündelt alle risikobezogenen Arbeitsschritte, von der Erfassung der relevanten Bereiche bis zur Bewertung von Gefährdungen, Schwachstellen und möglichen Schäden. Kern ist, Risiken nach Eintrittswahrscheinlichkeit und Schadensausmaß zu bewerten und die Ergebnisse nachvollziehbar zu dokumentieren. Zur Einordnung der Auswirkungen nutzt das BSI Schutzbedarfsstufen wie normal, hoch oder sehr hoch. Die amtliche Übersicht steht unter bsi.bund.de/…/bsi-standard-200-3-risikomanagement_n….

Wann eine vertiefte Risikoanalyse unverzichtbar wird

Nicht jedes Risiko erfordert eine umfangreiche Detailanalyse, für kritische Bereiche nennt das BSI aber klare Schwellen. Eine explizite Risikoanalyse ist erforderlich, wenn ein betrachtetes Objekt einen hohen oder sehr hohen Schutzbedarf bei Vertraulichkeit, Integrität oder Verfügbarkeit hat, mit vorhandenen Bausteinen nicht abbildbar ist oder in nicht vorgesehenen Einsatzszenarien betrieben wird. Besonders schützenswerte Prozesse und Systeme sollten deshalb stets gesondert und vertieft betrachtet werden. Typische Beispiele sind zentrale Warenwirtschaftssysteme, sensible Kundendaten oder Steuerungsanlagen in der Produktion. Für weniger kritische Bereiche genügt oft das vereinfachte Vorgehen aus Schutzbedarfsfeststellung und Grundschutz-Check.

IT-Sicherheit als fester Teil des Unternehmensrisikos

Cyberangriffe, Systemausfälle und Datenpannen betreffen längst nicht nur große Konzerne, sondern auch Betriebe mit wenigen Beschäftigten. Das BSI adressiert diese Risiken im Leitfaden zur Basis-Absicherung und beschreibt eine schlanke Mindestvorgehensweise für kleinere Organisationen: Strukturanalyse, Schutzbedarfsfeststellung, Grundschutz-Check und bei höherem Schutzbedarf eine ergänzende Risikoanalyse. Informationssicherheit wird damit ausdrücklich als Teil des allgemeinen Unternehmensrisikos verstanden. Der Leitfaden ist kostenlos abrufbar unter bsi.bund.de/…/Leitfaden_zur_Basis-Absicherung.pdf….

Was die strengen Finanzregeln als Orientierung leisten

Für Industrie- und Dienstleistungsbetriebe ohne Finanzlizenz gelten die Mindestanforderungen an das Risikomanagement von Instituten nicht unmittelbar, sie zeigen aber, wie die Aufsicht ein wirksames Vorgehen versteht. Die Bundesanstalt für Finanzdienstleistungsaufsicht konkretisiert diese Anforderungen auf Basis von § 25a und § 25b Kreditwesengesetz, siehe bafin.de/SharedDocs/…/rs_06_2024_MaRisk_BA.html. Festgelegt ist dort unter anderem, dass Institute mindestens vierteljährlich einen Risikobericht zu den Marktpreisrisiken einschließlich Zinsänderungsrisiken an die Geschäftsleitung geben müssen. Diese Frist bindet nur Institute nach Kreditwesengesetz, kann anderen Unternehmen aber als Orientierungswert für die eigene Berichtsfrequenz dienen. Übertragbar sind auch die Grundsätze zu festgelegten Strategien, internen Kontrollverfahren und laufender Überwachung der wesentlichen Risiken.

Pragmatische Umsetzungsschritte für die Geschäftsleitung

Für einen kleinen Betrieb genügt es meist, mit einem kompakten Rahmenwerk zu starten und es konsequent anzuwenden. Zuerst benennt die Geschäftsleitung die wichtigsten Prozesse, Systeme und Vermögenswerte und bewertet den Schutzbedarf, etwa nach den Stufen normal, hoch und sehr hoch. Danach werden Gefährdungen, bestehende Maßnahmen und mögliche Zusatzmaßnahmen in einer einfachen Risikomatrix festgehalten. Regelmäßige Berichte an die Geschäftsleitung, etwa quartalsweise, sichern Entscheidungen auf Basis aktueller Risikoinformationen ab. Ergänzend hilft eine kurze schriftliche Richtlinie, die Rollen, Zuständigkeiten und die Schritte Identifikation, Bewertung, Behandlung, Überwachung und Kommunikation verbindlich beschreibt.

Dieser Beitrag dient der allgemeinen Orientierung und ersetzt keine individuelle Beratung. Die individuelle Beratung erfolgt durch zugelassene Kooperationspartner.

Ersttermin

Ihre Fragen im persönlichen Gespräch klären

Lassen Sie Ihre betrieblichen Risikothemen in einem kostenlosen Ersttermin durch einen zugelassenen Kooperationspartner einordnen. Unverbindlich und persönlich.

Kostenlosen Ersttermin anfragen

Die Inhalte dienen der Orientierung. Die individuelle Beratung erfolgt durch zugelassene Kooperationspartner.