Integriertes Risikomanagement (IRM) : Unterschied zum ERM und Software-Auswahl

Das integrierte Risikomanagement (IRM) bezeichnet einen Ansatz, der Risiko-, Compliance- und interne Revisionsfunktionen zusammenführt, um eine konsolidierte Sicht auf die Exponierungen der Organisation zu erzeugen. [déduit: Ableitung aus anerkannten IRM-Definitionen der Gartner-Forschung und gängiger Marktpraxis] Es unterscheidet sich vom Enterprise Risk Management (ERM) durch seinen Fokus auf die Beseitigung operativer Silos: Während ERM ein zentralisierter Rahmen der Risikoabteilung bleiben kann, setzt IRM voraus, dass Risikoinformationen zwischen IT-Abteilung, Compliance, Betrieb und Prüfungsausschuss zirkulieren, mit ausgerichteten Bewertungsskalen und einer gemeinsamen Sprache. Für Organisationen, die mehrere getrennte Risikoregister führen (operative Risiken, Cyber, Compliance, Lieferanten), ist IRM die Antwort auf die Feststellung, dass diese Register sich nie zu einer für strategische Entscheidungen nützlichen Gesamtsicht konsolidieren. Im deutschen Regulierungsrahmen haben NIS2-UmsuCG für wesentliche Einrichtungen und DORA für Finanzinstitute explizite Anforderungen an die Integration von Cyber- und operativen Risiken mit der übergeordneten Governance eingeführt. [lu: NIS2-UmsuCG; DORA, Verordnung (EU) 2022/2554]

Was unterscheidet das integrierte Risikomanagement (IRM) vom ERM?

Das ERM ist ein Governance-Rahmen, der festlegt, wie die Organisation ihre Risiken auf Unternehmensebene identifiziert, bewertet, behandelt und überwacht. [déduit: Ableitung aus ISO 31000 und gängiger ERM-Praxis] Das IRM ist ein operativer Ansatz, der den Fokus auf die Beseitigung von Silos und die Echtzeitkonsolidierung von Risikodaten aus mehreren Funktionen legt. Der Unterschied liegt nicht in der Art, sondern im Integrationsgrad: Eine Organisation kann ERM mit domänengetrennten Registern praktizieren; sie praktiziert IRM, wenn diese Register ein gemeinsames Referenzsystem, ausgerichtete Skalen und einen Informationsfluss zur Leitung teilen.

Zum ERM-Rahmen, siehe den Artikel Enterprise Risk Management (ERM) und Software.

Welche Prinzipien unterscheiden einen integrierten von einem Silo-Ansatz?

Ein integrierter Ansatz beruht auf drei Prinzipien: ein allen Funktionen gemeinsames Risikoregister, ausgerichtete Bewertungsskalen (gleiche Definition von "niedrig" und "hoch" zwischen IT-Abteilung und Compliance) und ein strukturierter Informationsfluss zu den Governance-Instanzen. [déduit: Ableitung aus IRM-Best-Practices und DORA-Governance-Anforderungen] Ein Silo-Ansatz erkennt sich an der Unmöglichkeit, Risiken ohne manuelle Aufbereitung zu konsolidieren, und am Fehlen einer transversalen Sicht auf der Ebene des Prüfungsausschusses oder des Aufsichtsrats. Der Übergang von einem Silo-Ansatz zu einem integrierten Ansatz ist ein Transformationsprojekt, das der Werkzeugwahl vorausgeht.

Zum GRC-Rahmen, der diese Integration unterstützt, siehe den Artikel GRC-Software : Auswahl, Methodik und Kriterien.

Wie unterstützt das integrierte Risikomanagement die strategische Entscheidungsfindung?

Der Hauptwert eines IRM-Ansatzes für die Geschäftsführung ist die Fähigkeit, Investitions- und Strategieentscheidungen unter Berücksichtigung einer konsolidierten Risikosicht zu treffen. [déduit: Ableitung aus DORA-Governance-Anforderungen und gängiger IRM-Praxis] Ohne IRM erhält die Leitung fragmentierte Berichte von jeder Funktion, ohne die kumulative Wirkung oder die Wechselwirkungen zwischen Risiken beurteilen zu können. Mit einem integrierten Ansatz kann das Leitungsgremium sehen, welche Risiken sich gegenseitig verstärken, welche Bereiche überabgesichert sind und welche Bereiche unzureichend behandelt werden.

Zur Compliance-Überwachung im IRM-Rahmen, siehe den Artikel Compliance-Monitoring : Software und Programm.

Welche Vorteile bietet eine IRM-Software im Vergleich zu getrennten Registern?

Eine IRM-Software bietet eine automatische Konsolidierung von Risiken aus mehreren Domänen, eine Ausrichtung der Bewertungsskalen und eine transversale Sicht für den Prüfungsausschuss. [déduit: Ableitung aus gängiger IRM-Software-Praxis] Der Nutzen ist bedingt: Er gilt nur, wenn die Funktionen, die die Software speisen, tatsächlich dieselben Definitionen und Skalen verwenden. Eine gut konfigurierte IRM-Software mit wenig ausgerichteten Teams erzeugt keine besseren Ergebnisse als eine Tabellenkalkulation. Die Investition in das Werkzeug muss von einer organisatorischen Ausrichtungsarbeit begleitet werden.

Wie bewertet man den Reifegrad vor der Wahl einer IRM-Software?

Vor der Wahl einer IRM-Software muss eine Organisation ihren aktuellen Reifegrad im Risikomanagement bewerten: Verfügt sie über ein dokumentiertes Risikoregister? Verwenden ihre Funktionen kompatible Skalen? Besteht ein Prozess zur Eskalation an die Governance? [déduit: Ableitung aus gängiger IRM-Reifegrad-Bewertungspraxis] Eine Organisation, deren Risikomanagement sich noch in einem Anfangsstadium befindet, benötigt eher einen methodischen Rahmen als eine vollständige IRM-Software. Eine einfachere domänenspezifische Risikomanagement-Software kann einen ersten Schritt darstellen.

Zur Risikoanalyse als Ausgangspunkt, siehe den Artikel Risikoanalyse : Methodik und Tools für den Mittelstand.

Häufig gestellte Fragen

Sind IRM und GRC Synonyme? Nein. GRC (Governance, Risiko, Compliance) ist ein organisatorischer Rahmen, der drei verschiedene Bereiche abdeckt. IRM ist ein Ansatz des Risikomanagements, der die Integration zwischen Bereichen betont. Eine GRC-Plattform kann einen IRM-Ansatz unterstützen, wenn sie entsprechend konfiguriert ist.

Mit welchem Risikobereich beginnt man einen IRM-Ansatz? Die gängige Praxis ist, mit dem Bereich zu beginnen, dessen Risiken für die Leitung am sichtbarsten sind und wo die bestehenden Werkzeuge am unzureichendsten sind. Dieser erste Bereich dient als Proof of Concept, um andere Funktionen für den Ansatz zu gewinnen.

Wie richtet man Bewertungsskalen zwischen Risikofunktionen aus? Die Ausrichtung der Skalen ist eine Governance-Arbeit, kein Software-Konfigurationsschritt. Sie erfordert einen Workshop mit den Verantwortlichen jeder Funktion, um eine gemeinsame Wahrscheinlichkeits- und Auswirkungsskala zu definieren und zu validieren, dass diese Skala auf alle Risikodomänen der Organisation anwendbar ist.

Begleitet Optivalue.ai beim Aufbau eines IRM-Ansatzes? Optivalue.ai begleitet Risiko- und Compliance-Teams bei der Architektur des Ansatzes. Weitere Informationen: Demonstration anfordern.

---

Nach oben