Risikomanagementbeauftragte

Ein Risikomanagementbeauftragter betreibt das unternehmensweite Risikomanagementsystem: die strukturierte Identifikation, Bewertung, Steuerung und Überwachung der Risiken, die die Ziele oder den Fortbestand des Unternehmens bedrohen könnten. Die Rolle verdichtet verstreutes Risikowissen zu einem stimmigen, vergleichbaren Bild, auf dessen Grundlage Vorstand und Aufsichtsgremien handeln können. Ein eigenes, gesetzlich geregeltes Amt ist damit nicht verbunden. Die Funktion entsteht, weil die Geschäftsleitung eine Pflicht, die ihr selbst zugewiesen ist, organisatorisch überträgt.

Zwei Bezugspunkte verankern die Rolle. ISO 31000 ist die internationale Norm zum Risikomanagement; sie liefert die Grundsätze, den Rahmen und den Prozess von der Risikoidentifikation über Analyse, Bewertung und Steuerung bis zu Überwachung und Überprüfung. Sie ist eine Leitliniennorm, keine zertifizierbare Spezifikation, und gibt dem Beauftragten Sprache und Methode, nicht aber eine Rechtspflicht. Rechtlicher Anker im deutschen Recht ist Par. 91 Abs. 2 Aktiengesetz (AktG), eingeführt durch das Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG). Er verpflichtet den Vorstand einer Aktiengesellschaft, geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand gefährdende Entwicklungen früh erkannt werden. Die Sorgfaltspflicht des Vorstands nach Par. 93 AktG verstärkt dies.

Außerhalb der Aktiengesellschaft liegt die Sache anders. Der GmbH-Geschäftsführer leitet vergleichbare Pflichten aus seiner allgemeinen Sorgfaltspflicht ab, eine ausdrückliche Pflicht zur Bestellung eines Risikomanagementbeauftragten besteht dort nicht. In diesen Fällen beruht die Funktion auf einer Entscheidung der Geschäftsleitung, auf der Satzung oder auf Zusagen gegenüber Kapitalgebern, Kunden oder Versicherern. Wer die Rolle einführt, sollte im Bestellungsschreiben festhalten, worauf sie sich stützt, welchen Umfang sie hat, an wen berichtet wird und wo die Entscheidung beim Vorstand bleibt.

Operativ führt der Beauftragte das Risikoinventar, definiert und verfolgt Frühwarnindikatoren, koordiniert die Bewertung von Eintrittswahrscheinlichkeit und Auswirkung, überwacht die Steuerung wesentlicher Risiken und verdichtet das Bild zur Berichterstattung an den Vorstand. Die Funktion ist eng mit dem internen Kontrollsystem und, soweit vorhanden, mit Compliance und Interner Revision verzahnt. Bei börsennotierten und größeren Unternehmen fliesst die Risikoberichterstattung in den Lagebericht und in die Arbeit des Abschlussprüfers ein, der die Eignung des Früherkennungssystems nach Par. 91 AktG prüft. Wiederkehrende Beanstandungen sind ein Inventar, das seit dem letzten Bericht nicht fortgeschrieben wurde, Indikatoren ohne definierte Schwelle, Maßnahmen ohne benannten Verantwortlichen und eine Berichtshistorie, die sich nicht lückenlos rekonstruieren lässt.