Viele Unternehmen kennen das: Risikomanagement lebt in Tabellen, E-Mails und Präsentationen kurz vor der Vorstandssitzung. ISO 31000, das Aktiengesetz und das KonTraG klingen nach viel Pflicht — in der Praxis geht es aber um klare Fragen: Welche Risiken kennen wir? Wer ist verantwortlich? Liegen wir noch im vereinbarten Rahmen? Was muss die Leitung sehen — und was ist dokumentiert?
Dieser Beitrag erklärt nicht die Norm Zeile für Zeile, sondern wie sich Enterprise Risk Management (ERM) im Arbeitsalltag abbilden lässt — am Beispiel einer integrierten GRC-Plattform wie deveca.
Du bekommst:
- Den rechtlichen Rahmen von AktG und KonTraG in wenigen Sätzen
- Den Unterschied zwischen ISMS-Risiken und Geschäftsrisiken
- Einen konkreten Tagesablauf: erfassen, Appetit prüfen, behandeln
- Wie Früherkennung, KRIs und Board-Packs in einer Oberfläche zusammenlaufen
Rechtlicher Rahmen — kurz und praxisnah
AktG (§ 91 Abs. 2): Der Vorstand muss geeignete Maßnahmen treffen und das Unternehmen überwachen — dazu gehört ein angemessenes Risikomanagement.
KonTraG (für börsennotierte AGs verschärft durch § 91 Abs. 3): Zusätzlich ein Früherkennungssystem für Entwicklungen, die die Fortführung des Unternehmens gefährden können. Das ist kein separates „KonTraG-Projekt“, sondern ein durchgängiger Prozess: erkennen, bewerten, eskalieren, berichten.
ISO 31000 liefert die Logik dazu (Kontext, Bewertung, Behandlung, Monitoring, Kommunikation) — als Leitfaden, nicht als zertifizierbare Norm. Im Tagesgeschäft brauchst du vor allem einen Ort, an dem diese Logik lebt — nicht ein weiteres PDF.
Geschäftsrisiken statt nur IT-Risiken
Klassisches ISMS-Risikomanagement dreht sich um Informationen, Assets und Schutzbedarf. ERM ist breiter: strategische, operative, finanzielle, Compliance- und Reputationsrisiken — verknüpft mit Organisationseinheiten und Prozessen, nicht mit Servern.
Auf der Plattform bedeutet das: ein eigenes Modul Geschäftsrisikomanagement, parallel zum ISMS. Cyber und IT bleiben relevant (z. B. als Aggregationsthema in der Früherkennung), der Vorstands-Blick ist aber über das gesamte Risikouniversum.
Der normale Arbeitstag
Risiko erfassen
Ein Lieferantenengpass, ein Regulierungsprojekt, Konzentrationsrisiko beim Umsatz — als Geschäftsrisiko mit Owner, Kategorie, Einheit oder Prozess und einer ersten Bewertung. Freitext und KI-gestützte Agenten können den Einstieg beschleunigen; Pflege und Freigabe bleiben beim Menschen.
Appetit und Schwellen
Einmal (typisch jährlich) Risikokriterien definieren — pro Kategorie, wann ein Risiko akzeptabel ist, wann es eskaliert. Beim Speichern zeigt die Plattform, ob ihr im Appetit seid oder nicht. So entsteht keine endlose Debatte pro Einzelfall, sondern klare Regeln.
Behandeln und nachweisen
Maßnahmen, verknüpfte Kontrollen, Restrisiko, bei bewusster Akzeptanz dokumentierte Freigabe. Review-Termine sorgen dafür, dass Risiken nicht „einmal angelegt und vergessen“ werden.
KonTraG und Früherkennung in einer Oberfläche
Operativ heißt KonTraG unter anderem:
- Kennzeichnung früherkennungsrelevanter Risiken und ggf. Bestandsgefährdung
- Materialität (Management, Vorstand, Aufsichtsrat)
- gezielte Eskalation zur Leitung
Ein Früherkennungs-Cockpit bündelt diese Fälle: prüfen, Freigaben über definierte Routen, daraus Maßnahmen mit nachvollziehbarer Herkunft. Automatisierungsregeln können helfen, z. B. bei hohem Score oder finanzieller Schwelle — ohne jedes Risiko von Hand zu klassifizieren.
KRIs (Key Risk Indicators) ergänzen Einzelrisiken um Trends: Liquidität, Lieferkette, kritische offene Risiken, überfällige Behandlungen — mit Status wie ok, Warnung, kritisch.
Bericht an die Leitung: Board-Packs
Vor der Quartals- oder Jahressitzung: ein Board-Pack für die Berichtsperiode — Snapshot der relevanten Geschäftsrisiken, Früherkennungs-Themen und optional KRIs. Leitungsbeschlüsse (Kenntnisnahme, Zustimmung, Ablehnung) werden mit Status und Zeitpunkt festgehalten.
Für Prüfer und interne Revision zählt weniger der Normverweis als der nachvollziehbare Prozess: Wer hat wann was gesehen und entschieden? Das liegt in der Plattform — nicht nur in der Präsentation.
Fazit
ERM mit AktG und KonTraG ist im Kern erkennen → bewerten → steuern → berichten → nachweisen. ISO 31000 ist das Gerüst; der Alltag braucht Geschäftsrisiken, klare Appetit-Regeln, Früherkennung, Monitoring und Board-Reporting an einem Ort.
Wer Risikomanagement nicht als Jahresprojekt, sondern als laufenden Betrieb versteht, reduziert Stress vor Sitzungen — und gewinnt Substanz für echte Steuerung statt Folien-Compliance.
Willst du Geschäftsrisiken, Appetit, Früherkennung und Board-Packs in einem Tool abbilden — statt in Tabellen kurz vor der Vorstandssitzung? Teste deveca GRC kostenlos.