Risikoanalyse: So erkennen Sie die wichtigsten Complianc ... / 2 Konkreter Ablauf einer Risikoanalyse

Um den genauen Ablauf einer Risikoanalyse zu verstehen, ist es zunächst wichtig zu klären, was genau unter dem "Risiko" zu verstehen ist. Gemäß der Definition in der ISO 31000 wird Risiko als das Produkt aus Schaden und Eintrittswahrscheinlichkeit definiert. Dies bedeutet, dass es nicht nur entscheidend ist, ob überhaupt ein Risiko in einem bestimmten Bereich besteht, sondern auch, wie hoch die Wahrscheinlichkeit ist, dass das Risiko eintritt und welche Schäden im Falle des Eintretens entstehen können. Die Risikoanalyse lässt sich daher grundsätzlich in 2 konkrete Schritte unterteilen: die Identifizierung des Risikos und dessen Bewertung.

1. Innerhalb des ersten Schritts müssen die Verantwortlichen einen konkreten Prozess oder Arbeitsbereich dahingehend betrachten, ob ein Risiko eines Compliance-Verstoßes besteht. An dieser Stelle können die Ergebnisse der Strukturanalyse herangezogen werden, um einen konkreten Überblick über die Prozesse und dazugehörigen gesetzlichen Regelungen zu erhalten. Zunächst muss also eine Ursache oder ein Umstand bestehen, aus dem sich ein konkretes Risiko ergeben kann. Eine solche Risikoquelle kann z. B. durch technisches Versagen oder aber durch menschliche Fehlhandlungen entstehen. Aber auch Bedrohungen von außerhalb, wie z. B. Naturkatastrophen oder Pandemien müssen in diesen Prozess einbezogen werden. Die Ermittlung der Umstände führt dazu, dass sich ein spezielles Risiko ermitteln lässt. Das bedeutet, dass aus dem konkreten Umstand ein Problem entstehen könnte, welches jedoch bisher nicht eingetreten ist. Diese präventive Vorgehensweise führt i. d. R. dazu, dass unbekannte Fehlerquellen rechtzeitig ermittelt und behoben werden können. Nachdem die möglichen Risiken festgestellt wurden, muss eine Eintrittswahrscheinlichkeit festgelegt werden. Hierbei kommt es insbesondere auf die jeweiligen Gegebenheiten des Unternehmens an sowie auf die Art des Risikos. So sind z. B. Risiken durch Naturereignisse und höhere Gewalt naturgemäß schlechter kalkulierbar als Risiken, die durch die eigenen Mitarbeiter entstehen.
2. In einem zweiten Schritt müssen die ermittelten Risiken dann anhand der Eintrittswahrscheinlichkeit und der möglichen Schadenshöhe bewertet werden. Das bedeutet, dass eine Abwägung erfolgen muss, welcher Schaden durch das Risiko entsteht und welche Konsequenzen durch den Schaden entstehen. An dieser Stelle müssen z. B. Risiken, die zum Verlust von personenbezogenen Daten führen, verschärft behandelt werden im Vergleich zu Datenverlustrisiken, die lediglich das eigene Unternehmen betreffen.

Nach der Durchführung einer Risikoanalyse haben Verantwortliche einen detaillierten Überblick darüber,

• welche Risiken im Unternehmen bestehen,
• mit welcher Wahrscheinlichkeit die Risiken eintreten können,
• welche Schäden durch die Risiken entstehen können und
• welche Auswirkungen die Schäden auf das Unternehmen haben können.

2.1 1. Schritt: Das Risiko identifizieren

Zu Beginn müssen Verantwortliche die Risiken für Compliance-Verstöße in ihrem Unternehmen identifizieren. Dabei sollte sich die Vorgehensweise am Aufbau einer Strukturanalyse orientieren. Falls bei der Strukturanalyse eine Unterteilung in Arbeitsbereiche vorgenommen wurde, so sollte die Risikoanalyse demselben Schema folgen. Andernfalls kann die Analyse anhand konkreter Handlungen und Prozesse durchgeführt werden. Im ersten Schritt müssen sich Verantwortliche folgende Fragen stellen:

Wie verhält sich das Unternehmen in dieser Situation und könnte dieses Handeln zu einem Compliance-Verstoß führen?

Häufig zeigt sich bereits in diesem Stadium, dass viele unbekannte Probleme existieren. Dies liegt daran, dass den Verantwortlichen oft nicht bewusst ist, dass einzelne Handlungen oder Arbeitsweisen bereits das Risiko eines Compliance-Verstoßes bergen.

Praxis-Beispiel

Risikoidentifikation bei Geschäftsessen

Ein alltägliches Beispiel hierfür ist der Umgang mit Einladungen zu Geschäftsessen: Geschäftsessen mit Geschäftspartnern sind heutzutage alltägliche Prozesse und stellen nicht von Anfang an ein korruptes Verhalten dar. Allerdings können häufige und insbesondere teure oder extravagante Einladungen den Anschein einer Bestechung hervorrufen oder sogar den Eingeladenen tatsächlich beeinflussen. Verantwortliche sollten die Situation daher unter folgenden Aspekten betrachten:

• Wie häufig kommt es in unserem Unternehmen zu Geschäftsessen?
• Werden wir eingeladen oder laden wir ein?
• Um welche Preiskategorie handelt es sich?
• Erscheinen nur die Mitarbeiter oder auch deren Familien?

Insbesondere bei teuren Geschäftsessen, Übernachtungen sowie der Anwesenheit von Familienmitgliedern kann schnell der Anschein erweckt werden, dass es sich um korruptes Verhalten handelt. Wird ein solches Risiko im Unternehmen festgestellt, sollte anhand der Häufigkeit beurteilt werden, wie hoch die Eintrittswahrscheinlichkeit eines Bestechungsvorwurfes ist.

2.2 2. Schritt: Das Risiko bewerten

Nach der Ermittlung potenzieller Risiken sollte in einem nächsten Schritt eine Bewertung der Risiken erfolgen. Das bedeutet, dass die Risiken in konkrete Risikobere...