Viele Unternehmen unterschätzen, wie weitreichend die Entscheidung für ein Enterprise-Risk-Management-System tatsächlich ist. Oft wird sie behandelt wie eine Softwareauswahl: ◆ Welche Workflows werden unterstützt? ◆ Wie sehen die Reports aus? ◆ Gibt es Rollen- und Berechtigungskonzepte? ◆ Können Risiken, Maßnahmen und Kontrollen dokumentiert werden? Das ist alles wichtig. Aber es greift zu kurz. Ein ERM-System entscheidet nicht nur darüber, wie Risiken dokumentiert werden. Es entscheidet mit darüber, wie sich das Risikomanagement eines Unternehmens in den nächsten Jahren entwickeln kann. Denn ein System prägt: ◆ welche Bewertungsmethoden praktisch nutzbar sind ◆ welche Daten überhaupt strukturiert entstehen ◆ ob qualitative Einschätzungen dominieren oder analytische Modelle möglich werden ◆ wie gut Risikomanagement an Controlling, Strategie, Compliance oder operative Steuerung anschließen kann ◆ ob Berichte nur dokumentieren oder echte Entscheidungsunterstützung leisten ◆ ob neue Methoden wie Risikomodelle, Szenarioanalyse oder KI sinnvoll integriert werden können In vielen Fällen entwickelt sich das Risikomanagement eines Unternehmens über Jahre synchron mit dem Anbieter des Systems. Wenn der Anbieter methodisch stagniert, stagniert auch das Risikomanagement beim Kunden. Wenn das System nur periodische Risikoabfragen, Heatmaps und Standardberichte unterstützt, wird es sehr schwer, daraus später ein entscheidungsorientiertes, quantitativ belastbares und lernfähiges Risikomanagement zu entwickeln. Das Problem zeigt sich meist nicht im ersten Jahr nach der Einführung. Es zeigt sich nach fünf oder zehn Jahren. Dann sind Prozesse, Datenstrukturen, Berichtsformate, Rollenmodelle und interne Routinen so stark mit dem System verwoben, dass methodische Weiterentwicklung plötzlich nicht mehr nur eine fachliche Frage ist, sondern ein Migrationsprojekt. Deshalb sollte die Auswahl eines ERM-Systems nicht nur fragen: „Kann das System unseren heutigen Prozess abbilden?“ Sondern vor allem: „Welche Art von Risikomanagement macht dieses System in zwei bis fünf Jahren möglich?“ Denn ein gutes ERM-System dokumentiert nicht nur den Status quo. Es eröffnet Entwicklungspfade.
Dieser Beitrag ist zuerst auf LinkedIn erschienen. Dort ansehen und mitdiskutieren