Der Grundstein eines erfolgreichen Risikomanagements ist das Vorhandensein einer unternehmensspezifisch gestalteten Risikostrategie. Sie bestimmt die Definitionen der Begriffe Risiko und Chance und stellt ein Glossar zur Verfügung, um eine einheitliche Verständnisbasis innerhalb des Unternehmens zu schaffen.

Darüber hinaus wird eine Obergrenze für eingehende Risiken definiert sowie Grundsätze bestimmt, wie mit Risiken umgegangen werden soll (Risikominimierung, Risikobehebung, Risikovermeidung, Risikoakzeptanz).

Von der Risikostruktur wird die Risikokultur abgeleitet, die dazu dient, das Risikobewusstsein der Mitarbeiter innerhalb des Unternehmens(bereiches) zu stärken. Es werden Verhaltensweisen definiert, um das Bewusstsein und die Bereitschaft zu steigern, Risiken wahrzunehmen und zu melden.

Die Identifikation der Chancen und Risiken ist zusammen mit der Bewertung der wichtigste Schritt im Risikomanagementprozess. Hier geht es darum, frühzeitig bestehende und potenzielle Risiken aufzulisten, die sich negativ oder positiv (Chancen) auf die Existenz des Unternehmens oder die Unternehmensziele auswirken können. Dabei betrachtet man sowohl interne als auch externe Bedrohungen.

Für die Risikoidentifikation bedient man sich unterschiedlichen Methoden und Instrumenten, beispielsweise der SWOT-Analyse oder Potenzialanalyse. So lassen sich kunden- und marktspezifische Risiken ermitteln sowie anhand der Bestimmung unternehmensinterner Stärken und Schwächen strategische Erfolgsfaktoren des Unternehmens herausarbeiten.

Im Anschluss an die Risikoidentifikation werden im vorigen Schritt ermittelten Risiken bewertet. Dabei geht es darum, die Risiken ihrem Gefährdungspotenzial nach zu priorisieren, um die kritischsten Bedrohungen vorrangig zu steuern. Folgende Kennzahlen spielen bei der Bewertung eine wichtige Rolle: Eintrittswahrscheinlichkeit, Schadenshöhe und Schadenserwartungswert. Zudem sollten mögliche Wechselbeziehungen mit anderen Risiken ermittelt werden, da sich diese verstärken oder kompensieren können.

Die Einschätzung der potenziellen Ergebniseffekte erfolgt sowohl qualitativ als auch quantitativ, ggf. mit beiden Verfahren. Um die Risikopotenziale zu visualisieren und als Grundlage für strategische Entscheidungen, eignet sich die Ansicht in einer Risikomatrix.

Im Anschluss wird mithilfe der Risikoaggregation die Gesamtrisikoposition und damit die Risikotragfähigkeit des Unternehmens ermittelt.

Sobald die Bewertung abgeschlossen ist, werden geeignete Steuerungsmaßnahmen für die negativen und positiven Risiken bestimmt und eingeleitet, mit dem Ziel eine positive Veränderung der aktuellen Risikosituation zu bewirken. Abgeleitet von der im Vorfeld festgelegten Strategie, wird für jedes Risiko entschieden, wie damit umgegangen werden soll. Ist das Risiko vernachlässigbar und kann akzeptiert werden? Muss das Risiko auf jeden Fall vermieden werden? Kann ein Risiko durch entsprechende Gegenmaßnahmen gezielt verringert werden?

Bei den Arten der Steuerungsmaßnahmen kann man zwischen proaktiven und reaktiven Maßnahmen unterscheiden. Beim Ersteren handelt es sich um Aktivitäten, die bereits vor Eintritt des Risikos eingeleitet werden. Das Ziel dieser Aktivitäten ist es vor allem bei mittleren und großen Risiken die Eintrittswahrscheinlichkeit zu minimieren bzw. bei Chancen zu erhöhen. Reaktive Maßnahmen werden dagegen erst dann umgesetzt, wenn ein Risiko bereits eingetreten ist.

Bei der Überwachung geht es darum, in regelmäßigen, zuvor festgelegten Abständen zu überprüfen, ob bzw. welche Veränderungen der Risiken und Chancen die getroffenen Maßnahmen gebracht haben. Man betrachtet die Veränderungen der Eintrittswahrscheinlichkeiten der einzelnen Risiken sowie die Tendenz, in welche Richtung die Höhe des potenziellen Schadens gewandert ist. Anhand dieser Betrachtung können mögliche Verbesserungspotenziale identifiziert und umgesetzt werden. Ebenfalls kann man feststellen, ob eventuell neue Risiken zum Vorschein gekommen sind.

Die Überwachung des Risikomanagements gibt Aufschluss über die Funktionsfähigkeit des Prozesses und seine Wirksamkeit. Anhand der Ergebnisse können Schlüsse über Verbesserungsmethoden und die Weiterentwicklung des Risikomanagementprozesses gezogen werden.

Zuletzt wird ein ausführlicher Bericht über die festgestellten Ergebnisse erstellt und an die Verantwortlichen weitergeleitet. Der Bericht liefert den Status Quo der Risikosituation im Unternehmen sowie daraus abgeleitete Verbesserungsvorschläge und sorgt somit für eine angemessene Kommunikation innerhalb der Organisation.