Der Grundstein eines erfolgreichen Risikomanagements ist das Vorhandensein einer unternehmensspezifisch gestalteten Risiko­strategie. Sie bestimmt die Definitionen der Begriffe Risiko und Chance und stellt ein Glossar zur Verfügung, um eine einheitliche Verständnisbasis innerhalb des Unternehmens zu schaffen.

Darüber hinaus wird eine Obergrenze für eingehende Risiken definiert sowie Grundsätze bestimmt, wie mit diesen umgegangen werden soll (Risikominimierung, Risikobehebung, Risikovermeidung, Risikoakzeptanz).

Von der Risikostruktur wird die Risikokultur abgeleitet, die dazu dient, das Risikobewusstsein der Mitarbeiter innerhalb des Unternehmens(bereiches) zu stärken. Es werden Verhaltensweisen definiert, um das Bewusstsein und die Bereitschaft zu steigern, Bedrohungen wahrzunehmen und zu melden.

Die Identifikation ist zusammen mit der Bewertung die wichtigste Phase im Risikomanagementprozess und gehört zur Risikoanalyse. Hier geht es darum, frühzeitig bestehende und potenzielle Risiken aufzulisten, die sich negativ oder positiv auf die Existenz des Unternehmens oder die Unternehmensziele auswirken können. Dabei betrachtet man sowohl interne als auch externe Bedrohungen.

Für die Risikoanalyse bedient man sich unterschiedlichen Methoden und Instrumenten, beispielsweise der SWOT-Analyse oder Potenzialanalyse. So lassen sich kunden- und marktspezifische Risiken ermitteln sowie anhand der Bestimmung unternehmensinterner Stärken und Schwächen strategische Erfolgsfaktoren des Unternehmens herausarbeiten.

Im Anschluss an die Risikoidentifikation werden im vorigen Schritt ermittelten Risiken analysiert und bewertet. Bei der Analyse geht es darum, diese ihrem Gefährdungspotenzial nach zu priorisieren, um die kritischsten Bedrohungen vorrangig zu steuern. Folgende Kennzahlen spielen bei der Bewertung eine wichtige Rolle: Eintritts­wahrscheinlichkeit, Schadenshöhe und Schadens­erwartungswert. Zudem sollten mögliche Wechsel­beziehungen mit anderen Risiken ermittelt werden, da sich diese verstärken oder kompensieren können.

Die Einschätzung der potenziellen Ergebniseffekte erfolgt in der Praxis sowohl qualitativ als auch quantitativ, ggf. mit beiden Verfahren. Um die Risikopotenziale zu visualisieren und als Grundlage für strategische Entscheidungen, eignet sich die Ansicht in einer Risikomatrix.

Im Anschluss wird mithilfe der Risikoaggregation die Gesamt­risikoposition und damit die Risikotragfähigkeit des Unternehmens ermittelt.

Ist die Phase der Risikobewertung abgeschlossen, werden geeignete Steuerungsmaßnahmen für die negativen und positiven Risiken bestimmt und eingeleitet, mit dem Ziel eine positive Veränderung der aktuellen Risiko­situation zu bewirken. Abgeleitet von der im Vorfeld festgelegten Strategie, wird für jedes Risiko entschieden, wie damit umgegangen werden soll. Ist es vernachlässigbar und kann akzeptiert werden? Muss es auf jeden Fall vermieden werden? Kann es durch entsprechende Gegenmaßnahmen gezielt verringert werden?

Bei den Arten der Steuerungsmaßnahmen kann man zwischen proaktiven und reaktiven Maßnahmen unterscheiden. Beim Ersteren handelt es sich um Aktivitäten, die bereits vor Eintritt des Risikos eingeleitet werden. Das Ziel dieser Aktivitäten ist es vor allem bei mittleren und großen Risiken die Eintrittswahrscheinlichkeit zu minimieren bzw. zu erhöhen. Reaktive Maßnahmen werden dagegen erst dann umgesetzt, wenn ein Risiko bereits eingetreten ist.

Bei der Risikoüberwachung geht es darum, in regelmäßigen, zuvor festgelegten Abständen zu überprüfen, ob bzw. welche Veränderungen der Risiken die getroffenen Maßnahmen gebracht haben. Man betrachtet die Veränderungen der Eintritts­wahrscheinlichkeiten der einzelnen gefährlichen Ereignisse sowie die Tendenz, in welche Richtung die Höhe des potenziellen Schadens gewandert ist. Anhand dieser Betrachtung können mögliche Verbesserungs­potenziale identifiziert und umgesetzt werden. Ebenfalls kann man feststellen, ob eventuell neue Risiken zum Vorschein gekommen sind.

Die Überwachung des Risikomanagements gibt Aufschluss über die Funktionsfähigkeit des Prozesses und seine Wirksamkeit. Anhand der Ergebnisse dieser Kontrolle können Schlüsse über Verbesserungs­methoden und die Weiter­entwicklung des Risikomanagement­prozesses gezogen werden.

Zuletzt wird ein ausführlicher Bericht über die festgestellten Ergebnisse erstellt und den Verantwortlichen überreicht. Der Bericht liefert den Status Quo der Risiko­situation im Unternehmen sowie daraus abgeleitete Verbesserungs­vorschläge und sorgt somit für eine angemessene Kommunikation innerhalb der Organisation.