Fragebogen fragt, ob wir ein Risikomanagementsystem haben, was zählt als Antwort

Formelles System oder nur eine Risikobewertung

Das unterscheidet sich je nach Fragebogen, aber in den meisten Fällen wird nicht gefragt, ob Sie jemals Risiken bewertet haben — es wird gefragt, ob dies auf strukturierte, wiederholbare Weise geschieht. Ein System in diesem Sinne bedeutet: Risiken wurden identifiziert, es gibt eine Methode, um sie zu bewerten (Wahrscheinlichkeit und Auswirkung), es gibt damit verbundene Maßnahmen, und es wird regelmäßig überprüft. Einmal ein Risiko aufgrund dieses Fragebogens aufgelistet zählt normalerweise nicht als "System"; ein fester Bestandteil des Geschäftsbetriebs — auch wenn es nur eine jährliche Aktualisierung eines Excel-Überblicks mit Verantwortung pro Risiko ist — zählt normalerweise als solches.

Bei CSRD-ähnlichen Fragebögen (abgeleitet vom Basismodul von EFRAG VSME) wird Risikomanagement oft speziell für Nachhaltigkeitsthemen gefragt: Klima, Menschenrechte in der Lieferkette, Governance. Haben Sie diesen Prozess nur für finanzielles oder operatives Risiko eingerichtet und nicht für Nachhaltigkeit, dann ist "nein" oft die ehrliche Antwort auf jenen spezifischen Teil, auch wenn Sie ansonsten durchaus Risikomanagement betreiben. Einige Kunden stellen dies als separate Frage, andere als Teil eines breiteren Blocks über wer im Vorstand sitzt und wie dieser zusammengesetzt ist — Governance und Risikomanagement werden in Fragebögen regelmäßig kombiniert, weil die Kontrollstruktur oft auch das Risikomanagement überwacht.

Was das Basismodul von VSME und das Geldwäschegesetz als Nachweis verlangen

Das Basismodul von EFRAG VSME verlangt nach einer Beschreibung von Richtlinien und Praktiken, nicht nach einem zertifizierten System wie ISO 31000 — eine kurze, sachliche Beschreibung, wie Risiken identifiziert und verwaltet werden, reicht in den meisten Fällen aus. Kommt die Frage von einer Bank oder einem Versicherer, ist der Link oft bei dem Gesetz zur Bekämpfung der Geldwäsche und der Terrorismusfinanzierung anzutreffen: dieses verpflichtet den Kunden selbst zur Kundensorgfalt, und der Kunde möchte daher oft wissen, ob Ihre eigene Organisation Risiken — einschließlich Integritätsrisiken — beherrschbar hält. Haben Sie kein separates Risikomanagementsystem, aber einzelne Komponenten wie eine Sanktionsrichtlinie oder einen Meldekanal, dann ist es oft genauer, diese einzelnen Komponenten zu benennen, als ein System vorzuschlagen, das es nicht gibt.