Unter Risikomanagement-Organisation ist die organisatorische Verankerung des Risikomanagements im Unternehmen zu verstehen. Nach Integriertes Risikomanagement von KPMG gliedert sich die Risikomanagement-Organisation in „Risikopolitische Grundsätze“, die „Risikomanagement-Funktion, das „Risikomanagement in den Unternehmensbereichen und –prozessen“ und die „Interne Revision“, deren gemeinsame Voraussetzung die im Unternehmen verbreitete „Risiko- und Kontrollkultur“ ist, die als die Gesamtheit des Wissens, der Fähigkeiten und der Einstellung der Mitarbeiter zu sehen ist. Nur wenn ein positives Risikobewusstsein, gepaart mit den entsprechenden Kompetenzen, in der Mitarbeiterschaft des Unternehmens einschließlich der Führung vorhanden ist, kann Risikomanagement erfolgreich sein.
Risikopolitische Grundsätze Die risikopolitischen Grundsätze des Unternehmens sind Verhaltensregeln, die alle Mitarbeiter des Unternehmens zu risikobewusstem Handeln anleiten sollen. Diese Grundsätze sind eng mit der generellen strategischen Ausrichtung des Unternehmens verknüpft, da das kontrollierte Eingehen von Risiken auch die Basis für den geschäftlichen Erfolg des Unternehmens ist. Die Formulierung der risikopolitischen Grundsätze ist Aufgabe der Unternehmensleitung.
Risikomanagement-Funktion Die Riskomanagement-Funktion ist eine zentrale Instanz, entweder direkt bei der Geschäftsleitung angesiedelt oder einem Risikoverantwortlichen übertragen. Der Risikomanagement-Funktion obliegt die Konzeption und Dokumentation des Risikomanagementssystems und ist hauptverantwortlich für die Risikoberichterstattung. Sie unterstützt die Risikoverantwortlichen in den Unternehmensbereichen und –prozessen.
Risikomanagement in den Funktionsbereichen und –prozessen Wegen der engen Verknüpfung des Risikomanagements in die Abläufe und Prozesse des Unternehmens wird die Verantwortung für das operative Risikomanagement zweckmäßigerweise in den operativen Arbeitsbereichen selbst übernommen. Die für die Unternehmensbereiche und Unternehmensprozesse Verantwortlichen sind auch die Verantwortlichen für das Risikomanagement in ihrem Zuständigkeitsbereich.
Interne Revision Als prozessunabhängiges Kontrollorgan des Risikomanagements fungiert die interne Revision. Sie überprüft die Wirksamkeit und Effizienz der Risikomanagementmaßnahmen. In welcher Form die interne Revision im Unternehmen organisiert ist, als eigene Abteilung oder von Externen, hängt von der Organisation des Unternehmens ab. Auf jeden Fall sollte die Existenz einer unabhängigen Überprüfung des Risikomanagements sichergestellt sein.