Nachhaltigkeitsrisiken im Risikomanagement: Warum Unternehmen ihre Compliance-Systeme jetzt neu denken müssen

Nachhaltigkeitsrisiken sind kein neues Phänomen – wohl aber ihre rechtliche Bedeutung. Während ESG-Themen (Environmental, Social, Governance) lange Zeit vor allem im Nachhaltigkeitsbericht oder der Unternehmenskommunikation verortet wurden, verändern die europäischen Regulierungen die Perspektive grundlegend. Mit der Corporate Sustainability Reporting Directive (CSRD) und der Corporate Sustainability Due Diligence Directive (CSDDD) entstehen neue Pflichten, Nachhaltigkeitsaspekte systematisch zu analysieren, zu dokumentieren und in unternehmerische Entscheidungsprozesse einzubinden.

Für Unternehmen bedeutet das vor allem eines: Nachhaltigkeit und Risikomanagement dürfen nicht länger getrennt betrachtet werden.

Die eigentliche Herausforderung liegt nicht im Reporting

Viele Diskussionen rund um die CSRD konzentrieren sich auf die Nachhaltigkeitsberichterstattung. Tatsächlich ist die Berichterstattung jedoch lediglich das sichtbare Ergebnis eines deutlich umfassenderen Prozesses.

Die European Sustainability Reporting Standards (ESRS) verlangen, dass Unternehmen nachvollziehbar erläutern, wie wesentliche Nachhaltigkeitsthemen identifiziert wurden, welche Risiken und Chancen daraus entstehen und wie diese gesteuert werden. Ohne belastbare Prozesse im Risiko- und Compliance-Management ist eine prüfbare Berichterstattung kaum möglich.

Die regulatorische Herausforderung besteht daher weniger darin, einen Bericht zu erstellen, sondern darin, die zugrunde liegenden Governance- und Risikostrukturen entsprechend weiterzuentwickeln.

CSRD und CSDDD verfolgen unterschiedliche Ziele – greifen aber ineinander

In der Praxis werden beide Regelwerke häufig gleichgesetzt. Tatsächlich verfolgen sie unterschiedliche Zwecke.

Die CSRD verpflichtet Unternehmen zur transparenten Berichterstattung über wesentliche Nachhaltigkeitsthemen nach den ESRS. Im Mittelpunkt stehen Transparenz, Vergleichbarkeit und die sogenannte doppelte Wesentlichkeit.

Die CSDDD hingegen verpflichtet betroffene Unternehmen dazu, menschenrechtliche und umweltbezogene Risiken innerhalb ihrer Geschäftstätigkeit, ihrer Tochtergesellschaften und – in definiertem Umfang – ihrer Aktivitätskette risikobasiert zu identifizieren, zu verhindern, zu mindern und zu überwachen.

Gerade diese Unterscheidung ist für das Risikomananagement entscheidend: Während die CSRD vor allem Transparenz über bestehende Prozesse verlangt, begründet die CSDDD konkrete unternehmerische Sorgfaltspflichten.

Nachhaltigkeitsrisiken unterscheiden sich von klassischen Unternehmensrisiken

Traditionelle Risikomanagementsysteme bewerten Risiken überwiegend danach, welche Auswirkungen sie auf das Unternehmen haben. Die ESRS erweitern diesen Blickwinkel erheblich.

Unternehmen müssen künftig zwei Perspektiven berücksichtigen:

• Financial Materiality (Outside-In): Welche Nachhaltigkeitsentwicklungen beeinflussen die wirtschaftliche Lage des Unternehmens? Beispiele sind Klimarisiken, regulatorische Änderungen oder steigende Energiekosten.
• Impact Materiality (Inside-Out): Welche wesentlichen Auswirkungen hat das Unternehmen selbst auf Umwelt und Gesellschaft? Dazu gehören unter anderem Treibhausgasemissionen, Menschenrechte, Arbeitsbedingungen oder Auswirkungen auf Biodiversität.

Erst die Kombination beider Perspektiven bildet die Grundlage der doppelten Wesentlichkeitsanalyse nach den ESRS.

Die doppelte Wesentlichkeit verändert den Blick auf Risiken grundlegend. Unternehmen müssen künftig zwei Fragestellungen parallel beantworten: Welche Nachhaltigkeitsentwicklungen können den Unternehmenserfolg beeinflussen – und welche Auswirkungen hat das Unternehmen selbst auf Umwelt und Gesellschaft? Erst das Zusammenspiel beider Perspektiven schafft die Grundlage für fundierte Entscheidungen, ein wirksames Risikomanagement und eine nachvollziehbare Nachhaltigkeitsberichterstattung.

Die größte Lücke liegt häufig nicht im System, sondern in der Vernetzung

Viele Unternehmen verfügen bereits über etablierte Managementsysteme:

• Compliance Management
• Enterprise Risk Management
• Internes Kontrollsystem (IKS)
• Qualitätsmanagement
• Datenschutz
• Informationssicherheit
• Hinweisgebersysteme
• Lieferantenmanagement

In der Praxis arbeiten diese Systeme jedoch häufig weitgehend unabhängig voneinander. Genau hier entstehen Doppelarbeiten, Informationsverluste und Inkonsistenzen.

Ein Beispiel:

Stellt das Lieferantenmanagement Hinweise auf mögliche Menschenrechtsverletzungen fest, müssen diese Informationen gegebenenfalls gleichzeitig

• im Compliance-Management bewertet,
• in die Risikoanalyse aufgenommen,
• im Rahmen der CSDDD berücksichtigt,
• in der Wesentlichkeitsanalyse bewertet und
• gegebenenfalls in der CSRD-Berichterstattung erläutert werden.

Werden diese Informationen nicht zentral zusammengeführt, entstehen unnötige Medienbrüche und ein erheblicher Dokumentationsaufwand.

ESG-Risiken sind zunehmend Governance-Risiken

Die eigentliche Veränderung liegt daher weniger in neuen Risikoarten als in deren unternehmerischer Steuerung.

Aufsichtsgremien und Geschäftsleitungen müssen künftig stärker nachweisen können,

• welche ESG-Risiken bekannt sind,
• wie diese bewertet wurden,
• welche Maßnahmen beschlossen wurden,
• wie deren Wirksamkeit überwacht wird und
• auf welcher Informationsgrundlage Entscheidungen getroffen wurden.

Damit rückt die Qualität der Governance zunehmend in den Mittelpunkt. Eine lückenhafte Dokumentation oder inkonsistente Prozesse können nicht nur die Nachhaltigkeitsberichterstattung erschweren, sondern auch Fragen nach der Angemessenheit der Unternehmensorganisation aufwerfen.

Digitalisierung wird zum Enabler – nicht zum Selbstzweck

Mit zunehmender regulatorischer Komplexität steigen auch die Anforderungen an Dokumentation, Nachvollziehbarkeit und Aktualität. Viele Unternehmen verwalten Risiken, Maßnahmen, Kontrollen und ESG-Daten noch in voneinander getrennten Tabellen oder Fachanwendungen. Das funktioniert häufig so lange, wie einzelne Anforderungen isoliert betrachtet werden.

Sobald jedoch Informationen aus verschiedenen Managementsystemen zusammengeführt, Verantwortlichkeiten nachvollzogen oder Prüfpfade dokumentiert werden müssen, stoßen dezentrale Lösungen organisatorisch an Grenzen.

Digitale GRC-Plattformen können hierbei unterstützen, indem sie Risiken, Maßnahmen, Kontrollen und Nachweise in einer gemeinsamen Datenbasis zusammenführen. Entscheidend ist jedoch nicht die Software selbst, sondern ein konsistentes Governance-Modell mit klar definierten Verantwortlichkeiten und Prozessen.

Handlungsempfehlungen für Unternehmen

Unternehmen sollten ihre bestehenden Risiko- und Compliance-Strukturen daraufhin überprüfen, ob Nachhaltigkeitsaspekte bereits systematisch integriert sind. Dabei helfen insbesondere folgende Fragestellungen:

1. Sind ESG-Risiken Bestandteil des bestehenden Risikomanagementprozesses oder werden sie separat betrachtet?
2. Lassen sich Ergebnisse der Wesentlichkeitsanalyse mit bestehenden Risiko- und Compliance-Prozessen verknüpfen?
3. Sind Verantwortlichkeiten zwischen Nachhaltigkeit, Compliance, Risikomanagement und Revision eindeutig geregelt?
4. Werden Entscheidungen und Maßnahmen revisionssicher dokumentiert?
5. Können Risiken, Maßnahmen und Berichtsanforderungen konsistent miteinander verknüpft werden?

Je früher diese Fragen beantwortet werden, desto geringer wird der spätere Umsetzungsaufwand.