(BGBl I 1998/24)

Um die Bestimmungen des KonTraG effizient und testierfähig umzusetzen, empfiehlt sich eine Orientierung an nachfolgendem Phasenmodell:

1. Bestimmung der Beobachtungsbereiche
Die Beobachtungsbereiche innerhalb des Unternehmens werden durch im Unternehmen vorliegenden Funktionsbereiche abgegrenzt (Beschaffung, Verwaltung, IT (EDV), Produktion, Absatz, usw.). Die Beobachtungsbereiche außerhalb des Unternehmens (politische und ökonomische Rahmenbedingungen sowie Situationen auf Beschaffungs- und Absatzmärkten) werden identifiziert.

2. Risikoanalyse
Identifizieren und Bewerten der strategischen Risiken sowie der Business- Prozess-Risiken; Ermittlung der kritischen Erfolgsfaktoren; Durchführung einer Jahresabschlussanalyse. Als Ergebnisse dieser Phase ergeben sich Risikokatalog, Risikoinventar und Risikoportfolio.

3. Risikoaggregation
Ermittlung der Redundanzen; Ableitung der Korrelationen; Systematisierung der Risiken; Diskussion der Annahmen; Aggregation der Risiken; Monte-Carlo-Simulation. Als Ergebnis dieser Phase ergeben sich Risikohitparade, Unternehmensmodell sowie eine Gesamtrisikoübersicht mit Darstellung der Auswirkungen der einzelnen Risiken auf G + V und Cash Flow.

4. Risikobewältigung
Ermittlung und Beurteilung der bisherigen Maßnahmen gemäß den Anforderungen aus dem KonTraG in Form einer Standortbestimmung. Erarbeitung von Handlungsalternativen. Als Ergebnis dieser Phase ergeben sich Handlungsbedarfsmatrix, Unternehmenskonzept und Maßnahmenkatalog.

5. Systemarchitektur
Präsentation der Ergebnisse der Phase "Risikobewältigung"; Zuordnung von Verantwortlichkeiten; Konzeption eines Risikoerfassungs- und überwachungssystems; Erarbeitung von Regelungen zur Berichterstattung. Dabei werden auch Risikopolitik und Risikokommunikation festgelegt. Als Ergebnis dieser Phase entstehen ein Konzeptentwurf für Aufbau- und Ablauforganisation sowie ein Risikohandbuch (z.B. in Gestalt einer Risikocheckliste s.a. ...).

6. Systemgestaltung- und implementierung
Gestaltung und Implementierung eines DV-gestützten Risikomanagementsystems. Bei der Auswahl von Standardsoftware sind folgende Systemeigenschaften zu berücksichtigen:

Flexibilität (bezüglich der Verwendung von Risikoklassen, anzulegenden Risiken, Schwellenwerten, zu implementierender Risikokommunikationsstrukturen, usw.)

Plattformunabhängigkeit (Unabhängigkeit bzw. leichte Portierbarkeit des Systems über Hardwareplattformen hinweg)

Verfügbarkeit und Anbindungsmöglichkeiten (Gerade bei Unternehmen mit mehreren Standorten , komplexen Gesellschafts- und Konzernstrukturen ist auf eine zentrale Datenhaltung sowie auf einfache Anbindungsmöglichkeiten zu achten)