Risiken wurden bisher vor allem auf Grundlage von Erfahrungswerten erkannt und beurteilt. Ein klar definiertes Vorgehen bestand dabei nicht durchgehend. Die Dokumentation erfolgte je nach Bereich unterschiedlich oder nur teilweise. Dadurch fehlte eine einheitliche Basis, um Risiken nachvollziehbar zu erfassen, zu bewerten und weiterzuverfolgen. Gleichzeitig zeigte sich der Bedarf nach einer Lösung, die verständlich bleibt, klare Verantwortlichkeiten unterstützt und sich mit vertretbarem Aufwand in den Verwaltungsalltag integrieren lässt.

Zunächst wurden theoretische Grundlagen zur Risikoidentifikation, Bewertung, Dokumentation und Überwachung untersucht. Anschliessend wurden bestehende interne Richtlinien und Vorgaben analysiert sowie sechs Mitarbeitende aus verschiedenen Aufgabenbereichen interviewt. Die Erkenntnisse aus Theorie, Dokumentenanalyse und Interviews wurden zusammengeführt und in konkrete Anforderungen an das zukünftige Vorgehen übersetzt. Auf dieser Grundlage entstand ein zehnstufiges Konzept zur Durchführung von Risikoanalysen, das anschliessend am Kreditorenprozess praktisch getestet wurde.

Das entwickelte Konzept beschreibt die Durchführung einer Risikoanalyse in zehn aufeinander aufbauenden Schritten. Es reicht von der Vorbereitung und Festlegung des Analyseumfangs über die Risikoidentifikation sowie Brutto- und Nettobewertung bis zur Dokumentation im Risikoregister und der späteren Überprüfung. Ergänzende Checklisten unterstützen eine einheitliche und nachvollziehbare Anwendung. Beim Praxistest im Kreditorenprozess wurden 19 Risiken identifiziert und bewertet. Dabei zeigte sich, dass bereits bestehende Kontrollen, darunter das Vier-Augen-Prinzip, elektronische Visumsworkflows sowie Plausibilitäts- und Sichtprüfungen, viele Risiken wirksam reduzieren. Die Anwendung bestätigte die grundsätzliche Praxistauglichkeit des Konzepts und zeigte, dass die einzelnen Schritte verständlich aufeinander aufbauen. Gleichzeitig sind weitere Anwendungen auf andere Verwaltungsprozesse und spätere Überprüfungen sinnvoll. Mit dem Konzept erhält die Auftraggeberschaft eine strukturierte Grundlage, um Risiken künftig einheitlich zu erfassen, zu bewerten, zu dokumentieren und regelmässig zu aktualisieren.