Risikomanagement

Begriff und Bedeutung des Risikomanagements als Führungsaufgabe

Risiken sind untrennbar mit jeder unternehmerischen Tätigkeit verbunden und können den Prozess der Zielsetzung und Zielerreichung negativ beeinflussen. Sie resultieren ursachenbezogen aus der Unsicherheit zukünftiger Ereignisse - wobei dies regelmäßig mit einem unvollständigen Informationsstand einhergeht - und schlagen sich wirkungsbezogen in der Möglichkeit negativer Abweichungen von einer festgelegten Zielgröße nieder. Werden Risiken nicht rechtzeitig erkannt und bewältigt, können sie die erfolgreiche Weiterentwicklung der Unternehmung gefährden, sogar in Krisen im Sinne von überlebenskritischen Prozessen einmünden (Unternehmungskrise, siehe auch Krisenmanagement).

Risikomanagement im weiteren Sinn beinhaltet den Umgang mit allen Risiken, die aus den Führungs- und Durchführungsprozessen in einer Unternehmung entstehen können und beschränkt sich nicht nur auf die Handhabung versicherbarer Risiken (Insurance Management). Während die Unternehmungsführung grundsätzlich die Realisierung der generellen Unternehmungsziele verfolgt, will das generelle Risikomanagement als ein Bestandteil der Führung eine Abweichung von diesen Zielen verhindern.

Die Notwendigkeit eines Risikomanagements ergibt sich aus einer Reihe gesetzlicher Bestimmungen (z.B. Bilanzrechtsmodernisierungsgesetze, BilMoG und BilReg, Sarbanes-Oxley-Act, TransPuG, Mindestanforderungen an das Risikomanagement MARisk (BA), IFRS), aus Anforderungen des Deutschen Coporate Governance Kodex (DCGK), aus dem IDW PS 340 sowie den DIN ISO Normen 31000. In besonderer Weise ist die Bedeutung eines institutionalisierten Risikomanagements durch die Regelungen des 1998 in Kraft getretenen Gesetzes zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) hervorgehoben. So hat der Vorstand bzw. die oberste Führung in vergleichbaren Gesellschaftsformen nach § 91 II AktG „geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden”. Diese Verpflichtung als Teil des Compliance Managements (Compliance) umfasst die Einrichtung sowie den Betrieb eines Risikomanagementsystems, dessen Prozess sich am allgemeinen Führungsprozess orientiert und in einzelne Phasen unterteilbar ist.

Prozess des Risikomanagements

Grundsätzlich lassen sich die vier Phasen der Risikoidentifikation, Risikobewertung, Risikosteuerung und Risikokontrolle unterscheiden, begleitet durch eine Risikopolitik und eine Prozessüberwachung (vgl. Abbildung „Risikomanagement-Kreislauf“).

Bild in Originalgröße zeigen

Ausgangspunkt und zugleich Rahmen eines jeden Risikomanagements sollte die Formulierung einer unternehmungsspezifischen Risikopolitik sein. Diese berücksichtigt den Sicherheitsgedanken in der Unternehmung, indem sie die Grundsätze für den Umgang mit Risiken - aber auch mit Chancen - vorgibt und sowohl auf Bereichsebene als auch auf Gesamtunternehmungsebene festlegt, in welchem Verhältnis Chancen und Risiken eingegangen werden dürfen und welche maximalen Risikoausprägungen in Kauf genommen werden sollen.

Die Phase der Risikoidentifikation umfasst die Sammlung aktueller und zukünftiger, (potenzieller und latenter) Risiken. Sie stellt dadurch den wichtigsten Schritt im Rahmen des Risikomanagements dar, denn ihr Ergebnis ist entscheidend für die in allen nachfolgenden Prozessschritten ablaufenden Tätigkeiten. Instrumente, die zur Identifikation von Risiken eingesetzt werden können, sind neben Analysen (Unternehmungsanalyse, Umfeldanalyse) und Prognosen (insbes. Szenariotechnik) v.a. die Frühaufklärung. Letztere hat neben einer frühzeitigen Erfassung verdeckt bereits vorhandener Risiken auch eine Ortung latenter Chancen sowie die Sicherstellung der Einleitung entsprechender Maßnahmen zur Risiko-/Chancensteuerung zum Inhalt. Sie kann operativ - auf Basis von Kennzahlen, Hochrechnungen und Indikatoren - sowie strategisch - auf Basis von "Weak Signals" - ausgerichtet sein.

Um eine Auswirkung auf die Unternehmung abschätzen zu können, müssen die identifizierten Risiken bewertet werden. Die Bewertung erfolgt üblicherweise in den Dimensionen der Eintrittswahrscheinlichkeit (E) und der möglichen Schadenshöhe (S) bei Eintritt. Kann wegen mangelnder Datenbasis keine quantitative Einschätzung (z.B. über Risikomaße wie den Value-at-Risk oder Cash-Flow-at-Risk) erfolgen, müssen die Risiken anhand von qualitativen Größen umschrieben werden. Eine Visualisierung durch Risikoportfolios erweist sich dabei hilfreich. Wichtig erscheint im Rahmen der Bewertung ferner die Analyse und Beurteilung des Zusammenwirkens einzelner Risiken auf die Unternehmung. Nicht selten ergeben sich nämlich aus einer Interaktion wenig bedeutsamer Einzelrisiken im Ergebnis bestandsgefährdende Risiken, die andere Maßnahmen der Risikosteuerung erfordern (Unternehmungskrise).

Im Rahmen der Risikosteuerung müssen Möglichkeiten gefunden werden, die eine Reaktion auf das identifizierte und bewertete Risikospektrum erlauben und gleichzeitig im Einklang mit der festgelegten Risikopolitik stehen. Durch unterschiedliche Strategien und Maßnahmen soll aktiv versucht werden, das Verhältnis von Chancen und Risiken auszugleichen und die Risikostrategie an die Gesamtunternehmungsstrategie anzupassen. Dabei stehen einer Unternehmung grundsätzlich vier verschiedene Steuerungsmöglichkeiten zur Auswahl: Vermeidung mit gleichzeitigem Geschäftsverzicht, Verminderung, Überwälzung z.B. auf eine Versicherung oder das Selbsttragen des Risikos.

Die Risikokontrolle soll gewährleisten, dass die tatsächliche Risikosituation der Unternehmung mit der geplanten Risikoprofilsituation übereinstimmt. Zur Unterstützung der Kontrolle ist es sinnvoll, ein Berichtswesen in der Unternehmung zu implementieren, das die Risikosituation aufzeigt, die Risiken im Zeitablauf darstellt und einen Gesamtüberblick ermöglicht.

Der Prozess des Risikomanagements unterliegt einer - im KonTraG gleichfalls vorgesehenen - Überwachung, die üblicherweise von der internen Revision (Compliance) als neutrale Prüfungsinstanz in der Unternehmung vorgenommen wird. So wird die Qualität und Funktionsfähigkeit des Risikomanagements sowie die Adäquanz der eingesetzten Risikomanagement-Instrumente überwacht und sichergestellt.

Prozessbegleitend ist eine Risikokommunikation im Unternehmen erforderlich, die eine rechtzeitige Weiterleitung der relevanten Informationen an die jeweils Verantwortlichen sicherstellt und das Risikobewusstsein in der Unternehmung stärken soll.

Institutionalisierung

Risikomanagement als Institution kennzeichnet den oder die Träger dieser Führungstätigkeit. Organisatorisch kann das Risikomanagement in einer separaten (Zentral-)Abteilung oder innerhalb eines anderen Aufgabenbereichs (z.B. Controlling) verankert sein. Die letztendliche Gesamtzuständigkeit und Gesamtverantwortung für das Risikomanagement bleibt jedoch zwingend bei der obersten internen und externen Führung.

Anwendungsstand

Während im Rahmen von (börsennotierten) Großunternehmungen von einem flächendeckenden Vorhandensein eines institutionalisierten Risikomanagements ausgegangen werden kann, erscheint im deutschen Mittelstand diesbezüglich noch erheblicher Nachholbedarf zu bestehen. So verfügen - nach einer Umfrage im Jahr 2011 - etwa 50% der mittelständischen Unternehmungen noch nicht über ein ausreichend institutionalisiertes Risikomanagementsystem und sehen den Aufbau sowie den Betrieb eines solchen Systems eher als eine Aufgabe der operativen Bereiche, weniger dagegen als eine Aufgabe der obersten Führung (Vorstand, Geschäftsführung). Eine Studie der DAX30-Unternehmen aus dem Jahr 2010 kommt hingegen zu dem Ergebnis, dass zwei Drittel der Unternehmungen dem zentralen Risikomanagement eine so große Bedeutung einräumen, dass Risikomanagementstellen oder Abteilungen existieren, die ausschließlich mit Risikomanagementaufgaben betraut sind und dabei überwiegend als Abteilung direkt unter dem Vorstand organisiert sind.