Risiko-Management ist Aufgabe des Top-Managements

Die Etablierung einer offenen Risiko-Kommunikation und Risiko- Kultur sollte insgesamt eher „Top-down“ denn „Bottom-up“ erfolgen. Die Tatsache, dass die Mitglieder der obersten Führungsebene geschlossen hinter dem Thema „Risiko-Management“ stehen und ihm eine hohe strategische Priorität einräumen, stellt eine unbedingte Voraussetzung für das Gelingen dieses schwierigen Prozesses dar. Allerdings wäre es ein äußerst schwerer Fehler anzunehmen, dass sich eine gelebte Risiko-Kultur und offene Risikokommunikation quasi „auf Befehl von oben“ entwickeln könnte. Insofern stellt das Engagement des Top-Managements zwar eine notwendige, aber noch lange keine hinreichende Voraussetzung für die Erreichung dieses hoch gesteckten Ziels dar. Vielmehr lässt sich dies nur dann verwirklichen, wenn der Nutzen eines ganzheitlichen Risiko- Managements für jeden einzelnen Mitarbeiter offensichtlich und nachvollziehbar ist. Erst dann können entsprechende Denk- und Verhaltensweisen verinnerlicht werden und einen wertvollen Beitrag zum Unternehmenserfolg leisten. Wie in vielen Fällen, ist das Verhalten der „Basis“ auch beim Thema „Risiko-Kultur und Risiko-Kommunikation“ aufs Engste mit dem Risikobewusstsein auf der Top-Management-Ebene verknüpft. Werden die Führungskräfte ihrer Vorbildfunktion nicht gerecht, kann nahe liegender Weise auch von den „normalen“ Mitarbeitern nicht erwartet werden, dass sie eine offene Risiko-Kultur pflegen und risikorelevante Aspekte im Rahmen ihres täglichen Denkens und Handelns berücksichtigen. Die Hauptaufgabe des Top-Managements besteht allerdings keineswegs in der Abgabe von Lippenbekenntnissen hinsichtlich eines überlegten Umgangs mit Risiken. Ebenso wenig reicht es aus, die Mitarbeiter mit den erforderlichen Informationen zu versorgen. Eine offene Kommunikation und vertrauensvolle Zusammenarbeit muss sich insbesondere auch im Führungsstil niederschlagen. Vor allem in den nach wie vor eher hierarchisch strukturierten und Inhaber geführten Unternehmen des deutschen Mittelstands fällt die praktische Umsetzung dieser Forderung mit Sicherheit vergleichsweise schwer. Allzu oft ist hier noch die Einstellung unter den Führungskräften zu finden, dass der Hinweis eines Mitarbeiters auf potenzielle Risiken gleichzeitig einen persönlichen Angriff auf die Kompetenz seines jeweiligen Vorgesetzten darstellt oder aber als Beweis für die Unfähigkeit des betreffenden Kollegen zu werten ist. In einer Unternehmenskultur, in der das Überbringen schlechter Nachrichten mit Nachteilen für den Überbringer verbunden ist, kann eine Risiko-Kultur nicht wachsen. Im Ergebnis werden sich die Mitarbeiter bemühen, eventuelle Gefahrenpotenziale zu bagatellisieren oder vielleicht sogar ganz unter den Tisch fallen zu lassen. Die Auswirkungen eines solchen Verhaltens zeigen sich in der Regel erst, wenn das von allen „totgeschwiegene“ Risiko dann tatsächlich eingetreten ist und entsprechende Schäden verursacht hat.

Empirische Ergebnisse zum Stand des Risiko-Managements
Eine aktuelle Studie (Marsh Risiko-Management-Studie 2004) des international tätigen Versicherungsmaklers Marsh zeigt, dass mehr als die Hälfte der befragten mittelständischen Unternehmen in Europa daran zweifelt, die Risiken zu beherrschen, mit denen ihr Unternehmen am stärksten konfrontiert ist. Obwohl 60 Prozent der Unternehmen ihre Risiken häufiger analysieren als noch vor zwei Jahren, konzentrieren sich diese Analysen hauptsächlich auf herkömmliche Bereiche wie Gefahrenrisiken und Finanzrisiken. So investieren beispielsweise 75 Prozent der Unternehmen in die Minimierung des Verletzungs-, Unfall- und Invaliditätsrisikos ihrer Mitarbeiter, obwohl nur 35 Prozent der Unternehmen dies für ein wesentliches Risiko halten. 54 Prozent der befragten Unternehmen investieren in die Minimierung des Risikos, steuerliche Informationspflichten zu erfüllen, obwohl nur 23 Prozent der Unternehmen dies für ein wesentliches Risiko halten. In Abbildung 1 sind die wichtigsten Bereiche, die derzeit nicht ausreichend vom Risiko-Management erfasst werden, zusammengefasst. Die Marsh-Studie kommt eindeutig zu dem Ergebnis, dass die Unternehmen ihre Risiken zwar häufiger analysieren, sich jedoch nicht notwendigerweise auf die Bereiche fokussieren, die ihren künftigen Geschäftserfolg gefährden. In der Praxis besteht die größte Hemmschwelle für Risiko-Management bei den strategischen Risiken. Die Besorgnis der europäischen Führungskräfte und Risiko- Manager ist berechtigt, die Zahlen der „Fortune 1000“- Unternehmen aus dem Jahr 2001 zeigen: Betrachtet wurden 100 Unternehmen, deren Aktienkurs um 25 Prozent gesunken ist. Mehr als ein Drittel der Kursverluste ging auf eine Veränderung der Kundennachfrage und verstärkten Wettbewerb zurück. Nur 6 Prozent entfielen auf Gefahren und Finanzrisiken (Quelle: Compustat/Mercer Management Consulting analysis 2001). Basierend auf dem sich rasch wandelnden Marktumfeld und der sich rapide veränderten Risiko-Landkarte, sehen sich die Entscheidungsträger durch neue Wettbewerber aus Übersee, den raschen technologischen Wandel sowie unsichere wirtschaftliche Rahmenbedingungen mit enormen Herausforderungen konfrontiert. Abbildung 2 zeigt die unterschiedlichen Reaktionsmöglichkeiten der Unternehmen auf die veränderte Risiko-Landkarte. Hierbei werden die Risiko-Management-Ansätze von „sehr konservativ“ bis „sehr vorausschauend“ beschrieben.

Die wichtigsten Bereiche, die derzeit nicht ausreichend vom Risiko-Management erfasst werden

Qualitative Analyse in acht europäischen Ländern  Die konservative Mehrheit der untersuchten mittelständischen Unternehmen betrachtet Risiko-Management vor allem vor dem Hintergrund abgeschlossener Versicherungsverträge sowie der Einhaltung technischer Vorschriften. Die Marsh-Studie skizziert für diese Unternehmen die folgenden typischen Vorgehensweisen:

• Der Finanzvorstand führt jährlich oder unmittelbar nach einem Schaden Risiko-Analysen durch und konzentriert sich dabei in der Regel auf Finanzrisiken sowie klassisch versicherbare Risiken. Die Studie zitiert die Aussage der Entscheidungsträger eines italienischen Produktionsunternehmens: „Die Risiko-Prüfung erfolgt einmal im Jahr … wenn die Versicherung abläuft … Die Einstellung gegenüber Risiken ist unverändert … Risiko ist eine negative Sache und hat keine positiven Aspekte.“
• Die Verantwortung für Gefahrenrisiken wird an eine niedrigere Hierarchiestufe delegiert. Die Marsh-Studie zitiert die Entscheidungsträger eines niederländischen Unternehmens aus der Automobilindustrie: „Wesentliche Risiken sind Produkthaftung, Unternehmerhaftung und Betriebsunterbrechung … [Wir sehen] keine neuen Risiken …Wir werden von unseren Versicherungsmaklern beraten und sind damit zufrieden.“
• Risiko-Management ist kein integraler Bestandteil der Unternehmensführung. Die Marsh-Studie zitiert ein italienisches Verlagsunternehmen: „Wir gehen keine Risiken ein, um unser Umsatzpotenzial oder unsere Erträge zu steigern. In unseren Augen müssen Risiken beseitigt werden, um das Geschäft zu stabilisieren.“
• Risiken werden im Unternehmen nicht systematisch angegangen. In der Marsh-Studie wird der Finanzdirektor einer britischen Einzelhandelskette zitiert: „… unser Risiko-Management ist besser, weil wir darüber nachdenken, anstatt darüber zu schreiben.“

Die Studie kommt zu dem Besorgnis erregenden Ergebnis, dass jedes vierte europäische Unternehmen seine Risiken nur unregelmäßig analysiert und einen eher reaktiven Ansatz im Risiko- Management verfolgt. Die Unternehmen werden erst dann aktiv, wenn das „Kind bereits in den Brunnen gefallen ist“. Von den 15 Prozent der befragten Unternehmen, die angaben, dass sie in den letzten drei Jahren einen Großschaden erlitten hatten, jedes vierte europäische Unternehmen führt Risiko-Analysen auf Ad-hoc-Basis durch

besitzt fast ein Drittel immer noch keinen Notfall- oder Katastrophenplan. Warum die Unternehmen aus Fehlern nicht lernen und auf Wettbewerbsvorteile verzichten, beantwortet die Studie leider nicht. Lediglich eine kleine Gruppe von fortgeschrittenen Unternehmen betreibt Risiko-Management pro-aktiv und betrachtet Risiko-Management als strategisches Instrument, um Wettbewerbsvorteile zu erzielen. Fortschrittlich operierende Unternehmen überprüfen ihre Risiken regelmäßig auf Vorstandsebene, und das Risiko- Management ist in den betrieblichen Entscheidungsprozess eingebunden.

Die bewusste Suche nach Risiken
Die Prozessphase der Risiko-Identifikation umfasst eine möglichst vollständige und kontinuierliche Erfassung aller Gefahrenquellen, Störpotenziale und Schadensursachen eines Unternehmens, die sich negativ auf das Erreichen der Unternehmensziele (etwa die Steigerung des Unternehmenswertes) auswirken können. Hierbei sind die Risiken des gesamten Unternehmens, d.h. einschließlich sämtlicher betrieblicher Prozesse und Funktionsbereiche, zu identifizieren. Die Risiko-Identifikation sollte prozessorientiert erfolgen und in unterschiedliche Risiko-Bereiche untergliedert werden (etwa Unternehmensführung, Einkauf, Fertigung, Infrastrukturbereiche, Marketing, Qualitätsmanagement, Brandschutz, Arbeitsschutz, Umweltschutz, EDV, Transport). Hierbei sollten auch die Wirkungszusammenhänge zwischen den Einzelrisiken analysiert werden. Eine mangelhafte Risiko-Identifikation wird sich immer auch negativ auf die folgenden Phasen des Risk Management- Prozesses auswirken. Die Prozessphase der Risiko-Identifikation und -Bewertung (häufig auch als Risiko-Analyse bezeichnet) spielt eine Schlüsselrolle im gesamten Risiko-Management-Prozess, da sie die Informationsgrundlage für alle risikopolitischen Entscheidungen liefert. Ein Risiko kann schließlich nicht gesteuert werden, wenn man nicht weiß, dass es überhaupt besteht. Die Technik der Risiko- Identifikation muss auf die spezifische Risiko-Situation des Unternehmens abgestimmt sein. Insbesondere sollten möglichst alle Risiken erfasst werden und schnell zu präzisen und zu verwertbaren Ergebnissen aggregiert werden. Auf Grund der sich ständig ändernden Unternehmenssituation ist die Prozessphase der Identifikation eine kontinuierliche Aufgabe, die ein fester Bestandteil der Unternehmensprozesse sein sollte. Erst eine Integration in die sonstigen Steuerungsprozesse des Unternehmens wird zu einer höheren Akzeptanz bei den betroffenen Mitarbeitern führen. Ein wichtiges Instrument zur Risiko-Identifikation sind Frühwarnsysteme, mit deren Hilfe Frühwarnindikatoren (etwa externe Größen wie Zinsen oder Konjunkturindizes, aber auch interne Faktoren wie etwa Fluktuation im Management oder Forderungspositionen bzw. -ausfälle) ihren Benutzern rechtzeitig latente (d.h. verdeckt bereits vorhandene) Risiken signalisieren, so dass noch hinreichend Zeit für die Ergreifung geeigneter Maßnahmen zur Abwendung oder Reduzierung der Bedrohung besteht. Frühwarnsysteme verschaffen dem Unternehmen Zeit für Reaktionen und optimieren somit die Steuerbarkeit eines Unternehmens. Da häufig auch latente Chancen signalisiert werden, spricht man auch von Früherkennung. Wird zusätzlich noch der Prozessschritt der Risiko-Steuerung und Risiko-Kontrolle berücksichtigt, d.h. die entsprechenden Maßnahmen zur Realisierung der Chancen bzw. der Abwehr/Minderung der Bedrohungen, so wird der Begriff Frühaufklärung verwendet. Moderne Frühwarnsysteme basieren auf neuronalen Netzwerken, deren Strukturen und Funktionen sich an den Nervennetzen lebender Organismen orientieren.

Ein Vorteil etwa des menschlichen Gehirns ist, dass auch dann noch korrekte Ergebnisse geliefert werden, wenn es zu einem Ausfall einiger für die Problemlösung notwendiger Nervenzellen kommt. Selbst wenn bestimmte Daten ungenau sind, also etwa ein Text durch Verschmutzung unleserlich geworden ist, kann das Gehirn den Text noch erkennen. Das Ziel solcher künstlichen Netzwerke ist die Simulation der „massiv parallelen“ Informationsverarbeitung im Gehirn unter Berücksichtigung der Lernfähigkeit. Neuronale Netze zeichnen sich durch eine hohe Fehlertoleranz und die verteilte Wissensrepräsentation aus, wodurch ein zerstörtes Neuron nur einen relativ kleinen Wissensausfall bedeutet.

Frühaufklärung, Früherkennung und Frühwarnung