In unserer sich rasant wandelnden Welt voller Unsicherheiten erfordert Risikomanagement für die Top-Unternehmensentscheider viel mehr als die schlichte Erfüllung von Gesetzen und internationalen Standards. Dabei kann agiles Risikomanagement als fester Bestandteil in der Kultur von Industrieunternehmen unterstützen, deren Erfolg zu steigern.

Risikomanagement, so wie wir es heute vielfach vorfinden, hat seine Ursprünge in den zahlreichen vorausgegangenen Unternehmenskrisen und -insolvenzen. Diese haben den Gesetzgeber in Deutschland erstmals in den 1990er Jahren veranlasst, über ein vorbeugendes Gesetz nachzudenken. Herausgekommen ist dabei das Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG). Dementsprechend sind seit 1998 die geforderten Risikofrüherkennungssysteme mindestens in den Unternehmen zu verankern, die nach dem Prüfungsstandard IDW PS 340 prüfungspflichtig sind. Gemäß § 91 Absatz 2 Aktiengesetz (AktG) sind diese Früherkennungssysteme so auszugestalten, dass bestandsgefährdende Entwicklungen frühzeitig erkannt werden können. Die Einführung des KonTraG war zu seiner Zeit erforderlich und richtig für die Früherkennung der Risiken in den jeweiligen Unternehmensfunktionen und deren mögliche Auswirkungen auf das Gesamtunternehmen. Die Risiken mit ihren möglichen Schadenshöhen und Eintrittswahrscheinlichkeiten zu erfassen, war ein erster Schritt, um sie strukturiert zu priorisieren und effizient zu steuern. Zudem war es erstmals möglich, an die Anteilseigner und Kapitalgeber über die Gesamtrisikosituation mit Blick auf Planung und Risikotragfähigkeit prüffähig zu berichten.

Die meisten Industrieunternehmen in Deutschland erfüllen die ordnungsmäßigen Anforderungen an die Standards und bilden die Governance gut ab. Um bestandsgefährdende Entwicklungen frühzeitig zu erkennen, führen die Verantwortlichen regelmäßige Analysen ihrer aktuellen Risikosituation durch und betrachten dabei auch mögliche Verkettungen von Einzelrisiken. Solche Risikoaggregationen erhöhen im Falle des Risikoeintritts in der Regel die Auswirkungen, was den Impact auf die Risikotragfähigkeit verschärft.

Die Risikoanalysen in den jeweiligen Unternehmensfunktionen sowie die Entwicklung der Mitigationsstrategien erfolgen mit hoher Expertise allerdings zu häufig noch auf Einzelrisikoebene. Mit der Berichterstattung an den Aufsichtsrat und im Lagebericht endet bislang allzu oft die Beschäftigung des Vorstands mancher Unternehmen mit der Gesamtrisikosituation.

Was braucht effektive Risikosteuerung heute?

Schaut man weiter, zeigt sich, dass die bedeutenden Unternehmenskrisen und -insolvenzen, die den deutschen Gesetzgeber seinerzeit zur Verabschiedung des KonTraG veranlasst hatten, bis in die jüngere Vergangenheit überwiegend durch interne Ursachen ausgelöst wurden; beispielsweise durch Wirtschaftskriminalität und Missmanagement (Flow Tex, Neue Heimat, Balsam AG, Bremer Vulkan), Termin- und Finanzspekulationen zusammen mit fehlenden oder mangelhaften internen Kontrollsystemen (Metallgesellschaft, Barings Bank) sowie Fehlkalkulationen (Iridium Inc.).

"Die Outside-in-Perspektive auf globale Ereignisse gewinnt für Unternehmen immer mehr an Bedeutung."

Aber auch die zahlreichen Unternehmenszusammenbrüche in der Zeit nach der Einführung des KonTraG machen deutlich, dass dieses Gesetz allein nicht ausreicht, das Verhältnis von Risiko und dessen Tragfähigkeit hinreichend auszubalancieren. Die jüngsten Beispiele hierfür sind Wirecard sowie die German Property Group. Auch die weniger spektakulären Unternehmensnachrichten, die nicht wirtschaftskriminellen Ursprungs sind, führen vor Augen, wie häufig aktuelle Unternehmensziele beträchtlich von vorausgegangenen Planungen abweichen, was auf unzureichendes Risikomanagement zurückzuführen ist.

Zusätzlich schlagen in immer kürzeren Abständen aktuelle Themen wie COVID-19, Kriege, Naturereignisse, Klimawandel, grüne Transformation, der Einfluss Chinas oder veränderte politische und gesetzliche Rahmenbedingungen vehement auf die Welt und damit auf die gesamte Wirtschaft und ihre Unternehmen ein. Insolvenzen namhafter Firmen und galoppierende Einkaufspreise sind bekannte Folgen hiervon. In dieser Welt reichen die Risikoanalyse und die Risikosteuerung auf operativer Einzelrisikoebene mit entsprechender Berichterstattung bei Weitem nicht mehr aus, gezielte Managemententscheidungen richtig zu treffen. Die Outside-in-Perspektive auf globale Ereignisse gewinnt für Unternehmen immer mehr an Bedeutung, da die extern angestoßenen Risiken immer häufiger und stärker in deren Steuerung eingreifen.

Viele Unternehmen haben bislang einen gut entwickelten Reifegrad in ihrem Risikomanagementsystem erreicht. Sie haben analytische Methoden implementiert, um wesentliche Szenarien zu definieren und geeignete Maßnahmen zur Risikosteuerung zu entwickeln. Auch vorgeschaltete Frühwarnindikatoren und -systeme sind im Aufbau. Damit haben diese Unternehmen bereits eine hervorragende Basis geschaffen, ihr Risikomanagement auf die heutige Welt vorzubereiten, in der Risiken, aber auch Chancen unvorhersehbar sind. Dieser VUCA-Welt (Volatility, Uncertainty, Complexity, Ambiguity) lässt sich allerdings auch eine positive Sichtweise gegenüberstellen, die ebenfalls für VUCA steht, nämlich "Vision, Understanding, Clarity, Agility" (vergleiche Gabler Wirtschaftslexikon).

Wie Chancen und Risiken managen?

Eine Unternehmensführung wird umso erfolgreicher, je häufiger sie es schafft, Risiken zu umgehen und Chancen zu nutzen, also auf VUCA mit VUCA zu antworten. Hierfür ist es entscheidend, das Chancen- und Risikomanagement in die gesamte DNA eines Unternehmens ganzheitlich zu integrieren. Das bedeutet, dass eine entsprechende Kultur auf allen Ebenen und in allen Funktionen zu leben ist. Also: raus aus der ausschließlichen regulatorischen Pflichterfüllung, hin zur wertorientierten Unternehmenssteuerung - von der Vision über das Leitbild bis hin zu den strategischen und operativen Mittelfrist- und Budgetzielen. Dabei sollten die Anforderungen der Kunden das Denken und Handeln vor allem auch im Chancen- und Risikomanagement einer Unternehmung bestimmen. Letzteres ist auch mit den Berichtsprozessen bis zum Top-Management zu verzahnen. Ebenfalls relevant ist eine effiziente Ressourcenallokation, die mögliche Chancen heben und drohenden oder gar eintretenden Risiken begegnen kann.

Eine solche risikoorientierte Allokation von hauptsächlich Finance- und Human Capital bedeutet aber, dass Entscheider in diesem Verteilungskampf bei den finanziellen Ressourcen die sich ergebenden Chancen an den gegenüberstehenden Risiken spiegeln. Ähnliche Entscheidungen sind für das Human Capital von Relevanz. Wie viel ist eine Unternehmung bereit, in die für eine ausgeprägte Chancen- und Risikokultur erforderliche Sensibilisierung und das notwendige Mindset ihrer Mitarbeitenden zu investieren? Häufig ist es immer noch so, dass bei essenziellen Entscheidungen den Chancen und Risiken zwar Bedeutung beigemessen wird, aber eben nicht ausreichend genug. Zu häufig setzen sich Manger intensiv mit den Zielbildern und deren Erreichung auseinander. Dabei werden eher unscheinbare oder als eher unwahrscheinlich angesehene Chancen und Risiken in ihren Verkettungen als Ursache für positive oder negative Großereignisse nicht mitbedacht.

"Es ist entscheidend, das Chancen- und Risikomanagement in die gesamte DNA eines Unternehmens ganzheitlich zu integrieren."

Die Sensibilität für Chancen und Risiken ist aber nicht nur in den strategischen und operativen Entscheidungsprozessen von Bedeutung, sondern auch im operativen Geschäft. Denn hier gilt es, insbesondere negative Ereignisse frühzeitig einzuschätzen. Dabei hat das oben Gesagte gleichermaßen Gültigkeit, nämlich das Erkennen von Ursache und Wirkungsverkettungen.

Am Beispiel der "Chip-Krise" lässt sich dieses Prinzip gut erklären. Die Lieferketten für Halbleiter-Chips sind für gewöhnlich langfristig aufgebaut, weil die Chips für die Auto-, Hausgeräte- oder Computer-Hersteller keine auf dem Markt frei verfügbaren Handelswaren sind. Da ein Chip für die Einparkhilfe im Auto beispielsweise meist nicht in einem Hausgerät funktioniert, werden Chips für den jeweiligen Anwendungszweck entsprechend entwickelt. Diese Langfristigkeit der aufgebauten Lieferketten täuschte offensichtlich bei den chipverarbeitenden Industrien eine vermeintliche Sicherheit vor, die es gar nicht gab. Hätte die COVID-19-Pandemie dies nicht offenbart, hätte beispielsweise auch ein Großbrand bei einem der bedeutenden Chip-Produzenten eine solche Krise auslösen können.

Dieses Beispiel macht deutlich, dass Industrien noch nicht richtig aufgestellt sind, in Risikoursachen und -wirkungsketten zu denken. Diesbezüglich ist in vielen Organisationen noch Entwicklungsbedarf im Hinblick auf das notwendige Mindset und die erforderliche Agilität, um in einem weiteren Schritt Ursache- und Wirkungsnetzwerke entlang ihrer wertorientierten Unternehmenssteuerung mit Blick auf die Zielerreichung zu analysieren. Hierfür wird auch die Künstliche Intelligenz in einer volatilen und globalen Umwelt künftig immer mehr an Bedeutung gewinnen, um die Komplexität und Fülle der Informationen überhaupt noch systematisch deuten zu können.

Welche Steuerungsinstrumente sind erforderlich?

Erst wenn valide Netzwerke für positive oder negative Ereignisse entlang profitabler Wertschöpfungsketten einer Unternehmung eindeutig identifiziert, sorgfältig analysiert und entsprechend beschrieben zur Verfügung stehen, macht es Sinn, über die geeignete Steuerung der jeweiligen Ursache-/Wirkungsnetzwerke nachzudenken. Die Steuerungsinstrumente sind im Regelfall die Frühwarnindikatoren und -systeme. Sie sollen die geeigneten Maßnahmen auslösen, um Chancen zu ergreifen und Risiken abzuschwächen oder abzuwenden.

Die Festlegung der geeigneten Frühwarninstrumente ist, wenn sie ernsthaft betrieben wird, ein sehr komplexer und schwieriger Prozess. Insbesondere bei den qualitativen Frühwarnindikatoren ist die gesamte Organisation gefordert. Solche Indikatoren müssen regelmäßig dahin gehend überprüft werden, ob sie ihren Zweck größtmöglich erfüllen und geeigneten Stresstests standhalten. Aber auch die Wirkungsweise und die Aktualität beim Einsatz quantitativer technischer oder IT-basierter Frühwarnsysteme (Mess- und Regeltechnik, Warnmelder und so weiter) sollten in regelmäßigen Abständen entsprechend kontrolliert werden.

"Die Festlegung geeigneter Frühwarninstrumente ist, wenn sie ernsthaft betrieben wird, ein sehr komplexer und schwieriger Prozess."

Alarmmeldungen der Frühwarninstrumente in die eine oder andere Richtung dürfen nicht ins Leere laufen. Daher muss die Organisation bereits im Voraus über die zu ergreifenden Maßnahmen nachdenken und die entsprechend notwendigen Prozesse sowie Verantwortlichkeiten für deren Umsetzung in einem Playbook beschreiben und implementieren. Trotz aller Sorgfalt und Voraussicht wird es sich nicht ganz vermeiden lassen, dass sowohl erkannte als auch unerkannte Ereignisse plötzlich eintreten. Für diese Szenarien sind ebenfalls vorausschauend die zur Bewältigung notwendigen Prozesse und die hierfür erforderliche Organisation in Playbooks abzubilden.

Warum Mindset und Agilität entscheiden

Der zunehmende Wandel ist nicht mehr kontinuierlich, sondern er wird mit immer höherer Geschwindigkeit auf unsere Welt zukommen. Im Umkehrschluss bedeutet dies, dass sich Unternehmen mit immer höherem Tempo diesen Veränderungen stellen müssen. Das muss keine Gefahr darstellen oder einen Nachteil bedeuten: Wenn sich Unternehmen dieser mehrdeutigen Welt mit einer positiven Haltung stellen, werden sie nicht nur überleben, sondern sie werden auch die Chancen zum Wachstum sehen und ergreifen können. VUCA mit VUCA begegnen!

"Unternehmen müssen die ungeahnten Vorteile des offenen Umgangs mit Chancen, aber auch mit Risiken erkennen und verstehen."

Voraussetzung hierfür ist es, Risikomanagement über die gesetzlich geforderten administrativen Tätigkeiten hinaus als echtes Management von sich andeutenden Risiken und Chancen zu betrachten. Das bedarf interdisziplinärer und bedarfsgerecht aufgestellter Teams außerhalb fester Prozessstrukturen. Mit dem Vertrauen der Führung finden diese Teams ihre Motivation und Zufriedenheit in dem Ziel, bei aller Unsicherheit die Kundenanforderungen zu erfüllen oder sogar zu übertreffen. Aus dem Vertrauen heraus überträgt die Führung diesbezügliche Verantwortung und Entscheidungsbefugnis auf die Teams. Dieser Ansatz bildet die Grundvoraussetzung und ist ein erster Schritt, um Mindset und Agilität für ein Erfolg versprechendes Risikomanagement zu entwickeln.

Ein Playbook zum Beispiel, das die erforderlichen Prozesse und notwendige Organisation, die es zur Bewältigung sich abzeichnender Ereignisse braucht, beschreibt, wird nur dann erfolgreiche Ergebnisse liefern können, wenn agile Methoden und eine entsprechend agile Führung überwiegen. Erst das Raus aus dem Silo mit eingefahrenen Strukturen und das Hinein in ein interdisziplinäres Team mit flacher Hierarchie schafft den Raum, Lösungen zu formulieren für das, was bislang für "unmöglich oder abstrakt" gehalten wurde. Das Team arbeitet in abgestimmten Zyklen störungsfrei zusammen und entwickelt eine strukturierte Vorgehensweise, die stets alle Kundenbedürfnisse im Fokus behält. Als Nebeneffekt erhöht diese Vorgehensweise häufig die Motivation und die Zufriedenheit bei den Team-Mitgliedern.

Erst die COVID-19-Pandemie, nun der Krieg in der Ukraine: Dem Risikomanagement fehlt schlichtweg die Zeit, für seine Lösungen Projektorganisationen mit einem Risikomanager als Leiter aufzubauen und regelmäßige Steering Committees vorzubereiten. Die Zeit wird stattdessen gebraucht, um Lösungen in kürzeren Zyklen zu entwickeln. Und dafür braucht es ein entsprechendes Mindset und agiles Arbeiten.

Fazit

Triebfeder für die Ausübung des Chancen- und Risikomanagements in Unternehmen sollte keinesfalls nur der gesetzliche Rahmen sein. Vielmehr müssen Firmen die ungeahnten Vorteile des offenen Umgangs mit Chancen, aber auch mit Risiken und die rege Kommunikation darüber erkennen und verstehen. Der offene Umgang von der Basis bis zum Top-Management schafft zusätzliche und erweiterte Perspektiven auf das Unternehmen und sein Umfeld. Dies erhöht nicht nur die Sicherheit, die Ziele zu erreichen, sondern kann nebenher Potenziale zu Optimierungen in den Prozessen und Organisationen liefern. Für all das sollte ein Unternehmen bereit sein, in seine Kultur für ein entsprechendes Mindset und die erforderliche Agilität zu investieren.

Literatur

Gabler Wirtschaftslexikon (o. D.): VUCA, https://go.sn.pub/hoE3a2 (letzter Abruf: 16.03.2022).