Wie viel Risikomanagement braucht mein Unternehmen?

Aktives Risikomanagement hilft Unternehmen, mit Unsicherheiten umzugehen, operative und strategische Ziele zu erreichen und die Leistung des Managementsystems zu verbessern [1]. Es ist somit ein wichtiger Baustein zur Sicherung des unternehmerischen Erfolgs. Andererseits liefert Risikomanagement keinen direkten Mehrwert, sondern schafft nur indirekt durch die Vermeidung von Risiken oder die Ausnutzung von Chancen einen Wert für das Unternehmen. Damit stellt sich die Frage nach der optimalen Balance zwischen Aufwand für das Risikomanagement und den daraus erzielten Nutzen.
Gesetzliche Anforderungen beispielsweise aus dem Aktiengesetz [2] liefern leider keine ausreichenden Hinweise, wie diese Optimierungsaufgabe für das individuelle Unternehmen zu lösen ist. Einen hilfreichen Leitfaden bietet hingegen der Reifegradansatz für das Risikomanagement: Die Entwicklungsstufen des Modells lassen sich direkt mit Strukturen und Eigenschaften eines Unternehmens verknüpfen. Damit können Anforderungen an ein effektives Risikomanagement-System formuliert werden.

Reifegrad Stufe 1: Das lineare Unternehmen

Der ersten Stufe des Reifegradmodells entsprechen Unternehmen, die durch lineare Strukturen gekennzeichnet sind. Solche Unternehmen sind in der Regel vergleichsweise klein, haben ein begrenztes Produkt- bzw. Serviceportfolio und bedienen einen klar umrissenen Markt. Aufgrund dieser Rahmenbedingungen lassen sich die Risiken, die sich aus dem Umfeld sowie den internen Abläufen ergeben, gut von einer Person überblicken.
Die korrespondierenden Anforderungen an ein Risikomanagement-System sind mit entsprechend geringem Aufwand zu erfüllen. Das Unternehmen muss dafür Sorge tragen, dass es zumindest eine Person gibt, die systematisch die relevanten Risiken erfasst und bewertet. Darüber hinaus muss sichergestellt sein, dass diese Person in Entscheidungsprozesse eingebunden ist und die Risikoinformationen so in die Entscheidungen einfließen.

Reifegrad Stufe 2: Das verzweigte Unternehmen

Unternehmen der zweiten Stufe weisen verzweigte Strukturen auf. Diese Verzweigung kann sich in der Trennung verschiedener Funktionen (z.B. Entwicklung – Fertigung – Vertrieb), parallel vermarkteten Produkten bzw. Serviceangeboten oder der Bedienung unterschiedlicher Märkte manifestieren. In der Folge ist das Unternehmen nicht mehr einfach für eine einzelne Person in ausreichender Detailtiefe zu überblicken; jeder der resultierenden Zweige für sich weist jedoch weiterhin die Merkmale eines linearen Unternehmens auf.
Um ein effizientes Risikomanagement in einem solchen Unternehmen gewährleisten zu können, müssen Verantwortlichkeiten aufgeteilt werden: in jedem Zweig sollte eine Person die Rolle eines Risikomanagers übernehmen, die für das Erfassen, Bewerten und Adressieren von Risiken in dem jeweiligen Bereich verantwortlich ist. Um sicher zu stellen, dass dies in allen Bereichen des Unternehmens vergleichbar durchgeführt wird, müssen Prozesse und Werkzeuge für das Risikomanagement in ausreichender Weise definiert werden. Innerhalb der Zweige sind die Risikomanager dafür verantwortlich, dass Risikoinformationen in Entscheidungsprozesse einfließen. Damit dies auch auf der obersten Unternehmensebene geschieht, ist ein Ablage- bzw. Berichtssystem notwendig, damit die Informationen aus den untergeordneten Bereichen auch für übergeordnete Entscheidungen zur Verfügung stehen.

Reifegrad Stufe 3: Das Matrix-Unternehmen

Das komplexe Unternehmen ist durch eine Matrixstruktur geprägt. Informations- und Entscheidungswege verlaufen hier nicht mehr linear entlang der Hierarchie, sondern sowohl horizontal als auch vertikal. In der Folge gibt es viele Schnittstellen, an denen Informationen ausgetauscht werden müssen, und Entscheidungen werden zunehmend dezentral gefällt. Damit müssen auch Risikoinformationen an vielen unterschiedlichen Stellen verfügbar sein und die Anzahl an Entscheidungsträgern, die mit diesen Informationen umgehen muss, um Risiken und Chancen* im Sinne des Unternehmens effektiv zu managen, steigt.
Um diesen Anforderungen gerecht werden zu können, muss das Risikomanagement-System über harmonisierte Werkzeuge und Prozesse verfügen. Schnittstellen zwischen verschiedenen Bereichen und Vererbungsregel müssen klar definiert sein. Auch müssen Risikoinformationen allen Entscheidungsträgern in aktueller Form zugänglich sein. Gleichzeitig muss das Wissen und die methodischen Fähigkeiten zum Umgang mit Risiken und Chancen – von der Identifikation und Bewertung bishin zur Einbindung in Entscheidungsprozesse – ausreichend weit im Unternehmen gestreut sein, damit sowohl die Qualität der verfügbaren Risikoinformationen als auch deren adäquate Nutzung gewährleistet werden kann.

Reifegrad Stufe 4: Das riskante Unternehmen

Unternehmen der vierten Stufe zeichnen sich durch ein hohes Risikoniveau aus. Das bedeutet, dass das Unternehmen systematisch Chancen auszunutzen versucht, indem es kalkuliert Risiken eingeht, deren Eintreten das Unternehmen als Ganzes oder in Teilen gefährden kann.
Ein wesentlicher Bestandteil des Geschäftsmodells solcher Unternehmen besteht darin, ein optimales Verhältnis von Chancen und Risiken herzustellen. Dazu sind die Anforderungen an ein Matrix-Unternehmen nicht nur für das Risiko- sondern auch für das Chancenmanagement zu erfüllen. Außerdem sollten Messgrößen existieren, die die Effektivität des Risiko- und Chancenmanagements darstellen. Diese Messgrößen sollten selbstverständlich überwacht werden.

Reifegrad Stufe 5: Das Risiko-Unternehmen

Unter dem Stichwort Risiko-Unternehmen können zwei unterschiedliche Unternehmenstypen zusammengefasst werden: zum einen Unternehmen, deren Kerngeschäft das Managen von Risiken ist, zum anderen solche, bei denen das Eintreten von Risiken katastrophale Auswirkungen auf das Umfeld hat.
In beiden Fällen ist die Effektivität des Risikomanagements von zentraler Bedeutung. Um sicherzustellen, dass diese so hoch wie möglich ist, sollte eine systematische und kontinuierliche Prozessverbesserung für das Risikomanagement auf der Basis adäquater Kenngrößen installiert sein – bei Unternehmen mit dem Kerngeschäft Risikomanagement sollte dies auch das Chancenmanagement beinhalten.