Ein vernachlässigtes Feld
Ein Unternehmen führen heißt Chancen nutzen und Risiken vermeiden. Beide werden Sie sowohl inner- als auch außerhalb Ihrer Firma antreffen. Weil die vernetzten Einheiten eines modernen Unternehmens ein äußerst komplexes Gebilde darstellen, ist es schwierig geworden, Chancen und Risiken zu lokalisieren. Ausschläge in beide Richtungen sind häufiger als früher: Erfolge im Zeitraffer wie die weltweite Expansion von Google sind in der globalisierten Wirtschaft ebenso möglich wie die existenzbedrohende Schieflage von Giganten wie General Motors. Das Thema Chancen wird traditionellerweise vom Absatz- und Vertriebsbereich eines Unternehmens verfolgt, wohingegen das Thema Risiken ein vergleichsweise neues Feld der betriebswirtschaftlichen Forschung ist. Um zu lernen, wie sich Risiken beherrschen lassen, sollten Sie nicht erst auf wissenschaftliche Ergebnisse warten, sondern sich an Best-Practice-Beispielen orientieren.
Der Begriff des Risikos
Natürlich gehört der verantwortliche Umgang mit Risiken seit jeher zu den essenziellen Managementaufgaben. Allerdings bewegen sich Unternehmen heute auf einem deutlich höheren Gefahrenniveau als früher. Je nachdem, in welcher Sprache man die Herkunft des Wortes „Risiko“ erforscht, bedeutet der Begriff „Gefahr laufen, wagen“ (lat.), „streiten, widerstreben“ (vorromanisch) oder „Klippe“ (gr.). Außerdem hat er in jeder Wissenschaft – ob Theologie, Mathematik, Rechts- oder Politikwissenschaft – eine spezifische Bedeutung. Die ökonomische Bedeutung im heutigen Sprachgebrauch erlangte der Begriff im 14. Jahrhundert in Norditalien, zunächst unter Bezug auf die Schifffahrt. Damals wie heute bedeutet Risiko ein negatives Ereignis oder – allgemein ausgedrückt – eine negative Abweichung vom Erwartungswert. Das ist die enge Definition. In einem breiter gefassten Verständnis lassen sich in dem Begriff sowohl negative als auch positive Möglichkeiten erkennen: Eine riskante Anlagestrategie bietet gleichzeitig hohe Ertragschancen. Zwischen Risiko und Unsicherheit gibt es aber eine definierte Grenze: Für riskante Ereignisse sind die Wahrscheinlichkeiten bekannt, für unsichere nicht. Sie sollten sich darüber bewusst sein, dass Sie viele Entscheidungen in Unsicherheit treffen müssen. Die Eintrittswahrscheinlichkeiten lassen sich oft nicht kalkulieren.
Risikotypen im Überblick
Um sich einen Überblick über die Risikolage Ihres Unternehmens zu verschaffen, sollten Sie verschiedene Risikotypen unterscheiden können. Es gibt interne und externe strategische Risiken (z. B. Marktveränderungen, Outsourcing), operationelle Risiken (z. B. Gerichtsprozesse, menschliches Versagen) und finanzwirtschaftliche Risiken (z. B. Bonität, Kreditzinsen, Wechselkurse, Rohstoffpreise). Der Prozess des Risikomanagements besteht aus den beiden Schritten Risikocontrolling (Analyse der Risiken) und Risikosteuerung (Veränderung der Risiken). Im Risikocontrolling berechnen Sie beispielsweise mithilfe von Szenarioanalysen die strategischen Risiken, während für operationelle Risiken Instrumente wie Value at Risk zum Einsatz kommen. Die Risikosteuerung hat zum Ziel, ein optimales Verhältnis von Risiko und Ertrag zu erreichen. Das ist Chefsache und eine Aufgabe, die Sie als Unternehmensführer wahrzunehmen haben. Ob Sie bestimmte Risiken vermeiden, minimieren oder übernehmen wollen, können und müssen Sie selbst entscheiden. Wie sehr Sie Risiken „hedgen“ (absichern) oder transferieren können, hängt von Ihren Instrumenten ab. Für strategische Risiken lässt sich in der Regel keine Versicherungspolice abschließen, sehr wohl aber für operationelle. Finanzwirtschaftliche Risiken wiederum können Sie mit Instrumenten wie Anleihen oder Derivaten mindern. Ein Joint Venture kann das Verlustrisiko einer Investition auf mehrere Schultern verteilen.
Risikomanagement gestern und heute
Um nicht nur einzelne Risiken verfolgen und eingrenzen zu können, sondern den großen Überblick zu bekommen, setzen Firmen immer stärker auf unternehmensweite Risikomanagementsysteme (Enterprise-wide Risk Management, ERM). Diese berücksichtigen nicht nur sämtliche Risiken, sondern auch deren wechselseitige Beeinflussung. Dank der Fortschritte in der Informationstechnologie können auch Datenfluten komplexer Gebilde analysiert werden – selbst die Wettervorhersage und damit der Katastrophenschutz haben sich dadurch stark verbessert.
„Risiken und Chancen für Unternehmen haben sich in den vergangenen Jahren stark erhöht.“
Eine solche ganzheitliche Sicht für das Management von Risiken ist eine relativ junge Entwicklung. Erste Ansätze eines Risikomanagements gab es allerdings schon um 3000 v. Chr., als es wichtig wurde, mit den Eventualitäten im Handel umgehen zu können. Die Phönizier streuten die finanziellen Risiken von Schiffsreisen, indem sie, organisiert als Schutzgemeinschaften, gemeinsam für den Verlust von Schiffsladungen aufkamen. Personenversicherungen gab es bereits im alten Griechenland und im Römischen Reich. Im Mittelalter tauchten erste Policen auf, mit denen sich Bauern gegen Naturkatastrophen wie Dürren versichern konnten. Als in der Renaissance das arabische Zahlensystem das römische ablöste, entwickelte sich die wissenschaftliche Risikoforschung – etwa durch Studien zur Wahrscheinlichkeit bei Glücksspielen. Einen standardisierten Handel mit Optionen gibt es seit dem 17. Jahrhundert. Heute wächst die Zahl und Komplexität von Derivaten, die ebenso Spekulationszwecken wie dem Risikomanagement dienen, rasend schnell.
Der Rechtsrahmen wird enger
Das Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG), das im deutschen Aktienrecht verankert ist, schreibt bestimmten Kapitalgesellschaften seit 1998 ein Überwachungssystem vor, mit dem sie „den Fortbestand gefährdende Entwicklungen“ erkennen können. Sie müssen also ein Frühwarnsystem einrichten und in einem jährlichen Lagebericht über Risiken informieren. Diese Vorschrift ist eine von vielen, um Unternehmen und Aktionäre vor zu großen Risiken zu bewahren: Anlegerschutzverbesserungsgesetz, Bilanzrechtsreformgesetz, Vorstandsvergütungs-Offenlegungsgesetz, Rechnungslegungsstandards etc. Auch US-Gesetze wie der Sarbanes-Oxley Act von 2002 beeinflussen die Risikopolitik deutscher Unternehmen, sofern diese in den USA börsennotiert sind oder dort Wertpapiere vertreiben.
„Risiko ist die Abweichung (sowohl positiv als auch negativ) eines zukünftigen Ereignisses von dem erwarteten Ausgang eines Ereignisses.“
Der Gesetzgebungstrend zeigt: Offenbar ist es nicht selbstverständlich, dass Manager von allein verantwortungsvoll mit den ihnen anvertrauten Unternehmenswerten umgehen. Das belegt eine Vielzahl von Fällen, in denen die kurzfristige Gewinnmaximierung – inkl. des dazugehörigen Bezahlungssystems – Manager zu fatalen Fehlentscheidungen verleitete. Die rechtlichen Auflagen dürfen nicht auf die leichte Schulter genommen werden. Falls Sie im Unternehmen besondere Verantwortung tragen, können Sie bei Missachtung oder Unterlassung der Regeln verurteilt werden. Der Strafkatalog beinhaltet Ordnungsgelder, Geldbußen (bis zu 50 000 €) und sogar Haftstrafen (bis drei Jahre). Als Meilenstein der verschärften Rechtsprechung gilt das Urteil des Bundesgerichtshofs gegen die Vorstände der Infomatec AG aus dem Jahr 2004: Sie hatten mit fingierten Großaufträgen den Kurs der Aktie manipuliert. Erstmals wurden in Deutschland Vorstände persönlich haftbar gemacht.
Entscheidungsprozesse dokumentieren
Aufsichtsräte, Vorstände, Geschäftsführer und Führungskräfte mit ähnlich verantwortungsvollen Aufgaben sollten also in ihrem eigenen Interesse alles tun, um Pflichtverletzungen zu vermeiden. Als Manager können Sie mehrere Maßnahmen ergreifen, bevor Sie wichtige Entscheidungen treffen. Binden Sie z. B. frühzeitig Fachabteilungen ein. Die Finanz- und Controlling-Abteilung unterstützt Sie mit Machbarkeitsstudien oder Wirtschaftlichkeitsberechnungen. Die Rechtsabteilung überprüft vorab die Rechtslage. Beziehen Sie auf dieser Grundlage die Entscheidungsgremien Ihres Unternehmens mit ein und beachten Sie die Berichts- und Zustimmungspflichten. All diese Maßnahmen helfen Ihnen, im Fall der Fälle ein umsichtiges und verantwortungsvolles Verhalten zu belegen.
„Die Subprime-Krise im Sommer 2007 hat die Probleme verdeutlicht, die auftreten können, wenn der Risikosteuerungsprozess eines Unternehmens nicht mit dem Risikocontrollingprozess harmoniert.“
Um das Restrisiko zu begrenzen, können Sie eine Directors’ and Officers’ Liability Insurance – eine so genannte D&O-Versicherung – abschließen. In Deutschland ist diese Versicherung noch nicht sehr verbreitet. Das Prämienaufkommen beläuft sich auf rund 300 Millionen Euro. Zum Vergleich: In den USA sind es bereits vier bis fünf Milliarden Dollar. Mit einer Prämie von rund 5000 € können Sie Schadenersatzansprüche in Höhe von einer Million versichern.
Integration statt Einzelanalyse
Die Risiken für Ihr Unternehmen schlummern in vielen Bereichen und beeinflussen sich gegenseitig. Daher ist es nicht sinnvoll, wenn Sie versuchen, einzelne Risikotypen isoliert zu kontrollieren – obwohl dies noch immer die gängige Praxis in den deutschen Unternehmen ist: Risikoaggregationsverfahren fehlen, das Risikomanagement ist nicht in die Unternehmensplanung und ins Controlling integriert, und zudem ist der bürokratische Aufwand groß. Verfolgen Sie eine ganzheitliche Sichtweise. Nutzen Sie dazu den Standard, den die Risk Management Association 2005 entwickelt hat. Damit vermeiden Sie einseitige Schwerpunkte, Sie berücksichtigen die strategische Bedeutung des Risikomanagements, verbessern die Informationsbeschaffung und nutzen vorhandene Managementsysteme (z. B. die Balanced Scorecard).
Instrumente für Ihr Risikomanagement
Viele Unternehmen haben für ihr Risikomanagement Stabsstellen eingerichtet, die von einem Chief Risk Officer (CRO) geleitet und von einem zentralen Risikocontrolling unterstützt werden. Diese nutzen Instrumente wie Risk-Assessment-Bögen, Fehlerbaum-, Flowchart- und Near-Miss-Analysen sowie Rechenmodelle zur Bewertung von Zins-, Kredit-, Kapitalanlage- oder Wechselkursrisiken. Eine wichtige Basis des Risikomanagements ist ein softwaregestütztes Risikomanagement-Informationssystem. Einzelplatzlösungen mit Excel-Software – häufig die Einsteigervariante ins IT-unterstützte Risikomanagement – stoßen schnell an ihre Grenzen und sind auf Dauer zu aufwändig. Ein unternehmensweites Risikomanagement benötigt ein ebensolches Informationssystem. Technik ist aber nicht alles: Gestalten Sie die finanziellen Anreize Ihrer Mitarbeiter so, dass diese keine zu hohen Risiken eingehen. Das ist wichtig, wie die spektakulären Folgen von Fehlverhalten, z. B. bei der Barings-Bank oder der Société Générale, zeigen. Sorgen Sie für eine ausreichende Verweildauer der Fachkräfte auf ihren Posten. Dann können Sie nicht nur deren kurzfristig erzielte Erfolge beurteilen, sondern auch die von ihnen eingegangenen Risiken.
Fallbeispiel Ryanair vs. Swissair
Lernen Sie von anderen: Der Erfolg oder das Versagen von Unternehmen bietet Ihnen viele Anregungen, Ihr eigenes Risikomanagementsystem zu verbessern. Lohnend ist beispielsweise der Blick auf die Fluggesellschaften Ryanair und Swissair. Während Ryanair aus dem Nichts auftauchte, auf Wachstumskurs ging und auch Schocks wie den 11. September 2001 vergleichsweise blessurenfrei überstand, geriet die etablierte Swissair ins Trudeln. Unterschiede im Risikomanagement werden schnell deutlich: Swissair kaufte wahllos schwache Airlines ein, um zu expandieren. Ryanair wuchs dank einer klaren, innovativen und konsequent verfolgten Geschäftsstrategie. Im intransparenten Konglomerat Swissair versagten interne Kontrollsysteme, u. a. wegen der fehlenden Trennung von operativer Führung und Aufsichtsorganen. Außerdem setzten politische Einflüsse der Airline zu, ohne dass die Geschäftsführung diese kompensieren konnte.