Risiko-Controlling

Zusammenfassung

Unternehmerische Tätigkeit ist per se mit Risiken verbunden. Unsicherheit ist in der Regel das permanente Umfeld, mit dem Unternehmen konfrontiert sind. Populäre Unternehmenskrisen und Insolvenzen zeigen, dass das Management von Risiken eine sehr hoch zu priorisierende Aufgabe unternehmerischen Handelns ist. Risiko-Controlling ist ein Instrument, das innerhalb des Risikomanagements eine zentrale Rolle einnimmt und unterstützend dazu beiträgt, Risiken zu identifizieren, zu analysieren, zu bewerten und schließlich zu steuern. Diese verschiedenen Stufen werden oftmals als Risikomanagement-Prozess beschrieben.

Risiko-Controlling als Bestandteil des Risikomanagement-Systems

Unter einem Risikomanagement-System versteht man organisatorische Regelungen und Maßnahmen zur Risikoerkennung und zum Umgang mit den Risiken unternehmerischer Betätigung. Die Aufgabe eines effizienten Risikomanagements besteht darin, bestehende und zukünftige potenzielle Risiken zu identifizieren, zu kontrollieren und entsprechend zu steuern. Dazu sind geeignete Maßnahmen abzuleiten, um bedrohlichen Entwicklungen rechtzeitig und wirksam entgegensteuern zu können. Ziel dabei ist es, das Erreichen der angestrebten Ziele zu ermöglichen sowie zugleich die optimalen Chancen des Unternehmens zu nutzen.

Im Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) ist unter anderem in § 91 Abs. 2 AktG die Institutionalisierung eines Risikomanagement-Systems für Kapitalgesellschaften festlegt. Damit wird auf ein Überwachungssystem abgezielt, das dazu beitragen soll, frühzeitig Entwicklungen aufzudecken, die den Fortbestand des Unternehmens gefährden könnten.

Was versteht man unter Risiko?

Der Risikobegriff wird in Literatur und Praxis sehr weit reichend definiert. Ganz allgemein lässt sich Risiko in ein reines und ein spekulatives Risiko unterscheiden. Das reine Risiko umfasst nur Schadengefahren, bei denen ein das Vermögen unmittelbar minderndes Ereignis eintritt (z. B. Feuer). Beim reinen Risiko wird davon ausgegangen, dass die Entwicklung eines Unternehmens nur von seltenen, unregelmäßigen Gefahren bedroht wird. Das spekulative Risiko hingegen beinhaltet diejenigen unsicheren Ereignisse, die sich durch das unternehmerische Handeln vermögensmindernd oder -mehrend auswirken. Diese Risikoart lässt sich weiter unterteilen in:

• Risiko im engeren Sinne (i. e. S.): Das Risiko i. e. S. umschreibt die vermögensmindernden unsicheren Ereignisse, die aus einer ungünstigeren Entwicklung als geplant resultieren (Verlust- bzw. Schadengefahr).

• Risiko im weiteren Sinne (i. w. S.): Durch das Risiko i. w. S. werden vermögensmehrende unsichere Ereignisse zum Ausdruck gebracht, die aus einer günstigeren Entwicklung als geplant resultieren (Chance).

Vor dem Hintergrund der Durchführung des Risiko-Controlling lassen sich folgende Risikodimensionen mit unterschiedlicher Bedeutung unterscheiden:

• Geschäftsrisiko: Verlustgefahr durch falsche strategische Ausrichtung oder durch Aktionen im Unternehmensumfeld (z. B. Markteintritt eines potenziellen Konkurrenten, Verpassen von technologischen Markttrends)

• Marktrisiko: Gefahr, dass sich im zukünftigen Aktionsradius das Marktumfeld negativ entwickelt (z. B. Verdrängungswettbewerb, Preisverfall)

• Prozessrisiko: Gefahr, dass menschliches Versagen oder inadäquate Systeme und Kontrollmechanismen zu prozessimmanenten Abweichungen vom Soll führen (z. B. Ausfall einer zentralen Produktionsanlage)

• Kreditrisiko: Gefahr, dass Geschäftspartner ihren finanziellen Verpflichtungen in Zukunft nicht nachkommen können oder dass Kreditgeber vereinbarte Kreditlinien nicht verlängern (z. B. Insolvenz eines A-Kunden)

• Rechts- und sonstiges Risiko: Gefahr der Änderung rechtlicher Rahmenbedingungen sowie Gefahr durch sonstige unternehmensexterne, nicht beeinflussbare Risiken (z. B. Gesetzesänderungen, Streiks, Schadenersatzklagen)

Während das Geschäftsrisiko vorwiegend strategischer Natur ist, haben die übrigen Risikodimensionen eher operativen Charakter. Hauptziel des Risiko-Controllings bei diesen Risiken ist die Schadenvermeidung bzw. -verringerung. Dagegen sind im Rahmen der strategischen Dimension des Geschäftsrisikos zudem entsprechende Chancenpotenziale aufzuzeigen und nutzbar zu machen.

Diese Risikodimensionen sind als konzeptioneller Rahmen für das Risiko-Controlling zu verstehen. Über diese Risiken hinweg ist der Prozess der Identifikation, Analyse, Bewertung und Steuerung durchzuführen.

Identifikation von Risiken

Die Risikoidentifikation zielt darauf ab, unternehmensweit bestandsgefährdende Risiken grundsätzlich zu identifizieren. Die oben aufgeführten Risikodimensionen erleichtern dabei das strukturierte Vorgehen. Eine umfassende Risikoerfassung erfordert organisatorisch die Einbindung möglichst vieler Mitarbeiter in diesen Prozess, um so auch ein angemessenes Risikobewusstsein im Unternehmen zu schaffen. Wichtig bei der Risikoidentifikation ist, dass einmal erkannte Risiken weder konstant bleiben, noch sich zwingend kontinuierlich entwickeln müssen. Aufgrund der sich ständig ändernden Unternehmenssituation und ihres Umfeldes ist die Risikoidentifikation zwangsläufig in die geschäftsüblichen Abläufe als Daueraufgabe zu integrieren.

Bei der Prüfung, welche Risiken für das Unternehmen existenzgefährdend werden können, ist zunächst eine Priorisierung vorzunehmen. Das bedeutet, dass unternehmensspezifisch zu bestimmen ist, welche Risiken im Rahmen der Geschäftstätigkeit zu einer möglichen Unternehmensgefährdung führen können. Hierzu bietet es sich an, in kleine, mittlere und große Risken zu differenzieren.

• Kleine Risiken bezeichnen dabei die geringste Dringlichkeitsstufe. Es werden Mittel und Wege geändert, ohne dass schwerwiegende Folgen für das Unternehmen zu verantworten sind.

• Ein mittleres Risiko deutet auf größere Probleme hin, weil Unternehmensziele und Erwartungen zwingend verändert werden müssen. Es ist somit zwingender Bestandteil des Risiko-Controllings.

• Das Großrisiko gehört zur höchsten Prioritätsklasse und kann die Existenz des Unternehmens gefährden. In der Unternehmenspraxis hat sich gezeigt, dass Risiken oft dann existenzgefährdend sind, wenn ihr Eintreten mindestens die Hälfte des vorhandenen Eigenkapitals beansprucht.

Je höher und wahrscheinlicher das Risiko ist, desto stärker muss die Unternehmensleitung alle Maßnahmen ausschöpfen, um das Risiko zu beeinflussen.

Ein unabdingbares Instrument, um zukünftige Entwicklungen und Ereignisse für das Unternehmen rechtzeitig zu erkennen, sind Frühwarnsysteme. Mit Frühwarnsystemen sollen Risiken rechtzeitig aufgedeckt werden, sodass das Unternehmen rechtzeitig Maßnahmen zur Abwehr der Risiken ergreifen kann. Die inhaltliche Ausgestaltung von Frühwarnsystemen umfasst quantitative und qualitative Indikatoren, mit deren Hilfe eine Beurteilung des unternehmerischen Chancen-Risiken-Profils ermöglicht werden soll.

Risikoanalyse

Im Rahmen der Risikoanalyse wird eine Informationsbasis für die qualitative Beurteilung bzw. die quantitative Messung der identifizierten Risiken geschaffen, um das Risikoportfolio des Unternehmens zu erstellen. Dabei werden die Ursachen der identifizierten Risiken ermittelt. Somit ergibt sich ein erster Anhaltspunkt, welche Maßnahme der Risikosteuerung für einzelne Risiken relevant ist.

Die Risikoanalyse ist eine im Rahmen des Risiko-Controlling permanent durchzuführende Aufgabe. Die möglichen Risikofaktoren sind in ihrer Entwicklung laufend zu beobachten und jeweils neu zu untersuchen.

Risikobewertung

Mit Hilfe der Risikobewertung wird das Ausmaß eines einzelnen Risikos ermittelt. Die quantitative Messung der Risiken ist deshalb erforderlich, weil das Risikomanagement nur bewertete Risiken steuern kann. Das Ausmaß eines Risikos (Risk Exposure) wird durch die Eintrittswahrscheinlichkeit und den damit zusammenhängenden Schaden bestimmt.

Durch die Bewertung sollen Risiken nach ihrer Bedeutung kategorisiert werden. Je nach Risikopotenzial sind entsprechende Steuerungsmaßnahmen abzuleiten. In Abb. 1 wird eine Matrix dargestellt, mit deren Hilfe verschiedene Risiken in A-, B- und C-Risiken klassifiziert werden.

Abb. 1: A-, B- und C-Risikoklassifizierung

In Abb. 1 sind die Risiken entsprechend ihrer Eintrittswahrscheinlichkeit und der damit verbundenen Verlustgefahr in A-, B- und C-Risiken eingeteilt. Hervorzuheben ist die eingezeichnete "Watch Frontier", die den Grenzbereich umschreibt, ab dem Risiken genauer zu beobachten sind. Nehmen Eintrittswahrscheinlichkeit und Verlustgefahr eines Risikos zu, dann ist die "Risk Frontier" die Linie, ab der ein Risiko vom reinen Beobachtungsstatus zum konkreten Risiko übergeht.

Für A-, B- und C-Risiken jenseits der "Risk Frontier" sind in jedem Fall entsprechende Steuerungsmaßnahmen festzulegen. Indikatoren, die im Bereich zwischen der "Watch Frontier" und der "Risk Frontier" liegen, sind in das Frühwarnsystem aufzunehmen. Für Risiken unterhalb der "Watch Frontier" besteht zunächst kein Handlungsbedarf.

Risikosteuerung

Die Risikosteuerung hat zur Aufgabe, die bei der Risikoidentifikation und -analyse ermittelten Risiken durch entsprechende Maßnahmen aktiv zu beeinflussen. Dabei geht es darum, die Eintrittswahrscheinlichkeit der Risiken zu verringern oder aber ihr Schadenpotenzial zu begrenzen. In Abhängigkeit von der Risikoneigung eines Unternehmens sind steuerungsbedürftige Risiken, die anhand von vorgegebenen Grenzwerten gemessen werden, durch Risikobewältigungsmaßnahmen zu reduzieren, zu vermeiden, überzuwälzen oder selbst zu tragen. Solche Grenzwerte sind von der Unternehmensleitung vorzugeben und können bei Überschreitung ein Verlustpotenzial für das Unternehmen darstellen.

Die extremste Maßnahme der Risikosteuerung ist die totale Risikovermeidung. Darunter versteht man die vollkommene Beseitigung eines Risikos, wobei die Eintrittswahrscheinlichkeit oder das Schadenpotenzial des Risikos auf null gesetzt wird. Dies kann z. B. dadurch geschehen, dass eine kritische Produktionsanlage stillgelegt wird. Bei der Risikoüberwälzung werden Risiken auf Dritte übertragen, indem z. B. entsprechende Versicherungen zur Absicherung abgeschlossen werden.

Literaturtipps

• Denk, R.; Exner-Merkelt, K. (Hrsg.): Corporate Risk Management. Unternehmensweites Risikomanagement als Führungsaufgabe, Wien 2005.

• Winter, P.: Risikocontrolling in Nicht-Finanzunternehmen, Bergisch Gladbach 2007.

• Götze, U.; Glaser, K.; Hinkel, D.: Risikocontrolling aus funktionaler Perspektive - Konzeptionsspezifische Darstellung des Aufgabenspektrums, in: Götze, U; Henselmann, K.; Mikus, B. (Hrsg.): Risikomanagement, Heidelberg 2001, S. 95-126.

Ersteinstellender Autor

Dr. Andreas Raps