Risikomanagement-Systeme

Risikomanagement-Systeme Nachdem die Gesamtzahl der Unternehmensinsolvenzen in Deutschland im Jahre 2004 ihren historischen Höchststand von fast 40.000 erreichte, hat das Thema Risikomanagement auch in den Chefetagen deutscher Firmen deutlich an Brisanz gewonnen. Zumal aus der anhaltenden Diskussion über die Möglichkeiten zur Steigerung der Unternehmenssicherheit von Seiten des Gesetzgebers inzwischen Richtlinien wie beispielsweise das Gesetz zur Kontrolle und Transparenz in Aktiengesellschaften, der Deutsche Coporate Governance Kodex, das Transparenz- und Publizitätsgesetz, das Bilanzkontrollgesetz oder die firmenspezifischen Folgen von Basel II hervorgegangen sind. Überall wird der professionelle Umgang mit Risiken gefordert. Der deutsche Markt hat in Sachen Risikomanagement im Gegensatz zu anderen Ländern jedoch enormen Nachholbedarf. Während sich dort zum Beispiel Rahmenwerke und Normen wie COSO Enterprise Risk Management Framework 2004 oder die Australische- neuseeländische Norm „Riskmanagement“ etabliert haben, suchte man ähnliche Standards hierzulande bisweilen vergebens. Vereine wie die eigens dafür gegründete Risk Management Association RMA versuchen nun, entsprechende Normen und Standards zu schaffen und zu etablieren. Eine stringente Konformität vermisst man aber bereits bei den Begrifflichkeiten. Auf die Frage nach den Zielen und Methoden des Risikomanagements werden verschiedenste Begriffe genannt, die zwischen abstrakt und konkret variieren. Als Ziele stehen die „Früherkennung“ und das „Ergreifen von Gegenmaßnahmen“ sowie die „Risikominimierung und –vermeidung“ an der Spitze der Nennungen. Klar wird, dass auf der Ebene der Anwender kein allgemein gültiger Risikobegriff etabliert ist. Zu einem ähnlichen Ergebnis kommt man bei der Befragung nach den bekannten und eingesetzten Methoden des Risikomanagements. Auch hier überwiegt die abstrakte Sicht: Zahlreiche Unternehmer nennen als Methode „Maßnahmen oder einen Maßnahmenkatalog zur Gegensteuerung erarbeiten und die Umsetzung prüfen“, gefolgt von der Methode „Risiken erfassen und analysieren“. Auf die Frage nach bestimmten Werkzeugen werden zahlreiche verschiedene Verfahren oder Instrumente aufgezählt. Es zeigt sich auch, dass zwischen Methoden, Verfahren oder Instrumenten keine wirkliche Trennung gemacht wird. Unterstützung durch die IT ist nötig Ein ganzheitliches, professionelles Risikomanagement ist heute ohne IT-Unterstützung nicht mehr möglich. Zu komplex sind die Daten und Zusammenhänge, als dass darauf verzichtet werden könnte. So sind Eigenentwicklungen auf Basis einer Tabellenkalkulation oder einer handelsüblichen Datenbank weit verbreitet. Zahlreiche Vorteile bieten jedoch speziell für Risikomanagement entwickelte Softwareprogramme. • Die festgestellten Risiken sind klar strukturiert und werden übersichtlich dargestellt. • Eine integrierte Chancenbetrachtung zeigt Handlungsspielräume auf und schafft neben der Risikobeobachtung gewinnbringende Möglichkeiten. • Benutzerdefinierte Einstiegsseiten und Berichte erleichtern das tägliche Arbeiten im System und unterstreichen zielgerichtetes Arbeiten. 1 • Ein Frühwarnsystem sowie integrierte Meilensteinpläne sorgen für regelmäßige Kontrollen der Risiken und ermöglichen eine effiziente Planung und Abarbeitung der entsprechenden Maßnahmen. • Die Dokumentation ist einfach und überschaubar, so dass der Risikomanager jederzeit alle Schritte lückenlos nachvollziehen kann. • Kostengünstige Lösungen wie beispielsweise Basis-Versionen oder ASP- Programme übers Internet ermöglichen auch kleinen und mittelständischen Unternehmen den Einsteig in ein professionelles Risikomanagement. Die praktische Umsetzung des Risikomanagements innerhalb eines Unternehmens stellt eine Herausforderung dar. Soll es effektiv sein, muss es dauerhaft in die bestehende Organisation eingebunden werden. Gleichzeitig können Unternehmensabläufe nur optimiert werden, wenn der Prozess des Risikomanagements turnusmäßig wiederholt wird, der Risikomanagementkreislauf am Laufen gehalten wird. Der Prozess des Risikomanagements durchläuft sieben Phasen: Strategie, Identifikation, Analyse, Gewichtung, Handhabung, Dokumentation und Kommunikation, Kontrolle und Überwachung. Strategie Um Risiken gewappnet entgegentreten zu können, muss ein Unternehmen seine Strategie für den Umgang mit Risiken und Chancen festlegen. Dazu gehört die Festlegung, welche Risikopolitik das Unternehmen betreibt: zum Beispiel risikoneutral, risikofreudig oder risikoscheu. Außerdem müssen die Definition von Kommunikationsabläufen und das Ausarbeiten von Bewertungsmaßstäben (zum Beispiel Risikofaktoren, Eintrittshäufigkeit) berücksichtigt werden. Des Weiteren ist es nötig, das Bewusstsein für Risiken so zu stärken und die Mitarbeiter so zu sensibilisieren, dass ein umfassendes Bild der Unternehmenssituation und der relevanten Risiken gezeichnet werden kann. Geeignete Hilfsmittel sind hier Workshops mit den Entscheidungsträgern, Fragebögen und Interviews. Steht die Risikostrategie des Unternehmens fest, sind Verantwortliche (Risikomanager/Risikobeauftragter) zu bestimmen. Dabei müssen die Definition und Vergabe von Zugriffsberechtigungen und Rechten innerhalb der jeweiligen Unternehmensbereiche/-prozesse festgelegt sein. Identifikation Bei der Identifikation stehen folgende Fragen im Vordergrund: Welche Risiken können die Prozessabläufe des Unternehmens stören? Welche Chancen können für die Prozesse gewinnbringend sein? Mittels eines Firmen-Organigramms bilden IT- Tools für das Risikomanagement abgeschlossene Bereiche, wie z. B. Standorte, Abteilungen, Projekte etc. Hierarchien und Strukturen können hier ebenfalls durch einfachen Knopfdruck aggregiert oder getrennt werden. Übersichtliche Kataloge halten sämtliche Risiken und Chancen fest, die für das gesamte Unternehmen oder nur einzelne Bereiche zutreffen können. Zusätzliche Beschreibungen können in einem hierfür vorgesehenen Feld eingetragen werden. Somit lässt sich auch die Erfassung eines Ereignisses dokumentieren (Anlass, gesetzliche Regelungen usw.). Auch bei der Identifikation eignen sich Workshops und Gespräche mit den Entscheidungsträgern, Prozesseignern sowie weiteren Experten oder auch Checklisten und Betriebsbegehungen. Hierbei sollten alle Know-how-Träger eingebunden sein. Sie sind die Experten für ihren Bereich, kennen die Risiken bzw. Chancen und können diese richtig 2 einschätzen. Zudem ist es wichtig, dass sie selbst von Anfang an am Aufbau eines funktionierenden Risikomanagements beteiligt sind. Dies sensibilisiert alle Beteiligten und stärkt das Risikomanagement von innen. Und je mehr Wissen in die Identifikation einfließt, desto wahrscheinlicher ist es, tatsächlich alle Risiken mit dem realistischen Ausmaß und allen möglichen Konsequenzen sowie die damit verbundenen Chancen zu erfassen. Analyse und Gewichtung Auf die Identifizierung folgen als nächste Schritte die Analyse und die Bewertung der ermittelten Risiken und Chancen. Bei der Analyse wird ein spezielles Risiko mittels der verfügbaren Informationen zugeordnet und hinsichtlich Eintrittshäufigkeit und Schadenshöhe bestimmt. Wie wahrscheinlich ist es, dass dieses Risiko eintritt? Und wie hoch wird dann der Schaden für das Unternehmen sein? Die Bewertung erfolgt häufig qualitativ, weil messbare Aussagen zur Eintrittshäufigkeit und Schadenshöhe nicht immer exakt möglich sind und geschätzte Werte das Ergebnis verfälschen. Auch ist es mitunter unmöglich, die monetären Auswirkungen der Realisierung von Risiken und Chancen zu ermitteln. Daher arbeiten manche Unternehmen mit einem Punktesystem. Hier wird beispielsweise die materielle Schadenshöhe in einer Skala von 0 bis 100 angegeben. Es wurden sieben verschiedene Abstufungen von „existenzgefährdend“ bis „vernachlässigbar“ definiert, Risiken, die mit 90 bis 100 eingestuft wurden, gelten als „existenzgefährdend“. Die Nennung der Eintrittswahrscheinlichkeit erfolgt von 0 bis 1, wobei 1 bedeutet, dass das Ereignis statistisch mindestens einmal pro Jahr eintritt. Verlaufsdiagramme zeigen die Entwicklung der Bewertungen von einzelnen Faktoren (Zeitdiagramm) beziehungsweise die Bewertungsänderungen bezüglich des Gültigkeitsdatums (Liniendiagramm). Damit wird dokumentiert, zu welchem Zeitpunkt Neubewertungen stattgefunden haben. Die Gesamtrisikolage des Unternehmens bilden Software-Systeme in einem Risiko- bzw. Chancenportfolio ab. In dieser zweidimensionalen Grafik unterstützt eine virtuelle, der Strategie entsprechende Wesentlichkeitsgrenze, bei der Bestimmung von Prioritäten: Das Überschreiten dieser Grenze kann unter Umständen eine Bestandsgefährdung bedeuten. Handhabung Die Handhabung beschäftigt sich mit den Maßnahmen, die den ermittelten Risiken und Chancen zugeordnet werden. Sie verhindern, dass Gefährdungsereignisse eintreten und Schäden anrichten bzw. sorgen sie dafür, dass Chancen umgesetzt werden. Über einen Katalog innerhalb der Software werden alle im Unternehmen hinterlegten Maßnahmen erfasst. Sie stehen dann bereichsübergreifend im gesamten Unternehmen zur Verfügung. Maßnahmen werden in Maßnahmengruppen angelegt. Sie können beliebig benannt werden, sind frei strukturierbar und damit jederzeit um zusätzliche Maßnahmen erweiterbar. Die Maßnahmen können beispielsweise mit der Rangfolge „muss“, „soll“ oder „kann“ ausgezeichnet und durch eine Beschreibung ergänzt werden. Mit dieser Rangfolge ist es unter anderem möglich, gesetzlichen Vorgaben, unternehmensinternen Richtlinien und zusätzlichen, optionalen Aktivitäten Rechnung zu tragen. Dem ausgewählten Risiko bzw. der entsprechenden Chance kann mindestens eine Maßnahme aus dem Katalog zugeordnet werden.