Checklisten Riskomanagement

Risikomanagement: Kurz-Checkliste (diese erhebt keinen Anspruch auf Vollständigkeit, sondern dient nur einer groben Orientierung) Diese Checkliste gibt Ihnen einer ersten Überblick, in welchen Bereichen für Ihr Unternehmen möglicherweise Risiken liegen, die Sie bislang noch nicht als solche identifiziert haben. * Politik / Regulierung / Recht Gibt es eventuell Überlegungen auf nationaler und/oder EU - Ebene für Gesetzgebungsverfahren, die Ihr Unternehmen tangieren könnten ? * Länderrisiko Ein typisches Beispiel, das diesen Risikobereich illustriert: Bis Mitte der 90 Jahre haben viele Unternehmen erhebliche Umsätze mit den GUS getätigt. Durch den Rubel – Kollaps waren diese Geschäfte von heute auf morgen tot. Ein absolut unvorhersehbares Risiko? Welche Unternehmen hatten für diesen Fall "Schubladenpläne"? Die Erfahrung hat gezeigt, dass Geschäftsbeziehungen in politisch labile Regionen mitunter nicht kalkulierbar sind. Hier müssen rechtzeitig die richtigen Gegenstrategien entwickelt werden! * Währungsrisiko Insbesondere Unternehmen mit hohem Exportanteil außerhalb der EU unterliegen oft einem nicht steuerbaren Währungsrisiko. Viele Firmen wurden vom Verfall des EURO getroffen, obwohl es leichtfertig war, den seinerzeit gültigen Wechselkurs als langfristig stabil anzusehen. * Zinsrisiko Der Zinssatz, der in der EU seit einigen Jahren auf historisch niedrigem Niveau verharrt, hat direkten Einfluss sowohl auf die Kosten (Zinsaufwand) als auch auf die Investitionsentscheidungen. In den 70er und 80er Jahren war dies nicht so. Aber auch in der gegenwärtigen Situation erleben wir häufig, dass ein Unternehmen selbst bei einem nur temporären Umsatzeinbruch von der Zinslast förmlich erdrückt werden kann. * Kreditrisiko Sofern Sie auf "offene Rechnung", also ohne Sicherheit liefern, müssen Sie mit dem Kredit(ausfall)risiko leben: Ihr Kunde zahlt nicht, verspätet oder nur teilweise. Gerade junge, schnell wachsende Unternehmen sind überdurchschnittlich anfällig gegen diese Gefahr. Deshalb: kennen Sie die wirtschaftlichen Verhältnisse Ihres Kunden, haben Sie eine Auskunft über ihn eingeholt? Wird Ihre Leistung gemäß dem Leistungsstand / dem Lieferstand in Rechnung gestellt und gezahlt? Ist der Kunde durch Kreditversicherungen gedeckt? Und besonders aufschlussreich: mahnen Sie zeitnah und nachdrücklich oder gewähren Sie dem Kunden aus falsch verstandener Loyalität einen immer höheren (ungesicherten!) Kredit? Wenn Ihre Bank Sie fragt: warum haben Sie nicht rechtzeitig gemahnt, ist es mit Sicherheit zu spät. * Operatives Risiko Hier geht es um die Frage, wie "zuverlässig" die Organisation des Unternehmens ist. Dazu zählen u. a. Fragen nach: * den Qualitätsstandards und - Sicherungssystemen * der Leistungsfähigkeit der internen Revision * der Anfälligkeit des Unternehmens gegen Betrug, Bestechung etc. * der Qualität und Aussagekraft des Rechnungswesens und Controlling * Rechtsrisiko Gibt es Risiken aus - konkreten schwebenden Verfahren - geänderter Gesetzgebung, - Rechtsprechung, Förderprogramme etc.? * Marktrisiko Dabei sind u. a. folgende Faktoren zu prüfen: - Ist die Preisgestaltung unter Kontrolle ? - Gibt es ungewöhnliche Absatzschwankungen ? - Haben sich die Spannen der Händler verändert ? - Haben Wettbewerber Marktanteile gewonnen ? - Gibt es neue Wettbewerber / Produkte ? - Haben sich die Präferenzen der Nachfrager verändert? * und schließlich ein Tabuthema: das persönliche Risiko Einer der Hauptgründe für das Scheitern von Unternehmen sind gravierende Managementfehler. Dabei geht es nicht nur um Selbstüberschätzung und Ignoranz, sondern häufig auch um mangelnde fachliche Kompetenz oder "Stress Overload".

Reihe Risikomanagement INFOSCHRIFT Ratschläge für ein leistungsfähiges Risikomanagement Überblick Seit Inkrafttreten des KonTraG im Mai 1998 gibt es umfangreiche Erfahrungen mit der Risikoanalyse sowie mit der Einführung von Risikomanagementsystemen. Es hat sich hier insbesondere gezeigt, daß die meisten Unternehmen erfreulicherweise die Pflicht, das KonTraG, mit der Kür einer Verbesserung der ökonomischen Planung durch die neuen Informationen aus dem Risikomanagement verbinden. Risikomanagement ist in dieser Weise sicherlich sehr gut geeignet, die Wettbewerbsfähigkeit eines Unternehmen szu verbessern und die Basis für eine wertorientierte Unternehmensführung auszubauen. Viele Unternehmen wollen jedoch mehr erreichen als die Erfüllung der formalen Pflichten. Dann sollte darauf geachtet werden, daß bei Risikoanalyse und organisatorischer Gestaltung des Risikomanagementsystems mit möglichst hoher Effizienz vorgegangen wird. In der Praxis häufig erprobte methodische Ansätze - wie die Methodik des Risk Management Competence Center Europe (RMCE) - umfassen alle Phasen von der Risikoanalyse über die Risikozusammenfassung und die Risikobewältigung bis hin zur organisatorischen Gestaltung eines Risikomanagementsystems. Sie zeigen, daß in kurzer Zeit ein ökonomisch wertvolles Risikomanagementsystem aufgebaut werden kann. Auf Grund fehlender Erfahrung in der Vergangenheit haben sich jedoch viele Unternehmen - durchaus auch mit Unterstützung von Beratern - unnötig schwer beim Aufbau eines Risikomanagementsystems getan - oder tun dieses noch immer. Das folgende Profil von Ratschlägen, soll dazu beitragen, das Risikomanagement möglichst effizient anzugehen und häufige Fehler zu vermeiden. Phase 1 : Risikoidentifikation Systematische Identifikation aller auf das Unternehmen einwirkenden Risiken - insbesondere der bestandsgefährdenden Risiken. Dabei sind die folgenden Risikofelder zu betrachten: Strategische Risiken Marktrisiken Finanzmarktrisiken rechtliche und politische Risiken Risiken aus Corporate Governance Leistungsrisiken aus der primären Wertschöpfungskette und den Unterstützungsfunktionen. Reihe Risikomanagement INFOSCHRIFT Mögliche Fehler bei der Risikoidentifikation : Keine fokussierte, hierarchische Systematik zur Risikoidentifikation: "Jäger und Sammler-Ansatz" , möglichst alle Mitarbeiter schriftlich oder mündlich befragen, um die ihnen einfallenden Risiken zu erheben und zusammenzutragen. Grosse Gefahr, daß man von den Mitarbeitern diejenigen Informationen bekommt, die gerade besonders aktuell sind, nicht aber unbedingt diejenigen mit besonderer Bedeutung für das Unternehmen. Insbesondere führt dieses Verfahren dazu, daß man ganz ähnliche Risiken in unterschiedlichster Formulierung erhält. Die Anzahl der Risiken ist groß und kaum mehr zu bearbeiten. Bei der Verdichtung der Informationen entstehen oft "Datenberge", die bei vielen Unternehmen schon zum Scheitern des gesamten Projektes führen. Braucht eine große Menge an Arbeitszeit Noch nicht einmal gewährleistet, daß man die tatsächlich maßgeblichen Risiken identifiziert hat, da eine entsprechende Systematik fehlt. Eine leistungsfähige Risikoidentifikation sollte daher durch eine klare Fokussierung des Vorgehens gekennzeichnet sein. Es müssen zunächst diejenigen Risikofelder identifiziert werden, bei denen die größten Risiken zu erwarten sind. Entscheidend für eine strukturierte, fokussierte Risikoidentifikation ist es, geeignete Abbruchkriterien zu finden, mit denen entschieden wird, ob ein Risikofeld noch weiter zu durchleuchten ist. Fehlender Bezug zur Unternehmensstrategie und den Erfolgsfaktoren: Ein erheblicher Schwachpunkt der Risikoidentifikation ist das Fehlen eines klaren strategischen Bezuges. Dieser sollte systematisch ableiten, welche Risiken die Erreichung der maßgeblichen strategischen Ziele gefährden. Dazu gehören u.a. alle Arten von Bedrohungen zentraler Erfolgsfaktoren - wie beispielsweise die Kernkompetenzen. Risikoidentifikationen ohne Bezug zur Unternehmensstrategie laufen Gefahr, von den wirklich wesentlichen bestandsgefährdenden Risiken abzulenken. Wirkliche Bestandsgefährdungen werden in der Regel nicht von Betriebsunfällen, Bränden oder "Derivate-Unglücken" ausgelöst, sondern durch ein Scheitern der Unternehmensstrategie in zentralen Punkten. Fehlender Einsatz von Fachexperten bei der Risikoanalyse: Risikoidentifikationen dürfen keines Falls nur als Brain-Storming-Veranstaltungen mißverstanden werden. Eine fundierte und objektive Risikoidentifikation erfordert, dass Fachexperten eingesetzt werden, die die Risikolandschaft objektiv beurteilen (z.B. externe Berater) und zugleich das entsprechende Fach-Know-how haben, ein bestimmtes Spezialgebiet (sei es die Projektkalkulation, der Derivate-Einsatz oder ein Fertigungsprozess) beurteilen zu können. Die bei den Risikoidentifikationen eingesetzten Fachleute sollten grundsatzlich unabhängig von dem zu identifizierenden Risikobereich sein und ein Fachwissen haben, das dem der dort tätigen Mitarbeiter mindestens ebenbürtig ist. Reihe Risikomanagement INFOSCHRIFT Risikoanalyse/ Risikoquantifizierung Die in der Identifikationsphase erfaßten Risiken werden im Rahmen der Risikoanalyse hinsichtlich ihrer Eintrittswahrscheinlichkeit und ihrer quantitativen Auswirkungen bewertet Mögliche schwerwiegende Fehler bei Risikoanalysen : Fehlen einer einheitlichen Risikobewertungseinheit für die Risiken: Es wird keine einheitliche Risikobewertungseinheit (z.B. Ertrag) zugrundegelegt. Stattdessen werden beispielsweise einmal Umsatzgrößen und ein anderes Mal Ertragsgrößen zum Messen eines Risikos betrachtet. Fehlende Begründung der Risikobewertung: Obwohl objektive Daten (z.B. Zeitreihen) verfügbar sind, werden subjektive Werte - also Schätzungen - verwendet. Diese subjektiven Daten sind insbesondere dann von geringer Qualität, wenn keine detaillierte und nachvollziehbare Herleitung oder Begründung zur Plausibilitätsprüfung angegeben wird. Schätzungen von Schadenshöhen, die nicht detailliert begründet oder hergeleitet werden, sind für Dritte nicht prüfbar und verstoßen gegen den Transparenzanspruch des Risikomanagements. Addition von Schadenswerten auf Ordinalskalen: Die Addition von Schadenswerten auf ordinalen Skalen ("Schadensklassen", "Tragweite") führt bei der Risikoaggregation zu falschen Resultaten und ist mathematisch unsinnig. Verwechslung von Risiken und sicheren Schäden: Sicher erwartete und in der Unternehmensplanung bereits erfaßte Entwicklungen werden zusätzlich als Risiken eingestuft (z.B. sicherer Verlust eines Großkunden). Solche Ereignisse, die zwar unangenehm, aber sicher sind, stellen definitionsbedingt kein Risiko dar. Vernachlässigung der Wirkungsdauer von Risiken: Risiken, die nur einen einmaligen Schaden verursachen können und solche mit langanhaltenden Wirkungen, werden nicht unterschieden. Häufig wird bei der Bewertung von Risiken nicht explizit fixiert, auf welchen Zeitraum sich die Schadenshöhen beziehen bzw. welche Wirkungsdauer ein eingetretener Schadensfall hat. Unreflektierte Verwendung einer digitalen Schadensverteilung mit Eintrittswahrscheinlichkeit und Schadenshöhe: Grundsätzlich wird nur eine "digitale" Schadensverteilung angenommen - der Schaden hat also beim Eintreten annahmegemäß immer den gleichen Umfang. Außerdem erfolgt die Beschreibung von Risiken mittels Schadenshöhe und Eintrittswahrscheinlichkeit. Dieses ist bei manchen Risiken - wie zum Beispiel unerwarteten Umsatzrückgängen, offensichtlich ungeeignet. Absatzmengenrisiken können - mit unterschiedlicher Wahrscheinlichkeit - einen Umfang von einem Prozent, zwei Prozent, drei Prozent usw. haben und sind oft besser durch eine Normalverteilung zu beschreiben. Fehler bei der Abgrenzung von Risiken: Überschneidungen zwischen separat identifizierten Risiken werden nicht erkannt und Risiken damit "doppelt gezählt". Vernachlässigung von kleinen Schäden mit hoher Frequenz: "Kleinschäden", die aber in der Summe eine hohe Bedeutung haben, werden tendenziell im Vergleich zu seltenen "schrecklich" erscheinenden, katastrophenartigen Risiken vernachlässigt. Ebenfalls oft übersehen werden sehr gravierende, aber unspektakuläre Risiken, wie beispielsweise unerwartete Zinsänderungen. Reihe Risikomanagement INFOSCHRIFT Vernachlässigung von Abhängigkeiten zwischen den Risiken (Korrelationen): In der Phase der Risikoaggregation werden die komplexen Wechselwirkungen zwischen den Risiken nicht berücksichtigt. Eine isolierte Betrachtung einzelner Risiken ist grundsätzlich wenig aussagefähig, weil deren Relevanz sich oft erst im Gesamtkontext bewerten läßt. Risikoanalyse auf Basis von Risikoerwartungswerten: Bei der Risikoanalyse werden einseitig entweder nur "Schadenserwartungswerte" oder "Höchstschäden" betrachtet. Beides liefert nur eine unvollständige Information über die Charakteristika eines Risikos und kann zu Fehleinschätzungen führen. Risikoaggregation Zielsetzung der Risikoaggregation ist die Bestimmung der Gesamtrisikoposition ("Risk exposure") der Unternehmung sowie der relativen Bedeutung der Einzelrisiken. Dabei sind Wechselwirkungen durch Risikosimulationsverfahren explizit zu berücksichtigen. Hierzu werden Wirkungen der Einzelrisiken im Kontext der im Unternehmen genutzten Planungsmodelle integriert - beispielsweise Plan- Gewinn- und Verlust-Rechnung (G&V) oder Economic-Value-Added-Modell (EVA). Dieses ermöglicht die Verbindung von Risikomanagement und "traditioneller" Unternehmensplanung. Hierbei sind nicht selten die folgenden Fehler zu beobachten: Addition von Risiken statt Aggregation: Hierbei werden die Schadenshöhen verschiedener Risiken einfach addiert.