Risikomanagement für Geschäftsprozesse

Risikomanagement für Geschäftsprozesse Gerhard Gietl, Werner Lobinger, Gerd F. Kamiske ISBN 3-446-40283-7 Leseprobe Weitere Informationen oder Bestellungen unter http://www.hanser.de/3-446-40283-7 sowie im Buchhandel 7 1 Einführung Der Begriff Risikomanagement ist in der jüngeren Vergan- genheit in vielen Unternehmen unterschiedlichster Branchen zu einem aktuellen Thema geworden. Hauptsächlich ge- schieht dies aus einem Grund: Die Zahl der Unternehmens- insolvenzen hat in den letzten Jahren in Deutschland stark zugenommen, von ca. 22000 im Jahr 1995 auf knapp 40000 im Jahr 2004. Laut einer Studie der Creditreform (2004) lie- gen die Ursachen von Insolvenzen in fast drei von vier Fällen in Managementfehlern begründet. Auswirkungen externer Faktoren, wie Marktsättigung, Branchenkonjunktur oder politische Rahmenbedingungen, sind dagegen nur bei jedem fünften Unternehmen ausschlaggebend für die Unterneh- menskrise. Auch europaweit betrachtet belegte Deutschland 2003 in der Zahl der Insolvenzen einen traurigen zweiten Platz – hinter Frankreich und vor Großbritannien und Ita- lien. Inzwischen ist der Wunsch nach Absicherung gegenüber Risiken (z.B. fehlende Versorgungssicherheiten bei „insta- bilen“ Zulieferern) bei größeren Unternehmen und Konzer- nen enorm gestiegen. Mit Hilfe verschiedener Methoden (erweiterte Audits, nachweisbare zertifizierte Risikomanage- mentsysteme, Rating der Lieferanten durch Externe usw.) arbeiten sie daran, diesem Wunsch gerecht zu werden. Ein definiertes Risikomanagement soll dem Unternehmen dazu verhelfen, den eventuell eintretenden Risikoereignissen gelassen entgegentreten zu können, es dient also primär der eigenen Absicherung. Darüber hinaus schafft es die Basis für ein Vertrauensverhältnis gegenüber Interessenspartnern, wie Kreditgebern oder Kunden, was die Grundlage für eine er- folgreiche Zusammenarbeit darstellt. 8 Einführung 1.1 Risiko: Was ist das? Etymologisch soll sich der Begriff „Risiko“ interessanter- weise aus der Seefahrt herleiten, im Sinne von „eine Klippe umschiffen“ – für Unternehmer, die als Kapitän ihr Unter- nehmensschiff auch in unsicheren Gewässern im Griff haben müssen, eine nicht unpassende Metapher. Denn mit dem Be- griff „Risiko“ assoziieren viele Unternehmensverantwort- liche einen möglichen, negativen Ausgang bei einer Unter- nehmung oder bei einem eintretenden Ereignis, womit Nachteile, Verluste oder Schäden verbunden sind. Doch bereits die im herkömmlichen Sprachgebrauch manchmal süffisant angewendete Redeformel „no risk, no fun“ zeigt die andere Seite der Medaille. Betreiben Sie bei- spielsweise keine mit Risiken behaftete Sportart (wie z.B. Skifahren oder Bergsteigen), so können Sie auch nicht das in der Regel damit ausgelöste Spaßgefühl erleben. Legt man den lateinischen Ausdruck „risicare“ (übersetzt: etwas wagen, etwas unternehmen) dem Wort Risiko zu- grunde, so verbirgt sich dahinter auch etwas Positives, eine Chance (Bild 1). Verzichtet beispielsweise ein Unternehmer bewusst darauf, seine Produkte in einen neuen Markt einzu- führen, weil er kein Risiko eingehen möchte, verbaut er sich damit die Chancen, Umsatz bzw. Profit zu machen. Welche Risiken sind es nun, mit denen ein Unternehmen konfrontiert werden kann? Grundsätzlich lässt sich eine Differenzierung zwischen versi- cherbaren und spekulativen Risiken vornehmen. Versicher- bare Risiken beziehen sich auf Verluste, die durch plötzlich auftretende Ereignisse hervorgerufen werden, z.B. Blitz- schlag o.Ä. Sie können größtenteils, wie der Name schon sagt, durch Versicherungen abgedeckt werden. Die spekulati- Risiko: Was ist das? 9 Reines versicherbares Spekulatives Risiko Risiko (aus unternehmerischem (Schadensgefahr) Handeln) Risiko im engeren Sinn Risiko im weiteren Sinn (Verlustgefahr) (Chance) Bild 1: Der Begriff Risiko (risicare [lat.]: etwas wagen) ven Risiken wiederum teilen sich in die Risiken im engeren Sinn (Verluste) und im weiteren Sinne (Chancen) auf und beziehen sich auf sämtliche unternehmerischen Tätigkeiten. Dieses spekulative Risiko beinhaltet demnach auch immer die Möglichkeit auf einen positiven Ausgang bzw. auf Erfolg der geplanten Aktion. Beschäftigt man sich mit dem Risiko oder dem Risikoma- nagement in einem Unternehmen, steht dies in einem engen Zusammenhang mit dem Begriff der Krise. Um den Begriff Risiko besser abgrenzen zu können, erscheint es sinnvoll, auch den Begriff Krise zu betrachten. Unternehmenskrise – ein Wort, das man derzeit häufig zu hören oder zu lesen bekommt. Was ist nun der Unterschied zwischen einem Risiko und einer Krise? Wie lassen sich Risi- komanagement und Krisenmanagement voneinander ab- grenzen? Eine der zahlreichen Definitionen für Krisenmanagement, die man in der Literatur findet, lautet z.B.: „Führung der Unternehmung zur Bewältigung von Prozessen, die den Fortbestand der gesamten Unternehmung nachhaltig gefähr- den.“ Allen Definitionen für Krisen sind folgende Merkmale gemein: 10 Einführung überlebensrelevante Ziele sind in Gefahr (z.B. Erzielung eines Mindestgewinns), zeitraumbezogen; kein urplötzliches Auftreten, offener Ausgang, Unternehmen nicht mehr liquide bzw. Überschuldung droht, Unternehmen erwirtschaftet nachhaltige Verluste, keine/ungenügende Erfolgspotenziale. Eine Unternehmenskrise führt demnach ohne Durchfüh- rung von Gegenmaßnahmen am Ende immer zur Insolvenz. Vor allem die ersten beiden Aspekte liefern den Unter- schied zu dem Begriff Risiko. So können Maßnahmen und Ereignisse in einem Unternehmen zu einem Risiko mit Ne- gativausgang führen (beispielsweise zu starken Umsatzein- bußen). Diese können, müssen aber nicht zwangsläufig das Unternehmen in seiner Existenz gefährden. Die in einem Unternehmen vorhandenen Risiken können die Gewinne zwar schmälern, ggf. Mitarbeiter demotivieren etc., müs- sen aber nicht ausschließlich langfristig in die Insolvenz füh- ren. Weiterhin beschäftigt sich das Risikomanagement im Gegensatz zum Krisenmanagement auch mit plötzlich und unvorhersehbar auftretenden Ereignissen (Naturereignisse) und bewertet diese im Vorfeld. 1.2 Gründe für die Einführung und Nutzen eines Risikomanagementsystems Sich verändernde Rahmenbedingungen durch sich wan- delnde Märkte und politische Strukturen sind sicher Teil der Ursachen für den Anstieg der Insolvenzen. Aber waren diese Gründe für die Einführung eines Risikomanagementsystems 11 Änderungen in Märkten bzw. in den politischen Strukturen nicht vorauszusehen? Eine mangelnde systematische Analyse von Risiken und das Fehlen von Vorsorgemaßnahmen sind Versäumnisse, die einigen Unternehmen anzukreiden sind. Vor dem Hintergrund von zahlreichen aufsehenerregenden Insolvenzen (Schneider, Holzmann, Enron, WorldCom etc.) wurde der Ruf nach gesetzlichen Forderungen immer lauter. Dem trugen die Verantwortlichen Rechnung, indem sie ge- setzliche Änderungen (KonTraG, Basel II, Sarbanes Oxley Act etc.) einführten, die von den Unternehmen ein nachweis- bares Risikomanagementsystem fordern. 1.2.1 KonTraG Am 1. Mai 1998 ist das Gesetz zur Kontrolle und Transpa- renz im Unternehmensbereich (KonTraG) in Kraft getreten. Dabei handelt es sich nicht um ein eigenständiges, neu for- muliertes Gesetzeswerk. Vielmehr bündelt es umfangreiche Änderungen einzelner Paragrafen des Aktien- und Handels- gesetzes. Das Gesetz entstand aufgrund zahlreicher Vorfälle in der Wirtschaft in der Vergangenheit (z.B. Schneider, Bal- sam, Metallgesellschaft etc.). Diese öffentlichkeitswirksamen Fälle führten zu einer heftigen Diskussion und Kritik gegen- über Kreditinstituten, Wirtschaftsprüfern, Aufsichtsräten und Managern. Im Wesentlichen verpflichtet das KonTraG die Unterneh- men zu: Einrichtung eines Risikomanagementsystems, Berichterstattung über Risiken der künftigen Entwick- lung, Ausweitung der Jahresabschlussprüfung. 12 Einführung Konkret fordert beispielsweise § 91 II AktG: „Der Vorstand hat geeignete Maßnahmen zu treffen, insbesondere ein Über- wachungssystem einzurichten, damit der Fortbestand der Ge- sellschaft gefährdende Entwicklungen früh erkannt werden.“ Als Beispiel für den zweiten Punkt lässt sich § 289 I HGB an- führen: „Im Lagebericht . . . der Kapitalgesellschaft . . . ist auf die Risiken der künftigen Entwicklung einzugehen.“ § 317 II HGB dient schließlich als Beleg für den dritten Punkt: „Der Lagebericht und der Konzernlagebericht sind ... zu prüfen ... Dabei ist auch zu prüfen, ob die Risiken der künftigen Ent- wicklung zutreffend dargestellt sind.“ Was die einzelnen Paragrafen betrifft, so sind sie im Wort- laut nur für größere Kapitalgesellschaften (Aktiengesell- schaften/größere GmbHs) maßgeblich. Jedoch ist in diesem Zusammenhang von einer „Ausstrahlwirkung“ auch auf mittlere und selbst auf die kleinen GmbHs die Rede, da der Geschäftsführer einer GmbH in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden hat. Genaue Angaben, ab welcher Unternehmensgröße ein Risikomanagement einzuführen ist und welche Anforderun- gen explizit zu erfüllen sind, lässt der Gesetzgeber allerdings offen. 1.2.2 Basel II und Rating Neben dem KonTraG geistert seit einigen Jahren das Schreckgespenst Basel II (Zusammenkunft der Bankenauf- sicht der G-10-Staaten) immer noch als Reizwort in den Unternehmen umher. Genauer betrachtet, bedeutet Basel II lediglich die neu formulierten Bedingungen an Kreditinstitu- te bei Ausgabe von Großkrediten.

Risikomanagement für Geschäftsprozesse Gerhard Gietl, Werner Lobinger, Gerd F. Kamiske ISBN 3-446-40283-7 Inhaltsverzeichnis Weitere Informationen oder Bestellungen unter http://www.hanser.de/3-446-40283-7 sowie im Buchhandel 3 Inhalt 1 Einführung 7 1.1 Risiko:Was ist das? 8 1.2 Gründe für die Einführung und Nutzen eines Risikomanagementsystems 10 1.3 Was ist ein Risikomanagementsystem? 18 2 Die Bausteine des Risikomanagements 23 2.1 Wo können Risiken entstehen? 23 2.2 Identifikation: Wie ermittle ich Risiken? 40 2.3 Analyse und Bewertung: Wie schätze ich das Risiko ein? 53 2.4 Risikobehandlung: Wie ist mit dem Risiko umzugehen? 60 2.5 Monitoring und Review 67 2.6 Risikokommunikation 75 3 Implementierung und Organisation eines Risikomanagementsystems 80 3.1 Voraussetzungen 80 3.2 Umsetzung 89 4 Integration eines Risikomanagement- systems in bestehende Systeme 103 4.1 Risikomanagement, eine Aufgabe aller Beteiligten 104 4 Inhalt 4.2 Risikomanagement, bereits teilweise im Unternehmen vorhanden 105 4.3 Zusammenhang von Qualitäts- und Risiko- management 107 4.4 Zusammenwirken von Risikomanagement und weiteren Managementwerkzeugen 111 5 Entwicklungen und Trends 114 5.1 Risikomanagement greift um sich 114 5.2 Risikomanagement zertifizieren? 116 Literatur 118

Risikomanagement für Geschäftsprozesse Gerhard Gietl, Werner Lobinger, Gerd F. Kamiske ISBN 3-446-40283-7 Leseprobe Weitere Informationen oder Bestellungen unter http://www.hanser.de/3-446-40283-7 sowie im Buchhandel 7 1 Einführung Der Begriff Risikomanagement ist in der jüngeren Vergan- genheit in vielen Unternehmen unterschiedlichster Branchen zu einem aktuellen Thema geworden. Hauptsächlich ge- schieht dies aus einem Grund: Die Zahl der Unternehmens- insolvenzen hat in den letzten Jahren in Deutschland stark zugenommen, von ca. 22000 im Jahr 1995 auf knapp 40000 im Jahr 2004. Laut einer Studie der Creditreform (2004) lie- gen die Ursachen von Insolvenzen in fast drei von vier Fällen in Managementfehlern begründet. Auswirkungen externer Faktoren, wie Marktsättigung, Branchenkonjunktur oder politische Rahmenbedingungen, sind dagegen nur bei jedem fünften Unternehmen ausschlaggebend für die Unterneh- menskrise. Auch europaweit betrachtet belegte Deutschland 2003 in der Zahl der Insolvenzen einen traurigen zweiten Platz – hinter Frankreich und vor Großbritannien und Ita- lien. Inzwischen ist der Wunsch nach Absicherung gegenüber Risiken (z.B. fehlende Versorgungssicherheiten bei „insta- bilen“ Zulieferern) bei größeren Unternehmen und Konzer- nen enorm gestiegen. Mit Hilfe verschiedener Methoden (erweiterte Audits, nachweisbare zertifizierte Risikomanage- mentsysteme, Rating der Lieferanten durch Externe usw.) arbeiten sie daran, diesem Wunsch gerecht zu werden. Ein definiertes Risikomanagement soll dem Unternehmen dazu verhelfen, den eventuell eintretenden Risikoereignissen gelassen entgegentreten zu können, es dient also primär der eigenen Absicherung. Darüber hinaus schafft es die Basis für ein Vertrauensverhältnis gegenüber Interessenspartnern, wie Kreditgebern oder Kunden, was die Grundlage für eine er- folgreiche Zusammenarbeit darstellt. 8 Einführung 1.1 Risiko: Was ist das? Etymologisch soll sich der Begriff „Risiko“ interessanter- weise aus der Seefahrt herleiten, im Sinne von „eine Klippe umschiffen“ – für Unternehmer, die als Kapitän ihr Unter- nehmensschiff auch in unsicheren Gewässern im Griff haben müssen, eine nicht unpassende Metapher. Denn mit dem Be- griff „Risiko“ assoziieren viele Unternehmensverantwort- liche einen möglichen, negativen Ausgang bei einer Unter- nehmung oder bei einem eintretenden Ereignis, womit Nachteile, Verluste oder Schäden verbunden sind. Doch bereits die im herkömmlichen Sprachgebrauch manchmal süffisant angewendete Redeformel „no risk, no fun“ zeigt die andere Seite der Medaille. Betreiben Sie bei- spielsweise keine mit Risiken behaftete Sportart (wie z.B. Skifahren oder Bergsteigen), so können Sie auch nicht das in der Regel damit ausgelöste Spaßgefühl erleben. Legt man den lateinischen Ausdruck „risicare“ (übersetzt: etwas wagen, etwas unternehmen) dem Wort Risiko zu- grunde, so verbirgt sich dahinter auch etwas Positives, eine Chance (Bild 1). Verzichtet beispielsweise ein Unternehmer bewusst darauf, seine Produkte in einen neuen Markt einzu- führen, weil er kein Risiko eingehen möchte, verbaut er sich damit die Chancen, Umsatz bzw. Profit zu machen. Welche Risiken sind es nun, mit denen ein Unternehmen konfrontiert werden kann? Grundsätzlich lässt sich eine Differenzierung zwischen versi- cherbaren und spekulativen Risiken vornehmen. Versicher- bare Risiken beziehen sich auf Verluste, die durch plötzlich auftretende Ereignisse hervorgerufen werden, z.B. Blitz- schlag o.Ä. Sie können größtenteils, wie der Name schon sagt, durch Versicherungen abgedeckt werden. Die spekulati- Risiko: Was ist das? 9 Reines versicherbares Spekulatives Risiko Risiko (aus unternehmerischem (Schadensgefahr) Handeln) Risiko im engeren Sinn Risiko im weiteren Sinn (Verlustgefahr) (Chance) Bild 1: Der Begriff Risiko (risicare [lat.]: etwas wagen) ven Risiken wiederum teilen sich in die Risiken im engeren Sinn (Verluste) und im weiteren Sinne (Chancen) auf und beziehen sich auf sämtliche unternehmerischen Tätigkeiten. Dieses spekulative Risiko beinhaltet demnach auch immer die Möglichkeit auf einen positiven Ausgang bzw. auf Erfolg der geplanten Aktion. Beschäftigt man sich mit dem Risiko oder dem Risikoma- nagement in einem Unternehmen, steht dies in einem engen Zusammenhang mit dem Begriff der Krise. Um den Begriff Risiko besser abgrenzen zu können, erscheint es sinnvoll, auch den Begriff Krise zu betrachten. Unternehmenskrise – ein Wort, das man derzeit häufig zu hören oder zu lesen bekommt. Was ist nun der Unterschied zwischen einem Risiko und einer Krise? Wie lassen sich Risi- komanagement und Krisenmanagement voneinander ab- grenzen? Eine der zahlreichen Definitionen für Krisenmanagement, die man in der Literatur findet, lautet z.B.: „Führung der Unternehmung zur Bewältigung von Prozessen, die den Fortbestand der gesamten Unternehmung nachhaltig gefähr- den.“ Allen Definitionen für Krisen sind folgende Merkmale gemein: 10 Einführung überlebensrelevante Ziele sind in Gefahr (z.B. Erzielung eines Mindestgewinns), zeitraumbezogen; kein urplötzliches Auftreten, offener Ausgang, Unternehmen nicht mehr liquide bzw. Überschuldung droht, Unternehmen erwirtschaftet nachhaltige Verluste, keine/ungenügende Erfolgspotenziale. Eine Unternehmenskrise führt demnach ohne Durchfüh- rung von Gegenmaßnahmen am Ende immer zur Insolvenz. Vor allem die ersten beiden Aspekte liefern den Unter- schied zu dem Begriff Risiko. So können Maßnahmen und Ereignisse in einem Unternehmen zu einem Risiko mit Ne- gativausgang führen (beispielsweise zu starken Umsatzein- bußen). Diese können, müssen aber nicht zwangsläufig das Unternehmen in seiner Existenz gefährden. Die in einem Unternehmen vorhandenen Risiken können die Gewinne zwar schmälern, ggf. Mitarbeiter demotivieren etc., müs- sen aber nicht ausschließlich langfristig in die Insolvenz füh- ren. Weiterhin beschäftigt sich das Risikomanagement im Gegensatz zum Krisenmanagement auch mit plötzlich und unvorhersehbar auftretenden Ereignissen (Naturereignisse) und bewertet diese im Vorfeld. 1.2 Gründe für die Einführung und Nutzen eines Risikomanagementsystems Sich verändernde Rahmenbedingungen durch sich wan- delnde Märkte und politische Strukturen sind sicher Teil der Ursachen für den Anstieg der Insolvenzen. Aber waren diese Gründe für die Einführung eines Risikomanagementsystems 11 Änderungen in Märkten bzw. in den politischen Strukturen nicht vorauszusehen? Eine mangelnde systematische Analyse von Risiken und das Fehlen von Vorsorgemaßnahmen sind Versäumnisse, die einigen Unternehmen anzukreiden sind. Vor dem Hintergrund von zahlreichen aufsehenerregenden Insolvenzen (Schneider, Holzmann, Enron, WorldCom etc.) wurde der Ruf nach gesetzlichen Forderungen immer lauter. Dem trugen die Verantwortlichen Rechnung, indem sie ge- setzliche Änderungen (KonTraG, Basel II, Sarbanes Oxley Act etc.) einführten, die von den Unternehmen ein nachweis- bares Risikomanagementsystem fordern. 1.2.1 KonTraG Am 1. Mai 1998 ist das Gesetz zur Kontrolle und Transpa- renz im Unternehmensbereich (KonTraG) in Kraft getreten. Dabei handelt es sich nicht um ein eigenständiges, neu for- muliertes Gesetzeswerk. Vielmehr bündelt es umfangreiche Änderungen einzelner Paragrafen des Aktien- und Handels- gesetzes. Das Gesetz entstand aufgrund zahlreicher Vorfälle in der Wirtschaft in der Vergangenheit (z.B. Schneider, Bal- sam, Metallgesellschaft etc.). Diese öffentlichkeitswirksamen Fälle führten zu einer heftigen Diskussion und Kritik gegen- über Kreditinstituten, Wirtschaftsprüfern, Aufsichtsräten und Managern. Im Wesentlichen verpflichtet das KonTraG die Unterneh- men zu: Einrichtung eines Risikomanagementsystems, Berichterstattung über Risiken der künftigen Entwick- lung, Ausweitung der Jahresabschlussprüfung. 12 Einführung Konkret fordert beispielsweise § 91 II AktG: „Der Vorstand hat geeignete Maßnahmen zu treffen, insbesondere ein Über- wachungssystem einzurichten, damit der Fortbestand der Ge- sellschaft gefährdende Entwicklungen früh erkannt werden.“ Als Beispiel für den zweiten Punkt lässt sich § 289 I HGB an- führen: „Im Lagebericht . . . der Kapitalgesellschaft . . . ist auf die Risiken der künftigen Entwicklung einzugehen.“ § 317 II HGB dient schließlich als Beleg für den dritten Punkt: „Der Lagebericht und der Konzernlagebericht sind ... zu prüfen ... Dabei ist auch zu prüfen, ob die Risiken der künftigen Ent- wicklung zutreffend dargestellt sind.“ Was die einzelnen Paragrafen betrifft, so sind sie im Wort- laut nur für größere Kapitalgesellschaften (Aktiengesell- schaften/größere GmbHs) maßgeblich. Jedoch ist in diesem Zusammenhang von einer „Ausstrahlwirkung“ auch auf mittlere und selbst auf die kleinen GmbHs die Rede, da der Geschäftsführer einer GmbH in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden hat. Genaue Angaben, ab welcher Unternehmensgröße ein Risikomanagement einzuführen ist und welche Anforderun- gen explizit zu erfüllen sind, lässt der Gesetzgeber allerdings offen. 1.2.2 Basel II und Rating Neben dem KonTraG geistert seit einigen Jahren das Schreckgespenst Basel II (Zusammenkunft der Bankenauf- sicht der G-10-Staaten) immer noch als Reizwort in den Unternehmen umher. Genauer betrachtet, bedeutet Basel II lediglich die neu formulierten Bedingungen an Kreditinstitu- te bei Ausgabe von Großkrediten.