RisikomanagementRisiken messen und bewerten

Wenn Risiken für das Unternehmen identifiziert sind, müssen diese qualitativ und quantitativ genauer analysiert werden. Es müssen so viele Informationen wie möglich zum einzelnen Risiko zusammengetragen werden. Damit können Sie für Ihr Unternehmen das jeweilige Risiko bewerten. Eine Risikobewertung ergibt sich aus zwei Faktoren:

Eintrittswahrscheinlichkeit

Mit welcher Wahrscheinlichkeit tritt für das Unternehmen ein Schaden, der mit einem Risiko verbunden ist, ein?

Schadenshöhe oder Auswirkungen

Wie umfassend ist der Schaden? Welche (finanziellen) Folgen und Auswirkungen hat er für das Unternehmen? Welche negativen Auswirkungen ergeben sich daraus für die Zielerreichung des Unternehmens; zum Beispiel in Bezug auf Umsatz, Gewinn oder Aktienkurs.

Mit diesen beiden Merkmalen zur Beschreibung von Risiken lässt sich ein Risikoportfolio für das Unternehmen erstellen. Damit werden die einzelnen Risiken in einer Übersicht abgebildet, sodass das Management beurteilen kann, welche Risiken besonders beachtet werden sollten und welcher Aufwand und welche Maßnahmen notwendig sind, um das jeweilige Risiko einzugrenzen.

Das Risikoportfolio ist Grundlage für die Aktivitäten zum Risikomanagement. Abbildung 2 zeigt, wie ein solches Risikoportfolio aussehen kann.

Schadenshöhe und Eintrittswahrscheinlichkeit von Risiken können nur für einige Risiken gemessen werden. Dafür brauchen Sie im Risikomanagement angemessene Modelle und Rechenverfahren. Mithilfe statistischer Verfahren, Wahrscheinlichkeitsrechnung, Kostenrechnung und Methoden des Operation-Research lassen sich Risiken messbar machen und in Kennzahlen abbilden.

Das Kerngeschäft von Versicherungen ist es, Risiken abzusichern. Dazu müssen sie Risiken, so gut es geht, quantitativ und anhand von Finanzkennzahlen (monetär) bewerten. Versicherungen haben deshalb im Laufe vieler Jahre und dank umfangreicher Erfahrungen ausgeklügelte Modelle und Methoden, um das Risiko kalkulierbar zu machen.

An ihren Modellen und Rechenverfahren können sich auch andere Unternehmen orientieren, wenn sie ihre Risiken messbar machen wollen. Hilfreich sind beispielsweise das Value-at-Risk-Konzept und das Cashflow-at-Risk-Konzept:

Value-at-Risk-Konzept (VaR)

Das Value-at-Risk-Konzept (VaR) wurde von amerikanischen Banken entwickelt, um mit stochastischen Methoden die Wahrscheinlichkeit zu berechnen, dass ein bestimmter Verlust (im Wertpapierhandel) eintritt. Das Modell lässt sich mit Einschränkungen auch auf die Bewertung von anderen Schäden übertragen.

Cashflow-at-Risk (CFaR)

In der Industrie hat sich für ein ähnliches Modell der Begriff Cashflow-at-Risk (CFaR) etabliert. Mithilfe von Simulationen zu Risikofaktoren und deren Bedeutung für den Cashflow des Unternehmens können Aussagen getroffen werden wie: Mit 99-prozentiger Wahrscheinlichkeit wird der Schaden durch Lieferausfall nicht höher als 100 Millionen EUR betragen.

Damit solche umfangreichen Modelle funktionieren und gute Ergebnisse liefern, müssen zahlreiche Einflussfaktoren und Kennzahlen ermittelt und in den Modellen verrechnet werden. Das kann sehr aufwendig sein. Zudem kann es in einem Unternehmen folgenschwere Risiken geben, die sich mit solchen Modellen nicht bewerten lassen.

Viele Risiken müssen qualitativ bewertet werden. Dies erfolgt auf der Grundlage von (messbaren) Indikatoren oder durch Einschätzungen von Experten. Dazu werden Kategorien oder Risikoklassen gebildet und Merkmale oder Indikatoren beschrieben, die zeigen, welches Risiko in welche Kategorie einsortiert werden soll. Die einzelnen Risiken müssen durch einen Bewertungsprozess diesen Kategorien zugeordnet werden.

Abbildung 3 zeigt ein mögliches Kategoriensystem: Es werden fünf Risikoklassen (Kategorien) gebildet und verbal, qualitativ, beschrieben.

Für die Zuordnung zu den einzelnen Risikoklassen oder Kategorien können unterschiedliche Bewertungsmerkmale herangezogen werden. So gibt es beispielsweise Risiken, die Extremfälle sind. Sie haben besonders hohes Schadenspotenzial für das Unternehmen und können es in seiner Existenz unmittelbar bedrohen.

Andere Risikoklassen können durch messbare Indikatoren beschrieben werden. Zum Beispiel die allgemeine Wirtschaftsentwicklung, Einkaufsverhalten, Rohstoffpreise, Einkaufsvolumen bei einem einzelnen Lieferanten, Beschaffungszeiten, Bonitätsbewertungen oder Statistiken aus der Vergangenheit für Arbeitsunfälle, Krankenquoten, Kündigungen etc.

Risikofaktoren können Schwankungen unterliegen, die aber innerhalb von Erfahrungswerten liegen. Diese Volatilitäten lassen sich zwar nicht sicher vorhersagen, helfen aber bei der Berechnung von Eintrittswahrscheinlichkeiten oder möglichen Schadenshöhen. Sie können ebenfalls in die Bewertung einfließen und Teil der Beschreibung einzelner Risikoklassen sein.

Beispiel für eine Risikobewertung

Der Wechselkurs von US-Dollar zu Euro veränderte sich in den vergangenen fünf Jahren zwischen 1,247 EUR pro US-Dollar und 0,969 EUR pro US-Dollar. In diesem Bereich bedeutet dies für das Unternehmen ein mittleres Wechselkursrisiko.

Im einfachsten Fall werden alle identifizierten Risiken anhand eines Klassifikationssystems wie in Abbildung 3 und der jeweiligen Merkmale betrachtet, beschrieben und bewertet – und dann in die entsprechende Risikoklasse eingeordnet. Möglich ist auch, zwei Klassifikationssysteme zu bilden: eines für die Eintrittswahrscheinlichkeit und eines für die Schadenshöhe. Dann kann zum Beispiel bewertet werden:

• Wahrscheinlichkeit, dass der Schadensfall eintritt, ist sehr hoch (4 Punkte) bis sehr gering (1 Punkt).
• Ausmaß des Schadens (finanziell) ist sehr hoch (4 Punkte) bis sehr gering (1 Punkt).

Der Multiplikator der beiden Punktwerte ergibt eine sogenannte Risikozahl, die dann bei dieser Bewertungsskala zwischen 1 und 16 liegen kann.

Letztlich lassen sich unternehmensspezifische Risikoskalen entwickeln, die Risiken und ihre Bewertung sichtbar machen. Wichtig dabei ist, dass die Bedeutung der einzelnen Skalenwerte möglichst klar und transparent ist. Alle betroffenen Mitarbeiterinnen und Mitarbeiter müssen wissen, was die einzelne Kategorie meint. Es müssen klare, trennscharfe Definitionen formuliert werden.

Anhand eines für Ihre Risikoarten geeigneten Klassifikationssystems können Sie die für Ihr Unternehmen relevanten Risiken in die einzelnen Kategorien einordnen und daraus ein Risikoportfolio erstellen. Dieses dient als Radar, um wichtige Entwicklungen im Blick zu haben und um rechtzeitig agieren zu können.

Die Risiken sollten mit ausführlichen Informationen und – wenn möglich – über Kennzahlen oder Indikatoren messbar gemacht werden. Darüber hinaus können die Risiken weiteren Bewertungsverfahren unterworfen werden. Ein Beispiel dafür ist die Erstellung von Worst-Case-Szenarien. Doch auch hier gibt es viele subjektive Faktoren, die beachtet werden sollten: Welche schlimmsten Fälle will sich ein Unternehmen ausmalen?

Viele Risiken ergeben sich für die Unternehmen aufgrund von Entwicklungen im Umfeld. Das Unternehmen kann diese nicht oder nur sehr schwer beeinflussen. Deshalb werden im Risikomanagement Umfeldfaktoren wie Politik und Gesetzgebung (national und international), Versorgungssicherheit mit Rohstoffen, wirtschaftliche Entwicklung, Entwicklungen am Kapitalmarkt, Wettbewerb, Normung oder Klima und Natur (Erdbeben, Überschwemmungen) besonders beachtet und beobachtet. Dort lassen sich die Entwicklungen in Form von Trends beschreiben.

Diese Trends werden in Bezug gesetzt mit den Strategien des Unternehmens und in Form einer sogenannten Strategie-Impact-Matrix analysiert. Über diese Analyse lassen sich zwei Dinge aufzeigen:

• welche Trends im Umfeld einen besonders hohen Einfluss auf die Unternehmensstrategie haben – positiv wie negativ und
• welche Strategien und Geschäftsbereiche von den Trends in besonderer Weise beeinflusst sind – auch hier positiv wie negativ.