Compliance-Risikoanalyse: Nutzen, Umsetzung und Integrat ... / 3.3.2 Schritt 2: Bewertung der Auswirkungen von Compliance-Risiken

Quantitative oder qualitative Bewertung von Risiken

Bei der Bewertung von Compliance-Risiken stellt sich die Frage, ob man die Risiken quantitativ oder qualitativ bewerten möchte. Unter einer quantitativen Bewertung verstehen wir die Festlegung eines möglichen Schadens in Euro und die Abschätzung einer Eintrittswahrscheinlichkeit für das Risiko. Üblicherweise erfolgt eine quantitative Bewertung einmal vor Maßnahmen (brutto) und einmal nach Maßnahmen (netto).

Quantitative Bewertung

Eine solche quantitative Bewertung entspricht dem gleichen Vorgehen, wie man es im klassischen Risikomanagement für operative, strategische, finanzielle und rechtliche Risiken vorgenommen hat.^[1] Eine quantitative Bewertungsmethode schlägt auch der IDW PS 980 vor.^[2]

Vorteile

Der Vorteil einer solchen quantitativen Bewertung von Compliance-Risiken liegt darin, dass man die Ergebnisse mit der Risikobewertung des klassischen Risikomanagements integrieren kann. Häufig sind die Führungskräfte mit der bestehenden Risikobewertungsmethode im Unternehmen vertraut und können dieses Vorgehen analog auf das Compliance-Thema übertragen.

Nachteile

Die Schwierigkeit liegt allerdings darin, dass die Schäden von Compliance-Verstößen oftmals nicht leicht zu quantifizieren sind. Während direkte Schäden und mögliche Strafzahlungen noch gut zu ermitteln sind, lassen sich mögliche Reputationsschäden nur schwer quantifizieren.^[3] Besondere Schwierigkeit stellt die Abschätzung der Eintrittswahrscheinlichkeit dar. Wie will man die Eintrittswahrscheinlichkeit von Bestechlichkeit ermitteln, insbesondere wenn bisher Erfahrungswerte hierzu fehlen?^[4]

Ziel einer Compliance- Risikoanalyse

Es hilft daher, sich das Ziel einer Compliance-Risikoanalyse deutlich vor Augen zu führen: Die Identifizierung der großen Compliance-Gefährdungen dient letztlich der zielgerichteten Maßnahmenergreifung.

Der exakte monetäre Schaden ist somit nicht von vorrangiger Bedeutung. Für ein Unternehmen macht es nur einen geringen Unterschied, ob aufgrund eines Wettbewerbsverstoßes die Kartellbehörde als Strafe 5 oder 10 % Gewinnabschöpfung vornimmt. In jedem Fall handelt es sich um ein signifikantes Risiko, gegen das Maßnahmen ergriffen werden müssen. Aufgrund dieser Überlegung stellt sich die Frage, ob eine qualitative Bewertung der Risiken für die Zwecke der Vorbeugung von Compliance-Verstößen nicht ausreichend ist.

Qualitative Bewertung

Definition

Unter einer qualitativen Bewertung verstehen wir die Einteilung der Risiken in Risikoklassen gemäß bestimmten festgelegten Kriterien. Dabei sind Schadensauswirkung und Eintrittswahrscheinlichkeit nicht die einzigen Faktoren, werden aber – soweit sie zu ermitteln sind – mitberücksichtigt.

Bewertungskriterien

Weitere Kriterien einer qualitativen Bewertung können die Frage nach der betroffenen Hierarchieebene (Geschäftsführung vs. Mitarbeiter), die Frage der Haftung (Organisation vs. Individuum), das Ausmaß des Reputationsschadens (z. B. gemessen an der potenziellen Berichterstattung durch Medien, also lokale Presse vs. landesweite Berichterstattung) etc. sein.

Gemäß diesen Kriterien bildet man dann Risikoklassen, wie z. B. eine Ampel-Logik: grün, gelb und rot. Oder man bildet eine Fünferskala wie in Abb. 4.

Hinweis

"Potenzielles Schadensausmaß" mit Beispielangaben

Die in Abb. 4 enthaltenen Angaben zum potenziellen Schadensausmaß sind als Beispiel zu verstehen und individuell für jedes Unternehmen zu bestimmen. So sind alternativ Prozentangaben, hier auf Grundlage des EBIT, oder absolute Werte möglich. Anstelle des EBIT können auch andere Kennzahlen verwendet werden. Die Prozentangaben beruhen auf der Praxiserfahrung der Autoren. Die absoluten Werte sind nur als Beispielwert angegeben.

Diese Bewertung lässt sich sowohl vor Maßnahmen (brutto) als auch nach Maßnahmen (netto) durchführen. Eine solche Vorgehensweise ermöglicht in gleicher Weise wie die rein quantitative Bewertung eine Priorisierung der Compliance-Risiken, ohne dass jeweils immer ein exakter Wert für Schaden und Eintrittswahrscheinlichkeit ermittelt werden muss. Für die kritischen und hohen Risiken sollten dann Maßnahmen mit entsprechender Dringlichkeit abgeleitet werden.

Abb. 4: Fünferskala für Risikokategorien

[1] Vgl. Keitsch (2007), S. 169 ff.

[2] Vgl. IDW Prüfungsstandard 980 (2011), Tz. 19.

[3] Vgl. Böing/Kaiser/Schäl, in Kaiser, S. 233 f.

[4] Ähnlich Knoll/Karven, in Wieland/Steinmeyer/Grünninger, S. 469.