Reifegradmodelle und Entwicklungsstufen des Risikomanagements: Ein Selbsttest

Zusammenfassung

• Die Leistungsfähigkeit der Risikomanagementsysteme von Unternehmen unterscheidet sich deutlich. Für einen systematischen Ausbau ist es hilfreich den aktuellen "Status" möglichst strukturiert beurteilen zu können.
• In diesem Beitrag wird ein "Reifegradmodell" für das Risikomanagement für Unternehmen vorgestellt. Es umfasst 6 Stufen und bietet für jede Stufe konkrete Orientierungsfragen.
• Neben einer Beurteilung des "Reifegrads" des Risikomanagements erlaubt der vorgestellte Kriterien- und Fragenkatalog eine strukturierte Prüfung des eigenen Risikomanagements. Die Fragestellungen betrachten dabei sämtliche Aktivitäten eines Unternehmens, die sich mit Chancen und Gefahren (Risiken) befassen, also z. B. auch Risikomanagementaktivitäten in den Bereichen Planung, Controlling, Treasury oder Unternehmensführung.
• Ein besonderer Nutzen des vorgestellten Reifegradmodells besteht darin, dass durch die Beantwortung der einzelnen Fragen implizit konkrete Schwachstellen aufgezeigt werden, die eine unternehmensspezifische Liste von konkreten Verbesserungsansätzen abzuleiten hilft.

1 Prüfungsstandards für das Risikomanagement

Risikomanagement ist von großer Bedeutung für den Unternehmenserfolg

Die Fähigkeiten eines Unternehmens im Umgang mit Chancen und Gefahren (Risiken) und damit das Risikomanagement sind von großer Bedeutung für den Unternehmenserfolg. Es trägt potenziell bei zur Senkung von Risikokosten, hilft die Wahrscheinlichkeit bestandsbedrohender Krisen (oder gar einer Insolvenz) zu reduzieren und stellt Risikoinformationen bereit, um bei der Vorbereitung unternehmerischer Entscheidungen erwartete Erträge und Risiken gegeneinander abzuwägen.

Schon zur Reduzierung persönlicher Haftungsrisiken für den Vorstand soll das Risikomanagement in vielen Unternehmen zunächst die zentrale Anforderung aus dem Kontroll- und Transparenzgesetz (KonTraG) erfüllen helfen, die in § 91 Abs. 2 AktG formuliert ist: "Der Vorstand hat geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden."

"Der Vorstand hat geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden."

Bedeutende Prüfungsstandards

Um festzustellen, inwieweit das Risikomanagement eines Unternehmens die gesetzten Anforderungen erfüllt, wurden (ergänzend zu Risikomanagement-Standards, wie COSO oder die DIN ISO 31000)^[1] Risikomanagement-Prüfungsstandards entwickelt. Bedeutsam sind in Deutschland hier insbesondere

• der IDW PS 340 zur Prüfung des Risikofrüherkennungssystems, der 1998 als unmittelbare Konsequenz entwickelt wurde,
• der DIIR Nr. 2 für die Prüfung des Risikomanagements durch die interne Revision und
• der neue, im März 2017 verabschiedete IDW PS 981.

Reifegrade

Sowohl im Hinblick auf den Anspruch, den die Unternehmensführung formuliert, als auch der tatsächlich erreichten Leistungsfähigkeit unterscheiden sich die Risikomanagementsysteme deutscher Unternehmen ganz erheblich. Für die Formulierung von Zielperspektiven des Risikomanagements als auch die Beurteilung des erreichten Status sind "Reifegradmodelle" hilfreich, die eine Einordnung des eigenen Risikomanagements (Benchmarking) ermöglichen.

Reifegradmodell von Vanini

Ein Reifegradmodell insbesondere zur Integration von Controlling und Risikomanagement wurde z. B. von Vanini entwickelt.^[2] Ihre in diesem Zusammenhang durchgeführte Befragung hat dabei gezeigt, dass insbesondere die wichtige Integration von Risikomanagement und Controlling noch in den Kinderschuhen steckt. In diesem Beitrag wird ergänzend ein Reifegradmodell vorgestellt, das insgesamt die Risikomanagementfähigkeit eines Unternehmens betrachtet, speziell im Hinblick auf (1) Erfüllung gesetzlicher Anforderungen und (2) erreichter ökonomischer Nutzen.

[1] Vgl. Brühwiler/Romeike, 2010.

[2] Vgl. hierzu den Beitrag von Vanini, "Reifegrade der Integration von Risikomanagement und Controlling" sowie Eicher/Romeike, 2014.

2 Ein Reifegradmodell für die risikoorientierte Unternehmensführung – mit Testfragen

6 Reifegrade des Risikomanagements

Nachfolgend werden für das 6-Stufen-Modell des Risikomanagements jeweils die wichtigsten Kriterien in Fragenform angegeben. Sie helfen zu beurteilen, ob das eigene Risikomanagement den entsprechenden Entwicklungsgrad ("Reife") bereits erreicht hat.^[1]

Abb. 1: Die 6 Stufen des Risikomanagements^[2]

Stufe 1: Kein Risikomanagement

Es existieren kein ausgeprägtes Risikobewusstsein und kein formalisiertes System zum Umgang mit Risiken. Eine Berücksichtigung von Risiken im Rahmen unternehmerischer Entscheidungen findet nur sporadisch statt.

Stufe 2: Schadensmanagement

Die Unternehmensführung ist sich der Existenz bestimmter Risiken, speziell wesentlicher Gefahren, bewusst und setzt punktuell Maßnahmen zur Abwehr dieser Gefahren ein. Dabei wird auf die Einhaltung von (z. T. gesetzlich vorgegebenen) Regelungen wie Umweltschutz und Arbeitsschutz geachtet. Versicherungen werden eingesetzt, um seltene, schwerwiegende Schäden zu überwälzen. Im Rahmen unternehmerischer...