Risikomanagement: Umsetzung und Integration in das Führu ... / 3.3 Risikoanalyse: Identifikation, Bewertung und Aggregation

3.3.1 Risikoidentifikation

Der erste Schritt im Rahmen der Risikoanalyse dient der strukturierten Erfassung aller Risiken, die auf das Unternehmen einwirken können. Dazu nimmt jede betrachtete Steuerungseinheit alle potenziellen bzw. relevanten Einzelrisiken auf und ordnet diese in zuvor definierte thematische Kategorien ein. Diese Risikokategorien werden dabei in Übereinstimmung mit dem internen Steuerungsmodell gewählt und stecken den Rahmen der Risikoidentifikation ab. Im Praxisbeispiel wurden die Kategorien aus Abb. 3 gewählt:

Risikokategorien	Beispiele
Allgemeine Risiken	Konjunkturelle Entwicklung, Technologiesprünge
Markt-/Wettbewerbsrisiken	Markteintritt neuer Wettbewerber
Politische Risiken	Staatliche Regulierungsmaßnahmen
Leistungswirtschaftliche Risiken	Ausfall zentraler Produktionskomponenten
Finanzielle Risiken	Wechselkursschwankungen, Zinsänderungen
Umweltrisiken	Naturkatastrophen, Abfallbeseitigung
Risiken aus Schnittstellen	Informations- und Kommunikationsdefizite
Gesundheitliche Risiken	Epidemien, Pandemien

Abb. 3: Thematische Kategorien zur Einteilung von Risiken

Iterationen und Schleifen sind üblich

Typischerweise entstehen bei der Erstaufnahme mitunter umfangreiche Listen mit vielen Einzelrisiken. Um die Risiken in einem nächsten Schritt bewerten bzw. ein aussagefähiges Bild der Risikosituation entwickeln zu können, sind oftmals noch verschiedene Iterationen und Prozessschleifen zu durchlaufen. Durch den Abgleich der Risikolisten der einzelnen Steuerungseinheiten in übergeordneten Workshops wird eine einheitlichen "Flughöhe" erreicht und inhaltliche Redundanzen werden vermieden.

3.3.2 Risikobewertung

Fachübergreifende Betrachtung hilfreich

Im zweiten Schritt der Risikoanalyse erfolgt die Bewertung der identifizierten Risiken hinsichtlich der risikorelevanten Dimensionen Eintrittswahrscheinlichkeit und Schadenausmaß. Die Risikobewertung findet im Rahmen von Workshops oder Expertenrunden statt. In der Praxis hat sich gezeigt, dass fachbereichsübergreifende Diskussion zu einem ausgewogeneren und umfassenderen Bild der Risikosituation führt.^[1] Die Ergebnisse der Risikobewertung werden anschließend in Tabellenform dokumentiert (vgl. Abb. 4) und in einer Risiko-Matrix grafisch aufbereitet (vgl. Abb. 5). Bei der Risikomatrix handelt es sich um eine vereinfachte Darstellung der Risikolandschaft eines Unternehmens. Die Positionierung der Linien und Punkte variiert dabei in Abhängigkeit von der unterstellten Wahrscheinlichkeitsverteilung des Risikos.

Abb. 4: Dokumentation der Ergebnisse aus der Risikobewertung

Abb. 5: Risikomatrix (mit H&P Risk-Manager erstellt)^[2]

[1] Vgl. Buderath (1999), S. 24; Wolf/Runzheimer (1999), S. 40 f.

[2] Vgl. Gleißner (2008), S. 119–123.

3.3.3 Risikoaggregation

Zusammenhänge betrachten statt nur zu addieren

Abschließend müssen die identifizierten sowie nach Schadenshöhe und Eintrittswahrscheinlichkeit bewerteten Einzelrisiken unternehmensweit aggregiert werden, um die Gesamtrisikostruktur des Unternehmens zu ermitteln. Dabei ist es wichtig, Wirkungszusammenhängen zwischen den verschiedenen Einzelrisiken zu berücksichtigen, da bestimmte Einzelrisiken isoliert betrachtet nur von nachrangiger Bedeutung für das Unternehmen sein können, während sie kumulativ ein existenzbedrohendes Risiko darstellen. Für die Darstellung der verdichteten Risikoinformationen werden im Anschluss Indikatoren, wie der Value at Risk und der Return on Risk Adjusted Capital (RORAC) bestimmt.