Risikomanagementsystem: Grundlagen und Aufbau / 3.4 Risikobewertung

Als Grundlage für die Ableitung von Maßnahmen der Risikosteuerung müssen die identifizierten Risiken in einer zweiten Phase des Risikomanagementprozesses bewertet werden. Dabei gibt es Risiken, die quantitativ gemessen, und andere, die qualitativ beurteilt werden können.

3.4.1 Schritt 1: Festlegung der Bewertungskriterien

Hierfür sind Bewertungskriterien festzulegen. Beispiele hierfür sind:

• finanzielle Auswirkungen,
• Wirkung auf die Reputation des Unternehmens,
• Häufigkeit des Auftretens (ohne Kontrollen).

Die Häufigkeit des Auftretens liefert wichtige Anhaltspunkte, um später die Eintrittswahrscheinlichkeit beurteilen zu können.

3.4.2 Schritt 2: Ausprägung der Bewertungskriterien

Nachdem die Bewertungskriterien definiert sind, sind diese für jedes Risiko strukturiert auszuprägen (s. Abb. 6):

	niedrig	mittel	hoch	sehr hoch
(1) finanzielle ­Auswirkungen	< 1 Mio. EUR	1 Mio. EUR bis 5 Mio. EUR	> 5 Mio. EUR und < 10 Mio. EUR	> 10 Mio. EUR
(2) Häufigkeit des Auftretens	seltener als einmal pro Jahr	einmal pro Quartal	monatlich	täglich
(3) Wirkung auf die Reputation des Unternehmens	lokal	regional	national	global
(4) …

Abb. 6: Strukturierung der Bewertungskriterien (Beispiel)

Praxis-Tipp

Vierstufige Skalierung

Zur einfachen Darstellung sollte sich das Unternehmen zunächst auf zwei Bewertungskriterien beschränken. In beiden Fällen ist es sinnvoll, eine vierstufige Skalierung zu wählen, da bei drei- oder fünfstufigen Skalierungen die Gefahr besteht, dass die bewertenden Mitarbeiter häufig eine mittlere Bewertung abgeben, was die Identifikation bestandsgefährdender Risiken erschwert. Dies ist bei einer vierstufigen Skala ausgeschlossen (s. Abb. 7 und Abb. 8).

Eintrittswahrscheinlichkeit (EW) (abgeleitet aus der Häufigkeit des Auftretens)

1	unwahrscheinlich	EW < 20 %
2	möglich	EW 20 bis 50 %
3	wahrscheinlich	EW > 50 bis 80 %
4	nahezu sicher	EW > 80 %

Abb. 7: Wahrscheinlichkeitsklassen mit vierstufiger Skalierung

Schadenshöhe (SH) (finanzielle Auswirkungen des Risikos)

1	gering	SH < 50.000 EUR
2	mittel	SH 50.000 EUR bis 500.000 EUR
3	schwerwiegend	SH > 500.000 EUR bis 2.500.000 EUR
4	bestandsgefährdend	SH > 2.500.000 EUR

Abb. 8: Schadensklassen mit vierstufiger Skalierung

Genauere Einstufungen können beispielsweise erreicht werden, wenn neben der Auswirkung auf das bilanzielle Eigenkapital zusätzlich die Auswirkung auf das Ergebnis festgestellt wird. Als Schwellenwert für die Bestandsgefährdung von Risiken könnte bei der Bezugsgröße "Ergebnis" (z. B. EBIT, Jahresüberschuss) ein Wert von × Prozent angenommen werden.

3.4.3 Schritt 3: Festlegung von Schwellenwerten

Definition von Schwellenwerten

Für die einzelnen Risiken ist festzulegen, wann diese als bestandsgefährdend eingestuft werden (z. B. wenn bei den Bewertungskriterien die Ausprägungen "hoch" und "sehr hoch" vergeben wurden).

3.4.4 Schritt 4: Bewertung durch die Teilnehmer des Workshops zur Risikobewertung

Die Bewertung erfolgt im Rahmen sog. Risikobewertungs-Workshops, die zunächst vorbereitet werden müssen. Im Workshop selbst werden vor der Bewertung die Grundlagen des Risikomanagements und die Bewertungsmethoden kurz erläutert.

Anhand der vorgegebenen Skalierungen für die Eintrittswahrscheinlichkeit und die Auswirkung (Schadenshöhe) wird die Bewertung mittels einer vierstufigen Skala durchgeführt. Das heißt, die Ausprägungen der Merkmale sind in vier Stufen unterteilt, rein subjektiv aus Sicht des jeweiligen Teilnehmers mittels eines vorbereiteten Fragebogens. Eintrittswahrscheinlichkeit (EW) und Auswirkung (Schadenshöhe; SH) auf das Unternehmen sollen immer aus Gesamtunternehmenssicht beurteilt werden.

Achtung

Aufnahme zusätzlicher Angaben

Es ist festzulegen, ob es zulässig sein soll, dass die Teilnehmer im Rahmen der Fragebogenaktion zusätzliche Angaben (z. B. weitere Problembereiche oder zusätzliche Maßnahmen) in ein zusätzlich in den Fragebogen aufzunehmendes Feld eintragen.

Mehrstufiger Bewertungs­prozess

Bei der Risikobewertung werden drei Bewertungskategorien unterschieden, deren Ergebnisse im Risikofragebogen (siehe Risikoidentifizierung) dokumentiert werden:

Schritt 4.1: Bewertung vor Maßnahmen (Bruttorisiko)

Bruttobewertung

Bei der ersten Bewertung ist darauf zu achten, dass die genannten Angaben zu den Bewertungskriterien vor Berücksichtigung von Maßnahmen zur Risikosteuerung festgehalten werden. Der Grund liegt – wie schon bei der Risikoidentifizierung beschrieben – in der Sicherstellung der Vollständigkeit.

Praxis-Beispiel

Die Markteinführung eines Nachfolgeprodukts, das die Anforderungen und Erwartungen des Marktes verfehlt, kann beispielsweise zu bedrohlichen Verlusten des Marktanteils führen:

• Finanzielle Auswirkungen: sehr hoch
• Häufigkeit des Auftretens: niedrig (Produktwechsel seltener als einmal im Jahr)
• Wirkung auf die Reputation des Unternehmens: sehr hoch

Praxis-Beispiel

Täglich anfallender Ausschuss bei der Fertigung eines Massenprodukts

• Finanzielle Auswirkungen: niedrig
• Häufigkeit des Auftretens: hoch
• Wirkung auf die Reputation des Unternehmens: niedrig

Diese Informationen sollten als Ausgangsinformation – neben der Risikonummer, der Risikobezeichnung, der Risikobeschreibung und dem Risikoverantwortlichen – ebenfalls in den Risikokatalog aufgenommen werden. Zudem kann die Risik...