Risk Governance ist die Durchdringung eines Unternehmens mit einer auf die verschiedenen Zielgruppen (Stakeholder) ausgerichteten Risikosteuerung aus strategischer Sicht. Risk Governance überbrückt die Lücke zwischen dem operativen Risikomanagement und der strategischen Corporate Governance. Ziel der Risk Governance ist es, das Geschäftsmodell eines Unternehmens kontinuierlich auf Risikobedrohungen hin abzuprüfen, es bei Bedarf anzupassen und auf diese Weise nachhaltig umfassend risikorobust zu gestalten.
Beschreibung
Risikosteuerungsproblem Risk Governance bezieht sich auf die verantwortbare Steuerung von Risiken auf Gesamtunternehmensebene. Während Strategien die bewusste Risikoübernahme zwecks Erzielung von Gewinn im marktlichen Wettbewerb implizieren, ist es gleichzeitig notwendig, dass eingegangene, aber auch unvorhergesehene Risiken die vorhandene Risikotragfähigkeit nicht übersteigen.
Das Dilemma der risikobezogenen Unternehmenssteuerung besteht darin, dass es weder dem „traditionellen“ Risikomanagement noch der Corporate Governance hinreichend gelingt, unternehmensbedrohende Risiken zu erkennen, deren Auswirkungen auf das Geschäftsmodell rechtzeitig zu antizipieren und umgehend die notwendigen Anpassungen der bestehenden sowie der zukünftigen Strategien einzuleiten. Denn zum einen wendet das – in seiner Grundanlage eher operativ und mechanistisch ausgerichtete – Risikomanagement vielfach (internationalen Standards für das Risikomanagement wie zum Beispiel ISO 31000 oder COSO ERM folgende) standardisierte Risikomodelle und Risikomanagementprozesse auf vorselektierte Standardrisiken an und bewältigt Risiken weitgehend isoliert voneinander und damit nicht im strategischen Gesamtzusammenhang. Zum anderen scheitert die Corporate Governance in der Risikosteuerung, da sie zwar bezogen auf das Unternehmen als Ganzes eine umfassende Regeleinhaltung der Unternehmensleitung und damit eine strategische Risikominimierung sicherstellen soll, allerdings ihrerseits nur ansatzweise auf Geschäftsrisiken ausgerichtet ist und sich zudem häufig in der Erfüllung formaler Regelungsvorgaben und im Ausschluss von Haftungsrisiken erschöpft. In der Konsequenz bestehen in Unternehmen zwei voneinander isolierte Spezialfunktionen, denen die angemessene Berücksichtigung der immer stärker vernetzten und die Unternehmensgrenzen überschreitenden Risiken im Geschäftsmodell nicht durchgehend gelingt.
Philosophie Risk Governance bietet einen Ausweg aus dem beschriebenen Dilemma, indem sie von übergeordneter Warte für eine proaktive Kontrolle aller Unternehmensrisiken sorgt. Eine auf das Gesamtunternehmen und seine Zielgruppen (Eigentümer, Banken, Kooperationspartner, Kunden, Lieferanten, Mitarbeiter, Öffentlichkeit etc.) bezogene Risikosteuerung wird als grundlegendes Prinzip für alle Entscheidungen im Unternehmen eingeführt. Dies deckt sich mit den rechtlichen Vorgaben zur Sorgfaltspflicht, denen Unternehmensleitungen unterliegen, nicht zuletzt aufgrund des „Gesetzes zur Kontrolle und Transparenz im Unternehmensbereich“ (KonTraG): Der Vorstand einer Aktiengesellschaft beziehungsweise die Geschäftsleitung einer GmbH sind verpflichtet, geeignete Maßnahmen zu ergreifen, damit Entwicklungen, die den Fortbestand der Gesellschaft gefährden können, frühzeitig erkannt werden. Zudem müssen sie Aussagen zu den Risiken des Unternehmens im Lagebericht veröffentlichen und das Bestehen und den Betrieb des Risikofrüherkennungssystems vom Abschlussprüfer prüfen lassen. Risk Governance nimmt sich dieser Anforderungen an.
Die Philosophie von Risk Governance ist „die Durchdringung des Unternehmens mit einer stakeholderorientierten Risikosteuerung aus strategischer Sicht“. Hier wird die Verbindung zum Geschäftsmodell deutlich, denn in der Geschäftsstrategie werden die relevanten Stakeholder mit ihren Zielen und Interessen abgebildet. Risk Governance strebt eine proaktive Risikosteuerung aus dem Unternehmen heraus an. Zugleich wird Risk Governance indirekt den Normen der Good Corporate Governance verpflichtet, so dass den Stakeholdern im Hinblick auf risikobezogene Nachhaltigkeit klare ethische Signale gesendet werden können.
Aufgaben Damit das Geschäftsmodell eines Unternehmens nicht durch nicht-antizipierte Risiken bedroht wird, stellt Risk Governance die Beziehung der vielfältigen Risiken zum Geschäftsmodell mittels vier Aufgaben her: Die erste Aufgabe ist das Design von Risikomodellen, die das Geschäftsmodell in geeigneter Form abbilden. Es gilt, die Art der Risikowahrnehmung, -priorisierung und -aggregation vor dem Hintergrund der konkreten Stakeholderbedingungen festzulegen. Dabei liegt der Fokus auf proaktiv ausgerichteten Risikomodellen, denn durch diese kann die Geschäftsführung neben aktuellen Risiken auch potenzielle Risiken besser wahrnehmen. Die zweite Aufgabe ist die Bestimmung von Modellrisiken, also die Identifikation fehlerhaft konzipierter Modelle, beispielsweise nicht valider Messvorschriften oder typischer Anwendungsfallen, als besondere Gefahren für das Geschäftsmodell. Die Risikomodelle werden dahingehend regelmäßig auf den spezifischen sich wandelnden Anwendungskontext bezogen und Stresstestszenarien unterzogen, um ihre Funktionalität dauerhaft zu sichern und die Risikosteuerung permanent zu rekontextualisieren. Dies wird weder von einer Corporate Governance noch von einem Risikomanagement systematisch geleistet. Die dritte Aufgabe ist die Forschung und Entwicklung in Risikothemen. Hier werden systematisch inhaltliche und methodische Fortschritte der Risikoforschung und -praxis als Treiber für die Modellentwicklung gesucht und an die spezifische Risikosituation des Unternehmens adaptiert. Die vierte Aufgabe ist die Beratung der Unternehmensleitung bei Risikothemen, also wie sie die Risikoinformationen für die Geschäftsprozessgestaltung nutzen. Dazu bedarf es der systematischen Weiterleitung risikosteuerungsbezogener Informationen in die Unternehmensspitze. Indem deren Fähigkeit zur dynamischen Einflussnahme auf den Marktreaktionsprozess ausgebaut wird, leistet Risk Governance einen wesentlichen Beitrag zur Erfüllung der Erwartungen des Gesetzgebers im Hinblick auf die umfassende Sorgfaltspflicht der Geschäftsleitung.
Prozess Die Implementierung von Risk Governance erfolgt nicht primär als neue formale Struktur im Unternehmen – wobei am ehestens eine Projektorganisation als Risk Governance-Komitee denkbar ist –, sondern findet Eingang in die Entscheidungsprozesse aller betrieblichen Funktionen.
Sind alle betrieblichen Funktionen mit Risk Governance durchdrungen, übernehmen die jeweiligen Akteure zusätzlich zu ihrer fachlichen Aufgabe die Handlungsrolle, zur Erhöhung der Risikorobustheit des Unternehmensgeschäftsmodells beizutragen. Dies geschieht durch die systematische Integration der Risk-Governance-Ideen in das Prozessgeschehen der betrieblichen Funktion: Es werden die jeweiligen Risikomodelle bewusst beschrieben; es werden die mit ihnen verbundenen Modellrisiken ermittelt; es werden Innovationen aus der allgemeinen Beschäftigung mit Risikosteuerung auf die konkrete betriebliche Funktion bezogen; es werden der Geschäftsleitung wahrgenommene Risiken und mögliche Geschäftsmodellauswirkungen mitgeteilt. Des Weiteren wird darauf geachtet, dass die Entscheidungen der betrieblichen Funktion der allgemeinen Risikokultur des Unternehmens entsprechen und dass die obersten Führungskräfte in ihrem beispielgebenden Verhalten im Rahmen ihrer Mitarbeiter- und Stakeholderkommunikation den „Tone from the Top“ bewusst einsetzen.
Auf der Ebene der Geschäftsleitung ist es notwendig, dass sie das Geschäftsmodell des Unternehmens kontinuierlich auf Risikobedrohungen hin abprüft, es bei Bedarf anpasst und auf diese Weise nachhaltig umfassend risikorobust gestaltet. Dies impliziert das Hinterfragen unter anderem von Zielen, Meilensteinen, Ressourcen, Anreizen und Zukunftserwartungen. Auch wenn es schwierig ist, im Hinblick auf zukünftige, aber auch und gerade auf aktuelle Strategien aus den mit ihnen verbundenen strategischen Pfadabhängigkeiten auszubrechen, erlaubt doch gerade diese „dynamic capability“ die Rekonfiguration von Zielsystemen, die Reallokation von Ressourcen und die Reorientierung von Anreizsystemen.
Nutzen Risk Governance ersetzt weder die Corporate Governance noch das Risikomanagement, sondern bildet eine Brücke zwischen beidem und erhöht deren Wirksamkeit. Risk Governance leistet einen funktionalen Beitrag zum Erfolg eines Unternehmens, indem sie dessen Nachhaltigkeit und Risikotragfähigkeit unterstützt: Unternehmen, die Risk Governance implementieren, überprüfen ihre Geschäftsmodelle dauerhaft und immer wieder neu proaktiv auf alle möglichen Risiken und verhindern somit, dass das Unternehmen in einen Risikosteuerungs-Routinemodus verfällt.
Zugleich wird die Unternehmensleitung kompetenter im Hinblick auf ihre strategischen Risikoentscheidungen, so dass Risiken insbesondere aus dem Bereich des Managementversagens vermindert werden. Eine nachhaltige Risikokultur – also eine kollektive Orientierung an Prinzipien wie Vorsicht, Transparenz und Verantwortlichkeit im Umgang mit Risiko – wird im Unternehmen gestärkt.
Geschichte Der Begriff der Risk Governance stammt aus der Politikberatung mit dem Ziel, systemische Makrorisiken zum Beispiel aus den Bereichen Gesundheit, Energiegewinnung, kritische Infrastruktur, Cybersicherheit, Umweltverschmutzung und Zukunftsmobilität zu steuern. Dieser gesellschaftlichen Risikolandkarte hat sich insbesondere der International Risk Governance Council (IRGC) angenommen. Seit 2016 existiert zudem das International Risk Governance Center, eine Kooperation des IRGC mit der Universität Lausanne, das sich auf die Steuerung von Risiken, die mit neuen Technologien zusammenhängen, spezialisiert. In dieser Tradition stehen auch einige Gesellschaften wie die Society for Risk Analysis, die sich unter anderem mit der Risk Governance in Bezug auf Schlüsseltechnologien wie Nanotechnologie, synthetischer Biologie oder Biomaterialien befasst und die Regulation der damit verbundenen Gesundheits- und Sicherheitsrisiken betrachtet. Akteure sind hier primär Regierungen und – auch supranationale – Regierungsorganisationen, zivilgesellschaftliche Organisationen, daneben akademische Institutionen sowie private Unternehmen.
Der spezifische Fokus der Risk Governance auf die unternehmerische Risikolandkarte wurde von einer Forschergruppe der Universität Siegen gelegt. Damit wurde Risk Governance auch für die Steuerung systemischer Mikrorisiken erschlossen.
Abgrenzung zu Enterprise Risk Management Das Enterprise Risk Management (ERM) erweitert das traditionelle Risikomanagement im Sinne eines unternehmensweiten, ganzheitlichen oder strategischen Risikomanagements und wird – alternativ zur Risk Governance – als Reaktion von Unternehmen auf den zunehmenden externen Druck gesehen, eine umfassendere Risikosteuerung als die des „traditionellen“ Risikomanagements vorzuhalten und entsprechende Kritiken zu überwinden. Als Weiterentwicklung des Risikomanagements misst ERM alle Risiken auf Unternehmensebene als aggregiertes Gesamtrisiko, zentralisiert die Risikosteuerung und stellt sich proaktiv auf. Drei konstitutive Merkmale stehen im Vordergrund: der Prozessgedanke des ERM, die Verortung der Risikoanalyse zentral auf Gesamtunternehmensebene und der Abgleich des ermittelten Gesamtrisikos mit der Bereitschaft des Unternehmens, Risiken einzugehen. Nach wie vor besteht das Primat des Risikomanagements über die Governance-Aspekte, wobei im ERM einige Governance-Aspekte einen instrumentellen Beitrag dazu leisten, das Risikomanagementsystem an sich zu verbessern, indem sie dessen Steuerung bewusster regeln.