Die interne Risikoberichterstattung (oder: das interne Risikoreporting) dient Unternehmen zur Erfassung und Übermittlung von Informationen über Chancen und Risiken in Berichtsform und richtet sich an interne Entscheidungsträger.
Beschreibung
Einordnung in das Risikomanagementsystem Das Risikomanagementsystem wird mit Hilfe der unternehmensspezifischen Risikopolitik und -strategie durch das Risikomanagement aufgebaut und ist nach Möglichkeit in die internen Prozesse eines Unternehmens zu integrieren, um so die Erkenntnisse der Risikomanagements in konkrete Maßnahmen übertragen zu können.
Das Risikomanagementsystem besteht aus einem Risikomanagementprozess, der sich aus den vier folgenden Bereichen zusammensetzt: Risikoidentifikation, Risikobeurteilung, Risikosteuerung und Risikoüberwachung.
Die interne Risikoberichterstattung dient den Unternehmen zur Dokumentation des gesamten Risikomanagementprozesses und unterstützt den Prozess phasenübergreifend. Des Weiteren stellt die interne Risikoberichterstattung einen Teil der Risikokommunikation dar, welche wiederum zwingende Voraussetzung für die Funktionsfähigkeit eines Risikomanagements ist.
Das Risikocontrolling ist für die Bereitstellung von Informationen an das Risikomanagement sowie für die Sicherstellung der Risikoberichterstattung im Unternehmen durch Nutzung vorhandener Reporting-Wege verantwortlich. Damit hat das Risikocontrolling die wesentliche Funktion, die Entscheidungen des Risikomanagements mithilfe seiner bereitgestellten Methoden und Instrumentarien vorzubereiten.
Abgrenzung zur externen Risikoberichterstattung Die interne Risikoberichterstattung unterscheidet sich von der externen Risikoberichterstattung insbesondere in ihrer Informationsdichte, ihrer Häufigkeit der Durchführung sowie um die zu erreichenden Adressaten.
Letztere stellen bei der internen Risikoberichterstattung die internen Entscheidungsträger des Unternehmens dar, während die Adressaten der externen Risikoberichterstattung z. B. Investoren, Anteilseigner, Banken, Lieferanten oder der Staat sein können.
Die interne Risikoberichterstattung wird im Vergleich zur externen Berichterstattung deutlich häufiger durchgeführt, da das Risikomanagement u. a. bei akut und plötzlich auftretenden Risiken schnell reagieren muss. Die externe Berichterstattung hingegen ist lediglich an die Geschäfts- und Quartalsberichterstattung gekoppelt und wird daher nicht so häufig durchgeführt.
Die Informationsdichte der beiden Risikoberichterstattungen unterscheidet sich dahingehend, dass die interne Risikoberichterstattung detaillierte und adressatenbezogene Informationen an die internen Entscheidungsträger des Unternehmens liefert, damit so die richtigen Steuerungsmaßnahmen getroffen werden können. Die externe Risikoberichterstattung hingegen kommuniziert die Risiken auf aggregierter Form nach außen. Daraus lässt sich ableiten, dass die interne Risikoberichterstattung die Grundlage für eine externe Risikoberichterstattung liefert.
Aufgaben und Ziele der internen Risikoberichterstattung Als Bestandteil des Risikocontrollings verfolgt die interne Berichterstattung teilweise die gleichen Ziele beziehungsweise unterstützt diese. Im Allgemeinen wird eine Verbesserung der Informationen in den entsprechenden Unternehmensbereichen angestrebt, sodass diese im Einklang die übergeordneten Unternehmensziele erreichen können. Dafür wird versucht, die innerbetrieblichen Prüfprozesse zu optimieren und zu unterstützen. Durch eine Steigerung der Transparenz können die verantwortlichen Mitarbeiter das Ausmaß und die Wirkung der vorherrschenden Risiken besser einschätzen und beurteilen. Damit sollen möglichst alle Mitarbeiter für einen bewussten Umgang mit den Risiken sensibilisiert werden. Das unterstützt Planungsaufgaben anderer interner Bereiche sowie Entscheidungsprozesse im Allgemeinen.
Die interne Risikoberichterstattung soll ein internes Warnsystem zur frühzeitigen Erkennung von Risiken entwickeln. Dabei sollen eingetretene Risiken nicht nur schnell eingedämmt, sondern sowohl risiko- als auch chancenrelevante Trends rechtzeitig erkannt werden.
Aus reiner betriebswirtschaftlicher Sichtweise wird auch auf die Reduzierung der Risikokosten (und damit verbunden auch die Kapitalkosten) abgezielt.
Zur Erfüllung dieser Ziele, lassen sich folgende Aufgaben des internen Berichtswesens zusammenfassen:
Durch die Bereitstellung geeigneter risikorelevanter Informationen wirkt der Bericht für den Adressaten entscheidungsunterstützend (ex-ante). Dafür müssen die Informationen im Vorfeld gesammelt, in geeigneter Form aufbereitet und im Anschluss zielgerichtet verteilt werden. Zusätzlich wohnt dem Berichtswesen (ex-post) sowohl eine Dokumentationsfunktion der Risikopositionen als auch eine Kontrollfunktion inne. An zentraler Stelle werden sämtliche Daten zusammengetragen und in Abhängigkeit von Limits kontinuierlich überprüft.
Ausgestaltung der internen Risikoberichterstattung
Anforderungen an die interne Risikoberichterstattung Zur Erfüllung der o. g. Funktionen werden an die interne Risikoberichterstattung folgende Anforderungen gestellt:
Integration in das bestehende Berichtswesen: Um einerseits Synergien aus dem bestehenden Berichtswesen zu nutzen als auch die Risikoinformationen uneingeschränkt für die Entscheidungsfindung des Top Managements zur Verfügung zu stellen, ist eine Integration der Risikoberichterstattung in das bestehende Berichtswesen notwendig. Wesentlichkeit: Im Risikobericht ist nur über wesentliche Risiken zu berichten. Dabei hängt der Umfang und der Detaillierungsgrad der Risiken insbesondere vom Informationsbedürfnis des zu erreichenden Adressaten ab. Rechtzeitigkeit: Um Lücken zwischen Soll- und Ist-Risikopositionen der einzelnen Unternehmensteilbereiche sowie auf Gesamtunternehmensebene möglichst schnell schließen zu können, hat die Berichterstattung so frühzeitig wie möglich an das übergeordnete Management zu erfolgen. Plötzlich eintretende Risiken sollten im Rahmen der Ad-hoc-Berichterstattung kommuniziert werden. Flexibilität: Die interne Risikoberichterstattung sollte an geänderte Risikosituationen im Unternehmen anpassbar sein. Des Weiteren sollten Berichte durch verändernde Informationsbedarfe oder einem besseren Informationsangebot im Verlaufe der Zeit weiterentwickelt werden. Genauigkeit: Risiken sind primär nach der Art ihrer Beschreibung zu unterscheiden. Quantifizierbare Risiken sollten in Bezug auf ihre Genauigkeit mithilfe von Bandbreiten und Punktwerten unterschieden werden. Qualitative Risiken hingegen sollten unter Berücksichtigung der Informationskosten so weit wie möglich quantifiziert werden. Wirtschaftlichkeit: Der erwartete wirtschaftliche Nutzen der Risikoberichte sollte höher sein als der Aufwand zur Erstellung und Verwendung dieser. Vollständigkeit: Die Vollständigkeit der Risikoberichterstattung ist von den zu erreichenden Adressaten abhängig. Auf Ebene der Teilbereiche sind sämtliche Informationen der Teilbereichsebene aufzunehmen, auf Ebene des Gesamtunternehmens die Informationen aus Gesamtunternehmenssicht. Einheitlichkeit: Eine einheitliche Berichterstattung sollte mit dem Ziel der einheitlichen Kommunikation auf der einen Seite sowie zur Vergleichbarkeit von Risiken unterschiedlicher organisatorischer Einheiten auf der anderen Seite gewährleistet sein. Zudem erleichtert eine einheitliche Berichtsform und -struktur die Weiterverarbeitung und Aggregation von Risikoinformationen auf übergeordneter Managementebene.
Inhalte der internen Risikoberichterstattung Einen bedeutenden Einfluss auf die Ausgestaltung der internen Risikoberichterstattung haben die zu erreichenden Adressaten – sowohl im Bereich der formalen Anforderungen als auch bei den Berichtsinhalten. Ein weiterer Einflussfaktor in Bezug auf die Berichtsinhalte sind die methodischen Kompetenzen der Adressaten. Aus diesem Grund unterscheiden sich interne Risikoberichte sowohl innerhalb der verschiedenen Hierarchie-Ebenen eines Unternehmens als auch von Unternehmen zu Unternehmen.
Zunächst sollte der Risikobericht sämtliche Informationen enthalten, die der übergeordneten Managementebene als Entscheidungsunterstützung dienen. Im Wesentlichen sind dabei folgende Aspekte zu berücksichtigen:
Art, Einflussfaktoren und zeitlicher Verlauf wesentlicher Risiken Gefährdungspotenziale der Einzelrisiken Interdependenzen zwischen Einzelrisiken Vorschläge zur Risikoabwehr ergriffene Risikoabwehrmaßnahmen Umfang des Gesamtrisikos des Unternehmens
Zur Darstellung der Berichtsinhalte stehen dem Unternehmen verschiedene Instrumentarien zur Verfügung, die im Folgenden näher erläutert werden.
Instrumente der internen Risikoberichterstattung
Risikoidentifikationsbögen Ein Risikoidentifikationsbogen (auch: Risikoerfassungsbogen) ist ein Hilfsmittel zur Erfassung von Risiken. Damit stellt er die Grundlage der Berichterstattung dar, da er der Aufgabe der Informationssammlung gerecht wird. Die Einzelrisiken werden einzeln in tabellarischer Form aufgelistet und entlang drei Prozessschritten des Risikomanagements, Risikoidentifikation, Beurteilung und steuerung, beschrieben. In den Identifikationsbögen werden bereits zu Beginn so viele Informationen wie möglich zusammengetragen, die dann die Grundlage für weitere Instrumente und das interne Berichtswesen im Allgemeinen bilden. Das sind beispielsweise bestehende Ursache-Wirkungs-Beziehungen, Eintrittswahrscheinlichkeit, Schadenshöhe oder Eingriffsschwellen.
Risikomatrix Risikomatrizen eignen sich zur Gegenüberstellung von Einzelrisiken, um diese zu vergleichen und geeignete Maßnahmen abzuleiten. Sie sind ein verbreitetes Instrument des strategischen Risikocontrollings und werden aufgrund der Übersichtlichkeit im Berichtswesen verwendet. Weit verbreitet ist die Darstellung in einer 9-Felder-Matrix an der in Abszissenrichtung die Eintrittswahrscheinlichkeit und an der Ordinate die Schadenshöhe bei Eintreten des Risikos abgetragen sind. Dies setzt eine geeignete Bewertung der Risiken im Vorfeld voraus. Die Einzelpositionen können dann je nach Position in der Matrix bestimmten Risikoklassen zugeordnet werden. Jeder Risikoklasse können dann Maßnahmen und Vermeidungsstrategien abgeleitet werden.
Risikoportfolios (Risk-Maps) Zu Beginn sei darauf hingewiesen, dass die Begriffe Risikoportfolio und Risk-Map in der Literatur unterschiedlich abgegrenzt werden. Häufig wird unterschieden, ob die Methode Risiken auf einer qualitativen Dimension einordnet und für operative Geschäftseinheiten vorgesehen ist (Risk-Map) oder aber ob Risiken quantitativ und für strategische Ebenen abbildet (Risikoportfolio). Zur Darstellung soll sich deshalb auf die Gemeinsamkeiten konzentriert werden.
Einzelrisiken werden dabei tabellarisch in einer Übersicht zusammengefasst. Es werden lediglich für die Geschäftseinheit relevante Risiken dargestellt (operative Ebene) oder zur Wahrung der Übersichtlichkeit in aggregierter Form zusammengefasst (strategische Ebene). Dabei werden die drei Prozessschritte des Risikomanagementprozesses Risikoidentifikation, -beurteilung und -steuerung in dieser Darstellungsform zusammengefasst. Die Risk-Map kommt damit der Dokumentationsaufgabe nach und es wird deutlich, dass in einem Unternehmen für jede Geschäftseinheit oder operativen Teilbereich eine eigene Risk-Map erstellt werden kann.
Bei der Aufstellung einer Risk-Map ist zu beachten, an welchen Adressaten diese gerichtet ist. Dabei ist der Zielkonflikt zwischen Übersichtlichkeit durch Aggregation der Informationen und dem Detailgrad der Informationen zu lösen. Der Detaillierungsgrad ist in diesem Zusammenhang indirekt proportional zur Ebene der Unternehmenshierarchie.