Das Risikomanagement übernimmt in Unternehmen das Management von Unternehmensrisiken durch deren Risikoidentifikation, Risikoanalyse, Risikoquantifizierung, Risikoaggregation, Risikobeurteilung, Risikobewertung, Risikokommunikation und abschließende Risikobewältigung.
Allgemeines Das Risikomanagement umfasst Risikobeurteilung, Risikobewältigung und Risikokommunikation, wobei die Risikobeurteilung in die Teilbereiche Risikoidentifikation, Risikoanalyse und Risikobewertung untergliedert ist.Robert Schmitt, Tilo Pfeifer: Qualitätsmanagement: Strategien – Methoden – Techniken. 2015, S. 363. (books.google.de) Auch die Berücksichtigung von Risiken bei Managemententscheidungen kann dem Risikomanagement zugeordnet werden („entscheidungsorientiertes Risikomanagement“). Ein Risikomanagement kann erst mit der Risikowahrnehmung beginnen, sie ist die Voraussetzung dafür, dass Risiken überhaupt erkannt und entdeckt werden können. Hierbei ergibt sich bereits das Problem, dass verschiedene Risikoträger dasselbe Risiko unterschiedlich oder gar nicht wahrnehmen.Nikolaus Raupp: Das Entscheidungsverhalten japanischer Venture-Capital-Manager unter dem Einfluss der Risikowahrnehmung im Verbund mit anderen Faktoren. 2012, S. 27. (books.google.de) Erfolgt die Risikowahrnehmung fehlerhaft als selektive Wahrnehmung, so werden nur bestimmte Risiken wahrgenommen, andere vorhandene jedoch ausgeblendet. Eine mangelhafte Risikowahrnehmung wirkt sich negativ auf die nachfolgenden Phasen des Risikomanagements aus.Frank Romeike (Hrsg.): Erfolgsfaktor Risiko-Management. 2004, S. 165. (books.google.de)
Aufgaben des Risikomanagements Das Risikomanagement ist eine Aufgabe, die einer Funktion in einer Organisationseinheit in Unternehmen oder Behörden zugeordnet ist. Risikomanagement ist nach der Norm ISO 31000: 2009MQ – Management und Qualität 5-2008, Bruno Brühwiler: , archiviert vom Original auf qm-aktuell.de. eine Führungsaufgabe, im Rahmen derer die Risiken einer Organisation identifiziert, analysiert und später bewertet werden. Hierzu sind übergeordnete Ziele, Strategien und Politik der Organisation für das Risikomanagement festzulegen. Im Einzelnen betrifft dies die Festlegung von Kriterien, nach denen die Risiken eingestuft und bewertet werden, die Methoden der Risikoermittlung, die Verantwortlichkeiten bei Risikoentscheidungen, die Bereitstellung von Ressourcen zur Risikoabwehr, die interne und externe Kommunikation über die identifizierten Risiken (Berichterstattung) sowie die Qualifikation des Personals für das Risikomanagement. 2018 ist eine aktualisierte Version der Norm ISO 31000 erschienen. Ein international viel beachtetes Rahmenwerk für das Risikomanagement ist COSO Enterprise Risik Management (ERM). Ein unternehmensweites Risikomanagement soll als wichtigstes Ziel eine durch Risikoauswirkungen verursachte schwere Krise oder gar Insolvenz vermeiden helfen.
Eine formale Ausbildung und Zertifizierung zum Risikomanager kann in Deutschland dem Stand der Technik entsprechend gemäß DIN VDE V 0827 „Notfall- und Gefahren-Systeme – Teil 1: Notfall- und Gefahren-Reaktions-Systeme (NGRS) – Grundlegende Anforderungen, Aufgaben, Verantwortlichkeiten und Aktivitäten“ und in Österreich nach ÖNORM D 4903 „Risikomanagement für Organisationen und Systeme – Anforderungen an die Qualifikation des Risikomanagers – Anleitung zur Umsetzung der ISO 31000“ (ab 2021; bis einschließlich 2020: ONR 49003) erfolgen.
Risikomanagement wird als ein fortlaufender Prozess verstanden, in dem Planung, Umsetzung, Überwachung und Verbesserung kontinuierlich stattfinden (Demingkreis: „Plan-Do-Check-Act“).St. Mayer, DNV Business Assurance Germany GmbH: am 14. Juni 2011, archiviert vom Original auf vdi-saar.de. Risikomanagement soll über die gesamte Lebensdauer einer Organisation zur Anwendung kommen und eine Kultur der Risikolenkung in der Organisation entstehen lassen.
Die in der Norm ISO 31000 beschriebenen Grundsätze und Verfahren zum Risikomanagement gelten allgemein. Sie können in allen Bereichen, in denen Risiken existieren, angewendet werden und sind nicht auf eine spezifische Branche zugeschnitten.Christian Kruse: Risikomanagement im Licht gesetzlicher und normativer Rahmenbedingungen. In: Christian Kruse, Irmtraut Mecke, Alexander Räss (Hrsg.): Risikomanagement, wertschätzende Führung und digitales Recruiting. Springer Gabler, Wiesbaden 2024, ISBN 978-3-658-42355-1, S. 23 (online).
Das Risikomanagement (Risikofrüherkennungssystem) insbesondere der deutschen Aktiengesellschaften orientiert sich an den Anforderungen des Kontroll- und Transparenzgesetzes (KonTraG) und dem darauf basierenden IdW-Prüfungsstandard PS 340 und dem jüngeren DIIR Revisionsstandard Nr. 2 des Deutschen Instituts für Interne Revision (zuletzt aktualisiert 2022), der auch die 2021 erweiterten gesetzlichen Anforderungen durch das Unternehmensstabilisierungs- und -restrukturierungsgesetz (StaRUG) berücksichtigt. Ziel ist es, bestandsbedrohende Risiken frühzeitig zu erkennen und nachvollziehbar zu überwachen. Da oft gerade Kombinationseffekte mehrerer Einzelrisiken bestandsbedrohend werden, wird eine Aggregation der Einzelrisiken zur Bestimmung des Gesamtrisikoumfangs gefordert (Risikoaggregation). Der ökonomische Mehrwert des Risikomanagements ist die Reduzierung der Wahrscheinlichkeit bestandsbedrohender Krisen durch mehr Risikotransparenz. Die Beurteilung des Grades der finanzwirtschaftlichen Bestandsbedrohung erfolgt durch die Berechnung der Auswirkungen von Risiken auf das zukünftige Rating mittels einer sogenannten Ratingprognose.
Als weitere Vorteile eines leistungsfähigen Risikomanagements sind eine Verbesserung der Planungssicherheit und eine Reduzierung der Risikokosten zu nennen.
Der Risikomanagement-Prozess umfasst im Einzelnen:ISO/IEC Guide 51:1999, Begriff 3.12.DIN EN ISO 14971:2009-10: Medizinprodukte – Anwendung des Risikomanagements auf Medizinprodukte.Bundesministerium für Umwelt, Naturschutz und Reaktorsicherheit, Risikomanagement im Rahmen der Störfall-Verordnung, SFK-GS-41. Identifikation der Risiken, Beschreibung ihrer Art, der Ursachen und Auswirkungen Analyse der identifizierten Risiken hinsichtlich ihrer Eintrittswahrscheinlichkeiten und möglichen Auswirkungen Risikobewertung (oder Risikoquantifizierung) durch Vergleich mit zuvor festzulegenden Kriterien der Risiko-Akzeptanz (z. B. aus Standards und Normen) Risikoaggregation zur Bestimmung des Gesamtrisikoumfangs Risikobewältigung/Risikobeherrschung durch Maßnahmen, die Gefahren und/oder Eintrittswahrscheinlichkeiten reduzieren oder die Folgen beherrschbar machen Risikoüberwachung mit Hilfe von Parametern, die Aufschluss über die aktuellen Risiken geben (Risikoindikatoren) Risikoaufzeichnungen zur Dokumentation aller Vorgänge, die im Zusammenhang der Risikoanalyse und -beurteilung stattfinden
Um die Komplexität des Risikomanagement-Prozesses zu bewältigen, große Datenmengen zu analysieren und ein strategisches Risikomanagement zu implementieren, bedienen sich viele Unternehmen einer Risikomanagement-Software. Diese ist in der Lage, die Risiken eines Unternehmens abzubilden oder zukünftige Risiken zu simulieren.Karl Hartung, Felix Walther: In: Business Intelligence Magazine. Nr. 3/2014.
Begriffe des Risikomanagements Risikoaggregation: ist eine Zusammenfassung aller Einzelrisiken, wobei die Einzelrisiken entsprechend ihrer relativen Bedeutung auf die Unternehmensentwicklung gewichtet werden, und nicht durch deren einfache Addition der Einzelrisiken. Ziel ist die Bestimmung des Gesamtrisikoumfangs. Dieses kann durch eine stochastische Simulation (Monte-Carlo-Simulation) der Risikofaktoren erfolgen (Verwendung z. B. zur Bestimmung des „Marktpreisrisikos“ oder des Gesamtrisikos eines Unternehmens durch Monte-Carlo-Simulation basierend Risikoanalyse und Unternehmensplanung). Risikoakzeptanz: sie wird erreicht, wenn das Risiko unter den gegebenen gesellschaftlichen Rahmenbedingungen und unter Beachtung eventueller Restrisiken als vertretbar bewertet wird. Risikoanalyse: wird zur Identifikation und Bewertung (Quantifizierung) von Risiken eingesetzt. Im technischen Bereich kommt die probabilistische Sicherheitsanalyse zur Anwendung. Risikocontrolling: durch Überwachung der identifizierten, aktuellen Risiken (Risiko-Indikatoren) und Einhaltung vorgegebener Grenzwerte. Risikodiversifikation: Risikoreduktion durch die Aufteilung des Vermögens auf verschiedene Vermögensmassen oder technische Redundanzen. Risikoidentifikation: erstellt eine Liste der verschiedenen Risiken, im Fall von technischen Systemen anhand der Funktionsanforderungen (unabhängig von einer technischen Ausführung). Hilfsmittel sind: Szenario-Technik, Post-Mortem-Analyse, Analyse von unsicheren Planannahmen, Expertenbefragungen, Delphi-Methode, Kreativitätstechniken, Fehlermöglichkeits- und Einflussanalyse, Risikoworkshops, Checklisten (Gefährdung: Liste der Gefährdungen im Arbeitsschutz), Analyse möglicher Gefährdungen (Hazard and Operability Study),A. Schlagbauer: Universität Paderborn, Informatik AG Schäfer. Auswertung der Erfahrungen (industrielle Unfälle, Insolvenzen) aus vergleichbaren Unternehmensbereichen. Risikoindikatoren: Messung von Systemgrößen, die Aufschluss über die Risiken (Risikokennzahlen) geben (Empfindlichkeit / Sensitivität eines Systems gegenüber äußeren Einflüssen). In der Sicherheitstechnik wird der Begriff Sicherheitsindikator verwendet. In der Finanzwirtschaft werden die Indikatoren unterschieden: Lagging indicators: die sich verändern, nachdem sich die Finanzwirtschaft als Ganzes verändert hat. Leading indicators: die sich verändern, bevor sich die Finanzwirtschaft als Ganzes verändert. Risikointerdependenz: Abhängigkeiten von Risiken. Unabhängige Risiken beeinflussen einander nicht, positiv korrelierte Risiken verstärken einander, negativ korrelierte Risiken schwächen einander ab. Üblicherweise wird die statistische Abhängigkeit von Risiken zunächst auf Plausibilität geprüft und mittels eines Korrelationskoeffizienten quantifiziert. Risikokommunikation: die Risikoergebnisse werden – in transparenter und nachvollziehbarer Weise – für die Entscheidungsfindung über die Vertretbarkeit des Risikos durch den Risikoträger unter Einbeziehung von Sachverständigen sowie für die durch das Risiko betroffenen Personen in der Anlage und in der Anlagenumgebung veröffentlicht. mini|Beispiel für eine Risikomatrix Risikomatrix: wird zur detaillierten Erfassung und Bewertung des Gesamtrisikos eines Unternehmens, einer technischen Anlage oder eines Unternehmens- oder technischen Prozesses verwendet, indem die ermittelten Risikofaktoren in eine Matrix (Risikoportfolio, Risikomatrix) mit den Dimensionen Eintrittswahrscheinlichkeit und Schadensausmaß eingetragen werden.H. Ketterer: Risikomanagement ISO/DIS 31000:2008-04, Herausforderung und Chance für KMU. DGQ Regionalkreis Ulm, 3. Februar 2009 (cdn.b-ite.de. PDF; 620 kB). Das Instrument ist nicht geeignet, um Risiken mit unsicheren Auswirkungen oder „verteilungsorientierte“ Risiken, die z. B. durch eine Normalverteilung beschrieben werden, adäquat abzubilden. Risikominderung: reduziert das Risikopotenzial auf ein akzeptables Maß bzw. versucht, die Eintrittswahrscheinlichkeiten von Risiken zu reduzieren. Risikoreporting: Erzeugung und Übermittlung von Informationen über Chancen und Risiken als Risikobericht. Wesentliche Ziele des Risikoreportings sind: Schaffung von Transparenz über Risikosituation, die Entscheidungsvorbereitung über Risikosteuerungsmaßnahmen und die Unterstützung der Risikoüberwachung. Risikoselektion: Eine Strategie vor allem im Bank- und Versicherungswesen, neue Kreditnehmer oder Versicherungsnehmer nur aufzunehmen, wenn deren Kreditrisiko oder versichertes Risiko im Rahmen der Risikopolitik vertretbar ist. Risikotragfähigkeit: Fähigkeit, die Folgen aufgetretener Risiken auffangen zu können.