Risikomanagement

Mit der VR-Aufgabe der Überwachung (OR 716a) ist Risikomanagement seit jeher eine implizite Aufgabe des Verwaltungsrates. Mit den Revisionen (2008 und 2013) wurden internes Kontrollsystem und Risikobericht explizit im Obligationenrecht vorgeschrieben. Die Empfehlungen des Swiss Code gehen mit der weiter gefassten Definition des IKS noch stärker Richtung umfassendes Risikomanagement.

Definition und Hintergrund

Synonym verwendete Begriffe:
Internes Kontrollsystem, Risk Management Unter Risikomanagement versteht man alle Tätigkeiten zur Identifikation, Einschätzung, Steuerung und Überwachung von Risiken bezüglich der Zielerreichung im Unternehmen. Der heutige Begriff des Risikos entwickelte sich im 14. Jahrhundert im Umfeld des Seehandels und der damit entstehenden Versicherungen. Die Idee des Risikomanagements als Aufgabe des Verwaltungsrates ist nach den Entwicklungen um SOX (Sarbanes Oxley Act) auch explizit im OR aufgenommen worden. 2008 kam mit OR 728 die Pflicht der Revisionsstelle, die Existenz eines internen Kontrollsystems zu prüfen. Mit OR 961c müssen grössere Unternehmen ab 2013 anstelle des Jahresberichts ein Lagebericht mit einer Risikoeinschätzung erstellen.

Risikomanagement für Verwaltungsräte

Allgemeine Aufgaben

Obwohl das Risikomanagement nicht explizit als Aufgabe des Verwaltungsrates genannt ist, ist dieser aufgrund der nicht delegierbaren gesetzlichen Aufgaben wie Rechnungslegung und Finanzkontrolle, Überwachung, etc. verantwortlich für das Risikomanagement im Unternehmen. Der Verwaltungsrat

Internes Kontrollsystem

Seit der Aktienrechtsrevision 2008 trägt der Verwaltungsrat die Verantwortung für die Existenz eines internen Kontrollsystems. Details dazu siehe Internes Kontrollsystem.

Lagebericht

Seit der Aktienrechtsrevision 2013 müssen ordentlich revisionspflichtige Unternehmen anstelle des Jahresberichts einen Lagebericht mit einer Risikobeurteilung erstellen. Obwohl diese neu auf die gesamten Unternehmensrisiken Bezug nimmt, wird die Berichterstattung kaum detailliert auf konkrete Risiken eingehen.

Begriffsabgrenzung

Das Risikomanagement befasst sich mit Risiken und Chancen im Unternehmen, beurteilt und bewertet sie. Es betrachtet sowohl finanzielle, operative wie strategische und auch marktspezifische Risiken.

Internes Kontrollsystem (IKS)

Das interne Kontrollsystem (IKS) fokussiert dagegen eher auf Schadensbegrenzung bei internen Prozessen mittels Kontrollmassnahmen. Externe und strategische Risiken werden grösstenteils ausgeklammert. Im OR-Verständnis wird IKS primär als rechnungslegungsrelevante interne Kontrollmassnahmen interpretiert.

Finanzkontrolle

Im Gegensatz zum IKS gehört zur Finanzkontrolle auch eine proaktive und inhaltliche Kontrolle von Finanzflüssen (z.B. Liquidität). Hier wird nicht nur Prozesskonformität sichergestellt, sondern auch aktiv nach Wirtschaftlichkeit und Effizienz gesucht.

Interne Revision

Die interne Revision bezweckt neben der Beurteilung von Wirksamkeit der Governance- und Risikomanagementprozesse als 'operational audit' auch die Verbesserung von Geschäfts- und Führungsprozessen.

Bausteine des Risikomanagement

Elemente Risikomanagement

Der Aufbau eines unternehmensweiten Risikomanagements beinhaltet diverse Facetten. Wirksam werden diese nur, wenn sie entsprechend im Unternehmen verankert und gelebt werden. Obwohl die Elemente des Risikomanagements immer dieselben sind, unterscheiden sich deren konkrete Ausgestaltung im jeweiligen Unternehmen je nach Grösse, Branche, Geografie etc..

Die drei Kernprozesse des Risikomanagement

Vereinfacht kann das Risikomanagement in drei Hauptschritte eingeteilt werden: Risikoidentifikation, Bewertung und Steuerung. Die im ersten Schritt für das Unternehmen identifizierten und relevanten Risiken werden im zweiten Schritt qualitativ und quantitativ bewertet. Anschliessend wird basierend auf der Risikostrategie (Risikoappetit) die geeignete Massnahme zur Steuerung des Risikos ausgewählt (Vermeiden, Reduzieren, Transfer, Akzeptieren) und implementiert.

Werkzeuge Risikomanagement

Die klassischen Werkzeuge des Risikomanagements reichen von der einfachen Erfassungsliste der Unternehmensrisiken, zur Einordnung via Risikolandkarte (Muster Risikoliste und -Matrix) bis zu komplexen Bewertungsmodellen von Risiken zur Einschätzung des 'Value at Risk'. Eine vom Verwaltungsrat verabschiedete Risk Policy legt die Leitlinien des Risikomanagements für das Unternehmen schriftlich fest (s. Muster Risk Policy).

Markt

Konkrete Informationen über die Praxis von Risikomanagement in Schweizer Unternehmen gibt es nur spärlich. Auch die Geschäftsberichte und vermutlich auch die neuen Lageberichte sind hier wenig ergiebig. Das Thema Internes Kontrollsystem als klassische Domäne der Revisoren ist etwas besser ausgeleuchtet. Dazu siehe unter IKS.

Wichtigste Risiken

Eine Studie aus Deutschland zeigt eine Liste der von mittelständischen Unternehmen als sehr wichtig oder wichtig erachteten Risiken (Daten aus der Risknet Benchmarkstudie Risikomanagement im Mittelstand 2011).

Kostenanteile der verschiedenen Funktionsbereiche

Eine Umfrage von HSG / KPMG unter grösseren Schweizer Unternehmungen zeigt die ungefähren Aufwendungen für die verschiedenen Funktionsbereiche des Risikomanagments im Unternehmen. Echte Kostentransparenz ist aufgrund der vielen versteckten Kosten kaum anzutreffen - die Verteilung dürfte jedoch in etwas der Praxis entsprechen.

Diskussions- und Knackpunkte rund ums Thema

• Die Frage um den notwendigen Umfang des Risikomanagements im Unternehmen ist ein Dauerbrenner, vom Gesetzgeber bewusst offengelassen, akademisch nicht wirklich beantwortbar.
• Die Juristen sind sich auch mit der Einführung des neuen Lageberichts nicht einig, ob das vom VR zu verantwortende Risikomanagement sich wirklich nur auf finanzielle Geldflüsse (im Sinne des IKS) beziehen soll.
• Viele Unternehmen verwechseln Risikomanagement mit dem Abschluss von Versicherungen. Oft sind damit jedoch eher unwahrscheinliche und nicht die existenzgefährdenden Risiken berücksichtigt.

Weiterführende Literatur und Links

Risikomanagement, Internes Kontrollsystem (IKS) - die ewigen Renner - und jeder erfindet es neu. Ein Kurzabriss von Gressly (2008), etwas theoretischer aber gründlicher sind Fraser (2010) und Merbecks (2004). Auf Deutschland ausgerichtet, aber immer eine interessante Quelle zum Thema ist Romeikes Portal risknet.de.