Was ein Tool leisten kann

Generell stellt sich das viel zitierte Problem des «blinden Flecks». Dieser weist auf den Umstand hin, dass man im Risikomanagement bestenfalls diejenigen Dinge erkennen kann, die eine Auswirkung auf das unmittelbare Geschäft haben. Dies war Ausgangspunkt von Nassim N. Talebs Figur des «Schwarzen Schwans»: Er erörterte, dass die Leute so lange an keinen schwarzen Schwan glaubten, bis man ihn – am anderen Ende der Welt – entdeckte. Kurz: Was man nicht sehen kann, glaubt man nicht. Es bleibt abstrakt und eher wirkungslos.

Welche Dynamik sich bei der Identifikation von Risiken und den damit verbundenen Gefahrenquellen ergibt, weiss jeder, der jemals einen interdisziplinär besetzten Risikoworkshop geleitet hat. Die Verwechslung von Risiken und Gefahren ist ein Dauerthema, die Verständigung über die richtige «Korngrösse» der Beschreibung von Risiken ist kompliziert, das Brainstorming ist schlecht moderiert oder methodisch einschläfernd. Zudem ist die Anwendung der vorentwickelten Formulare ein Kunststück, die Früherkennung von neu erscheinenden Risiken oftmals unmöglich oder hinsichtlich der Folgen schlecht abschätzbar. Die verfügbare Zeit reicht am Ende meist nicht, die Motivation hält sich in Grenzen. Die produktive Auseinandersetzung mit Risiken bleibt schliesslich auf der Strecke. Wenn man diesen Prozess verständlich mit einer Analogie zur Konstruktion eines Rennwagens vergleichen möchte, dann arbeiten die meisten Mitarbeitenden gern am Motor und am äusseren Design, die Brems-, Kontroll- und Fahrerassistenzsysteme bleiben aber unterentwickelt. Gut, wenn man sich das leisten kann. Tatsächlich muss man hier festhalten, dass die vielmals als innovativste Wirtschaft Europas bekannte Schweizer Volkswirtschaft entsprechende Puffer aufgebaut hat, um Risiken ausserordentlich gut absorbieren zu können. Aber reicht dies auch längerfristig aus? Wer je von einem Konkurs oder einer Geschäftsauflösung betroffen war, der wird dies verneinen. Wohl also dem, der sich seiner Risiken bewusst ist. Eine solche Sensibilisierung fördert die betriebliche Robustheit gegenüber dem Geschäft (modern würde man hier von «Resilienz» oder «Antifragilität» sprechen, siehe Kasten «Begriffe»). Oder anders formuliert: Nachhaltige Geschäftssicherung ist ohne systematische Risikobearbeitung nicht zu haben.

Organisationsdynamik von Managementprozessen

Ein sinnvolles Risikomanagement ist dabei Voraussetzung. Allein die Analyse der Ausgangslage und das Ergreifen geeigneter Massnahmen zur Risikominimierung bedeuten häufig eine Herausforderung. Von der Durchsetzung einer geeigneten Strategie oder der angemessenen Massnahmenüberwachung ist hier noch keine Rede. Zudem sind Methoden und Instrumente meist keine isolierten «Tools». Vielfach stammen sie aus anderen Disziplinen oder sind von diesen abgeleitet. Für die berühmte Ursache-WirkungsAnalyse wird zum Beispiel häufig das Fischgrät-Diagramm (der «Fehlerbaum») gewählt. Im Qualitätsmanagement ist dies aus dem Kaizen als «Ishikawa»-Diagramm bekannt.

Auch für ein integrales Risikomanagement bestehen bedeutende Vorarbeiten verschiedener Fachdisziplinen, beispielsweise in den Bereichen Kontinuitätsmanagement, Krisen- und Katastrophenmanagement sowie des internen Kontrollsystems. Jüngst gewinnt im Bereich «Humanfaktoren» das betriebliche Gesundheitsmanagement an Gewicht.

In bestehenden Managementstrukturen existiert also immer ein nutzbares Vorwissen. Ein solches muss aber auch bekannt sein, um es verwerten zu können. Und Mitarbeitende müssen es auch zur Verfügung stellen. Dies stellt häufig ein Problem dar, da ein Manager mit der Preisgabe von Wissen oft auch ein Karriererisiko eingeht. Zudem spielt gerade bei der Zusammenarbeit eine gute Portion Berufsstolz und Rechthaberei mit, selbst wenn es explizit um die Sache gehen soll. Der Erhalt der eigenen Positionsmacht unterdrückt die Wissensteilung und wurde vom Organisationspsychologen Karl Weick einmal als eine der zentralen Hindernisse im organisatorischen Lernen bezeichnet. Integrales Risikomanagement ist ohne sinnvolle Wissens erzeugung aber nicht erreichbar.

Für den Verantwortlichen bedeutet dies Vernetzungsarbeit, wenn er effizient sein möchte. Der Risikomanager ist also ein an allen Fronten geforderter Spezialist: Als Kenner der Risikolandkarte, als Moderator von Risikoworkshops, als Ersteller eines Risikoberichts, als Durchsetzer einer Risikostrategie und -politik, als «Vernetzer» und Spielmacher zu anderen Disziplinen.

Wozu ein Tool?

Um die bestehenden Fachinhalte zu einem integralen Risikomanagement bündeln zu können, kann man sich auf die relevante Materie beziehen, die bereits sehr gut dokumentiert ist. Es gibt zum Beispiel die Normen ISO 310xx / ONR 4900x zum Risk Management, ISO 223xx zum Kontinuitätsmanagement, ISO 2700x zur Informationssicherheit, verschiedene angewandte Standards wie COSO, COBIT, die Maschinenrichtlinie usw., die umfangreiche Informationen zum «Was» und «Wie» liefern. Leider ist aber bereits dieses Wissen für die meisten KMU zu detailliert. Und eine Diskussion innerhalb der Organisation führt meist nicht zum Entscheid, auf welchem Standard nun wirklich aufgebaut werden soll. Als eine Bewältigungsstrategie kann das Unternehmen die Risikomanagement-Abwicklung an einen Externen delegieren, ohne sich aber der sorgfältigen Risikoprüfungspflicht entziehen zu können. Die Verantwortung bleibt unverrückbar beim Verwaltungsrat. Für Unternehmensberater ist die Erstellung und Zuarbeit zu Risikomanagementthemen eine attraktive Einnahmequelle und das «Sprechen der KMU-Sprache» sichert den Zugang zum Kunden als Haus- und Hofberater für vielfältigste Themen. Diese Ausgangslage hat zur Folge, dass es zwar KMU-gerechte Vorlagen, Risikolisten usw. gibt, diese jedoch eher nicht getauscht oder geteilt werden. Spezialisierte Berater verfügen über eine Fülle von konkreten Methoden und Möglichkeiten. In den Zugriff der Öffentlichkeit gelangen allerdings nur sehr allgemeine Lösungen, die zur Anwendung einer starken Anpassung bedürfen. Fraglich ist zudem, welches Vorwissen für eine möglichst solide und zuverlässige Bearbeitung der Risiken hilfreich ist, ohne zu einer überbürokratisierten Risikoverwaltung beizutragen. In einem von der KTI geförderten Forschungsprojekt unter der Beteiligung von Thomson Reuters, dem Fachverein BCMnet.CH sowie der Hochschule Luzern wurden die Grundlagen für ein «Integrales Risiko-Management zur ganzheitlichen Sicherung der Geschäftstätigkeit» eruiert und in Form einer Methode aufbereitet. Sichtbares Ergebnis ist ein informativer Werkzeugkasten, der auch ein Benchmarking-Instrument sowie weiterführende Checklisten, Erklärungen und Handlungsimpulse enthält (siehe Abb. 1).

Das eigene Risikomanagement vergleichen

Am Ende der Instrumentenentwicklung standen sechs zentrale Fragen zum Integralen Risk Management (siehe Kasten «Sechs zentrale Fragen»), deren Beantwortung darauf hinweist, ob man sich mit dem Thema überhaupt aus einandersetzen sollte. Für die meisten regulären Unternehmen ist dies heute der Fall, auch wenn es Ausnahmen gibt.

Das Benchmarking-Instrument selber wird auf der Accelus-Plattform von Thomson Reuters per Internet zur Verfügung gestellt. Nach einem Login in den geschützten Bereich kann die Bearbeitung beginnen (siehe Abb. 2). Der Fragenkatalog deckt zentrale Aspekte der Themen Risikomanagement, Kontinuitäts- und Krisenmanagement sowie dem internen Kontrollsystem ab. Die Fragen sind in unterschiedliche Themenblöcke gegliedert und so formuliert, dass Doppelspurigkeiten zwischen den vier Fachbereichen weitgehend vermieden werden. Zu den Themenblöcken gehören etwa Fragen wie die nach dem Umfang des Risikomanagements im Bereich Strategie oder den Verantwortlichkeiten im Bereich Kommunikation und Zuständigkeiten. Wenn auch Aspekte aller vier Fachbereiche abgedeckt sind, werden sich die meisten Bearbeiter dann zu Hause fühlen, wenn sie im Bereich Risikomanagement aktiv sind.

Die vorgegebenen Beantwortungsmöglichkeiten zu den Fragen sind hinreichend abstrakt, sodass die bearbeitende Person die einzelnen Aspekte mit Grobaussagen beantworten kann. Die Antworten werden durch ein Schlüsselraster ausgewertet und mit den anonymisierten Antworten der zuvor abgeschlossenen Fragebögen verglichen. Die Antworten werden in acht verschiedenen Themengruppen angezeigt, welche zuvor definierte Schnittstellenthemen zwischen den vier integrierten Fachdisziplinen umfassen. Die Auswertung liegt abschliessend als elektronisches Dokument vor und kann als Orientierungspunkt zur weiteren Verbesserung des «Integralen Risikomanagements» dienen (als Beispiel siehe Auswertungsgrafik in Abb. 3). Häufig beispielsweise fehlt eine Risikopolitik oder sie ist nur implizit vorhanden und baut nicht auf vorhandenen Informationen auf.

Die Beantwortung der Fragen dauert rund 45 Minuten und kann auch mit Begleitung oder Anleitung geschehen; die beteiligten Projektpartner stehen für ein solches Coaching individuell zur Verfügung.

Sinnvolles Zusatzmaterial

Neben dem zentralen Benchmarking-Instrument kann auf ergänzende Unterlagen zugegriffen werden. Zur Verfügung stehen neben einer Sammlung verschiedener Checklisten auch Links und Adressen sowie ein stark integriertes Glossar mit den wichtigsten Begriffen (siehe unter www.hslu.ch/integrales-rm). Der Nutzer des Benchmarks kann die Ausgangslage anhand der gewonnenen Vergleichsinformationen vertieft analysieren. Mit den entwickelten Checklisten und Begleitmaterialien liegen auch gleich Unterlagen für die weitere Entwicklung des integ ralen Risikomanagements vor, die als Vorlage dienen können. Wichtig ist das Setzen von eher wenigen, aber gezielten Massnahmen, die dann bei Wiederholung des Benchmarks nach einem gewissen Zeitraum zu fortschrittlicheren Antworten führen werden.

Sinnvolle Vermittlung Das Tool wurde über mehrere Monate hinweg unter Einbezug verschiedenster Experten erarbeitet. Ergebnis ist eine Lösung, in der Fragen systematisch bearbeitet wurden. Dazu müssen spezifische Fragen jeder Branche und jedes Unternehmens in individuellen Szenarien vertieft werden. Einen systematischen und nicht-doppelspurigen Ansatz erreicht man jedoch bereits mit dem so vorhandenen Tool (siehe Kasten «Getränkehersteller»).

Mit dem vorliegenden Werkzeugkasten lässt sich zusammenfassend ein systematisches Vorgehen mit einem modellgestützten Assessment der einzelnen Risk-Management-Aktivitäten erreichen. So kann eine sinnvolle Vermittlung von Risk-Management-Themen an Entscheidungsträger erzielt und über die angegebenen Links und Adressen der Expertenkontakt hergestellt werden.