Wie werden Risikomanagement-Strategien entwickelt?

Eine Risikomanagement-Strategie legt fest, wie eine Organisation oder ein Projekt mit Risiken umgeht: welche Risiken erkannt, wie sie analysiert und bewertet, wie sie behandelt und wie sie überwacht werden. Entwickelt wird sie in einem systematischen Prozess, der beim Geschäftskontext und den Zielen beginnt und über Identifikation, Analyse, Bewertung und Behandlung der Risiken bis zur laufenden Überwachung reicht.

Ziel ist, Bedrohungen für Erfolg und Ziele früh zu erkennen, Ressourcen gezielt einzusetzen und Chancen sicherer zu nutzen. Eng verwandt sind die Begriffe Risikocontrolling und Risikosteuerung. Die übergeordnete, schriftlich festgelegte Risikostrategie eines Unternehmens, die aus der Geschäftsstrategie abgeleitet wird, behandelt ein eigener Beitrag.

Schritte zur Risikomanagement-Strategie

Kontext und Ziele klären

Am Anfang steht das Verständnis des Geschäfts: Welche Ziele verfolgt das Unternehmen, in welchem Umfeld bewegt es sich und wie viel Risiko will es eingehen? Die Risikobereitschaft bestimmt, welche Risiken später als akzeptabel gelten.

Risiken identifizieren

Gesucht werden alle Risiken, die das Unternehmen oder Projekt beeinflussen können, intern wie extern. Sie können finanzieller, operativer, strategischer, rechtlicher, technologischer, marktbezogener oder reputationsbezogener Natur sein. Gebräuchliche Methoden sind Brainstorming, Interviews, die Auswertung historischer Daten, Szenarioanalysen und Experteneinschätzungen. Mehr dazu erklärt der Beitrag zur Risikoidentifikation.

Risiken analysieren und bewerten

Für jedes Risiko werden Eintrittswahrscheinlichkeit und mögliche Auswirkungen bestimmt. Qualitative Verfahren arbeiten mit beschreibenden Einschätzungen und Ranglisten, quantitative Verfahren berechnen mit statistischen Daten mögliche finanzielle Folgen, Szenarioanalysen spielen hypothetische Entwicklungen durch. Die Bewertung entscheidet dann, welche Risiken akzeptabel sind und welche behandelt werden müssen. Dazu gehört eine Abwägung von Kosten und Nutzen möglicher Maßnahmen.

Risiken behandeln

Für die priorisierten Risiken werden Maßnahmen festgelegt und umgesetzt. Grundsätzlich stehen vier Risikobewältigungsstrategien zur Wahl:

• Vermeiden: auf die riskante Tätigkeit verzichten.
• Vermindern: Eintrittswahrscheinlichkeit oder Auswirkungen senken, etwa durch Risiko-Management-Kontrollen oder technische Schutzmaßnahmen.
• Übertragen: das Risiko an Dritte weitergeben, zum Beispiel durch Versicherungen (Risikotransfer).
• Akzeptieren: das Risiko bewusst tragen, wenn es innerhalb der festgelegten Risikotoleranz liegt.

Zu jeder Maßnahme gehören Verantwortliche. Teams werden eingebunden und geschult, damit die Maßnahmen im Alltag greifen.

Überwachen, berichten und anpassen

Risiken und die Wirksamkeit der Maßnahmen werden laufend überwacht und an die Verantwortlichen berichtet. Weil sich Geschäftsumfeld und äußere Bedingungen schnell ändern, wird die Strategie regelmäßig überprüft und angepasst. Neue Risiken erkennt ein Unternehmen durch die Beobachtung des Marktes und der internen Abläufe, unterstützt durch Frühwarnsysteme.

Dieser Ablauf entspricht im Kern dem Risikomanagementprozess, den die Leitlinie ISO 31000 beschreibt.

Strategische Planung und operatives Risikomanagement

Die strategische Entwicklung von Risikomanagement-Plänen nimmt eine langfristige Perspektive ein und ist Teil der Unternehmensstrategie. Das operative Risikomanagement kümmert sich dagegen um die tägliche Begrenzung von Risiken im laufenden Betrieb. Beide greifen ineinander: Die Strategie gibt Ziele und Prioritäten vor, das operative Risikomanagement setzt sie in den Prozessen um.

Verantwortlich für die Strategie ist die Geschäftsführung. Ausgearbeitet wird sie häufig von einer Risikomanagement-Abteilung oder einem Risikomanagement-Beauftragten, die eng mit den Fachbereichen zusammenarbeiten, um ein vollständiges Bild der Risiken in der gesamten Organisation zu erhalten.

Beispiele aus der Praxis

• Datenleck: Ein IT-Unternehmen erkennt das Risiko eines Datenabflusses mit finanziellen und Reputationsfolgen. Es investiert in bessere Sicherheitssysteme, schult die Beschäftigten im Umgang mit sensiblen Daten und erstellt einen Notfallplan, der regelmäßig aktualisiert wird.
• Währungsschwankungen: Ein exportierendes Unternehmen sichert Wechselkursrisiken ab.
• Produktfehler: Ein Produktionsunternehmen führt ein Qualitätssicherungssystem ein, um Fehler zu verringern.
• Energiewirtschaft: Energieunternehmen sind Preisschwankungen, regulatorischen Änderungen und technologischen Entwicklungen ausgesetzt. Ein strategischer Plan sieht hier etwa eine breitere Streuung der Energiequellen, Investitionen in erneuerbare Energien und ein strenges Compliance-Management-System vor.

Erfolgsfaktoren

Eine Risikomanagement-Strategie wirkt nur, wenn sie mit der Unternehmensplanung verbunden ist. Die Ziele des Risikomanagements leiten sich aus den Unternehmenszielen ab. Risikoüberlegungen fließen in Entscheidungen und Strategieentwicklung ein. Ebenso wichtig ist die Risikokultur: Wo offen über Risiken gesprochen wird, Fehler als Lerngelegenheit gelten und Compliance und ethisches Verhalten zählen, werden Risiken eher gemeldet und früh angegangen. Klare Kommunikation sorgt dafür, dass alle Beteiligten die Risiken, die Strategien und ihre eigene Verantwortung kennen.

Technik unterstützt Datenanalyse, Überwachung und Berichterstattung. Moderne Werkzeuge können Risikoszenarien simulieren und aktuelle Daten für Entscheidungen bereitstellen.

Häufige Fragen zu Risikomanagement-Strategien

Was versteht man unter Risikomanagement?

Risikomanagement ist der Prozess, mit dem eine Organisation Risiken systematisch identifiziert, analysiert, bewertet, steuert und überwacht. Ziel ist, Eintrittswahrscheinlichkeit oder Auswirkungen zu verringern, Vermögenswerte zu schützen und die Ziele zu erreichen.

Womit beginnt die Entwicklung einer Risikomanagement-Strategie?

Mit dem Verständnis des Geschäftskontexts, der Ziele und der Risikobereitschaft. Darauf folgen die Erfassung interner und externer Risiken, ihre Analyse und Bewertung sowie ein Plan, der Maßnahmen und Verantwortlichkeiten festlegt.

Wer ist für die Risikomanagement-Strategie verantwortlich?

Die Geschäftsführung. In vielen Unternehmen erarbeitet eine Risikomanagement-Abteilung oder ein Risikomanagement-Beauftragter die Strategie gemeinsam mit den Fachbereichen.

Wie lässt sich die Wirksamkeit messen?

Daran, ob Eintrittswahrscheinlichkeit und Auswirkungen von Risiken tatsächlich sinken. Hinweise geben zurückgehende Verluste, eingehaltene Risikogrenzen und die Bewältigung kritischer Ereignisse.

Warum muss die Strategie regelmäßig überprüft werden?

Geschäftsumfeld, Märkte und Vorschriften ändern sich. Nur eine regelmäßig überprüfte Strategie bleibt passend und macht ein Unternehmen widerstandsfähig gegenüber neuen Risiken.

Welche Rolle spielt die Unternehmenskultur?

Sie prägt, wie Risiken wahrgenommen, bewertet und kommuniziert werden. Eine offene Kultur, in der Bedenken ohne Nachteile geäußert werden können, macht das Risikomanagement deutlich wirksamer.

Wie wird Risikomanagement in die Unternehmensplanung eingebunden?

Indem die Ziele des Risikomanagements an die Unternehmensziele gekoppelt werden und Risikoüberlegungen fester Bestandteil von Entscheidungen und Strategieprozessen sind.