Risikomanagement ist Handwerk und Kunst

Schauen wir auf die täglichen Meldungen zu Risikomanagement- und Compliance-Versagen, gewinnt man den Eindruck, als würden Unternehmen nichts dazulernen. Woran liegt das Ihrer Meinung nach?

Roland Franz Erben: Ich glaube nicht, dass die Unternehmen nichts dazu lernen. Wenn ich mir ansehe, wie sich das Risiko- und Compliance-Management in den letzten Jahren und Jahrzehnten entwickelt hat, sind hier dramatische Fortschritte festzustellen. Noch dramatischer verlief allerdings die Entwicklung der Rahmenbedingungen: Die Risiken auf dieser Welt sind in den vergangenen Jahren ja beileibe nicht geringer geworden, und immer neue Bedrohungen und immer neue Compliance-Vorschriften machen den Unternehmen das Leben ja nicht leichter. So mancher Risikomanager kommt mir vor wie der Hase, der sich erfolgreich am Ziel wähnt und dann feststellen muss, dass schon wieder ein paar Igel vor ihm da sind.

Jan Offerhaus: In der Praxis gibt es inzwischen zwar ausreichend Tools und auch Know-how. Aber dies trifft in vielen Fällen nur auf bestimmte Ebenen in Organisationen zu. Hinzu kommt, dass manchmal das Standing des Risikomanagers auf Top-Management-Ebene fehlt. Damit einher geht eine mangelnde Einbindung des Risikomanagements in Entscheidungen der Führungsebene und generell in die Unternehmenssteuerung. Kurzum sind das nicht immer die besten Rahmenbedingungen für ein umfassendes Risikomanagement in Unternehmen.

Nun gehören Risiken zum Geschäft. Sprich: Ohne Risiken keine Chancen für das Unternehmen. Doch wie weit können sich Entscheider aus dem Fenster lehnen und Risiken eingehen, um nicht herunterzufallen?

Roland Franz Erben: Das Aus-dem-Fenster-Lehnen ist eine sehr gute Metapher für die Gratwanderung, die (Risiko-)Manager tagtäglich vollziehen. Entscheidend sind hier natürlich immer die Risikobereitschaft und die Risikotragfähigkeit des Unternehmens, also die Fragen „Wie viel Risiko will ich tragen?“ und „Wie viel Risiko kann ich tragen?“. Über beides muss man sich klar sein. Die Ausbildung einer adäquaten Risikobereitschaft ist dabei ein langer Prozess, der unmittelbar der Unternehmenskultur entspringt. Für die Kenntnis der Risikotragfähigkeit ist dagegen unter anderem die professionelle Anwendung fortschrittlicher - vor allem auch quantitativer - Methoden der Risikobewertung erforderlich. Um im Bild zu bleiben: Um zu wissen, wie weit ich mich aus dem Fenster lehnen kann, sollte ich wissen, wie viel ich wiege und wie viel Kraft ich in den Armen habe. Und wenn ich mir unsicher bin, sollte ich mich anseilen, ein paar dicke Matratzen unter das Fenster legen oder die ganze Übung erstmal nur im Erdgeschoss ausprobieren.

Jan Offerhaus: Beim Aus-dem-Fenster-lehnen ist es zudem wichtig zu definieren, für welche Risiken das jeweilige Unternehmen die Kernkompetenz bezüglich des Managements besitzt. Damit meine ich: Risiken, die nicht zum Kerngeschäft des Unternehmens gehören, sollten netto – also nach Maßnahmen – reduziert oder vermieden werden. Demgegenüber können Unternehmen die Risiken eingehen, die zum Kern des eigenen Geschäftsmodells gehören. Gerade weil Organisationen verstehen sollten, diese Risiken entsprechend zu steuern.

Lässt sich das alles erlernen oder gibt es auch Ihrer Erfahrung heraus Skills, die bei zukünftigen Risikomanagern bereits verankert sein müssen und die nicht erlernbar sind?

Roland Franz Erben: Risikomanagement ist Handwerk und Kunst. Das Handwerk, also die Beherrschung der Methoden und Prozesse, kann man wahrscheinlich jedem beibringen. Für die eher künstlerischen Tätigkeiten in diesem Bereich, also beispielsweise den berühmten „Blick über den Tellerrand“, die Kommunikation oder die Vernetzung unterschiedlicher Stakeholder im Unternehmen, ist eine gewisse Grundbegabung unerlässlich.

Aus einem Elefanten kann mal nun keine Gazelle machen, und ein introvertierter Typ mit einer „das haben wir immer schon so gemacht“-Mentalität wird wahrscheinlich nie ein guter Risikomanager werden.

In unseren Zeiten wird viel über die Digitalisierung aller Berufsbereiche gesprochen. Können Risikomanager mit ihrem Wissen in dieser schnelllebigen Zeit überhaupt noch bestehen oder laufen sie den Risiken nicht permanent hinterher?

Roland Franz Erben: Zweifellos werden Digitalisierung und künstliche Intelligenz auch das Risikomanagement revolutionieren. Diese Entwicklungen betreffen das Risikomanagement auf zwei Ebenen: Zum einen ergeben sich natürlich neue Chancen und Risiken, die erkannt, bewertet und gesteuert werden müssen. Zum anderen verändert die Digitalisierung schon jetzt die Art und Weise, wie wir Risiken managen werden – Big Data, Mustererkennung in Massendaten, ausgereifte Simulationstools und so weiter geben dem Risikomanager mächtige Instrumente in die Hand, um die steigende Komplexität der Umwelt und der Unternehmen besser zu bewältigen.

Im Gegensatz zu vielen anderen Bereichen ist der Anteil rein repetitiver Prozesse im Risikomanagement aber sehr gering – wie bereits gesagt: Risikomanagement ist nicht nur Handwerk, sondern auch Kunst. Dementsprechend müssen sich Risikomanager wohl keine Sorgen machen, dass sie bald durch „Risk Bots“ ersetzt werden. Klar ist jedoch, dass es für den Hasen immer schwerer wird, die Igel zu erwischen – das wird ihm nur gelingen, wenn er intelligenter und schneller ist. Und beides schafft er nur durch ständiges Training, sprich eine kontinuierliche Weiterbildung, die sein Wissen und seine Fähigkeiten auf dem neuesten Stand halten.

Im Übrigen wäre selbst ein „permanentes Hinterherlaufen“ kein Argument für ein abruptes Stehenbleiben. Die Menschen werden wohl nie in völliger Harmonie miteinander leben – aber daraus ziehen wir, zumindest hoffentlich, ja auch nicht den Schluss, dass wir Polizei und Justiz abschaffen sollten.

Die RMA bietet ja nun seit einigen Jahren das Weiterbildungsprogramm zum Enterprise Risk Manager (Univ.) in Kooperation mit dem Forschungszentrum Risikomanagement der Universität Würzburg an. Was unterscheidet Ihrer Meinung nach die Weiterbildung von anderen Programmen und welchen Mehrwert erfahren die Teilnehmer?

Jan Offerhaus: Hier sehe ich im Wesentlichen die große Bandbreite an Referenten aus der Risikomanagementpraxis und der Wissenschaft, die unser Weiterbildungsprogramm von anderen Programmen unterscheidet. Unter anderem durch die verschiedenen Experten aus Unternehmen als Vortragende erzielt das Programm einen ausgesprochen starken Praxisbezug. In diesem Kontext ist auch die abschließende Projektarbeit als direkte Anwendung des Erlernten in der Unternehmenspraxis ein wesentliches Plus. Als weiche Faktoren möchte ich an dieser Stelle das ausgesprochene Networking erwähnen, das sich unter den Teilnehmern durch gemeinsame Präsenztage und Prüfungserfahrungen im Rahmen des Programms festigt. Die Teilnehmer des Programms können darüber hinaus bei Arbeitskreissitzungen der RMA mitwirken und damit quasi kontinuierliche Weiterbildungen besuchen.

Wenn Sie nach vorne blicken: Wo sehen Sie mit Blick auf das Wissen im Risikomanagement Verbesserungspotenzial für die Zukunft?

Roland Franz Erben: Ich sehe hier vor allem zwei Entwicklungen: Erstens muss das Risikomanagement quantitativer werden und zweitens qualitativer. Auf den ersten Blick scheint dies ein Widerspruch zu sein, aber es geht hier nicht um das „oder“, sondern um das „und“. Quantitative Methoden, wie etwa die Monte-Carlo-Simulation oder fortgeschrittene statistische Ansätze, haben sich inzwischen auch in kleineren Unternehmen etabliert.

Das liegt zum einen daran, dass die entsprechenden IT-Tools leistungsfähiger, günstiger und benutzerfreundlicher geworden sind. Zum anderen ist aber auch das Know-how auf Seiten der Anwender in den letzten Jahren enorm gewachsen – und zwar nicht nur bei einigen globalen Spielern, sondern insbesondere auch in der Breite der KMU. Diese Entwicklung wird sich im Zuge der fortschreitenden Digitalisierung sicher fortsetzen beziehungsweise noch beschleunigen.

Die qualitativen, „weichen“ Komponenten des Risikomanagements sind aber mindestens genauso wichtig. Eine offene Risikokultur, Kommunikation über Abteilungsgrenzen hinweg, Kritikfähigkeit, Verhandlungsgeschickt. All das sind Fähigkeiten, die im Risikomanagement umso wichtiger sind, je komplexer die Risikolandschaft wird. Und nicht zuletzt hat der Risikomanager auch die Aufgabe, die Errungenschaften der quantitativen Methoden richtig und vor allem allgemein verständlich einzuordnen. Wenn ich meinen Value at risk auf 42 Kommastellen ausrechnen kann, suggeriert das eine Genauigkeit, die in Wirklichkeit überhaupt nicht gegeben ist. Das liegt daran, dass in meine Modelle unzählige subjektive Annahmen, Schätzungen und Daumenregeln einfließen.

Das Klischee vom Risikomanager als Vollzeit-Bedenkenträger und Partycrasher – ganz nach dem Motto: Der Verkäufer vertreibt das Produkt, der Risikomanager vertreibt den Kunden – ist zwar ebenso abgenutzt wie falsch. Und dennoch ist die Rolle des Sparringpartners oder des „advocatus diaboli“ ein wichtiger Teil der Stellenbeschreibung jedes Risikomanagers.

Und welchen Mehrwert kann eine Interessenvertretung wie die RMA in diesem Kontext leisten?

Jan Offerhaus: Mithilfe des Networkings und unserer Arbeitskreise können wir das Know-how im Risikomanagement ausbauen und in die Breite tragen. Zudem erreichen wir mit den von der RMA organisierten Konferenzen auch Personen, die sich nicht im engeren Kreis der Risikomanager bewegen. Hier möchte ich exemplarisch auf unseren jährlichen Risk Management Congress verweisen, der DACH-weit einer der Ankerpunkte im Risikomanagement und für weitere Disziplinen ist. Abgerundet werden unsere Aktivitäten mit eigenen Publikationen sowie durch die Unterstützung bei der Formulierung von Standards im Risikomanagementumfeld.

Weitere Informationen zum Weiterbildungsprogramm Enterprise Risk Manager (Univ.) der RMA finden Interessenten unter: https://rma-ev.org/erm