Controllerdienst und Risiko-Management

Es ist hinlänglich bekannt, dass zum Unternehmertum auch Risiken gehören. Damit muss man leben. Die Kernfrage lautet: Wie werden Risiken erkannt, und mit welchen Massnahmen können sie vermindert werden? Ausserdem ist festzulegen, wer für die verschiedenen Risiken verantwortlich ist. Ein weiterer wichtiger Aspekt betrifft die Art des Risikos und seine Eingrenzung im Rahmen des jeweiligen Geschäftsfeldes. Fragen über Fragen also, die zu lösen grundsätzlich der Führungsebene eines Unternehmens obliegt. Im folgenden Aufsatz werden insbesondere die Aufgaben des Controllers innerhalb dieser wichtigen Managementfunktion beschrieben.

• Pragmatische Umsetzung eines Risiko-Controlling-Konzeptes
• Meine Aufgabe als Controller
• Die Bedeutung des Begriffes Risiko
• Implementierung des Risk-Controlling-Systems in den operativen

Unternehmens-Prozess

Pragmatische Umsetzung eines Risiko-Controlling-Konzeptes
Einleitend wird erwähnt, dass die Führungsebene für die Risiken im Unternehmen verantwortlich ist - genauso liegt es am Controller, für die Installierung und die aktive Betreuung eines Risiko-Controlling-Konzeptes besorgt zu sein.

Die wichtigsten Fakten im Vorfeld der Umsetzung:

• Management und Mitarbeitern die "Bedeutung des Risikos an sich" bewusster zu machen
• ein System zu entwickeln, das - im Sinne eines Regelkreises - die Behandlung des Risikos auf allen Stufen sicherstellt, einschliesslich die entsprechenden Verantwortlichkeiten
• eine geeignete Methode zur permanenten Begleitung und Überwachung der Aktivitäten des Risk-Controlling zu gewährleisten
• eine flexibel verwendbare Checkliste für die verschiedenen strategischen und operativen Entscheidungen zu entwickeln
• einen (Standard-)Massnahmenkatalog für eintretende voraussehbare Risiko-Ereignisse zu erstellen.

Meine Aufgabe als Controller
Das Controller-Leitbild wird durch die «International Group of Controlling» (IGC) wie folgt definiert:

Controller leisten begleitenden betriebswirtschaftlichen Service für das Management zur zielorientierten Planung und Steuerung

Das heisst:

• Controller sorgen für Ergebnis-, Finanz-, Prozess- und Strategietransparenz und tragen somit zu höherer Wirtschaftlichkeit bei
• Controller koordinieren Teilziele und Teilpläne ganzheitlich und organisieren unternehmensübergreifend zukunftsorientiertes Berichtswesen
• Controller moderieren den Controlling-Prozess so, dass jeder Entscheidungsträger zielorientiert handeln kann
• Controller sichern die dazu erforderliche Daten- und Informationsversorgung
• Controller gestalten und pflegen die Controllingsysteme

Controller sind die internen betriebswirtschaftlichen Berater aller Entscheidungsträger und wirken als Navigator zur Zielerreichung
Wenn man den Aufgabenkatalog der IGC in Verbindung mit dem Risk-Management interpretiert, ist eine aktive Beteiligung des Controllers an der Mitwirkung zur Erkennung und Reduzierung von Risiken zweifelsohne gegeben, oder besser gesagt Pflicht. Wie ernst jedoch das Management entsprechende «Warnungen» des Controllers nimmt, ist abhängig einerseits von seiner hierarchischen Stellung, vor allem aber ist es eine Frage des Vertrauens in die Fähigkeiten des «betriebswirtschaftlichen Begleiters». Somit sind beide Seiten gefordert: Der Controller muss für sein Rüstzeug sorgen sowie seine Moderationsfähigkeit finden und trainieren - der Manager muss bereit sein, den Controlller als vollwertiges Führungsmitglied zu akzeptieren und ihn an der strategischen Entwicklung des Unternehmens teilhaben lassen. Wenn diese Voraussetzungen geschaffen sind, steht dem Aufbau eines Risk-Management-, bzw. eines Risk-Controlling-Konzeptes nichts mehr im Weg.

Die Bedeutung des Begriffes Risiko

Definitionen
In betriebswirtschaftlichen Fachbüchern und -zeitschriften sind zahllose Definitionen zu finden. In der nachfolgenden Auswahl sind die drei ersten dem Artikel der KonTraG-Projektgruppe im Controller Magazin 3/2000 (Verlag für ControllingWissen AG, Wörthsee bei München) entnommen, die übrigen stammen aus dem «kleinen Merkur» (Schulthess polygrafischer Verlag, Zürich):

• Allgemein wird unter Risiko die Möglichkeit ungünstiger künftiger Entwicklungen verstanden.
• Ein Risiko ist die Gefahr des Misslingens einer Leistung bzw. die Möglichkeit der negativen Abweichung der Handlungsergebnisse von den Handlungszielen.
• Das Nichterkennen (Wahrnehmen) von Chancen.
• Beim Risiko spielen die Wahrscheinlichkeit, mit der der Entscheidende annimmt, dass der erwünschte Nutzen eintrifft, die Bestimmbarkeit der Risikohöhe und die Risikohöhe selbst eine Rolle.
• Die Risikoneigung bezieht sich auf die Bereitschaft, Risiken einzugehen.
• Um ein reines Risiko handelt es sich, wenn die Auswirkungen der durch Gefahren verkörperten Unsicherheit ausschliesslich negativ sind, d.h. wenn die Erreichung gesteckter Ziele verhindert oder beeinträchtigt wird. Dies ist beispielsweise der Fall, wenn Produktionsunterbrüche als Folge eines Brandes eintreten und deshalb Unternehmensziele nicht erreicht werden.
• Bei spekulativen Risiken sind negative und positive Abweichungen denkbar. Ein solches trägt z.B. der Exporteur bezüglich der Währung, da Devisenkurse nach oben oder unten variieren können.

Früherkennung von Risiken
Nach dem neuen Aktienrecht gehört die Früherkennung von Risiken zu den Pflichten des Verwaltungsrates. Da aufgrund der operativen Prozessabläufe Risiken «von unten nach oben» wirken, müssen die notwendigen «Warnlampen» bereits bei den Risikofaktoren an der Basis aufleuchten. Wie soll nun aber ein Verwaltungsrat in die praktische Verantwortung mit einbezogen werden? Die Antwort auf diese Frage ist theoretisch simpel: Es müssen geeignete Frühwarnsysteme eingerichtet werden. Die Umsetzung dieser Anforderung, die dann aber in der Regel nicht ganz einfach zu bewerkstelligen ist, bedingt, dass der gesamte Prozess eines Unternehmens als ein grosses Risikofeld in Betracht zu ziehen ist. Daraus folgt, dass alle an diesem Prozess beteiligten Mitarbeiter, insbesondere aber die Führungskräfte, die ihren Auftrag betreffenden Risiken zu verantworten haben. Wenn diese Voraussetzung erfüllt ist, kann (und muss!) auch der Verwaltungsrat tatsächlich in die Gesamtverantwortung eingebunden werden. In diesem Aufsatz sollen insbesondere Aufgaben des Controllerdienstes im Risiko-Management beschrieben werden, ich will deshalb nicht auf die verschiedenen Frühwarninstrumente eingehen, sondern aufzeigen, wo und in welchem Umfang der Controller seinen Anteil zur Erkennung von Risiken leisten kann.

Risiko-Arten
Risikomanagement muss in den Führungsprozess integriert sein und Gewähr dafür bieten, dass bestandesgefährdende Entwicklungen rechtzeitig erkannt werden. Hier die wichtigsten Risikoarten:

• Strategische Risiken, z.B. bei Fehlen einer Strategie oder wenn nach Erarbeitung eine ernsthafte Auseinandersetzung im Sinne einer Plausibilisierung fehlt
• Finanzielle Risiken durch mangelhafte Beobachtung der Geldflüsse, was beispielsweise bei grösseren Liquiditätsproblemen verheerende Auswirkungen auf das Unternehmen haben kann
• Markt- und kundenbezogene Risiken aufgrund fehlender Kenntnisse der letztlich entscheidenden Bedürfnisse für Produkte oder Dienstleistungen, was zu Umsatzeinbrüchen führen kann
• Operationelle Risiken, im Falle der Nichterfüllung von Qualitätsanforderungen, Umweltverträglichkeit oder Arbeitssicherheit usw. oder zu geringer Aufmerksamkeit bezüglich Datenschutz; dies alles kann zur Prozessgefährdung beitragen, was ein wesentliches Risiko darstellt
• Personelle Risiken aufgrund von Fehlleistungen, in den meisten Fällen die Ursache für Erfolge oder Misserfolge

Risk-Controlling-Instrumente
Um als Controller aktiv im Risk-Management-Prozess mitwirken zu können, müssen die notwendigen Voraussetzungen geschaffen werden. Einige Beispiele:

• Risklist: Ein Hilfsmittel zur Identifizierung und Gewichtung eines Schadens - in Listenform oder auch matrixartig. Dieses Instrument eignet sich sehr gut, um die Wichtigkeit eines Risikos einzustufen.
  
  
• Risiko-Protokoll: Dokumentation des Risikos für ein Projekt, einen Prozess oder einen Teilprozess. In diesem Protokoll sind Risikoursachen, Risikobewertung und risikosteuernde Massnahmen aufzuführen.
  
  
• Risikosteuernde Massnahmenliste: Ergänzende Liste zur Risklist (die beispielsweise im Rahmen eines Risk-Workshops erstellt wird). In dieser Liste sollen geeignete Massnahmen zur Verminderung der Risiken aufgeführt werden.
  
  
• Checklisten:
  a) zur Risiko-Früherkennung
  Eine Auflistung aller Risikofelder und Beobachtungsbereiche, unterteilt in (z.B.): Marktverhältnisse und Markttrends, technologische Trends, Konkurrenzanalyse, Einflüsse durch neue Rechtsvorschriften oder politische Trends usw.
  > Diese Checkliste muss den Gegebenheiten der Unternehmung angepasst sein; sie kommt 1x jährlich zur Anwendung, und dient u.a. auch der Überprüfung von strategischen Zielen.
  
  b) zur Risiko-Identifizierung
  Eine Art der «Vorsorgetherapie» (nach Dr. A. Deyhle) oder eben Frühbeurteilung; unterteilt in (z.B.): Vertrieb/Marketing, Technologien, Produkte und Produktion, Einkauf, Beschaffung, Logistik, Personal, Human Resources, Finanzen, Controlling, IT, Rechtliche Sachverhalte und Grundlagen in der Vertragsgestaltung usw.
  > Diese Checkliste muss selbstverständlich ebenfalls den Gegebenheiten der Unternehmung angepasst sein, sie dient als Ergänzung bei der Erarbeitung von Budgets, Vorschaurechnungen aber auch bei der Budgetierung oder bei Hochrechnungen in Projekten.
  
  
• Balanced Scorecard: Das für die Umsetzung und Überwachung der Strategie und der strategischen Ziele eingesetzte Führungs- und Messsystem eignet sich sehr gut auch für die Begleitung des Risk-Managementprozesses.

Implementierung des Risk-Controlling-Systems in den operativen Unternehmensprozess
Es ist nicht zuletzt eine Frage der Haltung aller Beteiligten, ob ein Risk-Controlling-System erfolgreich in den operativen Unternehmensprozess implementiert werden kann. Die besten Voraussetzungen für eine erfolgreiche Behandlung von Risiken bieten sich dann, wenn auch die Führungsebene des Unternehmens sich aktiv mit dieser Problematik befasst. Ein Leitspruch des Vorsitzenden, ergänzt durch praktische Hinweise zur Beobachtung und Behandlung von Risiken, kann helfen, dass sich die Mitarbeiter ebenfalls mit dieser Thematik beschäftigen, und so ihren Beitrag im Rahmen des Risk-Managements beitragen. Die Hauptaufgabe zur eigentlichen Umsetzung der «Risiko-Philosophie» liegt jedoch meistens beim Controller. Er kann die notwendigen Instrumente zur Verfügung stellen, hat die Übersicht über den Gesamtprozess - zumindest zahlenmässig - und ist durch seine organisatorische Einbettung Nahtstelle zwischen Management und Fachabteilungen.

Frühindikatoren / Spätindikatoren
Die Betrachtung von Ursache und Wirkung im Unternehmensprozess zeigt, dass die für das Ergebnis wesentlichen Indikatoren sich am Beginn der Ursache-Wirkungskette befinden. Die Verbesserung von Lernprozessen, die Motivation von Mitarbeitern, technisch einwandfrei konstruierte Produkte sowie reibungslos funktionierende Prozesse sind letztlich vorentscheidend für ein gutes Ergebnis, es handelt sich dabei um sog. Frühindikatoren. Andererseits kann ein Resultat für ein abgeschlossenes Projekt lediglich zur Kenntnis genommen werden, hat aber auf das Gesamtergebnis des Unternehmens - zumindest in der laufenden Periode - keinen Einfluss mehr; als Spätindikator kann es allenfalls für Folgeprojekte positiv wirken.

Aufgaben des Controllerdienstes
Eine Zusammenfassung aller wichtigen Aufgaben des Controllerdienstes zur Implementierung des Risk-Controlling-Systems - in der Annahme, dass der Controller als verantwortlicher Risk-Manager eingesetzt werden soll:

1. Erarbeitung eines Pflichtenheftes für alle Beteiligten möglichst in Zusammenarbeit mit dem Unternehmensleiter oder einer von diesem delegierten Person
2. Ermittlung der relevanten Beobachtungsbereiche und Festlegung von Frühindikatoren je Beobachtungsbereich
3. Erstellung eines an das Unternehmen angepassten Risiko-Regelkreises, mit allen wichtigen Funktionen und Merkpunkten
4. Festlegung von Terminen für die Informationserhebung, z.B. mittels Balanced Scorecard
5. Bereitstellung aller notwendigen Formulare
6. Start in die Praxis anlässlich eines Kick-off-Meetings mit den Beteiligten
   Innerhalb des Risikomanagements kann der Controller zusätzlich zu den Aufgaben des Risiko-Controllings folgende Rollen übernehmen:
   • Überwachung der Ergebnisse der Risikosteuerung in den Fachbereichen
   • Entgegennehmen der Risikoberichterstattung aus den Fach- oder Geschäftsbereichen und Erarbeiten von Massnahmenvorschlägen bei Eintreffen von Risiken
   • Integration von Risikobetrachtungen in den laufenden Reportingprozess
   • Entwicklung und Pflege eines Früherkennungssystems

Enorm wichtig bei der Umsetzung ist die Einbindung der im Nachhinein als Verantwortliche bestimmten Personen, denn nur wenn sich der Einzelne mit seiner Aufgabe identifiziert, wird er sie auch wahrnehmen.

Weitere Voraussetzungen für ein Gelingen der Einführung eines Risiko-Controlling-Konzeptes:

a) unternehmensintern

• Die jährliche Überprüfung der strategischen Ausrichtung, mit allf. Anpassung der strategischen Planung, was im Rahmen eines Balanced Scorecard-Konzeptes ohnehin «Pflicht» ist
• Festlegen (oder Aktualisieren) der strategischen Ziele
• Permanente Kommunikation Top down/Bottom up, damit Risiken reduziert oder eliminiert, bzw. dem Eintreten von Risiken sofort mittels geeigneter Massnahmen entgegnet werden kann
• Wiederkehrende Überprüfungen einzelner Ziele oder Indikatoren ausserhalb der jährlichen Strategie-Reviews (Single-Loop/Double-Loop-Betrachtung); um zu verhindern, dass keine inzwischen «überholten» Risiken überwacht werden
• Schnelle Behandlung von Schadensfällen
• Erweiterung oder Reduzierung der Inhalte der verschiedenen Checklisten

b) extern

• Ständige Beobachtung der Veränderungen von Markt- und Wettbewerbsbedingungen
• ... und/oder (steigender) gesetzlicher Anforderungen
• Vorgehensvergleiche (im Sinne von Benchmarking) mit verbundenen Unternehmen

Schlussbemerkungen
Aufgrund der in diesem Bericht erwähnten Aspekte zur Bewältigung der Unternehmensrisiken könnte der Schluss gezogen werden, dass das ganze Unternehmen ein Risiko darstellt. Und das ist nicht einmal so falsch! Denn «Etwas unternehmen» setzt doch voraus, Ziele zu setzen, finanziell Erfolg zu haben, besser (oder schneller) zu sein als die Konkurrenz usw. Niederlagen im Sinne von negativen Ergebnissen sind «verboten», das plant man gar nicht ein! Diese Betrachtung macht deutlich, dass wir - je besser wir sein wollen - desto mehr Risiken einzugehen bereit sind. Folglich ist die Installierung von Risiko-Management-Systemen mehr denn je ein Muss, wenn wir nicht vom Markt verdrängt werden wollen. Dies gilt zumindest grundsätzlich, wenn auch die Bedeutung des Risikos an sich von Branche zu Branche unterschiedlich ist.

In diesem Sinne wünsche ich Ihnen liebe Leserin, lieber Leser viel Erfolg bei der Einführung Ihres Risiko-Controlling-Konzeptes!

Hermann Jenny, E-Mail: hermann.jenny@bluewin.ch