Risikomanagement

Risikomanagement ist die systematische Erfassung und Bewertung von Risiken sowie die Steuerung von Reaktionen auf festgestellte Risiken. Es ist ein systematisches Verfahren, das in vielfältigen Bereichen Anwendung findet, zum Beispiel bei

• Unternehmensrisiken, 
• Kreditrisiken, 
• Finanzanlagerisiken, 
• Umweltrisiken, 
• versicherungstechnischen Risiken, 
• technischen Risiken.

Risikomanagement umfasst:

• Festlegungen von Zielen auf Basis der Definition von Strategie, ggf. auch Visionen der das Risikomanagement anwendenden Stelle
• Definition von Werttreibern oder kritischen Erfolgsfaktoren zur Erreichung von Zielen
• Festlegung einer Risikomanagement-Strategie
• Identifikation von Risiken (im Finanzrisikomanagement mit „Exposure-Ermittlung" bezeichnet)
• Bewertung/Messung von Risiken
• Bewältigung von Risiken
• Steuerung der Risikoabwehr
• Monitoring, also Früherkennung
• Strukturierung und Dokumentation in einem Risikomanagementsystem.

Grundsätzlich beginnt Risikomanagement in dem Moment, in dem eine Vision, ein Wunschbild der zukünftigen Realität entsteht. Denn die Chancen, die man dazu wahrnehmen muss, werden durch Unwägbarkeiten gefährdet. Ohne konkrete Ziele lassen sich keine Abweichungen messen.

Die Wahl der Strategie ist im Wesentlichen abhängig von der Risikobereitschaft (risikoavers, risikoneutral oder risikofreudig) bei einem Vorhaben.

 
Erfassung

Die Identifikation von Risiken kann z. B. mittels Szenario-Technik, Post-Mortem-Analyse, Expertenbefragungen, Delphi-Methode, Checklisten, Kreativitätstechniken oder einfach durch offene und ehrliche Kommunikation erfolgen.

Eine Möglichkeit für die Messung von Risiken sind Risikokennzahlen wie die Sensitivität (die Empfindlichkeit eines Papieres gegenüber äußeren Einflüssen), der Value at Risk oder VaR, welcher dem Wert eines angenommenen Verlustes entspricht.

Zur detaillierten Darstellung wird das Gesamtrisiko meist auf einzelne Risikofaktoren aufgeteilt. Da diese Risikofaktoren sich gegenseitig beeinflussen, wird eine Risikomatrix der Faktoren verwendet, welche die Konsequenzen auf das Gesamtsystem bei Berührung eines einzelnen Risikofaktors abbildet. Für die einzelnen Risikofaktoren werden nun per Simulation die einzelnen "Schadensfälle" zum Gesamtsystem berechnet. Um die Auswirkung der einzelnen Risiken auf das Unternehmen darzustellen, ist eine Risikoaggregation erforderlich.

Das genannte Verfahren ist besonders typisch zur Bestimmung des "Marktpreisrisikos", welches Zinsverläufe, Wechselkurse und Branchenentwicklungen im Fokus hat.

Dieses errechnete Gesamtrisiko ist z.B. für Kreditinstitute die Basis für die Rückstellungen, um eigene Geschäfte abzusichern.

Bestimmte Bewertungen von Risiken, speziell für die bezogenen Partner, können auch durch Experteneingaben erfasst werden.

Bei der internen Erfassung sind Kreditinstitute grundsätzlich frei. Hingegen bei der Erfassung für den externen Adressaten sind die Kreditinstitute an die Vorgaben der Bankenaufsicht/ BAFin im Grundsatz 1 gebunden.

 
Steuerung

Grundsätzlich gibt es fünf unterschiedliche Risikosteuerungsstrategien:

Risikovermeidung: Eine vollständige Vermeidung von Risiken ist nicht Ziel des Risikomanagements und kann nur erreicht werden, indem man die risikobehaftete Aktivität unterlässt. Sinnvoll ist dies nur bei bestandsgefährdenden Risiken.
Risikoverminderung: Die Verminderung von Risiken setzt darauf, Risikopotenziale - nicht wie bei der Risikovermeidung - auszuschließen, sondern auf ein akzeptables Maß zu reduzieren.
Risikobegrenzung: Die Risikobegrenzung gliedert sich auf in zwei Teilbereiche, der Risikostreuung (auch -diversifikation) und der Risikolimitierung. Die Risikostreuung fußt auf der Portfolio-Theorie, die besagt, dass die Kombination nicht vollständig miteinander korrelierender Anlagealternativen in einem Portfolio einen Diversifikationseffekt bewirkt, der in der Summe das Gesamtrisiko verringert oder sogar neutralisiert. Bei der Risikolimitierung setzt das Management Limite (also definierte Obergrenzen) für das Eingehen von Risiken.
Risikoüberwälzung: Bei der Risikoüberwälzung wird das Risiko durch faktische oder vertragliche, teilweise oder völlige Überwälzung an Dritte übertragen. Die Übertragung steht in Verbindung mit einem zusätzlichen Geschäft, das das Risiko vollständig oder zu wesentlichen Teilen an Dritte weitergibt. Das Risiko wird hierbei nicht beseitigt, sondern wechselt den Risikoträger. Unterschieden werden kann zwischen der Überwälzung auf Versicherungsunternehmen und auf Vertragspartner.
Risikoakzeptanz: Die Vermeidung, Verminderung und Überwälzung von Risiken kann die Risiken nicht vollständig ausschließen. Das verbleibende Restrisiko muss das Unternehmen akzeptieren und selbst tragen. Dies bedingt das Vorhandensein eines entsprechenden Risikodeckungspotenzials, da ein ggf. eintretender Schaden aus eigener Kraft gedeckt werden muss. Die Akzeptanz von Risiken sollte dann gewählt werden, wenn die vorstehend beschriebenen Wege in keiner positiven Aufwand-Nutzen-Relation stehen würden.

 
Kontrolle

Ziel des Risiko-Monitoring ist es, die erkannten Risiken im Auge zu behalten.

Risikomanagementprozess

Das Vorgehen beim Risikomanagement kann auch in Phasen dargestellt werden.

Beispiel für einen RisikographenDie wesentlichen Schritte eines Risikomanagementprozesses bestehen aus den Phasen

• Risikoanalyse,
• Risikobewertung,
• Risikominimierung,
• Risikokontrolle,
• Risikoverfolgung.

Vor der Risikoanalyse wird ein Risikograph festgelegt, der die elementaren Parameter Eintrittswahrscheinlichkeit und Schadensausmaß einem Akzeptanzbereich zuordnet. Während der Risikobewertung wird jede in der Phase Risikoanalyse identifizierte Gefährdung unter dem Aspekt Eintrittswahrscheinlichkeit und Schadensausmaß bewertet. Damit landet jedes Risiko in einem Bereich des Risikographen. Ziel der Risikominimierung ist es schließlich für alle Risiken, die im inakzeptablen Bereich (bzw. im ALARP-Bereich) des Risikographen liegen, Maßnahmen festzulegen, die Eintrittswahrscheinlichkeit und/oder Schadensausmaß verringern. Am Ende dieser Phase sollte kein Risiko mehr im inakzeptablen Bereich liegen. In der Praxis lässt sich in der Regel das Schadensausmaß kaum verringern, meistens wird eine Risikominimierung durch Verringerung der Eintrittswahrscheinlichkeit erreicht (z. B. durch zweihändige Bedienung von Industriepressen wird die Eintrittswahrscheinlichkeit für einen Unfall verringert). Bei Finanzrisiken jedoch ist häufig nur das Schadensausmaß, nicht aber die Eintrittswahrscheinlichkeit beeinflussbar (z. B. kann ein Unternehmen die Wahrscheinlichkeit eines Anstieges des Dollarkurses nicht beeinflussen, kann aber durch entsprechende Sicherungsgeschäfte die potentiellen Auswirkungen steuern).

Während der Phase der Risikokontrolle erfolgt schließlich eine Neubewertung aller Risiken zur Überprüfung der eingeführten Maßnahmen, und um festzustellen, ob eingeführte Maßnahmen neue Risiken mit sich bringen.

Risiken im ALARP-Bereich (ALARP bedeutet As Low As Reasonably Practicable) sollen auf ein vernünftiges und durchführbares Maß minimiert werden. Dies bedeutet zum Beispiel, dass ein Risiko als tolerierbar eingestuft werden kann, wenn die Kosten für seine Minimierung höher liegen als die Kosten, die bei Eintritt des Risikos zu erwarten sind. In diesem Fall sind weitere Maßnahmen zur Risikokontrolle nicht praktikabel. Eine Risiko-Nutzen-Analyse kann in diesem Fall verwendet werden, um abzuschätzen, ob der Nutzen des Produkts das Restrisiko überwiegt.

Anwendungsbereiche

• Unternehmensrisiken lassen sich unterteilen in Fortführungsrisiken und Ertrags- und Reputationsrisiken
• Kreditrisiken befassen sich mit möglichen Kreditausfällen und den Marktrisiken wie zum Beispiel Zinsänderungen
• Finanzanlagerisiken
• Umweltrisiken befassen sich mit Antizipation Schadensereignissen wie Lawinen, Überschwemmungen, Steinschlag und Murgängen und deren Steuerung zum Beispiel mit baulichen Maßnahmen und Gefahrenzonenplanung. 
• Versicherungstechnischen Risiken
• Technische Risiken: Auch technische Risiken können in einem Managementsystem behandelt werden, dies ist z. B. Bestandteil des Arbeitsschutzes bzw. Arbeitsschutzmanagement. Über die Schadensbewertung und Maßnahmen zur Schadensvermeidung besteht auch eine Verbindung zum finanzbezogenen Risikomanagement. So beziehen sich einige Fragen des Fragenkatalog von Basel II auch auf technische Risiken, wie z. B. Risiken des Herstellungsprozesses und der Arbeitssicherheit.

Das Risikomanagement spielt im Versicherungsmarkt und als Vorstufe zur Versicherung eine zentrale Rolle.

Allgemein kann unterschieden werden zwischen quantitativem Risikomanagement (Risiko wird in „Geld" bewertet) und qualitativem Risikomanagement (Risiken werden mit einer Risikomaßzahl belegt, die nur die relative Risikohöhe der Risiken zueinander innerhalb eines abgeschlossenen Risikomanagementsystems beschreibt). Welche Risikomanagementmethode zum Einsatz kommt, hängt vor allem von den im Folgenden dargestellten Einsatzbereichen ab:

• im Finanzwesen (hier liegen die Ursprünge des Risikomanagements)
• in der Versicherungswirtschaft
• in der Unternehmungsführung. Implementierung einer Risikomanagement-Organisation zur Steuerung von operationellen Risiken, welche die Kernprozesse gefährden. Dabei gilt der Grundsatz Prozess-Eigner = Risiko-Eigner. Unterstützt wird die RM Organisation durch eine unternehmensweite Risikoberichterstattung (Risk Reporting), welches richtig eingesetzt eine Frühwarnung ermöglicht.
• im Projektmanagement zur Minimierung von Prozessrisiken. Typische „Kernrisiken" (Prozessrisiken) im Projektmanagement sind fehlerhafte Zeitpläne, Inflation von Anforderungen, Mitarbeiterfluktuation, Spezifikationskollaps, geringe Produktivität und Gruppendruck/„group think".
• in der Entwicklung sicherheitskritischer Systeme und Produkte wird Risikomanagement verwendet, um Produktrisiken zu minimieren (vgl. beispielsweise ISO 14971 für Medizinprodukte)
• in der Informatik in Softwareentwicklungsprojekten im Rahmen des Projektmanagements

Im Finanzwesen und in der Versicherungswirtschaft kommen hier hauptsächlich quantitative Risikomanagementmethoden zum Einsatz.

In der Unternehmensführung erzwingt in Deutschland beispielsweise § 91 Abs. 2 AktG (siehe KonTraG, Gesetz zur Kontrolle und Transparenz im Unternehmensbereich) seit 1998 Aktiengesellschaften zur Einrichtung eines Überwachungssystems, um Risiken frühzeitig zu erkennen. § 91 Abs. 2 AktG sieht vor, dass „der Vorstand geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten hat, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden." Bereits vor dem Inkrafttreten des KonTraG war es jedoch unbestritten, dass aus der Leitungsaufgabe des Vorstandes nach § 76 AktG eine Verpflichtung zur Einrichtung eines Überwachungssystems folgt.

Qualitative Risikomanagementmethoden zeichnen sich dabei dadurch aus, dass sie eine weniger aufwändige Mathematik voraussetzen. Quantitative Risikomanagementmethoden dagegen nutzen überwiegend Finanz- und Versicherungsmathematische Methoden und Modelle zur Ermittlung der Höhe der Risiken. Ein Versuch die verschiedenen Ansätze des Risikomanagements zu vereinen, stellt das erweiterte Risikomanagement (XRM) dar.

Versicherungswirtschaft

Für Versicherungsunternehmen zählt die Übernahme von Risiken zum eigentlichen Geschäftsmodell. Versicherungen begrenzen die Wahrscheinlichkeit einer überdurchschnittlichen Belastung durch Schadensfälle in erster Linie durch Rückversicherung, mit deren Hilfe sie Großschäden und Kumulrisiken begrenzen.

Kreditwirtschaft

Für Banken unterteilt man das betriebswirtschaftliche Gesamtrisiko in ein operationelles Risiko (z. B. durch Ausfälle in der IT), das Kreditrisiko (d. h. den Ausfall von Kreditnehmern), das Kontrahentenrisiko (d. h. den Ausfall von Kontrahenten bei Handelsgeschäften) als besonderen Teil des Kreditrisikos, das Liquiditätsrisiko (fällige Gelder können nicht aus den flüssigen Mitteln bedient werden, Geschäfte können auf Grund mangelnder Marktliquidität nicht zu den erwarteten Bedingungen abgeschlossen werden) und das Marktrisiko (z. B. Wechselkursrisiko, Zinsänderungsrisiko). In der Praxis wird oftmals das Reputationsrisiko (Risiko des Ansehensverlustes durch geschäftspolitische Entscheidungen o. Ä.) separat vom operationellen Risiko betrachtet. Den systematischen Ausfall mehrerer Geschäftspartner aufgrund von Branchenrisiko oder Länderrisiko bezeichnet man in der Kreditwirtschaft auch als Klumpenrisiko.