Moderne, webbasierte IT-Tools ermöglichen das effiziente Erfassen und automatische Konsolidieren von großen Mengen an Risikodaten. Und sämtliche Risikodaten an einem zentralen Ort schnell und auf Knopfdruck verfügbar zu haben ist Grundlage für ein aktives Risikomanagement.

Risikomanagement als Manufaktur

Wenn aber der konzernweite Überblick über die aktuelle Risikosituation fehlt, wie sollen dann realistischer Weise die richtigen Risiken zur richtigen Zeit gemanaged werden? Auch heute noch verwalten viele Unternehmen ihre konzernweiten Risiken in Excel und selbstgebauten Datenbanklösungen. In den seltensten Fällen halten diese Tools grundlegenden Anforderungen an die Auditierbarkeit des Systems und der Daten stand.

Fragen wie „Wer hat wann welches Risiko erfasst und letztmalig bewertet?“, oder „Wie aktuell und effizient sind die Risikomaßnahmen?“ sind nur schwer zu beantworten. Auch fehlt es an belastbaren Informationen zum aktuellen Status aller Unternehmensrisiken. Und jeder, der schon einmal für das Risikomanagementkomitee, den Vorstand oder andere Stakeholder kurzfristig einen aktuellen Bericht zur Risikolage anfertigen musste, kennt die Herausforderung, Risikodaten aus unzähligen Spreadsheets  mühsam händisch zusammen zu kopieren. Zumal sie meistens erst kurz vor Ablauf der Deadline eintreffen.

Ein standardisiertes ERM ist ein Wettbewerbsvorteil

Das Aufsetzen eines effektiven unternehmensweiten Risikomanagement-Frameworks (ERM) beinhaltet neben der Definition entsprechender Prozesse und Verantwortlichkeiten auch die Wahl eines geeigneten IT-Tools. Letzteres ermöglicht das effiziente Identifizieren, Analysieren, Aggregieren, Steuern, Überwachen und Reporten von Risiken in Hinblick auf das Erreichen der definierten Unternehmens- und Bereichsziele.

Erfolgreiche ERM-Programme ermöglichen Unternehmen, Kosten, die in Folge unzureichender Risikotransparenz und ineffizienten Risikomanagement-Prozessen entstehen, zu reduzieren. Zugleich steigt durch einen effizienteren Austausch von Risikoinformationen das Verständnis für Risiken und deren Zusammenhänge. Ausgehend von den strategischen Unternehmenszielen lassen sich für die diversen Unterziele Risiken identifizieren, steuern und überwachen.

Wenn man erst einmal einen vollständigen Überblick über alle Unternehmensrisiken hat, kann man viel einfacher Prozesse einführen, die dabei helfen, die Zielerreichung „auf Kurs“ zu halten. Die Fähigkeit Risiken zeitnah zu erkennen und effektiv zu managen stellt somit für Risikomanager und Risk Owner einen Wettbewerbsvorteil gegenüber Mitbewerbern dar, die kein effizientes ERM-Programm im Einsatz haben. Hinzukommt, dass die schnelle Identifikation von ineffizienten Risikosteuerungsmaßnahmen Zeit und Kosten spart.

Risikomanagement ein Kreislauf, keine einmalige Sache

Die für das Risikomanagement verantwortlichen Personen greifen oft zu den grade verfügbaren Tools, weil sie mit Engpässen, was Zeit und Ressourcen angeht, umgehen müssen. Diese sind zwar nicht perfekt, lösen aber das aktuelle Problem mehr oder weniger gut. Müssen z.B. kurzfristig die Top-10 Risiken bei 100 Verantwortlichen in den Standorten abgefragt werden, dann liegt es nahe, kostengünstige und einfache Tools wie SurveyMonkey oder Survey Gizmo zu nutzen (mal abgesehen von Datenschutzthemen).

Im Endeffekt geht es doch darum, mit möglichst wenig Aufwand mehr und bessere Ergebnisse zu erhalten und allen Prozessbeteiligten (Risikoverantwortliche, Maßnahmenverantwortliche, Risikomanager, etc.) das Leben so einfach wie möglich zu machen. Für diese Personen bewirken situativ eingesetzte Lösungen genau das Gegenteil. Nachteile wie umständliche Bedienung, mangelnde Sicherheit und Auditierbarkeit von Daten sowie fehlende Prozessunterstützung überwiegen in den meisten Fällen die kurzfristigen Vorteile.

Worst Case: Disconnect & veraltete Risikodaten

Entscheidungsträger auf allen Unternehmensebenen benötigen richtige, aktuelle und vollständige Daten: Der C-Level Manager für strategische Entscheidungen mit weitreichenden Auswirkungen auf die Unternehmensziele. Der Niederlassungsleiter vor Ort, der täglich Entscheidungen über den Umgang mit Risiken im Einklang mit dem Risikoappetit des Unternehmens treffen muss.

Ein Disconnect zwischen „top-down“ Vorgabe und „bottom-up“ Aktivität kann ernstzunehmende Folgen haben. Nämlich dann, wenn Risiken vor Ort anders gemanaged werden als von der Geschäftsleitung angenommen - z.B. die Annahme, dass für ein bestimmtes Risiko die Steuerungsmaßnahmen aktiv sind und effektiv funktionieren. Ein Beispiel ist die Versicherungspolice als wirkungsbezogene Risikomaßnahme; hier könnte für das D&O-Risiko das Renewal verpasst worden sein oder der Versicherer verweigert aufgrund falscher oder fehlender Deklarationen die Entschädigungszahlung.

Mit einem modernen, internetbasierten IT-Tool, für das Erfassen, Überwachen und Reporten von Risiken sinkt die Wahrscheinlichkeit eines solchen „Disconnects“ erheblich. Aber in Ermangelung einer adäquaten IT-Lösung schicken Risk Manager Excel-Risikoregister zum Teil an hunderte Teilnehmer, mit der Bitte die Risiken neu zu bewerten. Oftmals dauert es Wochen, manchmal sogar Monate, bevor die dann eingetroffenen Dateien in ein verwertbares Format zusammengefasst werden.

In der Zwischenzeit kann durch eine Vielzahl von internen und externen Veränderungen die Datenbasis bereits veraltet sein. Solche Veränderungen können sein: Risikoindikatoren (KRI), Effektivität von Risikomaßnahmen, erwartete Eintrittswahrscheinlichkeit oder Auswirkung. Und wie bereits oben erwähnt fehlt beim Excel-basierten Risikoregister die Möglichkeit nachzuvollziehen, woher die Daten kommen.

Ein Risikomanagement-Informationssystem ist das Bindeglied

Risiko- und Maßnahmenverantwortliche sowie Risikomanager benötigen Möglichkeiten, Risiken zeitnah und proaktiv zu erfassen, zu überwachen und auszuwerten. Und zwar so intuitiv wie möglich und in einem Umfeld, das die Risikoaggregation und das Reporting auf beliebigen Ebenen ermöglicht. Solche und noch viele weitere Möglichkeiten bietet ein Risikomanagement-Informationssystem (RMIS).

Wie alles hat auch eine solche Technologie seinen Preis. Aber die Kosten eines solchen IT-Tools amortisieren sich innerhalb kürzester Zeit durch eine höhere Effizienz, einen besseren Überblick über die Risikosituation und damit verbunden bessere, weil faktenbasierte und nachvollziehbare Entscheidungen.