Risikomanagement in mittelständischen Unternehmen

die unabhängige Kontrolle Aufgabe der Internen Revision ist. Da mittelständische Unternehmen über diese Abteilung i. d. R. aber nicht verfügen, muss für KMU ein anderer Weg der unabhängigen Kontrolle gefunden werden, die durch § 91 Abs. 2 AktG auch Bestandteil des KonTraG ist.194 Auf die Institutionalisierung des Risikomanagements wird deshalb im Kapitel 5.4 gesondert eingegangen. Ziel der Prozesskontrolle ist eine regelmäßige (stichprobenartige) Überprüfung und Hinterfragung der Methoden zur Risikoidentifikation, -bewertung, -steuerung und überwachung.195 Damit stellt sie eine weitere Kontrollinstanz dar. Vogler und Gundert erkennen, dass die Prozesskontrolle besonders darauf zu achten hat, dass zum einen die Wesentlichkeitsgrenzen angemessen bestimmt werden und zum anderen der teilweise kompensatorische Effekt von Chancen- und Risiken erfasst wird.196 Die permanente Überwachung durch nicht in den Prozess involvierte Dritte dürfte auch als „Antreiber“ für die eigenständige Weiterentwicklung der beteiligten Personen und damit des gesamten Risikomanagements sorgen.197 Als Rückgrat des Risikomanagements sollte diese Aufgabe von erfahrenen und sachverständigen Spezialisten durchgeführt werden. Insbesondere in KMU kommen hierfür externe Berater wie Steuerberater oder Wirtschaftsprüfer in Frage.198 [...]

Eine Aufgabe der Überwachung ist die fortlaufende operative Kontrolle der Wirksamkeit und Angemessenheit der Risikosteuerungsmaßnahmen durch Mitarbeiter, die in die Prozesse eingebunden sind, wie das Controlling188 oder die Unternehmensleitung.189 Weiterhin erfolgt in dieser Phase, die teilweise parallel zur Risikosteuerung zu sehen ist, die Überwachung von Risiken, die nicht steuerbar sind oder als noch nicht wesentlich angesehen werden. Wurden bisher lediglich die Bruttorisiken190 betrachtet, so erfolgt nun der Vergleich des tatsächlichen nach Steuerungsmaßnahmen übriggebliebenen Nettorisikos mit den entsprechenden Soll-Vorgaben. Auf diese Weise kann die Umsetzung der festgelegten Chancen- und Risiko-Strategien überwacht werden. Bei großen Abweichungen sind die Steuerungsmaßnahmen bzw. deren Umsetzung auf Tauglichkeit zu überprüfen und ggf. nachzubessern. Zudem gilt es, Abweichungen direkt an die Unternehmensleitung zu berichten. Weber, Weißenberger und Liekweg erkennen zu Recht, dass eine Risikoüberwachung selbst als Früherkennungssystem191 zu verstehen ist, da die „kontinuierliche Betrachtung der Risiken und der Soll/Ist-Werte im Zeitablauf durch permanente Kontrolle“192 ein frühzeitiges Erkennen riskanter Entwicklungen ermöglicht und somit zur Entwicklung von Gegensteuerungsmaßnahmen beitragen kann. „Auf der positiven Seite kann sie schließlich auch Chancen aufdecken, die es in die strategische oder taktische Planung zu integrieren gilt.“193 Mit dieser Phase schließt sich der Risikomanagement-Regelkreis. [...]

solche Risiken zu übernehmen, die sich auf die Kernkompetenzen des Unternehmens beziehen. Risiken, die keine Kernrisiken darstellen, sollten vermieden werden, sofern sie vom Markt effizienter und kostengünstiger koordiniert werden können und in diesem Sinne keine komparativen Vorteile für das Unternehmen erzeugen. Ein professioneller und systematischer Umgang mit Risiken und Chancen hilft KMU somit, sich auf vorhandene Erfolgsfaktoren zu konzentrieren und darauf neue strategische Entscheidungen zu fußen.185 Wenn im Vorfeld bestimmte Risiken nicht erkennt werden, trägt das Unternehmen diese unbewusst selbst. Aus dieser Tatsache erwächst ein erhebliches Gefahrenpotenzial, dass grundsätzlich nie ganz ausgeschlossen werden kann.186 Ein gutes Risikomanagement zeichnet sich deshalb auch dadurch aus, wie es auf unerwartet auftretende Risiken bzw. Schäden reagiert. Im Rahmen der Risikoübernahme müssen folglich häufig auch Adhoc-Entscheidungen getroffen werden. Die Frage, in welcher Höhe Risiken übernommen werden sollten, ist eng mit der Risikokultur und der -strategie des Unternehmens verbunden. Als Anhaltspunkt dienen die Eigenkapital- und Liquiditätsreserven des Unternehmens, die als Risikokapital zur Verfügung stehen.187 Danach sollte die Gesamtheit der Schadenserwartungswerte nicht über der Summe aus Eigenkapital und flüssigen Mitteln liegen. Um der Gefahr der latent nicht identifizierten Risiken Rechnung zu tragen, sind Sicherheitsreserven in die Überlegung einzubeziehen. Deren Höhe wiederum hängt entscheidend von der Sorgfalt ab, mit der die Risikoidentifikation und -analyse durchgeführt wird. D. h. die „Qualität“ des Risikomanagements bestimmt, in welcher Höhe Risiken eingegangen werden können. Für KMU ergibt sich daraus das Problem, dass sie aufgrund des geringen Eigenkapitals und des i. d. R. vernachlässigten Risikomanagements eigentlich kein hohes Risiko eingehen dürften, zum anderen aber vom Markt bzw. den Großunternehmen viele Risiken übertragen bekommen. [...]