Verknüpfung von Risikomanagement und Compliance im mittelständischen Konzernunternehmen

Masterarbeit von Kay Höft

Einleitung:

Problemstellung und Zielsetzung:

Die Themenstellung ‘Risikomanagement und Compliance’ erfreut sich einer anhaltenden Aktualität in Lehre und Praxis. Noch im Jahre 2008 werteten global aufgestellte Unternehmen das Problem ‘Regulierung und Compliance’ als erstrangiges Top-Risiko und im Jahre 2009 wurde es nur durch den ‘Credit Crunch’ auf Patz 2 verdrängt. Der Problemkreis belegt zugleich ein vergleichsweise junges Gebiet der Betriebswirtschaftslehre, unter dessen Auspiz Wege zum Umgang mit volatilen bis krisengeschüttelten Märkten aufgezeigt werden können. Konzeptionell stellt sich dabei weniger die Frage, ‘ob’ man Risiken eingeht, sondern vielmehr ‘wie’ man mit ihnen umgeht.

Die stetig anwachsende Zahl von rechtlichen und selbst auferlegten Regularien zur Kontrolle von Risiken führt auch bei mittelständischen Unternehmen zu Intransparenz und Unsicherheit. Selbst wenn die zur Bewältigung notwendigen Informationen grundsätzlich zugänglich sind, ist die Suche und das Filtern der relevanten Bestandteile mit einem nicht unerheblichen Zeitaufwand verbunden. Wenn sich in dieser Situation ein Risiko realisiert, ist es für diejenigen Mitarbeiter, die es bereits ex-ante ‘besser wussten’, unverständlich, warum nicht schon im Vorfeld gehandelt wurde. Den unfreiwilligen Verursachern hingegen ist dieser Vorwurf unangenehm - sie haben stets versucht sorgfältig zu handeln, konnten das ‘ob’ oder ‘wie’ des Risikos aber aufgrund eines Informationsdefizites nicht vorhersehen. Für die Folgen steht wiederum die Geschäftsleitung in der Verantwortung, während der Kunde verärgert ist. Quintessenz eines derartigen, praxisrelevanten Szenarios ist, dass alle Parteien Nachteile davontragen, die durch ein organisiertes Risikomanagement- und Compliancesystem hätten verringert oder ganz verhindert werden können.

Entgegen dieser Erkenntnis sind ganzheitliche Risikomanagement- und Compliancesysteme in mittelständischen Konzernunternehmen bislang selten oder nur im Ansatz etabliert. Die Situation ist dem Umstand geschuldet, dass:

die Konzepte oft als Schlagworte benutzt, ihre Inhalte aber kaum transportiert werden.

Die Abgrenzung zwischen Risikomanagement und Compliance unklar ist.

Die Methoden sich angeblich nur für Konzerne eignen.

Unklar ist, ob eine rechtliche Pflicht zur Einführung besteht.

Unternehmensrisiken nicht systematisch identifiziert, bewertet und bewältigt und damit unterschätzt werden und dass der Nutzen im Verhältnis zu den Kosten unterbewertet wird.

Ziel dieser Arbeit ist es, diese Fragen zu beantworten und ein ganzheitliches Konzept zu entwickeln, welches in einem realen, mittelständischen Konzernunternehmen implementiert wird.

Gang der Untersuchung:

Der erste Teil der Arbeit erläutert Begrifflichkeiten und untersucht die Frage, ob und aus welchen gesetzlichen Vorschriften sich eine Pflicht zur Implementierung eines Risikomanagement- bzw. Compliancesystems ergibt. Sodann wird die in der Literatur herrschende Meinung zum Aufbau der einzelnen Komponenten dargestellt.

Im zweiten Teil der Arbeit unternimmt der Verfasser den Versuch, die dargestellten Konzepte in einem existierenden, international aufgestellten Unternehmen aus der Branche des [gekürzt] zu implementieren.

Angesichts des Umstandes, dass ein Projekt zur Einführung eines Risikomanagementsystems in der Praxis üblicherweise von einem Expertenteam während eines Zeitraumes von bis zu einem Jahr durchgeführt wird, beschränkt sich die Ausbaustufe im praktischen Teil auf eine qualitative Risikoidentifikation, -bewertung und - bewältigung innerhalb der kritischen Unternehmensbereiche. Zu diesem Zweck wurde ein eigener und neuartiger Risikoevaluationsbogen entwickelt, der Kernaspekte des Risikomanagements und der Compliance zusammenführt. Auf dieser Grundlage wurden unternehmensinterne Befragungen in den Bereichen Verträge, Finanzen, Kunden, Personal und IT geführt und ausgewertet. Die Arbeit schließt mit einer Zusammenfassung und der Formulierung von Handlungsempfehlungen zur Einführung eines Risikomanagementsystems.

Inhaltsverzeichnis:

Textprobe:

Kapitel 3.3.1, Risikovermeidung:

In einem für das Unternehmen kritischen und damit existenzbedrohenden Messbereich, in dem Gefahren nicht reduziert werden können, wird auf die gefahrbegründenden Aktivitäten verzichtet. Dieser erste Schritt der Risikovermeidung wird anzuwenden sein, wenn Eintrittswahrscheinlichkeit und Schadenshöhe hoch sind. Wären sie gering, würde Risikovermeidung einer wettbewerbsschwachen Aversion gleichkommen – das Unternehmen liefe Gefahr, sich durch Nichtergreifung von Chancen trotz akzeptablen Risikos aus dem Markt zu manövrieren.

Bei der Risikovermeidung kann auch ein strategischer Ansatz verfolgt werden, wie bspw. der Rückzug aus einem Geschäftsfeld oder die Einstellung eines Produktes aufgrund hoher Produkthaftungsgefahren.

3.3.2, Risikoverminderung:

Die auf der zweiten Stufe angesiedelte Risikoverminderung verfolgt die Eliminierung von Risikoquellen, indem sie die Parameter Eintrittswahrscheinlichkeit und / oder Schadenshöhe bearbeitet. Sie bietet sich für hohe, nicht aber kritische Bereiche innerhalb einer Risikomatrix an. Dazu können auszugsweise folgende Schutzmaßnahmen ins Feld geführt werden: Prozessimmanente Kontrollen wie das Vier-Augen-Prinzip, Zuweisung von Zugriffsberechtigungen in der IT, Substitution von fixen durch variable Kosten, Ausweichen auf zuverlässigere Lieferanten oder die Umstellung von manuellen auf automatisierte Prozesse, um Fehlerquoten zu senken. Diese Bewältigung findet also unternehmensintern in personeller, technischer und organisatorischer Hinsicht statt.

3.3.3, Risikoübertragung:

Während die ersten zwei Stufen als präventive und gestaltende Maßnahmen der Risikobewältigung anzusehen sind, bleibt die Risikoursache bei ihrer Übertragung uneingeschränkt bestehen. Insbesondere der Transfer auf Versicherungsmärkte, Kapitalmärkte und interne Wertschöpfungsstufen ist hier anzuführen. Realisiert sich das Risiko, trifft die Übernehmer in der Folge der Vermögensverlust. Die im Gegenzug anfallenden Prämien sind kalkulierbar. In der praktischen Anwendung ist dieses Instrument weit verbreitet, stellt aber zugleich einen erheblichen Kostenfaktor dar, der nur durch Selbstbeteiligungen reduziert werden kann. An dieser Stelle kann sich ein effektives RMS also auch kostenmindernd auswirken, wenn Risiken so weit verringert werden, dass der Bedarf, sich gegen sie zu versichern, entfällt. Als allgemeine Empfehlung zur Bedarfsanalyse bieten sich folgende Fragestellungen an:

Welche Risiken müssen unabdingbar versichert werden?

Welche Risikoelemente sind genau abgedeckt, wie weit geht der Versicherungsschutz?

Welche Ausschlussklauseln sind in den Bedingungen vorgesehen?

Welche Folgeschäden sind von dem Versicherungsschutz gedeckt?

Weitere Transfermöglichkeiten ergeben sich aus Gewährleistungsausschlüssen, Leasing (Mietkauf), Factoring (Forderungsverkauf) oder dem Outsourcing (Ausgliedern von Unternehmensfeldern). Der aus der Warenwirtschaft bekannte, stets zu wahrende Sicherheitsbestand von Waren kann durch einen mit den Lieferanten abgeschlossenen Sicherheitsbestandsvertrag garantiert werden.

3.3.4, Risikoübernahme:

Die unternehmerische Entscheidung, das Restrisiko zu tragen, hängt maßgeblich von dem verfügbaren Eigenkapital als ‘Puffer’ sowie der Risikopolitik ab. Eine Erhöhung des Eigenkapitals unter Inanspruchnahme der Kapitalmärkte oder durch Gesellschaftereinlagen führt folglich zu höherer Risikotragfähigkeit, solange diese Verwendung nicht zweckwidrig ist. Der in die Gewinnrücklagen eingestellte operative Gewinn sowie realisierte stille Reserven stärken ebenfalls die Risikotragfähigkeit; die Bildung von Rückstellungen eignet sich wegen dem notwendigen, spezifischen Rückstellungsgrund dagegen nicht für einen allgemeinen Risikopuffer. Wenn die Ergebnisse der Risikoanalyse und -bewältigung beachtet werden, ist eine bewusste Risikoübernahme innerhalb der durch die compliancerelevanten Haftungsvorschriften gezogenen Grenzen nachvollziehbar begründet und im Übrigen als Teil der unternehmerischen Freiheit anzusehen.