![]() |
||
| Forum Wirtschaftsethik Forum Wirtschaftsethik | ||
| Rainer Kemnitzer / Thomas Klunk KonTraG Einsatz von Risikomanagement zur Sicherung des Unternehmensbestandes Einleitung In den vergangenen Jahren sind Unternehmen aufgrund von plötzlich auftretenden wirtschaftlichen Schieflagen, massiven Liquiditätsengpässen, unerwarteten Verlusten, falsch konzipierten Auslandsengagements oder anderen Ereignissen, die oft in den Konkurs führten, in die öffentlichen Schlagzeilen geraten. Ursache solcher Krisen sind zumeist Kontrollschwächen in den Unternehmen, durch die wesentliche Risiken sowohl im strategischen als auch im Finanz- oder operativen Bereich nicht erkannt worden sind. Steigender Wettbewerb, immer kürzer werdende Innovationszyklen und komplexer werdende Rahmenbedingungen führen zu höheren Risiken. Jedes Unternehmen ist im Rahmen seiner globalen Zielsetzungen bestrebt, die sich im Markt bietenden Chancen zu nutzen. Dies kann es umso besser, je mehr es die damit verbundenen Risiken beherrscht. Damit gewinnt unternehmensweites Risikomanagement für den Unternehmenserfolg maßgeblich an Bedeutung. Dies hat auch der Gesetzgeber erkannt und das "Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG)" erlassen, das am 1. Mai 1998 in Kraft getreten ist. Die Regelungen des KonTraG beinhalten insbesondere Änderungen des Aktiengesetzes und des Handelsgesetzbuches. Konkretisierung der Vorstandspflichten / Pflichten der Geschäftsführer Eine wesentliche Änderung des Aktiengesetzes beinhaltet der neu angefügte § 91 Abs. 2 AktG, der eine gesetzliche Hervorhebung der allgemeinen Leitungsaufgabe des Vorstands gemäß § 76 AktG enthält. Gemäß § 91 Abs. 2 AktG hat der Vorstand "geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden." Es handelt sich hier um eine Organisationspflicht, deren Verletzung zur Schadensersatzpflicht für den Vorstand führen kann (§ 93 Abs. 2 AktG). Obwohl die Regelung hinsichtlich der Verpflichtung zur Einrichtung eines Überwachungssystems lediglich in das Aktiengesetz aufgenommen wurde, wird bereits in der Begründung zum Gesetzentwurf davon ausgegangen, "daß für Gesellschaften mit beschränkter Haftung je nach ihrer Größe, Komplexität ihrer Struktur usw. nichts anderes gilt und die Neuregelung Ausstrahlungswirkung auf den Pflichtenrahmen der Geschäftsführer auch anderer Gesellschaftsformen hat." Das Gesetz sagt nichts darüber aus, wie dieses Überwachungssystem, das allgemein als Risikomanagementsystem bezeichnet wird, ausgestaltet sein soll. Gemäß der Begründung zum Gesetzentwurf ist die konkrete Ausformung "von der Größe, Branche, Struktur, dem Kapitalmarktzugang usw. des jeweiligen Unternehmens abhängig." Das Gesetz sagt auch nichts darüber aus, was den Fortbestand der Gesellschaft gefährdende Entwicklungen sind. Lediglich in der Gesetzesbegründung wird ausgeführt: "Zu den den Fortbestand der Gesellschaft gefährdenden Entwicklungen gehören insbesondere risikobehaftete Geschäfte, Unrichtigkeiten der Rechnungslegung und Verstöße gegen gesetzliche Vorschriften, die sich auf die Vermögens-, Finanz-und Ertragslage der Gesellschaft oder des Konzerns wesentlich auswirken. Die Maßnahmen interner Überwachung sollen so eingerichtet sein, daß solche Entwicklungen frühzeitig, also zu einem Zeitpunkt erkannt werden, in dem noch geeignete Maßnahmen zur Sicherung des Fortbestandes der Gesellschaft ergriffen werden können. Bei Mutterunternehmen im Sinne des § 290 HGB ist die Überwachungs- und Organisationspflicht im Rahmen der bestehenden gesellschaftsrechtlichen Möglichkeiten konzernweit zu verstehen, sofern von Tochtergesellschaften den Fortbestand der Gesellschaft gefährdende Entwicklungen ausgehen können." Risikomanagement und Shareholder Value Als Risiko soll alles verstanden werden, was ein Unternehmen an der Erreichung seiner Ziele hindern kann. Der Risikobegriff umfaßt hiernach neben dem Eintritt eines Schadens/Nachteils auch den Nichteintritt einer positiven Entwicklung/ eines Vorteils oder die Abweichung vom Erwarteten. Für jedes Unternehmen gilt der Grundsatz, keine Chance ohne Risiko. Zur Erreichung der Unternehmensziele können alternative Strategien verfolgt werden, die jeweils unterschiedliche Chance-Risiko-Verhältnisse aufweisen. Es gehört zu den Aufgaben der Geschäftsführung, den Grad ihrer Risikobereitschaft zu definieren. Hiermit legt sie fest, inwieweit sie bereit ist, Risiken einzugehen, um ihre Ziele zu erreichen. Dazu ist die Kenntnis der Risiken erforderlich, die die Erreichung der Unternehmensziele wesentlich beeinträchtigen oder sogar den Unternehmensbestand gefährden können. Durch geeignete Maßnahmen ist sicherzustellen, daß die unternehmerischen Entscheidungen und die laufenden Geschäftsaktivitäten sich dauerhaft innerhalb der gewählten Risikogrenzen befinden. Dazu ist ein geeignetes Risikomanagement aufzubauen. Mittel und langfristig wird das Unternehmen am erfolgreichsten sein, das seine Chancen am besten erkennt und nutzt und das zugleich seine Risiken am besten kontrolliert und bewältigt. Wirksames Risikomanagement ist somit ein wesentlicher Erfolgsfaktor. Bislang wird Risikomanagement häufig als reaktiver Prozeß verstanden, bei dem die eingetretenen meist negativen Zielabweichungen identifiziert und korrigiert werden. Die Effizienz des Risikomanagements kann jedoch wesentlich verbessert werden, wenn es als proaktiver Prozeß angelegt wird, der in die Geschäftsprozesse integriert ist und kontinuierlich und vorausschauend die mit den Prozessen verbundenen Risiken rechtzeitig ermittelt und bewältigt. Dazu zählen sowohl die Prozesse zur Festlegung und laufenden Überwachung der auf Basis der sich bietenden Chance-Risiko-Verhältnisse ausgewählten Ziele als auch die allgemeinen operativen Prozesse zur Erreichung der Ziele im Rahmen der definierten Risikobereitschaft. Richtig praktiziertes Risikomanagement dient nicht nur der Eingrenzung bzw. Vermeidung von Unternehmenskrisen und der Begrenzung finanzieller Verluste, wirtschaftlicher Schwächen und Imageschäden, sondern gewährleistet die Erreichung der gesetzten Unternehmensziele innerhalb des gewählten Risikozielkorridors und fördert damit den Shareholder Value. Risikomanagement dient hiermit der langfristigen Sicherung des Unternehmensbestandes und ist deshalb die Aufgabe einer jeden Geschäftsführung. Wie die bisherigen Ausführungen gezeigt haben, umfaßt Risikomanagement zwei Seiten einer Medaille: einerseits die Chancen und andererseits die zugehörigen Risiken. Der Gesetzgeber hat bei der Verabschiedung des KonTraG im wesentlichen die Vorsorge vor wirtschaftlichen Schäden und somit die Risikoseite im Blickwinkel gehabt. Aus diesem Grund wird auch im Folgenden im wesentlichen nur noch die Risikokomponente des Risikomanagements behandelt. (Um zu einer umfassenden wirtschaftlichen Betrachtungsweise zu gelangen, brauchen jedoch die nachstehenden Ausführungen gedanklich nur auf das Nutzen von Chancen übertragen zu werden.) Bestandteile eines Risikomana- gementsystems Obwohl heute in vielen Unternehmen zumindest in Teilbereichen wie Finanzen und Beteiligungscontrolling Risiken bereits erfaßt und kontrolliert werden, bestehen noch häufig nicht unerhebliche Defizite im Hinblick auf Systematik und Vollständigkeit des praktizierten Risikomanagements. Eine 1998 unter dem Titel "Risk Management and Control in Europe" erschienene C&L-Studie ergab, daß knapp die Hälfte aller befragten Unternehmen ihr Risikomanagement als verbesserungswürdig bezeichneten. Ein umfassendes Risikomanagementsystem beinhaltet folgende Elemente: Steuerungsumfeld Risikoidentifikation Risikobewertung Risikobewältigung Information & Kommunikation Überwachung Das Steuerungsumfeld bestimmt die Bedeutung des Risikomanage ments in einem Unternehmen und bildet hiermit die Basis für die Risikomanagement-Prozesse. Es spiegelt wider, welche Stellung Risikomanagement bei dem Vorstand/ der Geschäftsführung einnimmt. Die Ausprägungen von Faktoren, wie z. B. Integrität, ethische Werte, Kompetenz der Mitarbeiter, Unternehmensführungsstil sowie Mitarbeiterförderung und Mitarbeiterweiterbildung charakterisieren das jeweilige Steuerungsumfeld eines Unternehmens. Die in einem Unternehmen gelebten ethischen Werte bilden den Nährboden für erfolgreiches Risikomanagement. Bei entsprechender risikoorientierter Ausgestaltung wirken sie wie Humus; dies gilt insbesondere, wenn die Unternehmensführung dem Risikomanagement eine herausragende Stellung im Unternehmen einräumt und deutlich macht, daß Risikomanagement ein maßgeblicher kritischer Erfolgsfaktor ist. Dies kann z. B. durch die Zurverfügungstellung von Richtlinien und Vorgaben für das zu praktizierende Risikomanagement geschehen. Wichtig ist ferner, daß das Top-Management den Mitarbeitern aktiv vorlebt, was Risikomanagement ist. Dieser Prozeß kann zusätzlich durch entsprechende Schulungsmaßnahmen und die Einbindung in die Personalpolitik (Incentives) gefördert werden. Schwächen im Bereich des Steuerungsumfeldes wirken sich auf das gesamte Risikomanagementsystem aus und beeinträchtigen seine Wirksamkeit. Eine entsprechende Risikokultur und ein ausgeprägtes Risikobewußtsein auf allen Unternehmensebenen sind von ganz herausragender Bedeutung für den Erfolg eines Risikomanagementsystems. Jeder Mitarbeiter muß sich in seinem Bereich für Risikomanagement verantwortlich fühlen, denn Risikomanagement ist nicht die alleinige Aufgabe des Vorstandes oder eines Risikoausschusses, sondern die Aufgabe eines jeden Mitarbeiters (Wandel vom Mit-Arbeiter zum Mit-Unternehmer). Vordringliche Aufgabe des Vorstandes ist jedoch die Schaffung eines entsprechenden Steuerungsumfeldes und die Förderung der Risikokultur. Indem das Management den Mitarbeitern die Unternehmensziele und die Notwendigkeit des Risikomanagements vermittelt, können das erforderliche Risikobewußtsein und das Verständnis für die unverzichtbare Überwachung als wesentliche Elemente des Risikomanagementsystems geschaffen werden. Ziel des Risikomanagements ist die rechtzeitige Identifizierung und Bewältigung von Risiken, die für die wirtschaftliche Lage eines Unternehmens von Bedeutung sein können. Die individuelle Risikolandschaft eines Unternehmens hängt unter anderem von der Branche, seiner Markstellung u. ä. ab. Im Rahmen der Risikoidentifikation können z. B. interne und externe Risiken oder strategische und operative Risiken unterschieden werden. Interne Risiken resultieren aus unternehmensinternen Faktoren, wie Personal, Sachmittel und Organisation, wohingegen externe Risiken auf unternehmensexternen Faktoren, wie z. B. den Verhältnissen am Beschaffungsmarkt oder den rechtlichen und politischen Rahmenbedingungen beruhen, die in der Regel nur in sehr eingeschränktem Maße durch das Unternehmen selbst beeinflußt werden können. Strategische Risiken bestehen darin, das Falsche zu tun und operative Risiken bestehen darin, das Richtige falsch zu machen. Es sind noch zahlreiche weitere Risikoklassifikationen möglich. Für eine umfassende Risikoidentifikation ist eine systematische und laufende Risikoanalyse des Unternehmens und insbesondere seiner Geschäftsabläufe erforderlich. Hilfreich ist dabei die Abgrenzung von Risikobereichen und die Einteilung einzelner Risiken in überschaubare Subrisiken, über die laufend Informationen erhoben werden. Die Risikoidentifikation ist aufgrund der sich ständig ändernden Unternehmenssituation zwangsläufig eine kontinuierliche Aufgabe, die zweckmäßigerweise in die geschäftsüblichen Arbeitsabläufe integriert wird. Die Integration fördert die Akzeptanz bei den betroffenen Mitarbeitern und reduziert zugleich den Aufwand. Das Management sollte in Abstimmung mit seinen Unternehmens- und Risikomanagement Zielen den Mitarbeitern die Informationsgewinnungsverfahren für die zu beurteilenden Risiken vorgeben. Hierdurch kann einerseits eine Risikokultur entwickelt werden, in der sich jeder Mitarbeiter für die Risikoidentifikation zuständig fühlt und die ermittelten Risiken entsprechend kommuniziert. Andererseits ist eindeutig zu definieren, wer in den jeweiligen Unternehmensbereichen die Hauptverantwortung für die Risikoidentifikation trägt und somit, an wen die jeweiligen Mitarbeiter die von ihnen festgestellten Risiken kommunizieren. Die sich an die Risikoidentifikation anschließende Risikobewertung dient der Entscheidungsfindung, welche Risiken Handlungsbedarf auslösen. Der Handlungsbedarf richtet sich wesentlich danach, wie hoch der Erwartungswert eines Risikos ist. Der Erwartungswert ergibt sich als Produkt der Eintrittswahrscheinlichkeit und der Schadensausprägung eines Risikos. Die Bewertungsverfahren müssen sich an den praktischen Möglichkeiten orientieren. Sie haben daher die Schwierigkeiten, die sich aus der großen Risikoanzahl, der Datenunvollkommenheit, den finanziellen und zeitlichen Restriktionen in der Praxis ergeben, zu berücksichtigen. So lassen sich nur wenige Risiken relativ genau quantifizieren, meist ist lediglich eine qualitative Bewertung möglich; als Beispiel sei hier das Risiko eines Imageverlustes genannt. Problematisch ist auch die praktische Zusammenführung der Subrisiken zur Gesamtrisikolage eines Unternehmens, denn dafür ist die Kenntnis der Risikoabhängigkeiten und des möglichen Risikoausgleiches aus sämtlichen Aktivitäten des Unternehmens erforderlich. Um den hierfür notwendigen Überblick zu gewährleisten, ist es empfehlenswert, die Aggregation der Einzelrisiken jeweils auf der nächst höheren Unternehmensebene durchzuführen. Hier wird dann beurteilt, ob sich verschiedenen Risiken gegenseitig aufheben oder verstärken oder unabhängig voneinander verhalten. Nachdem im Rahmen der Risikobewertung bestimmt wurde, welche Risiken Handlungsbedarf auslösen, ist zu entscheiden, wie die Risikobewältigung erfolgen soll. Die Risikobewältigung kann darin bestehen, daß Risiken vermieden, vermindert, überwälzt oder getragen werden. Bei der Risikovermeidung wird eine neue Handlungsalternative gewählt, bei der das ursprünglich betrachtete Risiko nicht mehr zu den möglichen Risiken der neuen Handlungsalternative zählt, d. h. es wird eine andere Chance-Risiko-Alternative als ursprünglich gewählt. Im Rahmen der Risikoverminderung werden Maßnahmen ergriffen, die entweder die Eintrittswahrscheinlichkeit oder/und die Schadensausprägung des Risikos senken. Die Risikoüberwälzung hat keine Risikoeliminierung zur Folge, sondern ein weiterhin bestehendes Risiko wird auf einen anderen Risikoträger überwälzt. Ein typisches Beispiel für die Überwälzung eines Risikos auf Dritte ist der Abschluß einer entsprechenden Versicherung gegen Prämienzahlung. Aber auch das eigene Tragen eines Risikos zählt zu den Risikobewältigungsarten; entscheidend ist hierbei jedoch, daß die Entscheidungsträger sich des Risikos bewußt sind und sie dieses Risiko ebenso bewußt eingehen und bei ihrem weiteren Vorgehen einkalkulieren. Die Basis für jede dieser Risikobewältigungsarten bilden angemessene Kontrollaktivitäten auf allen Unternehmensebenen. Wie die bisherigen Ausführungen zur Risikoanalyse bereits deutlich gemacht haben, sind Information und Kommunikation wesentliche und unerläßliche Bestandteile eines Risikomanagementsystems. Voraussetzung für wirksames Risikomanagement und die Erreichung der Unternehmensziele ist ein wirksames Management-Informations- System, das die wesentlichen Informationen in der erforderlichen Form rechtzeitig sowohl vom Top-Management zur operativen Ebene (top-down) als auch gegenläufig von der operativen Ebene zum Top-Management (bottom up) vermittelt. Das Management-Informations- System betrifft nicht nur den unternehmensinternen Informationsfluß, sondern auch die Beschaffung externer Informationen, z. B. im Rahmen der Unternehmensplanung zur Vorbereitung strategischer Entscheidungen. Empfehlenswert ist die Vorgabe schriftlicher Risikomanagement-Richtlinien durch den Vorstand/die Geschäftsführung an die Mitarbeiter (top-down) und eine in das Reporting eingebundene regelmäßige schriftliche Berichterstattung über die wesentlichen Risiken bottom-up. Die Einbindung in das allgemeine Reporting hat jedoch in der Weise zu erfolgen, daß zusätzlich auch die ad hoc-Berichterstattung soweit erfor-derlich gewährleistet ist und durch die Richtlinien gefördert wird. Denn nur wenn dies sichergestellt ist, kann rechtzeitig auf plötzlich neu auftretende Risiken reagiert werden. Der schnelle Wandel der internen und externen Bedingungen macht eine permanente Anpassung des Risikomanagementsystems erforderlich. Durch Maßnahmen der Überwachung ist die dauerhafte Wirksamkeit der eingerichteten Prozesse und ihre Anpassung an die sich laufend ändernden Gegebenheiten zu gewährleisten. Diese Überwachung kann sowohl mittels laufender, in die normalen betrieblichen Abläufe integrierter Überwachungsaßnahmen als auch mittels gesonderter Überwachungsmaß nahmen durch Führungskräfte und andere (z. B. Interne Revision, Wirtschaftsprüfer, Geschäftsleitung) erfolgen. Auswahl, Umfang und Häufigkeit der Überwachung sind abhängig von Bedeutung und Komplexität der Risikolage. Risikomanagement ist ein permanenter Prozeß, der die normalen Geschäftsprozesse begleitet. Das Kon-TraG sollte für alle Unternehmen ein Anlaß zur Standortbestimmung im Hinblick auf das im eigenen Unternehmen praktizierte Risikomanagement sein. Die Intention des Kon-TraG besteht nicht darin, daß in den Unternehmen nun eine mehr oder weniger regelmäßige Risikoinventur durchgeführt wird, sondern daß ein kontinuierlicher Prozeß zur Risikoerkennung, -bewältigung und -steuerung integriert wird, damit der Fortbestand der Unternehmen langfristig gesichert wird. Der Vorstand/der Geschäftsführer muß im Rahmen der Erfüllung seiner Sorgfaltspflichten stets in der Lage sein, Antworten auf folgende Fragen zu geben: Was sind die wesentlichen Unternehmensrisiken? Ist der Umfang der Risiken, die eingegangen werden, angemessen? Wie erfolgt die Risikobewältigung? Ist sichergestellt, daß die Risiken hinreichend kontrolliert werden? Wie wird Risikomanagement in die Entscheidungsfindung einbezogen? Wie wird das Risikomanagement durch den Vorstand/die Geschäftsführung überwacht? Welche Maßnahmen zur Förderung der Risikokultur werden ergriffen, um sicherzustellen, daß Risikomanagement eine Kernkompetenz des Unternehmens darstellt? Bei einer umfassenden, die Chancen-Seite berücksichtigenden Betrachtung des Risikomanagements (siehe auch obige Abb.) stellt sich zusätzlich die Frage: Werden die sich am Markt bietenden Chancen unter Einsatz eines wirksamen Risikomanagements im Sinne einer weiteren Steigerung des Shareholder Values genutzt? Prüfung durch den Abschlußprüfer Parallel zu der Verpflichtung des Vorstandes zur Einrichtung eines Risikomanagementsystems hat das KonTraG die Abschlußprüfer von Aktiengesellschaften, die Aktien mit amtlicher Notierung ausgegeben haben, verpflichtet, das Risikomanagementsystem dieser Unternehmen zu prüfen (§ 317 Abs. 4 HGB). Ausgangsbasis für die Prüfung bildet eine vom zu prüfenden Unternehmen bereitzustellende Dokumentation des Risikomanagementsystems. Zunächst ist zu prüfen, ob überhaupt ein Risikomanagementsystem i. S. d. § 91 Abs. 2 AktG eingerichtet wurde. Dabei ist zu beurteilen, ob das bestehende System angemessen und wirksam ist. Es handelt sich hierbei um eine Systemprüfung und nicht um eine Prüfung der Ordnungsmäßigkeit der Geschäftsführung. Im Rahmen dieser Prüfung ist festzustellen, ob das Unternehmen einen permanenten Risikomanagementprozeß eingerichtet hat, der gewährleistet, daß alle für das Unternehmen bestandsgefährdenden Entwicklungen rechtzeitig identifiziert werden und je nach Bedeutung an die jeweiligen Entscheidungsträger kommuniziert werden. Diese Prüfung der Funktionsfähigkeit sowie der permanenten Anwendung des Risikomanagementprozesses wird u. a. mittels Stichprobentests vorgenommen. Abgerundet wird die Prüfung des praktizierten Risikomanagements durch eine Beurteilung der organisatorischen Maßnahmen zur Stärkung der Risikokultur im Unternehmen und zur Förderung des Risikobewußtseins der Mitarbeiter. Über das bestehende Risikomanagementsystem hat der Abschlußprüfer in einem besonderen Teil seines Prüfungsberichts zu berichten, auf Mängel und Verbesserungsmöglichkeiten ist hinzuweisen. Fazit Der Gesetzgeber hat mit der Verabschiedung des KonTraG dazu beigetragen, die Bedeutung wirksamen Risikomanagements hervorzuheben. Im Vordergrund steht hierbei die Vermeidung von Unternehmenskrisen. Dies wird unter anderem darin deutlich, daß der Gesetzgeber vor allem die Früherkennung von den Fortbestand der Gesellschaft gefährdenden Entwicklungen, also von sog. bestandsgefährdenden Risiken in den Vordergrund stellt. Effizientes, als proaktiver Prozeß ausgestaltetes Risikomanagement kann jedoch wesentlich mehr leisten: Es dient sowohl der langfristigen Sicherung des Unternehmensbestandes als auch der Ergebnismaximierung und stellt daher einen wesentlichen Erfolgsfaktor eines Unternehmens dar. Risikomanagement dient somit nicht nur den Eigentümern des Unternehmens (Shareholder Value), sondern auch den Mitarbeitern und mittelbar auch der Volkswirtschaft. Ein in der oben beschriebenen Weise (vgl. insbesondere Abschnitt 4.) konzipiertes Risikomanagement stellt einen ganzheitlichen Ansatz dar, der die Unternehmensziele, die Geschäftsprozesse, die Mitarbeiter sowie die Risikoidentifikation, -bewertung, -bewältigung und -überwachung untrennbar miteinander verbindet. Auf diese Weise stiftet Risikomanagement den Unternehmen größtmöglichen Nutzen. Deshalb bietet es sich für die Unternehmen an, nicht nur die Anforderungen des Gesetzes erfüllen zu wollen, sondern Risikomanagement als Erfolgsfaktor zu positionieren. Damit wird auch die heute noch häufig - vor allem an die Wirtschaftsprüfer - gestellte Frage nach den Mindestanforderungen überflüssig, da diese Anforderungen bei einer wie oben dargestellten Ausrichtung automatisch mit abgedeckt werden. Die Kernfrage müßte dann vielmehr lauten: Ist ein wirksames, auch die Chancen berücksichtigendes Risikomanagement verankert in den Zielvorstellungen, dem Managementprozeß der Unternehmenskultur des jeweiligen Unternehmens? |
||
|
||
© Akademie der Diözese Rottenburg-Stuttgart
Impressum