Risikoidentifikation

Die Risikoidentifikation (auch Risikoerkennung; englisch risk identification) ist im Rahmen des Risikomanagements die systematische Erfassung und Sammlung aller auf ein Unternehmen einwirkenden Risiken.

Allgemeines

Eine Risikoidentifikation kann erst mit der Risikowahrnehmung beginnen; sie ist die Voraussetzung dafür, dass Risiken überhaupt erkannt und entdeckt werden können. Hierbei ergibt sich bereits das Problem, dass verschiedene Risikoträger dasselbe Risiko unterschiedlich oder gar nicht wahrnehmen.^[1] Erfolgt die Risikowahrnehmung fehlerhaft als selektive Wahrnehmung, so werden nur bestimmte Risiken wahrgenommen, andere vorhandene jedoch ausgeblendet. Eine mangelhafte Risikowahrnehmung wirkt sich negativ auf die nachfolgenden Phasen des Risikomanagements aus.^[2] Die Risikoidentifikation umfasst die „Sammlung aktueller, zukünftiger, potenzieller und theoretisch denkbarer Risiken“^[3] und gilt meist als erste Stufe des Risikomanagement-Prozesses.^[4][5] Erfasst werden alle Gefahrenquellen, Störpotenziale und Schadenursachen eines Unternehmens, die sich negativ auf das Erreichen der Unternehmensziele auswirken können.^[6]

Das Ziel der Risikoidentifikation ist es, die Risikoquellen des gesamten Unternehmens sowie aller Funktionsbereiche möglichst vollständig und kontinuierlich zu erfassen. Die Methoden vermitteln dem Prozess eine Systematik und strukturieren das Vorgehen, helfen bei der Identifikation interner oder externer Risiken, unterstützen die Erstellung eines organisationsspezifischen Risikoprofils sowie die kontinuierliche Nachverfolgung von Risiken.^[7]:165[8]

Prozessablauf

Die Risikoidentifikation wird als erste Prozessphase des Risikomanagementprozesses mit Hilfe von Methoden zur Risikoidentifikation ähnlich wie eine Inventur durchgeführt. Das Ziel der Risikoidentifikation ist es, die Risikoquellen des gesamten Unternehmens sowie aller Funktionsbereiche (Beschaffung, Produktion, Finanzierung, Verwaltung, Vertrieb) möglichst vollständig und kontinuierlich zu erfassen. Die Methoden vermitteln dem Prozess eine Systematik und strukturieren das Vorgehen, helfen bei der Identifikation interner oder externer Risiken, unterstützen die Erstellung eines organisationsspezifischen Risikoprofils sowie die kontinuierliche Nachverfolgung von Risiken.^[7]:165[8] Dabei müssen auch Schwachstellen entdeckt werden. Ein wichtiges Instrument der Risikoidentifikation bilden Frühwarnsysteme, welche die Risikoobjekte (Betriebsmittel wie Anlagen, Gebäude oder Maschinen, Personal, Finanzen) auf jede Art von Betriebsstörung überwachen. Der Risikoidentifikation folgt die Risikoanalyse.

Methoden

Als Methoden kommen für bestehende Risiken die SWOT-Analyse, Checklisten, Risiko-Identifikations-Matrix und Befragungen in Betracht. Potenzielle Risiken lassen sich unter anderem durch Fehlermöglichkeits- und Einflussanalysen (FMEA) oder Fragenkataloge, Brainstorming, Brainwriting oder die Delphi-Methode ermitteln.^[9] Aus der Risikoidentifikation kann lediglich abgeleitet werden, welche Risiken für sich alleine den Bestand eines Unternehmens gefährden könnten. Nicht erkannt werden kann hierdurch die mögliche Interdependenz verschiedener Risikoarten, die erst in der Risikoaggregation auffällt.

SWOT-Analyse

Die SWOT-Analyse dient der Positionsbestimmung und der Strategieentwicklung von Unternehmen und anderen Organisationen.^[10]

Checklisten und Mitarbeiterbefragungen

Die Besichtigung von risikobedrohten Objekten dient zur einfachen und schnellen Erfassung visuell wahrnehmbarer Risiken (vor allem Umweltrisiken sowie technische Risiken). Diese Methode ermöglicht die Bildung eines Gesamtüberblicks über die örtlichen Gegebenheiten.^[11]:10 Die Befragung von externen Experten oder von fachkundigen Mitarbeitern kann wichtige Informationen über interne sowie externe Unternehmensrisiken geben. Befragungen können sowohl schriftlich als auch mündlich durchgeführt werden. Die Mitarbeiterbefragung trägt primär zur Erfassung interner Risiken bei, die Expertenbefragung hat die Erfassung externer Risiken zum Ziel.

Checklisten sind standardisierte Fragebögen zur systematischen Risikoerfassung im gesamten Unternehmen oder in Bereichen des Unternehmens. Sie können offene sowie geschlossene Fragen enthalten, wobei geschlossene Fragen i. d. R. vorteilhafter für die Erkennung von Risiken sind. Checklisten erreichen in der Praxis einen breiten Mitarbeiterstamm. Jedoch engen Checklisten den Blick ein, weshalb Risiken, die nicht in der Liste abgefragt werden, vergessen werden können.^[12]:69

Die Tabelle zeigt einen Ausschnitt aus einer Checkliste mit offenen Fragen für den Bereich „Management und Organisation“^[13]:104

^[13]:104

FMEA (Fehlermöglichkeits- und Einflussanalyse)

Die Fehlermöglichkeits- und Einflussanalyse (FMEA) ist eine systematische, halbquantitative Risikoanalysemethode, welche in den 1960er Jahren für die Untersuchung von Schwachstellen und Risiken an Flugzeugen entwickelt wurde. Anschließend wurde sie in der Raumfahrt, für die Produktionsprozesse in der chemischen Industrie sowie in der Automobilindustrie genutzt.

Die zentrale Idee der FMEA ist das frühe Erkennen und Verhindern von potentiellen Fehlern. Fehler und deren Ursache werden deshalb präventiv untersucht. Im Anschluss daran werden die Risiken bezüglich Auftreten und Bedeutung bewertet. Man unterscheidet vier verschiedene Ansätze:

• System-FMEA: Hier liegt der Fokus auf den einzelnen Systemkomponenten und ihrem Beitrag zum Gesamtrisiko.
• Konstruktions-FMEA: Primärer Fokus hier ist das fehlerfreie Funktionieren der Produktionskomponenten.
• Prozess-FMEA: Diese Untersuchung richtet ihren Fokus auf den Herstellungsprozess.
• Design-FMEA: Diese FMEA ist Teil der Produktentwicklung und erstreckt sich auch auf Lieferanten.

Ablauf:

• Schritt 1: Unternehmen wird als intaktes, störungsfreies System beschrieben.
• Schritt 2: Das System „Unternehmen“ wird in unterschiedliche Funktionsbereiche zerlegt.
• Schritt 3: Potentielle Störungszustände der einzelnen Komponenten sowie des gesamten Systems werden untersucht.
• Schritt 4: Ableitung von Auswirkungen auf das gesamte System.^{[12]:61–64[14]:256–266}

Delphi-Methode

Die Delphi-Technik ist eine Methode, mit welcher in mehreren Stufen Experten oder Mitarbeitern befragt werden. Die Ergebnisse einer Befragungsrunde beeinflussen die nächste, dadurch können mögliche Risiken besser eingeschätzt werden. Dies gelingt nur, wenn die Befragten über ein fundiertes Fachwissen verfügen. Denn die Grundannahme der Delphi-Technik ist, dass Experten die Einflussfaktoren auf ihr jeweiliges Fachgebiet kennen. Demzufolge kann man mithilfe der kumulierten sowie verdichteten Expertenmeinung eine relativ konkrete Aussage über bestehende sowie zukünftige Risiken machen.^[15]:38

Ablauf

• 1. Runde – Offene Befragung (Online, Sammeln von Ideen)
• 2. Runde – geschlossene Befragung (Online, Verdichten der Ideen)
• 3. Runde – persönliches Gespräch (Workshop, abschließende Diskussion)

Neue Ideen werden gesammelt und verdichtet.^[16]

Brainstorming

Das Brainstorming ist eine Methode, die schöpferische Kreativität in einer Gruppe fördern soll. Basierend auf der Grundidee der Gedankenassoziation (eine Idee ruft eine weitere hervor etc.) ist das Ziel von Brainstorming, bekannte Pfade gedanklich zu verlassen.´Optimalerweise wird der Prozess mit 4 bis 10 Teilnehmern durchgeführt. Es ist sinnvoll, einen Moderator und einen Protokollführer zu bestimmen. Wichtig ist, dass beim Brainstorming keine Kritik ausgesprochen werden darf, weil es sich um das wertungsfreie Sammeln von Ideen handelt. Grundvoraussetzung hierfür ist ein gutes Vertrauensverhältnis. In der Risikoidentifikation kann diese Methode genutzt werden, um Risiken unabhängig allgemein bekannter zu identifizieren.^[17]:40

Brainwriting

Im Gegensatz zum Brainstorming werden Ideen nicht ausgesprochen, sondern schriftlich notiert und erst einmal gesammelt. Die Anzahl der Teilnehmer ist bei dieser Methode variabler als beim Brainstorming, da sich einzelne Teilnehmer beispielsweise nicht ins Wort fallen können. Auch wird kein Protokollführer oder Diskussionsmoderator gebraucht. Diese Methode ist besonders wirkungsvoll in Gruppen in denen kein gutes Vertrauensverhältnis besteht bzw. wenn man die Ideen besonders vieler sammeln möchte.^[17]:42

Dokumentationsanalysen (Risikoidentifikation anhand vorhandener Daten)

Die Dokumentationsanalyse ist eine ex-post-Analyse. Das bedeutet, dass die Risikoidentifikation auf bereits erstellten Dokumenten basiert wie beispielsweise aus der Buchhaltung oder aus der Controlling-Abteilung. Risiken, welche aus der Buchhaltung abgeleitet werden können (Speziell der Geschäftsbericht):

Risikoidentifikation anhand der Gewinn- und Verlustrechnung (§ 275 HGB)

Risikoidentifikation anhand der Bilanz (§ 266 HGB)

^[17]:35

Controlling

Eine wichtige Aufgabe des Controllings ist die Informationsbereitstellung für Entscheidungen, wie z. B. Unternehmensplanung, Investitionsplanung oder Budgetierung. Diese Entscheidungen werden mit Hilfe von Annahmen über die zukünftige Entwicklung von bestimmten Einflussfaktoren getroffen. Da diese Annahmen nicht sicher sind, deckt die Controlling-Abteilung jedes Mal, wenn sie eine Annahme trifft, ein potentielles Risiko auf. Mögliche Annahme, die getroffen werden, sind z. B. Konjunkturannahmen, Rohstoffpreise, Umsatz etc.^[12]:59–60

Synektik

Eine unbekannte unsystematische Methode zur Risikoidentifikation ist die Synektik. Bei dieser Methode werden scheinbar unzusammenhängende/irrelevante Faktoren verknüpft. Dadurch überträgt sie problemfremde Strukturen auf das Problem, was wiederum zu einem anderen Blickwinkel und Lösungsansatz führt. Das wesentliche Prinzip dieser Methode lautet: „Mach dir das Fremde vertraut und entfremde das Vertraute“. Ziel der Methode ist es, durch Reorganisation von Wissen neues Wissen zu produzieren. Das Verfahren ist sehr aufwendig und ein Moderator zur Diskussionsleitung ist notwendig. Die einzelnen Prozessschritte der Synektik sind nachfolgend aufgeführt:^{[14]:130–131}

1. Problemanalyse und -definition
   • Beispiel: Wie kann Platte möglichst einfach auf Gestell befestigt werden?
2. Spontane Lösungen
   • Beispiel: Saugnäpfe, Nägel, Schrauben, Klebeband
3. Neuformulierung des Problems
   • Beispiel: Wie kann erreicht werden, dass die Platte leicht wieder abgenommen werden kann?
4. Bildung direkter Analogien (z. B. aus der Natur)
   • Beispiel: Tier verliert Fell, Baum verliert Blätter, Schlange streift Haut ab (hier in dem Beispiel von Gruppe gewählt)
5. Persönliche Analogien (Identifikation)
   • Beispiel: Wie fühle ich mich als häutende Schlange? Eingeengt
6. Symbolische Analogien (Kontradiktionen)
   • Beispiel: Bedrückende Hülle, lückenloses Fell (von Gruppe gewählt)
7. Direkte Analogien (z. B. aus der Technik)
   • Druckbehälter, Leitplanken
8. Analyse der direkten Analogien
   • Beispiel: Druckbehälter: fest, hart, glänzend
9. Übertragung auf das Problem (Force-Fit – sollte nach Regeln des Brainstormings ablaufen)
   • Beispiel: Profilrahmen, Kugeln zwischen Platte und Gestell, Rahmen nur an zwei Seiten
10. Entwicklung von Lösungsansätzen

Wertkettenanalyse

Wertkette nach Porter

Die Wertkettenanalyse beruht auf dem Wertkettenmodell, welches von Michael E. Porter entwickelt wurde. Dieses Modell geht davon aus, dass Wettbewerbsvorteile aus wertschöpfenden Aktivitäten des Unternehmens erwachsen. Mit Hilfe dieses Modells lassen sich Wettbewerbsvorteile sowie Kernkompetenzen eines Unternehmens identifizieren.

Jedes Unternehmen besteht aus einer Vielzahl miteinander verbundener Aktivitäten. Jede Aktivität hat einen Anteil an der Wertschöpfung und ist somit ausschlaggebend für den unternehmerischen Erfolg. Neben dem Aufdecken von Wettbewerbsvorteilen können mit Hilfe des Wertkettenmodells auch Risiken identifiziert werden. Hierfür muss zunächst die unternehmensindividuelle Wertkette abgebildet werden. Zu diesem Zweck müssen die unternehmerischen Aktivitäten in Anlehnung an das Grundmodell (Abbildung) eingepflegt werden. Auch ist es sinnvoll, die Aktivitäten in Einzelteile zu gliedern, um die Vorgänge im Unternehmen zu identifizieren, welche am wichtigsten für die Leistungserstellung sind. Auch lässt sich daran Koordinationsbedarf zwischen einzelnen Bereichen ableiten und risikobehaftete Bereich erkennen. Somit gibt die Wertkettenanalyse eine gute Übersicht über die unternehmerischen Risiken in ihrer Gesamtheit.^[7]:60–61

Fehlerbaumanalyse

Die Fehlerbaumanalyse ist ein deduktives Top-Down-System, welches zur Untersuchung von Gesamtsystemen eingesetzt werden kann. Ziel der Analyse ist die Bestimmung der Verlässlichkeit der einzelnen Prozesse und infolgedessen auch des Gesamtsystems. Die Erkennung aller möglichen Kombinationen von Ausfällen einzelner Prozesse wird sichergestellt. Darüber hinaus ermöglicht sie die Beschreibung von Eintrittswahrscheinlichkeiten sowie Ereignisfolgen. Voraussetzung für die Auswertung komplexer Fehlerbäume ist eine Software.

Das Ziel dieser Analysemethode ist die Definition der Bedingungen, unter denen das System nicht funktioniert. Aus diesem Grund muss zunächst die Störung des Gesamtsystems möglichst exakt beschrieben werden. Hierauf aufbauend findet eine Analyse statt. Diese untersucht, welche sekundären Störungen zu einer Störung des Gesamtsystems führen können. Diese sekundären Ursachen können möglicherweise weiter aufgespaltet werden. Die graphische Darstellung dieser Zusammenhänge ist der Fehlerbaum. Komplexere Fehlerereignisse lassen sich auch mittels logischer Verknüpfungen, z. B. Und-/Oder-Verknüpfungen abbilden. Das Beispiel zeigt einen Ausschnitt des Fehlerbaums, welcher das Gesamtsystem „ERP“ betrachtet:

Fehlerbaum: ERP-Ausfall

^{[18]:215–216}

Frühwarnsysteme

Ziel von Frühwarnsystemen ist das Erkennen von internen und externen Risiken weit vor ihrem Eintritt, so dass dem Unternehmen genug Zeit für Gegensteuerungsmaßnahmen bleibt. Man kann diese Systeme für einen spezifischen Bereich im Unternehmen sowie auf das gesamte Unternehmen anwenden. Im Laufe der Zeit haben sich Frühwarnsysteme weiterentwickelt. So unterscheidet man heute zwischen drei Generationen, die sich den operativen oder strategischen Frühwarnsystemen zuordnen lassen können. Unabhängig von der Entwicklungsstufe sollten alle Frühwarnsysteme unter Ausnutzung der zum jeweiligen Zeitpunkt verfügbaren Informationen möglichst früh, möglichst präzise und möglichst nachvollziehbar die Zukunft für die für das Unternehmen relevanten Variablen vorhersagen.

Systeme der 1. Generation sowie Systeme der 2. Generation decken operative Risiken mit Hilfe der Kennzahlenanalyse auf. So wurden Systeme der 1. Generation bereits in den 60er Jahren eingesetzt. Diese Systeme leiteten Ausnahmemeldungen weiter. Strategische Risiken werden mit einigen Systemen der 2. Generation sowie mit Systemen der 3. Generation aufgedeckt. Systeme zur Erkennung operativer Risiken umfassen Kennzahlsysteme, welche lediglich Daten aus der Vergangenheit (ex post) aufarbeiten und gegebenenfalls hochrechnen. Durch die Hochrechnung kann man geschätzte zukünftige Kennzahlwerte erhalten. Auf dieser Basis können beispielsweise Planwerte mit hochgerechneten Istwerten verglichen werden. Die Genauigkeit der Hochrechnung ist abhängig von den zugrunde liegenden Prognosemethoden. Man unterteilt Prognosemethoden in qualitative und quantitative (Zeitreihenanalyse, Kausale Methoden) Methoden. Quantitative Methoden nutzen mathematische Rechnungen und sind aus diesem Grund nur für kurze Zeiträume sinnvoll einsetzbar. Zudem werden nur quantitative, nicht aber qualitative Fakten betrachtet. Strategische Frühwarnsysteme versuchen durch eine uneingeschränkte 360 Grad Suche, im Sinne eines strategischen Radars, auch bisher unerkannte Entwicklungen und Risiken aufzuspüren.^[7]:74

Risikoworkshops

Bestimmte Risikoarten können durch kritische Diskussionen im Rahmen eines Risikoworkshops identifiziert werden. Hierzu gehören operative und strategische Risiken. Speziell heißt das, dass Risiken aus dem Leistungserstellungsprozess (operative Risiken), rechtliche Risiken, politische Risiken, Risiken aus Unterstützungsprozessen etc. identifiziert werden können.

Der Vorteil von Risikoworkshops besteht darin, dass neben der Risikoidentifikation weitere Themen bezüglich des Risikomanagements besprochen werden können, wie z. B. das weitere Vorgehen mit den identifizierten Risiken. Des Weiteren bewirken regelmäßige Risikoworkshops eine Stärkung des Risikobewusstseins der Belegschaft.^[17]:36 Gleichgültig, ob strategische oder operative Risiken identifiziert werden sollen, ist eine gute Planung Grundvoraussetzung für einen erfolgreichen Workshop.

• Schritt 1 – Auswahl der Beobachtungsbereiche: Zunächst muss genau festgelegt werden, welche Fragen geklärt werden sowie in welchen Bereichen Risiken identifiziert werden sollen.
• Schritt 2 – Expertenauswahl: Welche Mitarbeiter/Experten sind zur Beantwortung der Kernfragen wichtig und sollten zu dem Workshop geladen werden? (Für einen Workshop sind ungefähr zwei Arbeitstage einzuplanen.)
• Schritt 3 – Auftaktveranstaltung: Im Rahmen der Auftaktveranstaltung werden die Experten mit den notwendigen Informationen über das Projekt ausgestattet. Zudem ist es empfehlenswert, schon mit der Einladung zur Auftaktveranstaltung Informationen über das Projekt auszugeben.
• Schritt 4 – Einstieg in den Workshop: Während des Workshops werden in Gruppen Methoden zur Risikoidentifikation durchgeführt. Es empfiehlt sich, zu Beginn noch einmal die Intention des Projektes hervorzuheben sowie den Ablauf und die erwarteten Ergebnisse aufzuzeigen. Zudem ist es sinnvoll, Grundbegriffe der Risikobewertung zu klären.
• Schritt 5 – Risikoidentifikation: Viele mögliche Methoden zur Risikoidentifikation wurden bereits im Rahmen dieses Artikels betrachtet. Die Wertschöfpfungskettenanalyse ist z. B. ein wichtiges Werkzeug zur Identifizierung operativer Risiken. Des Weiteren dient eine Analyse der Struktur der Risikofelder einem guten Anhaltspunkt. Eine Durchführung entlang einer Checkliste, die abgearbeitet wird, alleine ist nicht zielführend, da Menschen bei Vorlage einer solchen Liste kaum über andere, nicht gelistete Risiken nachdenken. Es kann aber eine gute Ergänzung darstellen. Weitere Methoden wie z. B. die Delphi-Technik können auch im Rahmen eines solchen Workshops zielführend sein.
• Schritt 6 – Relevanzabschätzung: Final müssen die identifizierten Risiken nach ihrer Relevanz beurteilt werden. Ziel ist es, die Risiken zu finden, für die eine Weiterbearbeitung sinnvoll ist. Risiken die nicht weiterbearbeitet werden, dürfen nicht gestrichen werden. Es ist anzugeben, weshalb sie nicht weiterverfolgt werden.^[12]:61–64

Einzelnachweise

1. ↑ Nikolaus Raupp, Das Entscheidungsverhalten japanischer Venture-Capital-Manager unter dem Einfluss der Risikowahrnehmung im Verbund mit anderen Faktoren, 2012, S. 27
2. ↑ Frank Romeike (Hrsg.), Erfolgsfaktor Risiko-Management, 2004, S. 165
3. ↑ Karsten Füser/Werner Gleißner/Günter Meier, Risikomanagement (KonTraG), 1999, S. 754
4. ↑ Katarzyna Smirska, Optimierung eines Risikomanagementsystems im Mittelstand, 2009, S. 37
5. ↑ Marc Diederichs/Stephan Form/Thomas Reichmann, Standard zum Risikomanagement, in: Controlling Heft 4/5, 2004, S. 191
6. ↑ Frank Romeike (Hrsg.), Erfolgsfaktor Risiko-Management, 2004, S. 165
7. ↑ ^{a b c d} Marc Diederichs: Risikomanagement und Risikocontrolling. 2013, S. 105.
8. ↑ ^{a b} Frank Romeike, Robert Finke: Erfolgsfaktor Risikomanagement. 2013.
9. ↑ Frank Romeike (Hrsg.), Erfolgsfaktor Risiko-Management, 2004, S. 174
10. ↑ Heribert Meffert/Christoph Burmann/Manfred Kirchgeorg, Marketing, 10. Auflage. Gabler/Wiesbaden, 2008, S. 236
11. ↑ Kai-Ingo Voigt: Risikomanagement im Anlagenbau. 2010.
12. ↑ ^{a b c d} Werner Gleißner: Grundlagen des Risikomanagements im Unternehmen. 2011.
13. ↑ ^{a b} Klaus Wolf, Bodo Runzheimer: Risikomanagement und KonTraG: Konzeption und Implementierung. 2013, S. 104.
14. ↑ ^{a b} Frank Romeike, Peter Hager: Erfolgsfaktor Risiko-Management 2.0: Methoden, Beispiele, Checklisten. Praxishandbuch für Industrie und Handel. 2009.
15. ↑ Ulrich Thonemann: Operations Management: Konzepte, Methoden und Anwendungen. 2010
16. ↑ Universität Leipzig, Arbeitspapiere zur Delphi-Methode
17. ↑ ^{a b c d} Mirco Grethen: Risikomanagement in mittelständischen Unternehmen. 2001.
18. ↑ Markus Junginger: Wertorientierte Steuerung Von Risiken Im Informationsmanagement, 2005.