Strategisches Risikomanagement: Zielsetzungen und Anwendungsgebiete

Rund zwei Jahrzehnte nachdem die ersten Unternehmungen in Österreich begonnen haben ein Enterprise Risk Management (ERM)-System in ihren Gesellschaften zu implementieren, kann die heutige Entwicklungsstufe des Risikomanagements als durchwegs fortgeschritten bezeichnet werden. Viele Unternehmen fokussieren ihre Chancen- und Risikodar­stellung jedoch sehr auf finanzielle Risiken und den kurz­fristigen Bereich, anstatt auch strategische Risiken und die potenzielle mittel- und lang­fristige Betrachtung zu inkludieren. Der folgende Beitrag informiert, nach einer Begründung zur Umsetzung des strategischen Risikomanagements, über mögliche Anwendungsgebiete und den daraus erzielbaren Nutzen.

1. Warum strategisches Risikomanagement?

Wir alle können uns an Unternehmen wie Eastman Kodak als führend im Filmmaterial, Nokia als dominierenden Mobiltelefonhersteller oder Blockbuster als weltweit größte Videothekenkette erinnern. Heute sind diese Unternehmungen in den jeweiligen Segmenten als Anbieter verschwunden. Traditionelle Leistungsangebote wie Hotelübernachtungen, Taxifahrten oder Bankfilialen stehen zunehmend in Konkurrenz mit Anbietern wie Airbnb, Uber oder diversen Fintechs wie zB N26.

Im Neudeutsch wird hier gerne von „disruptiven Innovationen“ gesprochen – also Entwicklungen, die das Potenzial haben, eine erfolgreiche und langbestehende Technologie, Produkt oder Dienst­leistung anfänglich zu bedrohen, zunehmend zu ersetzen und im Extremfall komplett vom Markt zu verdrängen.

Und hier sind wir nun mitten im strategischen Risikomanagement – was sind mögliche Entwicklungen, die mittel- und lang­fristig ein derzeit erfolgreiches Geschäftsmodell ernsthaft gefährden können. Die Konsequenzen können eine Reduktion bzw einen kompletten Wegfall von Markt­anteilen, Umsätzen oder Margen nach sich ziehen.

Die Gründe für solche Entwicklungen können vielfach sein, wie zB:

• Unsichere Zukunft(strends),
• schnelllebige Entwicklungen/Modetrends,
• Technologiewandel,
• makroökonomische Risiken,
• Globalisierung,
• geänderte Wettbewerbskräfte,
• Änderung regulatorischer Rahmenbedingungen,
• Bedrohung interner und externer Erfolgs­faktoren sowie
• branchenverändernde Strategie­änderungen von Wettbewerbern/Änderungen im Geschäftsmodell.

Diverse Studien belegen, dass hohe Rückgänge in der Markt­kapitalisierung börsennotierter Unternehmungen zu rund 60 % auf strategische Risiken, 1 zu rund 30 % auf operationale Risiken und nur zu 10 % auf finanzielle Risiken zurückzuführen sind. 2 Trotz allem ignorieren bzw vernachlässigen sehr viele Enterprise Risk Management-Systeme die strategischen Risiken. Worin liegt die Begründung?

Von Beginn an wurde bei der Implementierung von Risikomanagement der Fokus auf die Modellierung und Bewertung finanzieller Risiken gelegt, zum einen weil es zur damaligen Zeit hohe finanzielle Verluste (beispielsweise aus Derivaten) gab, zum anderen aufgrund der verfügbaren Bewertungsmöglichkeiten unter Zugrundelegung vorhandener historischer Daten. Die Bedeutung operationaler Risiken stieg erst aufgrund zB nicht autorisierter Handelstransaktionen in Banken (wie zB Leeson/Barings Bank 1995, Kerviel/Société Générale 2008) bzw Katastrophen wie dem Brand der Ölplattform Deepwater Horizon (BP 2010). Sofern der Anspruch eines ERM-Systems jedoch die komplette Identifikation und das Management aller Unternehmensrisiken ist (was dem höchsten Reifegrad entspricht) – dann sind auch strategische Risiken bzw eine mittel­fristige und lang­fristige Chancen- und Risikobetrachtung entsprechend zu berücksichtigen.

Auch zahlreiche Risikomanagementstandards verweisen auf die verstärkte Integration des Risikomanagements in alle Unternehmensaktivitäten. So empfiehlt zum Beispiel die ISO 31000 Norm als ein international akzeptierter Standard für die Gestaltung von Risikomanagementsystemen, die Implementierung des Risikomanagements nicht nur in der operativen Umsetzung, sondern auch in der strategischen Unternehmensführung.

2017 wurde – dreizehn Jahre nach dem ersten Release des COSO ERM-Framework, ein Update mit dem Titel „COSO Enterprise Risk Management – Integrating with Strategy and Performance“ veröffentlicht. Wie bereits der Titel des COSO-Update 2017 erahnen lässt, rückt die Kombination von Strategie und Performance mit der Risikobetrachtung und somit die Integration von ERM mit der Entscheidungsfindung in den Vordergrund. Aufgezeigt wird vor allem der positive Effekt, den ein ganzheitlicher Risikomanagement-Ansatz auf die erfolgreiche Strategieumsetzung und Performance eines Unternehmens haben kann. Es werden Tools und Denkansätze zur Weiterentwicklung eines bestehenden Risikomanagementsystems dargestellt, mit der Zielsetzung eine wertorientierte Unternehmens­steuerung zu unterstützen.

2. Risikobandbreite

Ein Preisverfall an den Märkten, höhere Produktions­kosten durch gestiegene Rohstoffpreise oder Änderungen gesetzlicher Rahmenbedingungen sind Beispiele für Risiken, die Unternehmen nicht nur innerhalb eines Jahres, sondern über einen längeren Zeitraum hinweg treffen können. Um sich dieser Risiken und deren möglichen Auswirkungen auf den Unternehmenserfolg bewusst zu werden, ist eine mehrjährige Risikobetrachtung notwendig. Gerade diese mehrjährige, in die Zukunft gerichtete Betrachtung der Risiken gestaltet sich mitunter schwierig. Je weiter in der Zukunft der Zeithorizont der Risikoanalyse liegt, desto ungewisser und auch ungenauer können Aussagen über die möglichen Risikoszenarien getroffen werden. Daher wird die Risikobandbreite immer größer werden, je ferner in der Zukunft die Risiko­bewertung liegt – der Risikotrichter öffnet sich im Zeitverlauf. Dennoch sollte versucht werden möglichst viele Risiken, zumindest aber jedoch die großen Hauptrisiken, über einen mehrjährigen Zeithorizont zu identifizieren und zu bewerten und deren mögliche Effekte auf wesentliche Kennzahlen des Unternehmens abzubilden (s Abb 1).

Abhängig von der Spreizung der länger­fristigen Risikobandbreiten (und auch in Relation mit im Folgekapitel erläuterten Risikoappetit und Risikotragfähigkeit) können dann etwaige gezielte Maßnahmen zur lang­fristigen Stabilität des Unternehmens gesetzt werden.

Abb 1: „Risikobandbreite/Risikotrichter“, eigene Darstellung

3. Risikoappetit und Risikotragfähigkeit

3.1. Überblick

Gerade in Krisenzeiten, wie in der aktuellen COVID-19-Krise, werden Unternehmen immer wieder an ihre wirtschaftlichen und vor allem auch finanziellen Grenzen herangeführt. Umso wichtiger ist es, dass das Risikomanagement eines Unternehmens laufend die identifizierten Risikopotentiale mit den zur Verfügung stehenden Risikodeckungsmassen (Eigen­kapital und generierbare Liquidität) abgleicht, um den Fortbestand des Unternehmens zu gewährleisten. 3 Folgende Fragen müssen gestellt werden: Wie sieht die Kapitalstruktur des Unternehmens aus – wieviel und welches Kapital steht uns zur Verfügung (Risikodeckungspotential)? Wie viel Risiko kann eingegangen werden, ohne den Fortbestand des Unternehmens zu gefährden (Risikotragfähigkeit)? Wie viel Risiko sind wir bereit im laufenden Geschäft zu tragen um unsere angestrebten Ziele zu erreichen (Risikoappetit) und wie viel Puffer bis zur kompletten Ausnützung unserer Tragfähigkeit soll für den Krisenfall vorhanden sein (Risikotoleranz)? 4

Für die Entwicklung eines belastbaren Risikotragfähigkeitsmodells ist eine kritische Auseinandersetzung mit der aktuellen und zukünftigen wirtschaftlichen bzw finanziellen Situation sowie der lang­fristigen Strategie des Unternehmens Voraussetzung. Ist ein Konzept zu Risikotragfähigkeit und Risikoappetit erst einmal implementiert, dient es als eine wertvolle Unterstützung für das Management, sowohl im operativen Geschäft, als auch vor der Entscheidung strategischer Entscheidungen (zB große M&A-Transaktionen, Eintritt in neue Märkte, große Investitionen etc), mögliche bestandsgefährdende Entwicklungen frühzeitig zu erkennen und Maßnahmen zur Stabilisierung einleiten zu können.

3.2. Unterschiedliche Klassen von Deckungsmassen

Betrachtet man die Kapitalstruktur von Unternehmen wird klar, dass es hier unterschiedliche Klassen von liquiden bzw liquidierbaren Mitteln zur Deckung von Risiken gibt – je nachdem, wie leicht und schnell diese verfügbar sind. So sind Barreserven und überschüssige Cashflows jederzeit verfügbar und können kurz­fristig auftretende Risiken des laufenden Geschäfts (Normalbelastungsfall) decken. Tritt ein negativer Belastungsfall auf, dh schwerwiegendere Risiken mit geringerer Eintrittswahrscheinlichkeit, die jedoch über den Normalbelastungsfall hinaus gehen, kann es mitunter notwendig sein, neben den oben erwähnten Finanzmittel auch auf offene Kreditlinien, Neukreditaufnahmen oder leicht liquidierbare Finanzanlagen zurückzugreifen. Diese Deckungsmassen sind zwar auch relativ leicht und schnell verfügbar, das Ausnützen dieser führt aber möglicherweise dazu, dass mitunter einzelne Unternehmensziele (zB Wachstum, maximale Verschuldungsquote etc) nicht erfüllt werden. Um Effekte aus Extremszenarien (Extrembelastungsfall) mit gravierenden Auswirkungen ausgleichen zu können, bleiben Unternehmen zusätzlich zu den bereits genannten Finanzmitteln auch noch Deckungsmassen wie sonstige liquidierbare Vermögensgegenstände oder Kapitalerhöhungen. 5

Seite 108 Bei der Ermittlung der Risikodeckungsmassen (s Abb 2) der unterschiedlichen Klassen ist immer auf eine ökonomische und wirtschaftlich zweckmäßige Bewertung des Kapitals zu achten. So ist es aus Sicht der Risikotragfähigkeit sinnvoll, bei liquidierbaren aber volatilen Vermögensgegenständen, den jeweils aktuellen Markt­wert als Deckungsmasse anzusetzen, da dieser im Verkaufsfall auch tatsächlich erzielt werden kann. Zudem ist auch immer kritisch zu prüfen, ob ein Verkauf wirklich möglich und sinnvoll ist. So können die für die Produktion notwendigen Anlagen und Gebäude nicht in die Deckungsmassen mit aufgenommen werden, da ein Verkauf dieser die Existenzgrundlage des Unternehmens vernichten und einen Fortbestand desselben unmöglich machen würde. Zu hinterfragen ist auch, wie liquide die Vermögensgegenstände des Unternehmens wirklich sind – Maschinen für Spezialanfertigungen lassen sich mitunter schwieriger verkaufen als gedacht oder wenn, nur mit erheblichen Abschlägen. Ebenso können global auftretende Krisen einen negativen Einfluss auf das Verhalten der Umwelt und somit auf die Verfügbarkeit von bereits eingeplantem Kapital haben, zB unvorhergesehene Kürzungen von Kreditlinien oder verschärfte Bedingungen auf den Märkten. 6

Abb 2: „Klassen von Risikodeckungsmassen”, eigene Darstellung in Anlehnung an Hölscher/Elfgen

3.3. Sicher­stellung der Liquidität – Risikoappetit und Risikotragfähigkeit als definiertes Mindestrating

Klassischerweise werden Risikoappetit und Risikotragfähigkeit in vielen Unternehmen als maximal ausnutzbarer Betrag des Eigen­kapitals bzw der oben erläuterten unterschiedlichen Klassen von Risikodeckungsmassen definiert. Eine weitere mögliche Ausgestaltungsform von Risikoappetit und –tragfähigkeit kann aber auch auf die Kreditwürdigkeit eines Unternehmens und somit auf ein jeweils definiertes Mindestrating abzielen. Hierzu definiert das Management sowohl ein Zielrating für Risikoappetit (zB Rating im A-Bereich) als auch eines für Risikotragfähigkeit (zB Investment Grade Rating BBB- darf nicht unterschritten werden), welche dann im Aufsichtsrat diskutiert und beschlossen werden. Die Auswirkung von identifizierten Risiken auf die Einhaltung von Risikoappetit und Risikotragfähigkeit sollte mindestens einmal jährlich (zB im Zuge von Budgetierung und Mittel­fristplanung) bzw bei wichtigen strategischen Entscheidungen überprüft werden.

Im Zuge des Ratingprozesses analysieren Ratingagenturen und Banken sowohl quantitative als auch qualitative Faktoren wie zB das im Mittel erwartete Ertragsniveau, Risiken die zu möglichen Abweichungen des Ertragsniveaus führen, Risikodeckungsmassen in Form von Eigen­kapital und Liquiditätsreserven sowie Transparenz und Glaubwürdigkeit des Managements. 7 Während die Bewertung qualitativer Faktoren oft schwieriger zu fassen ist, folgen die quantitativen Faktoren (finanzielle Ratingkennzahlen) klaren Bewertungsregeln und eignen sich somit für eine risikoadjustierte Betrachtung. Ratingagenturen wie S&P und Moody‘s veröffentlichen mitunter wesentliche Grundlagen ihrer Ratingmodelle für unterschiedliche Branchen. Daraus können Rückschlüsse über wesentliche Ratingkennzahlen gezogen werden, um eigene vereinfachte Modelle zur Berechnung eines Schattenratings daraus abzuleiten (s Abb 3).

Abb 3: „Risikoadjustiertes Finanzrating“, eigene Darstellung

Die im Unternehmen identifizierten Risiken haben Auswirkungen auf die unterschiedlichen Ratingkennzahlen. Da im Normalfall nicht alle Risiken gleichzeitig auftreten, jedoch durchaus Wechselwirkungen und Korrelationen zwischen den Risiken bestehen, muss die Aggregation der Gesamtrisikoposition des Unternehmens über zB eine Monte-Carlo-Simulation verlaufen, um hier ein realistisches Bild zu bekommen. 8 Die so ermittelten risikoadjustierten Unternehmenskennzahlen können dann zur Berechnung der festgelegten Ratingkennzahlen herangezogen werden, woraus sich in Folge ein risikoadjustiertes Finanzrating (Schattenrating) ableiten lässt. Das so ermittelte Finanzrating kann mit dem definierten Zielrating für Risikoappetit und Risikotragfähigkeit verglichen und deren Einhaltung überprüft werden. 9 Hierbei muss jedoch beachtet werden, dass einmalig auftretende Effekte wie zB der Konkurs eines Großkunden, in der Praxis nicht gleich eine Rating­änderung nach sich ziehen müssen. Auch Ratingagenturen betrachten die Entwicklung der Ratingkennzahlen über mehrere Jahre hinweg und erst nachhaltigere negative Trends schlagen sich in einer Rating­änderung nieder.

Kommt es zu einer nachhaltigen Verletzung von Risikoappetit oder Risikotragfähigkeit muss entweder die Strategie (zB zu geplanten Investitionen und Finanzierungen) so angepasst werden, dass die Ziel-Rating-Klasse gesichert bleibt und/oder Maßnahmen zur Reduktion der Gesamtrisikoposition (zB Risikotransfer durch Versicherungslösungen) getroffen werden. 10

Ein alternativer Ansatz kann auch von der entgegen­gesetzten Richtung kommen. Von den Ratingschwell­werten für die jeweils definierten Mindestratings kann man auch auf die Unternehmenskennzahlen und somit erforderliche Mindest­werte rückrechnen. Sind die notwendigen Unternehmenskennzahlen wie Net Debt, Zinsaufwendungen, Kapitalerträge und Steuern bekannt, kann zB von der Ratingkennzahl FFO/Net Debt auf ein gewisses EBITDA-Mindesterfordernis für das jeweilige Zielrating rückgeschlossen werden. Bewertet man die identifizierten Risiken auf ihre EBITDA-Auswirkung hin, ergibt sich aus einer Risikosimulation eine untere (zB P5) und obere (zB P95) EBITDA-Bandbreite. Diese kann mit dem ermittelten EBITDA-Mindesterfordernis verglichen werden, um mögliche Unterschreitungen bzw Puffergrößen zu identifizieren (s Abb 4).

Abb 4: „EBITDA-Bandbreiten und Risikopuffer für Risikoappetit und Risikotragfähigkeit”, eigene Darstellung

4. Identifikation strategischer Risiken

Der Identifikationsprozess laufender, operativer Risiken findet typischerweise Bottom-up und meist quartalsweise per Meldung der Risk-Owner an ein zentrales Risikomanagement statt. Die Risikoidentifikation als erster Schritt ist somit ein fixer Bestandteil im Standard-Risikomanagementprozess (Identifikation, Analyse, Bewertung, Maßnahmen, Reporting).

Die Identifikation strategischer Risiken stellt sich in der Regel schwieriger dar – sie wird (wenn) meist nur einmal im Jahr gemacht, es gibt oft keinen definierten Prozess und es kann auch mitunter zu verschiedenen Interessen des mit der Identifikation involvierten Managements kommen.

Eine Identifikation strategischer Risiken findet im Normalfall Top-down statt. Zur Aufbereitung einer ersten Diskussionsgrundlage mit dem Management können bekannte, betriebswirtschaftliche Konzepte herangezogen werden:

• BCG Matrix (Zuordnung von Produkten/Dienst­leistungen in eine Matrix mit Koordinaten relativer Markt­anteil und Marktwachstum, daraus Entwicklung von Strategien),
• Balanced Scorecard (Konzept zur Messung, Dokumentation und Steuerung der Aktivitäten eines Unternehmens zu seiner Vision und Strategie),
• SWOT-Analyse (Instrument der strategischen Planung, bestehend aus Unternehmens- und Umfeldanalyse),
• Porter‘s Five Forces (Branchenstrukturanalyse mit Beschreibung der Kräfte, die von der externen Umwelt auf die Unternehmung einwirken) und
• Moore´s Four Zones (Zuordnung strategischer Ressourcen entlang dreier Investmenthorizonte in Abhängigkeit der Widerstandsfähigkeit des momentanen Produktangebots).

In der Folge werden dann mit dem Management (Vorstand, Geschäftsführer, Leiter von Bereichen wie Strategie, Controlling, Treasury, Marketing etc) strategische Risiken des Unternehmens identifiziert. Dies kann in Form von Brainstorming in einer Gruppe, teambasierten Übungen oder strukturierten Interviews mit ausgewählten Personen (auch weiteren Stakeholdern) stattfinden.

Ziel dieser gemeinsamen Ausarbeitung mit dem Management soll die Identifikation, initiale Bewertung und Festlegung von Verantwortlichkeiten bezüglich der strategischen Risiken sein. Die Darstellungsform kann zB in Form der gewohnten Risk Map (x-Achse stellt die periodische Zuordnung, y-Achse die Einordnung nach Ergebniseffekt dar) oder in Form des in Abb 5 gezeigten Strategischen Risk Universums sein.

Abb 5: „Strategisches Risk Universum”, eigene Darstellung

In dieser Darstellungsform wird somit die zeitliche Auswirkung, betragsmäßiger Effekt als auch die Zuordnung zu einem Risikotreiber dargestellt. Gegebenenfalls kann auch noch die Veränderung gegenüber der letzten Erhebung dargestellt werden.

Im Unterschied zur kurz­fristigen Risikobe­rechnung, wo mit Hilfe von Statistik, Eintrittswahrscheinlichkeit und Szenarioanalysen möglichst genaue Vorhersagen betreffend die möglichen Zahlenausprägungen (zB EBITDA@Risk, Konzernergebnis@Risk, FCF@Risk, Net Debt@Risk, Eigen­kapital@Risk …) das Ergebnis sind, steht eine exakte Berechnung bei länger­fristigen strategischen Risiken nicht so sehr im Vordergrund.

Basierend auf einer qualitativen Beschreibung des strategischen Risikos (Ursache und Folge) sollen mittels Hypothesen für die Quantifizierung (zB Risiko X kann uns ein Viertel des geplanten Umsatzes für 2030 kosten oder senkt unsere geplante Marge um die Hälfte) zumindest eine grobe Einschätzung der Auswirkungen möglich sein. Diese Einschätzung erlaubt ein grobes Clustering wie in Abb 5 dargestellt. Wichtig ist es die entsprechenden Seite 111 Risiken in Bandbreiten einordnen zu können, weil in der Folge je Risiko auch Verantwortliche im Unternehmen zu bestimmen bzw Mitigationsmaßnahmen zu erarbeiten sind. Im Gegensatz zur kurz­fristigen Risikobe­rechnung ist somit auch nicht ein quartalsweises Update der strategischen Risiken notwendig, sondern stattdessen eine jährliche Aktualisierung inklusive Evaluierung der im Jahresablauf umgesetzten Maßnahmen.

Im Idealfall werden somit mögliche strategische Risiken in der Zielrichtung zukünftiger Innovationsschwerpunkte, M&A-Targets oder Großinvestitionen entsprechend berücksichtigt.

Auf den Punkt gebracht

Die verstärkte Verbindung von Strategie und Risiko (und der Berücksichtigung von im Rahmen der Risikopolitik eines Unternehmens definierten Schwellen­werten wie Risikoappetit, Risikotragfähigkeit etc) fördert somit die Diskussionsqualität bei der strategischen Ausrichtung des Unternehmens und der Entscheidungskultur im Unternehmen.

Die Bedeutung eines strategischen Risikomanagements zeigt sich auch in der gegenwärtigen COVID-19-Krise. Zum einen steht die Evaluierung der möglichen kurz­fristigen Ausprägungen abhängig vom zukünftigen Verlauf (auch hier wieder in unterschiedlichen Szenarien) auf die Kennzahlen des laufenden Geschäftsjahrs, samt möglicher Gegenmaßnahmen, im Vordergrund. Zum anderen ist ebenso die Antizipationsfähigkeit zukünftiger mittel- und lang­fristiger Szenarien notwendig, inklusive möglichen Adaptierungsbedarf geplanter strategischer Unternehmensschritte zu überprüfen. Wie solch ein Prozess ausschauen kann, stellt die Abb 6 dar.

Abb 6: „Verknüpfung Controlling – Strategie – Risikomanagement“, eigene Darstellung

Durch die Verwendung von lang­fristigen Bandbreiten und Risikokennzahlen, werden optimierte und risikobewusste Entscheidungen getroffen. Etwaige Alternativstrategien (zB mit Wachstumsoptionen), die mit den zur Verfügung stehenden Ressourcen und Möglichkeiten einen Mehrwert für das Unternehmen schaffen, sind ebenfalls nach ihren Chancen und Risiken zu bewerten, um schlussendlich die optimale Strategie für das Unternehmen festzulegen.

Eine Einbindung des Enterprise Risk Managements in den Strategiefindungsprozess erfordert einerseits einen sehr hohen Systemreifegrad, ist andererseits aber unabdingbar. Es führt nicht nur zu einer besseren Evaluierung von Risiken auf die Strategie, sondern auch zu den aus der festgelegten Strategie resultierenden Risiken.

Der Artikel ist in CFO aktuell (Heft 3/2020) erschienen. Mehr Infos unter: www.cfoaktuell.at

Weiterbildungstipp

Certified Corporate Risk Manager | Identifikation, Bewertung und Steuerung von Risiken
Wann? Start am 05. November 2020 | Wo? Seminarhotel & Palais Strudlhof, 1090 Wien | Info und Anmeldung