Risikoidentifikation

Die Risikoidentifikation (auch Risikoerkennung; englisch risk identification) ist im Rahmen des Risikomanagements die systematische Erfassung und Sammlung aller auf ein Unternehmen einwirkenden Risiken.

Allgemeines

Eine Risikoidentifikation kann erst mit der Risikowahrnehmung beginnen; sie ist die Voraussetzung dafür, dass Risiken überhaupt erkannt und entdeckt werden können. Hierbei ergibt sich bereits das Problem, dass verschiedene Risikoträger dasselbe Risiko unterschiedlich oder gar nicht wahrnehmen. Erfolgt die Risikowahrnehmung fehlerhaft als selektive Wahrnehmung, so werden nur bestimmte Risiken wahrgenommen, andere vorhandene jedoch ausgeblendet. Eine mangelhafte Risikowahrnehmung wirkt sich negativ auf die nachfolgenden Phasen des Risikomanagements aus. Die Risikoidentifikation umfasst die „Sammlung aktueller, zukünftiger, potenzieller und theoretisch denkbarer Risiken“ und gilt meist als erste Stufe des Risikomanagement-Prozesses. Erfasst werden alle Gefahrenquellen, Störpotenziale und Schadenursachen eines Unternehmens, die sich negativ auf das Erreichen der Unternehmensziele auswirken können.

Das Ziel der Risikoidentifikation ist es, die Risikoquellen des gesamten Unternehmens sowie aller Funktionsbereiche möglichst vollständig und kontinuierlich zu erfassen. Die Methoden vermitteln dem Prozess eine Systematik und strukturieren das Vorgehen, helfen bei der Identifikation interner oder externer Risiken, unterstützen die Erstellung eines organisationsspezifischen Risikoprofils sowie die kontinuierliche Nachverfolgung von Risiken.

Prozessablauf

Die Risikoidentifikation wird als erste Prozessphase des Risikomanagementprozesses mit Hilfe von Methoden zur Risikoidentifikation ähnlich wie eine Inventur durchgeführt. Das Ziel der Risikoidentifikation ist es, die Risikoquellen des gesamten Unternehmens sowie aller Funktionsbereiche (Beschaffung, Produktion, Finanzierung, Verwaltung, Vertrieb) möglichst vollständig und kontinuierlich zu erfassen. Die Methoden vermitteln dem Prozess eine Systematik und strukturieren das Vorgehen, helfen bei der Identifikation interner oder externer Risiken, unterstützen die Erstellung eines organisationsspezifischen Risikoprofils sowie die kontinuierliche Nachverfolgung von Risiken. Dabei müssen auch Schwachstellen entdeckt werden. Ein wichtiges Instrument der Risikoidentifikation bilden Frühwarnsysteme, welche die Risikoobjekte (Betriebsmittel wie Anlagen, Gebäude oder Maschinen, Personal, Finanzen) auf jede Art von Betriebsstörung überwachen. Der Risikoidentifikation folgt die Risikoanalyse.

Methoden

Als Methoden kommen für bestehende Risiken die SWOT-Analyse, Checklisten, Risiko-Identifikations-Matrix und Befragungen in Betracht. Potenzielle Risiken lassen sich unter anderem durch Fehlermöglichkeits- und Einflussanalysen (FMEA) oder Fragenkataloge, Brainstorming, Brainwriting oder die Delphi-Methode ermitteln. Aus der Risikoidentifikation kann lediglich abgeleitet werden, welche Risiken für sich alleine den Bestand eines Unternehmens gefährden könnten. Nicht erkannt werden kann hierdurch die mögliche Interdependenz verschiedener Risikoarten, die erst in der Risikoaggregation auffällt.

SWOT-Analyse

→ Hauptartikel: SWOT-Analyse

Die SWOT-Analyse dient der Positionsbestimmung und der Strategieentwicklung von Unternehmen und anderen Organisationen.

Checklisten und Mitarbeiterbefragungen

Die Besichtigung von risikobedrohten Objekten dient zur einfachen und schnellen Erfassung visuell wahrnehmbarer Risiken (vor allem Umweltrisiken sowie technische Risiken). Diese Methode ermöglicht die Bildung eines Gesamtüberblicks über die örtlichen Gegebenheiten. Die Befragung von externen Experten oder von fachkundigen Mitarbeitern kann wichtige Informationen über interne sowie externe Unternehmensrisiken geben. Befragungen können sowohl schriftlich als auch mündlich durchgeführt werden. Die Mitarbeiterbefragung trägt primär zur Erfassung interner Risiken bei, die Expertenbefragung hat die Erfassung externer Risiken zum Ziel.

Checklisten sind standardisierte Fragebögen zur systematischen Risikoerfassung im gesamten Unternehmen oder in Bereichen des Unternehmens. Sie können offene sowie geschlossene Fragen enthalten, wobei geschlossene Fragen i. d. R. vorteilhafter für die Erkennung von Risiken sind. Checklisten erreichen in der Praxis einen breiten Mitarbeiterstamm. Jedoch engen Checklisten den Blick ein, weshalb Risiken, die nicht in der Liste abgefragt werden, vergessen werden können.

Die Tabelle zeigt einen Ausschnitt aus einer Checkliste mit offenen Fragen für den Bereich „Management und Organisation“

Frage	Bedeutung
Kennt das Management die Chancen/Risiken/Stärken/Schwächen des Unternehmens	Eine Chancen-Risiken-Analyse und Stärken-Schwächen-Analyse sollte mindestens einmal im Jahr durchgeführt werden. Während die Chancen die externen Entwicklungen am Markt aufzeigen, bilden die Stärken und Schwächen das (interne) Potential des Unternehmens ab. Ein Abgleich zwischen beiden Sichtweisen ist für die strategische Ausrichtung hinsichtliche Märkte, Kunden, Produkten, Organisation, Mitarbeiter, Informationstechnologie (Stichwort strategische Erfolgsfaktoren) etc. notwendig
Wirken sich Entwicklungen des E-Commerce auf die Organisation des Unternehmens aus?	Das E-Commerce hat stark an Bedeutung gewonnen. Er wird zukünftig ein zentraler strategischer Erfolgsfaktor sein. Diese Entwicklung zu verpassen, kann existentielle Konsequenzen haben.
Liegt eine dokumentierte Strategie vor?	Ein fehlender bzw. nicht ausreichender Strategiekonsens des Managements lähmt eine gemeinsame und zutreffende Zielpriorisierung und -verfolgung innerhalb der Führung
Wird die Strategie kommuniziert?	Mit der Kommunikation der Strategie lässt sich die Diskrepanz zwischen Strategieformulierung und -umsetzung schließen. Der unzureichenden bzw. fehlenden Strategiekommunikation in die operativen Einheiten folgt eine unterschiedliche Umsetzung entsprechend der individuellen Sichtweise der Mitarbeiter (Position/Abteilung/Vergütung etc.). Die Folge kann eine suboptimale Ressourcenallokation sein.
Ist das Personal motiviert?	Unzureichende Motivation wirkt sich einerseits negativ auf die Arbeitsleistung des Einzelnen aus, andererseits beeinflusst es maßgeblich das Betriebsklima

FMEA (Fehlermöglichkeits- und Einflussanalyse)

→ Hauptartikel: FMEA

Die Fehlermöglichkeits- und Einflussanalyse (FMEA) ist eine systematische, halbquantitative Risikoanalysemethode, welche in den 1960er Jahren für die Untersuchung von Schwachstellen und Risiken an Flugzeugen entwickelt wurde. Anschließend wurde sie in der Raumfahrt, für die Produktionsprozesse in der chemischen Industrie sowie in der Automobilindustrie genutzt.

Die zentrale Idee der FMEA ist das frühe Erkennen und Verhindern von potentiellen Fehlern. Fehler und deren Ursache werden deshalb präventiv untersucht. Im Anschluss daran werden die Risiken bezüglich Auftreten und Bedeutung bewertet. Man unterscheidet vier verschiedene Ansätze:

• System-FMEA: Hier liegt der Fokus auf den einzelnen Systemkomponenten und ihrem Beitrag zum Gesamtrisiko.
• Konstruktions-FMEA: Primärer Fokus hier ist das fehlerfreie Funktionieren der Produktionskomponenten.
• Prozess-FMEA: Diese Untersuchung richtet ihren Fokus auf den Herstellungsprozess.
• Design-FMEA: Diese FMEA ist Teil der Produktentwicklung und erstreckt sich auch auf Lieferanten.

Ablauf:

• Schritt 1: Unternehmen wird als intaktes, störungsfreies System beschrieben.
• Schritt 2: Das System „Unternehmen“ wird in unterschiedliche Funktionsbereiche zerlegt.
• Schritt 3: Potentielle Störungszustände der einzelnen Komponenten sowie des gesamten Systems werden untersucht.
• Schritt 4: Ableitung von Auswirkungen auf das gesamte System.

Delphi-Methode

→ Hauptartikel: Delphi-Methode

Die Delphi-Technik ist eine Methode, mit welcher in mehreren Stufen Experten oder Mitarbeitern befragt werden. Die Ergebnisse einer Befragungsrunde beeinflussen die nächste, dadurch können mögliche Risiken besser eingeschätzt werden. Dies gelingt nur, wenn die Befragten über ein fundiertes Fachwissen verfügen. Denn die Grundannahme der Delphi-Technik ist, dass Experten die Einflussfaktoren auf ihr jeweiliges Fachgebiet kennen. Demzufolge kann man mithilfe der kumulierten sowie verdichteten Expertenmeinung eine relativ konkrete Aussage über bestehende sowie zukünftige Risiken machen.

Ablauf

• 1. Runde – Offene Befragung (Online, Sammeln von Ideen)
• 2. Runde – geschlossene Befragung (Online, Verdichten der Ideen)
• 3. Runde – persönliches Gespräch (Workshop, abschließende Diskussion)

Neue Ideen werden gesammelt und verdichtet.

Brainstorming

→ Hauptartikel: Brainstorming

Das Brainstorming ist eine Methode, die schöpferische Kreativität in einer Gruppe fördern soll. Basierend auf der Grundidee der Gedankenassoziation (eine Idee ruft eine weitere hervor etc.) ist das Ziel von Brainstorming, bekannte Pfade gedanklich zu verlassen.´Optimalerweise wird der Prozess mit 4 bis 10 Teilnehmern durchgeführt. Es ist sinnvoll, einen Moderator und einen Protokollführer zu bestimmen. Wichtig ist, dass beim Brainstorming keine Kritik ausgesprochen werden darf, weil es sich um das wertungsfreie Sammeln von Ideen handelt. Grundvoraussetzung hierfür ist ein gutes Vertrauensverhältnis. In der Risikoidentifikation kann diese Methode genutzt werden, um Risiken unabhängig allgemein bekannter zu identifizieren.

Brainwriting

→ Hauptartikel: Brainwriting

Im Gegensatz zum Brainstorming werden Ideen nicht ausgesprochen, sondern schriftlich notiert und erst einmal gesammelt. Die Anzahl der Teilnehmer ist bei dieser Methode variabler als beim Brainstorming, da sich einzelne Teilnehmer beispielsweise nicht ins Wort fallen können. Auch wird kein Protokollführer oder Diskussionsmoderator gebraucht. Diese Methode ist besonders wirkungsvoll in Gruppen, in denen kein gutes Vertrauensverhältnis besteht bzw. wenn man die Ideen besonders vieler sammeln möchte.

Dokumentationsanalysen (Risikoidentifikation anhand vorhandener Daten)

Die Dokumentationsanalyse ist eine ex-post-Analyse. Das bedeutet, dass die Risikoidentifikation auf bereits erstellten Dokumenten basiert wie beispielsweise aus der Buchhaltung oder aus der Controlling-Abteilung. Risiken, welche aus der Buchhaltung abgeleitet werden können (Speziell der Geschäftsbericht):

Risikoidentifikation anhand der Gewinn- und Verlustrechnung (§ 275 HGB)

Position der Gewinn- und Verlustrechnung	identifizierbare Risikofelder
Umsatzerlöse	Produktstrukturrisiko, Konkurrenzrisiko, Währungsrisiko, Abhängigkeiten von Großkunden
Materialaufwand	Abhängigkeiten von Lieferanten, falsche/nicht ausreichende Absicherungsstrategie, unzureichendes Benchmarking bzgl. der verwandten Materials
Personalaufwand	schlechte/falsche Entlohnungssysteme, Qualifikation von Fach- und Führungskräften (Abhängigkeitsaspekt)
Abschreibungen	Investitions-/Desinvestitionsrisiko
Zinsaufwand	Finanzierbarkeit von Investitionen, Zinsänderungsrisiken

Risikoidentifikation anhand der Bilanz (§ 266 HGB)

Bilanzposition	identifizierbare Risiken
Immaterielle Vermögensgegenstände	Werthaltigkeit (z. B. bei Patenten)
Sachanlagen	Betreiberrisiko (Umwelt, behördliche Auflagen), Altersstruktur der Anlagen, Anlagenintensität, Versicherungsschutz
Finanzanlagen	Termingeschäfte, Kapitalbeteiligungen, Derivate
Vorräte	Altersstruktur, Abhängigkeit von Großkunden, Versicherungsschutz, Umlaufintensität
Eigenkapital	Eigenkapitalquote
Rückstellungen	Finanzierbarkeit der betrieblichen Altersversorgung (Pensionsrückstellungen), drohende Verluste aus schwebenden Geschäften
Verbindlichkeiten	Kontokorrentkredit, Lieferantenkredit

Controlling

→ Hauptartikel: Controlling

Eine wichtige Aufgabe des Controllings ist die Informationsbereitstellung für Entscheidungen, wie z. B. Unternehmensplanung, Investitionsplanung oder Budgetierung. Diese Entscheidungen werden mit Hilfe von Annahmen über die zukünftige Entwicklung von bestimmten Einflussfaktoren getroffen. Da diese Annahmen nicht sicher sind, deckt die Controlling-Abteilung jedes Mal, wenn sie eine Annahme trifft, ein potentielles Risiko auf. Mögliche Annahme, die getroffen werden, sind z. B. Konjunkturannahmen, Rohstoffpreise, Umsatz etc.

Synektik

Eine unbekannte unsystematische Methode zur Risikoidentifikation ist die Synektik. Bei dieser Methode werden scheinbar unzusammenhängende/irrelevante Faktoren verknüpft. Dadurch überträgt sie problemfremde Strukturen auf das Problem, was wiederum zu einem anderen Blickwinkel und Lösungsansatz führt. Das wesentliche Prinzip dieser Methode lautet: „Mach dir das Fremde vertraut und entfremde das Vertraute“. Ziel der Methode ist es, durch Reorganisation von Wissen neues Wissen zu produzieren. Das Verfahren ist sehr aufwendig und ein Moderator zur Diskussionsleitung ist notwendig. Die einzelnen Prozessschritte der Synektik sind nachfolgend aufgeführt:

1. Problemanalyse und -definition
   • Beispiel: Wie kann Platte möglichst einfach auf Gestell befestigt werden?
2. Spontane Lösungen
   • Beispiel: Saugnäpfe, Nägel, Schrauben, Klebeband
3. Neuformulierung des Problems
   • Beispiel: Wie kann erreicht werden, dass die Platte leicht wieder abgenommen werden kann?
4. Bildung direkter Analogien (z. B. aus der Natur)
   • Beispiel: Tier verliert Fell, Baum verliert Blätter, Schlange streift Haut ab (hier in dem Beispiel von Gruppe gewählt)
5. Persönliche Analogien (Identifikation)
   • Beispiel: Wie fühle ich mich als häutende Schlange? Eingeengt
6. Symbolische Analogien (Kontradiktionen)
   • Beispiel: Bedrückende Hülle, lückenloses Fell (von Gruppe gewählt)
7. Direkte Analogien (z. B. aus der Technik)
   • Druckbehälter, Leitplanken
8. Analyse der direkten Analogien
   • Beispiel: Druckbehälter: fest, hart, glänzend
9. Übertragung auf das Problem (Force-Fit – sollte nach Regeln des Brainstormings ablaufen)
   • Beispiel: Profilrahmen, Kugeln zwischen Platte und Gestell, Rahmen nur an zwei Seiten
10. Entwicklung von Lösungsansätzen

Wertkettenanalyse

Wertkette nach Porter

Die Wertkettenanalyse beruht auf dem Wertkettenmodell, welches von Michael E. Porter entwickelt wurde. Dieses Modell geht davon aus, dass Wettbewerbsvorteile aus wertschöpfenden Aktivitäten des Unternehmens erwachsen. Mit Hilfe dieses Modells lassen sich Wettbewerbsvorteile sowie Kernkompetenzen eines Unternehmens identifizieren.

Jedes Unternehmen besteht aus einer Vielzahl miteinander verbundener Aktivitäten. Jede Aktivität hat einen Anteil an der Wertschöpfung und ist somit ausschlaggebend für den unternehmerischen Erfolg. Neben dem Aufdecken von Wettbewerbsvorteilen können mit Hilfe des Wertkettenmodells auch Risiken identifiziert werden. Hierfür muss zunächst die unternehmensindividuelle Wertkette abgebildet werden. Zu diesem Zweck müssen die unternehmerischen Aktivitäten in Anlehnung an das Grundmodell (Abbildung) eingepflegt werden. Auch ist es sinnvoll, die Aktivitäten in Einzelteile zu gliedern, um die Vorgänge im Unternehmen zu identifizieren, welche am wichtigsten für die Leistungserstellung sind. Auch lässt sich daran Koordinationsbedarf zwischen einzelnen Bereichen ableiten und risikobehaftete Bereich erkennen. Somit gibt die Wertkettenanalyse eine gute Übersicht über die unternehmerischen Risiken in ihrer Gesamtheit.

Fehlerbaumanalyse

Die Fehlerbaumanalyse ist ein deduktives Top-Down-System, welches zur Untersuchung von Gesamtsystemen eingesetzt werden kann. Ziel der Analyse ist die Bestimmung der Verlässlichkeit der einzelnen Prozesse und infolgedessen auch des Gesamtsystems. Die Erkennung aller möglichen Kombinationen von Ausfällen einzelner Prozesse wird sichergestellt. Darüber hinaus ermöglicht sie die Beschreibung von Eintrittswahrscheinlichkeiten sowie Ereignisfolgen. Voraussetzung für die Auswertung komplexer Fehlerbäume ist eine Software.

Das Ziel dieser Analysemethode ist die Definition der Bedingungen, unter denen das System nicht funktioniert. Aus diesem Grund muss zunächst die Störung des Gesamtsystems möglichst exakt beschrieben werden. Hierauf aufbauend findet eine Analyse statt. Diese untersucht, welche sekundären Störungen zu einer Störung des Gesamtsystems führen können. Diese sekundären Ursachen können möglicherweise weiter aufgespaltet werden. Die graphische Darstellung dieser Zusammenhänge ist der Fehlerbaum. Komplexere Fehlerereignisse lassen sich auch mittels logischer Verknüpfungen, z. B. Und-/Oder-Verknüpfungen abbilden. Das Beispiel zeigt einen Ausschnitt des Fehlerbaums, welcher das Gesamtsystem „ERP“ betrachtet:

Fehlerbaum: ERP-Ausfall

Frühwarnsysteme

Ziel von Frühwarnsystemen ist das Erkennen von internen und externen Risiken weit vor ihrem Eintritt, so dass dem Unternehmen genug Zeit für Gegensteuerungsmaßnahmen bleibt. Man kann diese Systeme für einen spezifischen Bereich im Unternehmen sowie auf das gesamte Unternehmen anwenden. Im Laufe der Zeit haben sich Frühwarnsysteme weiterentwickelt. So unterscheidet man heute zwischen drei Generationen, die sich den operativen oder strategischen Frühwarnsystemen zuordnen lassen können. Unabhängig von der Entwicklungsstufe sollten alle Frühwarnsysteme unter Ausnutzung der zum jeweiligen Zeitpunkt verfügbaren Informationen möglichst früh, möglichst präzise und möglichst nachvollziehbar die Zukunft für die für das Unternehmen relevanten Variablen vorhersagen.

Systeme der 1. Generation sowie Systeme der 2. Generation decken operative Risiken mit Hilfe der Kennzahlenanalyse auf. So wurden Systeme der 1. Generation bereits in den 60er Jahren eingesetzt. Diese Systeme leiteten Ausnahmemeldungen weiter. Strategische Risiken werden mit einigen Systemen der 2. Generation sowie mit Systemen der 3. Generation aufgedeckt. Systeme zur Erkennung operativer Risiken umfassen Kennzahlsysteme, welche lediglich Daten aus der Vergangenheit (ex post) aufarbeiten und gegebenenfalls hochrechnen. Durch die Hochrechnung kann man geschätzte zukünftige Kennzahlwerte erhalten. Auf dieser Basis können beispielsweise Planwerte mit hochgerechneten Istwerten verglichen werden. Die Genauigkeit der Hochrechnung ist abhängig von den zugrunde liegenden Prognosemethoden. Man unterteilt Prognosemethoden in qualitative und quantitative (Zeitreihenanalyse, Kausale Methoden) Methoden. Quantitative Methoden nutzen mathematische Rechnungen und sind aus diesem Grund nur für kurze Zeiträume sinnvoll einsetzbar. Zudem werden nur quantitative, nicht aber qualitative Fakten betrachtet. Strategische Frühwarnsysteme versuchen durch eine uneingeschränkte 360 Grad Suche, im Sinne eines strategischen Radars, auch bisher unerkannte Entwicklungen und Risiken aufzuspüren.

Risikoworkshops

Bestimmte Risikoarten können durch kritische Diskussionen im Rahmen eines Risikoworkshops identifiziert werden. Hierzu gehören operative und strategische Risiken. Speziell heißt das, dass Risiken aus dem Leistungserstellungsprozess (operative Risiken), rechtliche Risiken, politische Risiken, Risiken aus Unterstützungsprozessen etc. identifiziert werden können.

Der Vorteil von Risikoworkshops besteht darin, dass neben der Risikoidentifikation weitere Themen bezüglich des Risikomanagements besprochen werden können, wie z. B. das weitere Vorgehen mit den identifizierten Risiken. Des Weiteren bewirken regelmäßige Risikoworkshops eine Stärkung des Risikobewusstseins der Belegschaft. Gleichgültig, ob strategische oder operative Risiken identifiziert werden sollen, ist eine gute Planung Grundvoraussetzung für einen erfolgreichen Workshop.

• Schritt 1 – Auswahl der Beobachtungsbereiche: Zunächst muss genau festgelegt werden, welche Fragen geklärt werden sowie in welchen Bereichen Risiken identifiziert werden sollen.
• Schritt 2 – Expertenauswahl: Welche Mitarbeiter/Experten sind zur Beantwortung der Kernfragen wichtig und sollten zu dem Workshop geladen werden? (Für einen Workshop sind ungefähr zwei Arbeitstage einzuplanen.)
• Schritt 3 – Auftaktveranstaltung: Im Rahmen der Auftaktveranstaltung werden die Experten mit den notwendigen Informationen über das Projekt ausgestattet. Zudem ist es empfehlenswert, schon mit der Einladung zur Auftaktveranstaltung Informationen über das Projekt auszugeben.
• Schritt 4 – Einstieg in den Workshop: Während des Workshops werden in Gruppen Methoden zur Risikoidentifikation durchgeführt. Es empfiehlt sich, zu Beginn noch einmal die Intention des Projektes hervorzuheben sowie den Ablauf und die erwarteten Ergebnisse aufzuzeigen. Zudem ist es sinnvoll, Grundbegriffe der Risikobewertung zu klären.
• Schritt 5 – Risikoidentifikation: Viele mögliche Methoden zur Risikoidentifikation wurden bereits im Rahmen dieses Artikels betrachtet. Die Wertschöfpfungskettenanalyse ist z. B. ein wichtiges Werkzeug zur Identifizierung operativer Risiken. Des Weiteren dient eine Analyse der Struktur der Risikofelder einem guten Anhaltspunkt. Eine Durchführung entlang einer Checkliste, die abgearbeitet wird, alleine ist nicht zielführend, da Menschen bei Vorlage einer solchen Liste kaum über andere, nicht gelistete Risiken nachdenken. Es kann aber eine gute Ergänzung darstellen. Weitere Methoden wie z. B. die Delphi-Technik können auch im Rahmen eines solchen Workshops zielführend sein.
• Schritt 6 – Relevanzabschätzung: Final müssen die identifizierten Risiken nach ihrer Relevanz beurteilt werden. Ziel ist es, die Risiken zu finden, für die eine Weiterbearbeitung sinnvoll ist. Risiken die nicht weiterbearbeitet werden, dürfen nicht gestrichen werden. Es ist anzugeben, weshalb sie nicht weiterverfolgt werden.