Gefangen in der Risikowahrnehmung

Ein Leben ohne Risiko gab es noch nie und wird es auch nie geben. Doch wer Chancen – als die Kehrseite der Gefahr – ergreift und Risiken gut antizipieren und steuern kann, ist für die Zukunft besser gewappnet. Um Risiken fundierter und besser beurteilen zu können, sollte man sein eigenes Können realistisch einschätzen, langfristig denken und vor allem Informationen und Zahlen kritisch hinterfragen. Die Alternative ist dem Herdentrieb zu folgen und sich einem medialen und politischen Wechselbad von Dramatisierungen und Verharmlosungen auszuliefern.

Fakt ist, dass wir zu viele Ressourcen für Risiken verschwenden, die eher trivial sind. Andere systemische Risiken, die für uns und unsere Nachwelt von zentraler Bedeutung sind, werden hingegen ausgeblendet. Menschen und Unternehmen lassen sich immer wieder von Katastrophenmeldungen in den Medien und einer nicht ausgewogenen Risikokommunikation beeinflussen. So sind sie im Glauben gefangen, das Leben sei eine einzige Abfolge bedrohlicher Ereignisse. Sie ängstigen sich zu Tode und sind im Glauben gefangen, dass beispielsweise in der Folge von Covid-19 das Ende der Menschheit bevorsteht.

Und Medien und Politik befeuern diese schiefe Risikowahrnehmung durch eine nicht faktenbasierte Risikokommunikation, die sich zudem noch von Tag zu Tag verändert. Dies führt vor allem zu Unsicherheit. Und Unsicherheit erzeugt Angst. Und ein gefühlter Kontrollverlust führt zu noch mehr Angst und in der Folge zu völlig irrationalen Entscheidungen.
Unsere Furcht vor vielen Risiken verrät vor allem einen Mangel an Realitätssinn in unserer Risikowahrnehmungsgesellschaft. Dies führt in der Konsequenz zu dem Ergebnis, dass das Augenmaß für eine objektive Wahrnehmung der Risiken verloren geht. Je mehr wir in Risikomündigkeit investieren, desto größer ist die Chance, dass wir aus der Falle der Risikowahrnehmungsgesellschaft ausbrechen können.

Viele Unternehmen tun sich weiterhin schwer damit, ein modernes Risikomanagement zu installieren. Woran das liegt und an welchen Stellschrauben Unternehmen drehen müssen, darüber sprach die Fachzeitschrift PROTECTOR mit Frank Romeike, Gründer und geschäftsführender Gesellschafter von RiskNET.

Die Coronakrise hält die Wirtschaft wohl auch in naher Zukunft in Atem. Wie könnte ein Risikomanagement in Organisationen beim Bewältigen der vielfältigen Herausforderungen unterstützen?

Frank Romeike: Seit mehr als zwei Jahrzehnten beschäftige ich mich mit dem Aufbau wirksamer, das heißt funktionierender Risikomanagement-Systeme. Und in dieser Zeit habe ich gelernt, dass ein verantwortungsvoller Umgang mit Risiken in Wirklichkeit ein wesentlicher Werttreiber für Unternehmen darstellt. Denn für Unternehmen ist ein sicherer und zugleich professioneller Umgang mit dem Faktor Risiko und damit auch der Chance aus existenziellen Gründen unumgänglich. Ohne Risiken gäbe es aber auch keinerlei Chancen. Denn Chancen und Wagnisse sind die zwei Seiten ein und derselben Medaille.

Um Werte für ein Unternehmen zu schaffen, müssen Risiken eingegangen werden. Der Erfolg eines Unternehmens ist jedoch maßgeblich dadurch bestimmt, dass die richtigen Risiken eingegangen werden. Risiken zu managen heißt auch, die richtigen Strategien zu entwickeln und "böse Überraschungen" rechtzeitig zu erkennen und durch Maßnahmen zu eliminieren oder zumindest deren Wirkungseffekte zu reduzieren.

Ein antizipierendes Risikomanagement erhöht Lebenserwartung von Unternehmen

Und wichtig ist, auch im Zusammenhang mit der Coronakrise: Rettungsboote sollten nicht erst im Sturm gebaut werden. Können Sie uns dafür ein Beispiel geben?

Frank Romeike: Diese Erkenntnis gewann ich im Jahr 1995, als ich als Chief Risk Officer für das Risikomanagement eines globalen Konzern verantwortlich war. Um 5:46 Uhr morgens rüttelte ein Erdbeben der Stärke 7,3 auf der Richterskala die 1,5 Millionen Einwohner der japanischen Stadt Kobe für 20 Sekunden durcheinander. Die Wirkungen auf die globalen Wertschöpfungsnetze waren katastrophal. Der Ruf nach einem präventiven Supply-Chain-Risikomanagement war die Konsequenz.

Doch schnell gerieten die schmerzhaften Erfahrungen in Vergessenheit, wie auch bei allen anderen Ereignissen, die die globalen Wertschöpfungsnetze in vielen Bereichen zum Stillstand brachten, man denke nur exemplarisch an das Tōhoku-Erdbeben in Japan sowie schwere Überschwemmungen mit dem Schwerpunkt in Südthailand im Jahr 2011. Auch die politisch initiierten Lock-Down-Maßnahmen in der Folge des neu entdeckten Corona-Virus Sars-Cov-2 präsentierten uns die Fragilität der globalen Supply Chains.

Zurück zur Eingangsfrage: Unternehmen, die über ein präventives und antizipierendes Risikomanagement verfügen, erhöhen ihre Lebenserwartung – die übrigens mit rund 13 Jahren im Durchschnitt katastrophal gering ausfällt.

Ein modernes Risikomanagement scheint allerdings in vielen Unternehmen noch immer Zukunftsmusik zu sein. Teilen Sie diese Meinung?

Frank Romeike: Ja, das ist nicht nur eine Vermutung, sondern leider Tatsache! Unternehmen beschäftigen sich nur ungern mit den schmerzhaften Folgen von Risikoeintritten. Das ist immer nur etwas für Hypochonder und Schwarzmaler. Hierzu ein Beispiel aus der jüngsten Vergangenheit: "Covid-19 ist wie ein schwarzer Schwan: Wir konnten uns nicht direkt darauf vorbereiten", so Daimler-Chef Ola Källenius in einer Videoansprache an seine 300.000 Mitarbeiter rund um den Globus.
Diese Aussage ist schlicht und einfach falsch. An dieser Stelle sei Nikolaus von Bomhard zitiert, der Ex-Vorstandsvorsitzender des Rückversicherers Munich Re: "Die vermeintliche Unvorhersehbarkeit von Ereignissen muss nur allzu oft als Ausrede für fehlendes Risikomanagement herhalten."

Die durch das Coronavirus Sars-CoV-2 verursachte Covid-19-Pandemie liefert uns sowohl ein eindrückliches als auch schmerzhaftes Beispiel für Risikoblindheit, schiefe Risikowahrnehmung und fehlende Risikokompetenz bei Verantwortlichen im Staat sowie bei vielen Unternehmenslenkern. Eine Pandemie ist ein Ereignis, das uns bereits in der Vergangenheit regelmäßig getroffen hat und das mit Gewissheit irgendwann erneut treffen wird. Die einzige Unbekannte war und wird auch in der Zukunft der genaue Zeitpunkt sein – aber eben gerade nicht das Ereignis.

Krisenzeiten nicht vorhersagbar

Infektionsrisiken und Pandemien bereiten Wissenschaftlern sowie weitsichtigen und seriös arbeitenden Risikomanagern seit vielen Jahren schlaflose Nächte – wie übrigens auch das Szenario eines "Black Outs" und eines globalen Finanzkollaps. In renommierten Fachzeitschriften, wie etwa Nature, Science und Nature Reviews Microbiology, wurden Studienergebnisse über die Risiken einer globalen Epidemie veröffentlicht, die beispielsweise durch Coronaviren verursacht werden können. "Der Ausbruch von Wuhan war kein Zufall", so Ralph Baric, Virologe an der University of North Carolina in Chapel Hill. Oder anders formuliert: Die Epidemie war geradezu unvermeidbar. Der exzellente Statistiker und Professor für internationale Gesundheit, Hans Rosling, hat bereits vor vielen Jahren auf die fünf globalen Risiken hingewiesen, die uns beunruhigen sollten. Als Top-1-Risiko beschreibt er in seinem Buch "Factfulness" das Risiko einer globalen Pandemie.

Erwähnt sei an dieser Stelle auch die detaillierte Risikoanalyse "Pandemie durch Virus Modi-Sars", die von Wissenschaftlern und Experten des Robert Koch-Instituts (RKI) und zahlreichen Bundesämtern bereits im Jahr 2012 erstellt wurde. Das fiktive Szenario beschrieb eine von Asien ausgehende, globale Verbreitung eines neuartigen Erregers "mit außergewöhnlichem Seuchengeschehen". Hierfür wurde der hypothetische, jedoch mit realistischen Eigenschaften versehene Erreger "Modi-Sars" zugrunde gelegt.

Die Gründe für die Nicht-Wirksamkeit vieler Risikomanagement-Systeme sind vielfältig und können unter anderem in Methodendefiziten gefunden und auch psychologisch erklärt werden. Auf diese und viele weitere Themen gehen wir im Rahmen des RiskNET Summit 2020 am 20. und 21. Oktober 2020 in Raubling bei Rosenheim ein.

Woran hapert es Ihrer Ansicht nach mit Blick auf vorausschauende Risikomanagementprozesse in Unternehmen?

Frank Romeike: Grundsätzlich existieren vier Erfolgsfaktoren, damit ein Risikomanagement wirksam ist und einen Mehrwert stiftet.

• Risikomanagement muss gelebt werden, das heißt eine adäquate Risiko- und auch Fehlerkultur im Unternehmen. Hierbei geht es vor allem um die Frage, wie wir im Unternehmen mit Fehlern und Risiken umgehen. Vielfach gelten Fehler und Risiken als etwas Schlechtes, dass wir tunlichst vermeiden müssen. Begleitet wird dies auch oft mit dem Gefühl beim Risikoverantwortlichen, bei einem Risiko versagt zu haben oder seiner Aufgabe nicht vollumfänglich gewachsen zu sein. Dabei sind Fehler und Risiken immer dann am nützlichsten, wenn alle davon lernen.
• Risikomanagement benötigt einen Prozess in Form eines kontinuierlichen Regelkreises inkl. Lessons learned und eines kontinuierlichen Verbesserungs- und Weiterentwicklungsprozesses.
• Risikomanagement muss in eine Organisation eingebettet werden, interdisziplinär ausgerichtet sein und darf keinesfalls als isoliertes "Silo" betrachtet werden.
• Risikomanagement basiert auf adäquaten und auf die Fragestellung angepassten Methoden. Die Werkzeugkiste des Risikomanagements ist gut befüllt. Unternehmen sollten sich hierbei vor allem auf Methoden konzentrieren, die ein "Lernen aus der Zukunft" ermöglichen und die für operative Einheiten verständlich, umsetzbar und praktikabel sind.

Die größten Defizite existieren in den Bereichen Methoden und gelebte Risiko- und Fehlerkultur. Eine große Anzahl Unternehmenspleiten oder auch politisch völlig fehlgeleitete Maßnahmen hätten verhindert werden können, wenn nur diese beiden Erfolgsfaktoren beherzigt worden wären.

Stattdessen konzentrieren sich viele Unternehmen und Behörden auf den Aufbau ausufernder Kontrollsysteme und bürokratischer Compliance- und GRC-Parallelwelten. Und vor lauter Regel- und Kontrollwut und Gesetzeswust bleibt eine gelebte individuelle Verantwortungs- und Risikokultur auf der Strecke (siehe aktuell Wirecard, aber auch die diverse Complianceskandale im Bereich der öffentlichen Hand).

Beispiel aus der Geschichte

Nun scheinen Begriffe wie Resilienz, Agilität oder Methoden nur die logische Fortführung immer neuer Platzhalter in der Wirtschaft zu bestätigen. Wie können Risikomanager diesen Kreislauf durchbrechen und einen Mehrwert aus diesem Sammelsurium aus Schlagworten für das eigene Risikomanagement praxisnah ziehen?

Frank Romeike: Diese Begriffe vergehen in Schall und Rauch und sind vor allem Plattitüden von Großberatern, die damit die nächste Beratungssau durchs Unternehmen treiben. Ein wirksames Risikomanagement benötigt diese Worthülsen nicht. Wirksames Risikomanagement (inklusive Risikotragfähigkeit, Portfoliosicht) ist viel älter, als die meisten Menschen glauben. Mein Lieblingsbeispiel liefert die älteste Versicherung der Welt, die Hamburger Feuerkasse, die Mitte des 17. Jahrhunderts gegründet wurde. Die Gründer wussten, dass der langfristige Erfolg im Versicherungsgeschäft über die Qualität des Risikomanagements definiert wird. Bereits zur damaligen Zeit standen drei Fragestellungen im Mittelpunkt: Wie viel Risiko darf ich eingehen? Wie viel Risiko kann ich eingehen? Wie viel Risiko will ich eingehen?

Der Eintritt in die Hamburger Feuerkasse war zunächst freiwillig. Der Austritt hingegen war in den Anfangsjahren genehmigungspflichtig. Warum? Hierdurch konnte die Feuerkasse das Portfolio an versicherten Objekten aktiv steuern und vor allem einer negativen beziehungsweise adversen Risikoselektion vorbeugen. Außerdem vereinbarte die Hamburger Feuerkasse "einem quart" (25 %) Selbstbeteiligung. So wurde aktiv das "subjektive" Betrugsrisiko reduziert. Außerdem wurde mit den Mitgliedern neben festen Beiträgen (ordentliche Zulage) auch eine unbegrenzte Nachschusspflicht (außerordentliche Zulage) vereinbart. So konnte die Risikotragfähigkeit flexibel an die tatsächliche Risikosituation im Portfolio angepasst werden.

Neuer Standard

Jüngst wurde der neue Standard IDW PS 340 zur Prüfung des Risikofrüherkennungssystems verabschiedet. Ein neuer Papiertiger oder ein echter Mehrwert für das Risikomanagement?

Frank Romeike: Der alte IDW-Standard erfüllte nicht die Anforderungen an wirksame Risikomanagement-Systeme und hätte bereits vor vielen Jahren überarbeitet werden müssen. Denn auch Quelle, Arcandor, Praktiker, Air Berlin, Walter Bau, Karmann und viele weitere Unternehmen verfügten über Risikomanagement-Systeme, die auch von Wirtschaftsprüfern – basierend auf IDW PS 340 – testiert wurden. Allerdings fehlte diesen Systemen ein wesentliches Element: präventive und antizipierende Frühwarnung und eine gelebte Risiko- und Fehlerkultur.

Für Unternehmen, die bereits heute über ein wirksames Risikomanagement-System verfügen, werden von den Inhalten des IDW PS 340 nicht überrascht sein. Allerdings steht zu befürchten, dass insbesondere in großen Konzernen – mit Unterstützung von wirtschaftsprüfungsnahen Beratungsgesellschaften – am Ende des Tages wieder bürokratische und nicht wirksame Compliance- und Risikomanagement-Parallelwelten aufgebaut werden, ohne jegliche Akzeptanz auf der Ebene der Unternehmensleitung und ohne Mehrwert für die Organisation.

Schauen wir über den Tellerrand der Coronapandemie hinaus. Es scheint, als werde die Welt immer unübersichtlicher. Wie können Unternehmer hier den Durchblick wahren – gerade bei dünner Personal- und Budgetdecke?

Frank Romeike: Möglicherweise haben das Unternehmer vor vielen Jahrhunderten auch gesagt. Fakt ist doch vielmehr, dass wir über einen exzellenten Zugang zu Informationen verfügen, die wir nur sauber filtern müssen. Diese Filterfunktion sollte aus meiner Sicht ein Risikomanager übernehmen und die wirklich relevanten Szenarien aggregieren, Maßnahmen vorschlagen und diese mit der Entscheiderebene diskutieren. Interessanterweise weisen sehr häufig kleine mittelständische Unternehmen (mit einer dünnen Personal- und Budgetdecke) einen höheren Reifegrad auf als Großkonzerne, deren Budgets in der Regel üppiger gestaltet sind. Risikomanagement sollte als wirksames System immer dezentral aufgebaut sein, das heißt die Prozess- oder Projektverantwortlichen sind auch die Risikomanager. Dies bedeutet, dass für ein wirksames Risiko- und Chancenmanagement keine großen Personalressourcen erforderlich sind. Wichtiger als Quantität ist hier vielmehr Qualität. Wir benötigen Risikomanager mit entsprechenden Qualifikationen hinsichtlich Methoden, Empathie, Kommunikation, Interdisziplinarität, Rückgrat und so weiter.

Das ist ein Grund, warum wir in München ein Masterprogramm zum "Risiko- und Compliancemanagement" gestartet haben und über unsere RiskAcademy Inhouse-Trainings und offene Seminare anbieten. Mehr als 20.000 Personen haben wir über die letzten Jahre trainiert.

Neue Chancen für Unternehmen

Risiko heißt immer auch Chance wahren. Wo sehen Sie in diesen aufgewühlten Zeiten die Chancen für Unternehmen und wie können diese mittel- bis langfristig gewahrt werden?

Frank Romeike: Die Chancen sind offensichtlich. Gerade auch die aufgewühlten Zeiten haben für viele Branchen neue Chancen präsentiert, etwa im Einzelhandel, in der Logistik oder in digitalen Diensten. Und in der Nach-Coronazeit werden weitere Chancen entstehen, etwa rund um die Themen Nachhaltigkeit, Energieerzeugen, Mobilität, Kommunikation und so weiter. Auch das ist eine Aufgabe für weitsichtige Risikomanager, die sich nicht selten auch Risk & Opportunity-Manager nennen. Mit Hilfe von Kreativitätsmethoden, etwa einer deterministischen Szenarioanalyse, lassen sich zukünftige Chancen strukturiert und systematisch antizipieren. Man spricht hier auch vom "Lernen aus der Zukunft", da bei der Definition konsistenter Szenarien potenzielle zukünftige Einflussfaktoren mit berücksichtigt werden. Dies können beispielsweise gesellschaftliche oder technologische Entwicklungen sein.

Abschließend eine Vorausschau: Welche Entwicklungsstufen muss das Risikomanagement in den kommenden Jahren zwingend bewältigen, will es zukünftig ein qualitatives "Mehr" an Führungs- und Lenkungsaufgaben wahrnehmen?

Frank Romeike: Ein Leben ohne Risiko gab es noch nie und wird es auch nie geben. Doch wer Chancen – als die Kehrseite der Gefahr – ergreift und Risiken gut antizipieren und steuern kann, ist für die Zukunft besser gewappnet. Um Risiken fundierter und besser beurteilen zu können, sollte man sein eigenes Können realistisch einschätzen, langfristig denken und vor allem Informationen und Zahlen kritisch hinterfragen. Die Alternative ist dem Herdentrieb zu folgen und sich einem medialen und politischen Wechselbad von Dramatisierungen und Verharmlosungen auszuliefern.

Fakt ist, dass wir zu viele Ressourcen für Risiken verschwenden, die eher trivial sind. Andere systemische Risiken, die für uns und unsere Nachwelt von zentraler Bedeutung sind, werden hingegen ausgeblendet. Menschen und Unternehmen lassen sich immer wieder von Katastrophenmeldungen in den Medien und einer nicht ausgewogenen Risikokommunikation beeinflussen. So sind sie im Glauben gefangen, das Leben sei eine einzige Abfolge bedrohlicher Ereignisse. Sie ängstigen sich zu Tode und sind im Glauben gefangen, dass beispielsweise in der Folge von Covid-19 das Ende der Menschheit bevorsteht.
Furcht vor Risiko

Und Medien und Politik befeuern diese schiefe Risikowahrnehmung durch eine nicht faktenbasierte Risikokommunikation, die sich zudem noch von Tag zu Tag verändert. Dies führt vor allem zu Unsicherheit. Und Unsicherheit erzeugt Angst. Und ein gefühlter Kontrollverlust führt zu noch mehr Angst und in der Folge zu völlig irrationalen Entscheidungen.

Unsere Furcht vor vielen Risiken verrät vor allem einen Mangel an Realitätssinn in unserer Risikowahrnehmungsgesellschaft. Dies führt in der Konsequenz zu dem Ergebnis, dass das Augenmaß für eine objektive Wahrnehmung der Risiken verloren geht. Je mehr wir in Risikomündigkeit investieren, desto größer ist die Chance, dass wir aus der Falle der Risikowahrnehmungsgesellschaft ausbrechen können. So habe ich in den letzten Monaten mit Unternehmen zu tun gehabt, bei denen Angst zum größten Risiko mutiert ist.

Und erst wenn wir diese Risikowahrnehmungsfalle verlassen und uns um die wirklich relevanten Szenarien kümmern, kann der Risikomanager die Unternehmensführung mit wirklich relevanten Informationen unterstützen. Aus mehr als zwei Jahrzehnten Risikomanagement habe ich gelernt, dass sich Entscheider vor allem für die großen und schmerzhaften Überraschungen interessieren, die ihnen auf ihrer Reise zum Ziel begegnen. Denn böse Überraschungen mag kein Vorstand, Aufsichtsrat oder Geschäftsführer. Und wenn sie dann dem Entscheider noch sinnvolle Maßnahmen präsentieren, damit die Überraschung zu einem harmlosen Ereignis transformiert wird, dann haben sie neue Freunde im Unternehmen gewonnen.

[Wir danken der Redaktion der Fachzeitschrift PROTECTOR für die Erlaubnis einer Veröffentlichung des Interviews auf dem Kompetenzportal RiskNET]