Strategisches Risikomanagement

Im Jahr 1996, also vor 20 Jahren, wurde mit dem Konzept des "Robusten Unternehmens" eines der ersten Rahmenwerke für das Risikomanagement entwickelt [vgl. Gleißner 1996; Gleißner 2000a und Gleißner 2000b; siehe auch Froot/Scharfstein/Stein 1994 und Kaplan/Mikes 2012].

Dies ist Anlass für diesen Beitrag, in dem die Entwicklung von Risikomanagement und Risikomanagement-Konzepten – aus der persönlichen Perspektive des Autors – knapp zusammengefasst wird.

Vor 20 Jahren, also vor dem berühmten Kontroll- und Transparenzgesetz (KonTraG), war Risikomanagement in deutschen Industrie- und Handelsunternehmen kaum ein Thema. Risikomanagement war im Wesentlichen Versicherungsmanagement und ein wenig strukturiertes und organisiertes Nachdenken über mögliche Schäden, die im Unternehmen entstehen können. Die Entwicklung der Konzeption des Robusten Unternehmens war eine Folge der Weiterentwicklung im Bereich des strategischen Managements. Strategien zielen darauf durch den Ausbau der Erfolgspotenziale des Unternehmens den Unternehmenserfolg langfristig zu sichern. Die Entwicklung einer Strategie erfordert damit eine intensive Beschäftigung mit der Zukunft. So müssen sich Unternehmen beispielsweise an Veränderungen der Wettbewerbskräfte anpassen und Zukunftstrends berücksichtigen. Strategien beschäftigen sich mit der mittel- und längerfristigen Zukunft. Und genau diese Zukunft ist nicht sicher vorhersehbar. Es sind die Chancen und Risiken (Gefahren), die Abweichungen von der Planung auslösen können. Gerade bei einer strategischen Planung über fünf oder zehn Jahre ist es daher wenig sinnvoll implizit anzunehmen, man könnte die Zukunft sicher vorhersehen. Die Psychologen sprechen von einer "Kontrollillusion"  [vgl. Gleißner/Romeike 2012b] und diese führt zu Scheingenauigkeiten in einer "einwertigen" Planung. Eine gute und erfolgsversprechende Unternehmensstrategie sollte wegen der Unsicherheit der Zukunft "robust", d.h. in möglichst vielen denkbaren Zukunftsszenarien [die Bedeutung des Denkens in Szenarien und die Simulation wird inzwischen durchweg anerkannt; vgl. Romeike/Spitzner 2013]) ausreichend erfolgsversprechend, sein. Dies ist die Kernidee des Robusten Unternehmens, d.h. eines Unternehmens mit einer robusten Strategie, das die wesentliche Erkenntnis des Risikomanagements mit dem strategischen Management verbindet. Schon vor 20 Jahren war klar: Die Beschäftigung mit Chancen und Gefahren (Risiken) muss auf der Ebene der Unternehmensführung (Vorstände und Geschäftsführer) anfangen und diese sollten sich genau mit dem Wesentlichen, d.h. den strategischen Risiken befassen. Die Nutzung von Techniken des Risikomanagements werden im Rahmen der Strategie-Entwicklung genutzt und zum Vorstand und Geschäftsführer zum "obersten Risikomanager".

Das Robuste Unternehmen

Das Konzept des Robusten Unternehmens hat sich in den letzten 20 Jahren praktisch nicht verändert und lässt sich wie folgt zusammenfassen:

Bei der Entwicklung einer Strategie ist es insbesondere notwendig, sich von der Illusion einer vollständigen Determiniertheit oder sicheren Vorhersehbarkeit der Zukunft zu verabschieden und den unvermeidlichen Unsicherheiten durch eine gezielte Risikoanalyse – als Ergänzung der traditionellen Planung – zu begegnen. Denn nicht nur durch eine Steigerung der erwarteten Erträge, sondern ebenso durch eine Reduzierung der Risiken kann man den Erfolg eines Unternehmens steigern (Gemäß den Vorstellungen der Kapitalmarkttheorie – beispielsweise des Capital-Asset-Pricing-Modells (CAPM) – sind in vollkommenen Märkten bei Vernachlässigung von Konkurskosten nur die "systematischen Risiken", also solche die unternehmensübergreifend und nicht durch Diversifikation zu eliminieren sind, bewertungsrelevant).

Das Ziel sollte daher ein "Robustes Unternehmen" [Vgl. zu diesem strategischen Konzept Gleißner 2000b, Gleißner 2004b und Gleißner 2008] sein, das so flexibel und beweglich ist, sich auch an unvorhergesehene Entwicklungen anpassen zu können. Seine (messbaren) Risiken durch unsichere Marktentwicklungen sind beispielsweise so abzustimmen, dass sie vom "Sicherheitspuffer" Eigenkapital und Liquidität (Risikodeckungspotenzial) getragen werden können und ein angemessenes Rating gesichert ist, auch wenn schwerwiegende Risiken eintreten. Ein "Robustes Unternehmen" konzentriert sich auf Kernkompetenzen, die langfristig wertvoll, schwierig kopierbar und vielfältig nutzbar sind. Es baut auf dieser Grundlage – orientiert an den Kundenwünschen – Wettbewerbsvorteile auf, die zu einer Differenzierung von Wettbewerbern und zur langfristigen Bindung von Kunden beitragen. Dies führt zu "Preissetzungsmacht" und der Möglichkeit, Kostenschwankungen zu überwälzen. Unattraktive Tätigkeitsfelder oder Kundengruppen werden gemieden. Infolge intensiven Wettbewerbs und sinkender Transaktionskosten ist die Wertschöpfungskette dahingehend optimiert, dass nur Aktivitäten im Unternehmen erbracht werden, die nicht besser zugekauft werden können, und durch deren Auslagerung das Unternehmen nicht zu sehr in Abhängigkeit gerät. Das Unternehmen gestaltet seine Arbeitsabläufe möglichst unkompliziert unter gleichzeitiger Berücksichtigung von Kosten-, Risiko-, Geschwindigkeits- und Qualitätsaspekten. Es wird, soweit möglich, Bedingungen für selbstorganisierende Strukturen geschaffen, die den Mitarbeitern Freiräume und Anreize für eigenverantwortliches Handeln bieten.

Bei der Entwicklung einer Strategie für ein "Robustes Unternehmen" ist immer zu bedenken, dass auch mit den besten Prognoseverfahren und den leistungsfähigsten Risikoquantifizierungsmethoden es niemals möglich ist, sämtliche Unwägbarkeiten der Zukunft einzuschätzen. Auch aus der Fortschreibung von Daten der Vergangenheit kann nicht zwingend auf den zukünftigen Risikoumfang geschlossen werden, da ein mögliches Extremereignis bisher im betrachteten historischen Zeitraum einfach noch nicht eingetreten sein könnte, was zu einer Unterschätzung des Risikoumfangs (und einer Überschätzung der erwarteten Ergebnisse) führt [siehe Taleb 2007 sowie Taleb/Pilpel 2004].

In Anbetracht derartiger Unwägbarkeiten ist neben einer quantitativen Einschätzung des Risikoumfangs und einer adäquaten Ausgestaltung des Risikodeckungspotenzials und der Flexibilität des Unternehmens eine weitere Handlungsmaxime zu beachten: Durch eine breite Diversifikation und eine Verlust- bzw. Haftungsbeschränkung bezüglich der einzelnen Aktivitäten im Rahmen eines diversifizierten Portfolios sollte sichergestellt werden, dass auch durch unerwartete negative Extremereignisse, die ein spezifisches Engagement (ein Geschäftsfeld oder ein Unternehmen) komplett eliminieren, nicht der Gesamtwohlstand der Eigentümer gefährdet ist. Je fokussierter das Vermögen der Eigentümer (beispielsweise eines mittelständischen Unternehmers) ist, desto ausgeprägter sollten daher Regelungen zur Haftungsbegrenzung, Verlustbegrenzung und eine ausgeprägte Diversifikation im Unternehmen sein.

Das "Robuste Unternehmen" beschreibt keine Patentlösung, sondern ein Leitbild, d.h. es zeigt zusammenfassend die verschiedenen Ansatzpunkte, die sich aus der Erfolgsfaktorenforschung, dem Risikomanagement und der Konzeption eines wertorientierten Managements durch die Berücksichtigung der "Planungssicherheit" für eine wirksame Verbesserung von Unternehmensstrategien ableiten lassen. Dabei wird eine einseitige Betonung einzelner Ansatzpunkte der Gestaltung von Unternehmen weitgehend vermieden. Einzig die Betrachtung von Chancen und Gefahren, die langfristige, strategische Planungen überhaupt erst sinnvoll macht, erfährt eine besondere Betonung (vgl. Abb. 01).

Abb. 01: Bewältigung strategischer Risiken und robuste Unternehmensstrategien

Inzwischen wird das Thema "Robustheit" auch unter den Begriff "Resilienz" [vgl. beispielsweise Löffler 2014] immer häufiger genannt. Man versteht unter diesem ursprünglich aus der Biologie kommenden Begriff die Fähigkeit eines Unternehmens auch negative externe Einflüsse aus dem Umfeld erfolgreich begegnen zu können. Das Thema ist damit offenkundig im engen Zusammenhang mit dem strategischen Risikomanagement, das sich ja gerade mit wesentlichen Möglichkeiten für schwerwiegende Planabweichungen befasst – und es ist letztlich weitgehend ein Aufgreifen des Konzepts eines "Robusten Unternehmens".

Man sieht: Die Idee des Robusten Unternehmens ist praktisch zeitlos. Sie ist eine Leitlinie, um die wesentlichen Überlegungen des Risikomanagements im strategischen Management zu verankern und der Unternehmensführung klar zu verdeutlichen, dass grundlegende Änderungen des Ertrag-Risiko-Profils des Unternehmens meist einhergehen mit Veränderungen der Strategie selbst.

KonTraG: Meist leider mehr Bürokratie und weniger Strategie im Risikomanagement

Es ist interessant zu sehen, wie sich Risikomanagement nach der Konzeption des Robusten Unternehmens, insbesondere seit 1998 weiter entwickelt hat. Ein Meilenstein für das Risikomanagement deutscher Unternehmen ist sicherlich das Kontroll- und Transparenzgesetz (KonTraG), und hier insbesondere der § 91 Absatz 2 Aktiengesetz, der den Vorstand verpflichtet durch ein geeignetes Überwachungssystem (Risikomanagement im weiteren Sinn) "bestandsbedrohende Entwicklungen" frühzeitig zu erkennen. Das KonTraG gab den Anstoß für eine ganzheitliche und systematische Betrachtung der Risiken des Unternehmens und führte zur Etablierung (und Dokumentation) von Risikomanagementsystemen. Der Fokus dieser Systeme waren zunächst Gefahren, also mögliche negative Planabweichungen (und nicht etwa auch die Chancen).

Grundsätzlich kann man durchaus sagen, dass die Forderungen der Früherkennung bestandsbedrohender Entwicklungen – zur Schaffung der Möglichkeit einer proaktiven Abwehr – eng verwandt ist mit der Idee des Robusten Unternehmens, die auch darauf abzielt den Erfolg und zumindest den Bestand eines Unternehmens zu sichern. Allerdings zeigt die Praxis in vielen Unternehmen seit 1998, dass leider die nun aufgebauten Risikomanagementsysteme ohne den "strategischen Bezug" etabliert wurden. Bei vielen Risikomanagementsystemen war nicht mehr die Identifikation (und Bewältigung) strategischer Risiken, speziell der Bedrohungen der Erfolgspotenziale, im Mittelpunkt. Die naheliegende Verknüpfung von Risikomanagement und strategischem Management wurde oft aufgegeben und das Risikomanagement blieb für den Vorstand ein Randthema. Stattdessen wurden oft stark formale und wenig integrierte Risikomanagementsysteme geschaffen, die auf die Überwachung von Einzelrisiken ausgerichtet waren (insbesondere operative).

Selbst die Kernanforderung des § 91 Absatz 2, nämlich die Früherkennung "bestandsbedrohender Entwicklungen", die sich gerade aus den Kombinationseffekten mehrerer Einzelrisiken ergeben, wurde oft ignoriert. Schwerpunkt war oft die Identifikation und Überwachung von Einzelrisiken, die jedoch isoliert betrachtet fast nie zu einer bestandsbedrohenden Entwicklung führen können [Stichwort Risikobuchhaltung; vgl. Romeike/Hager 2013]. Die Kernidee der Konzeption des Robusten Unternehmens – und eigentlich auch das KonTraG – durch eine ganzheitliche Sichtweise des Unternehmens und aller seiner Risiken kritische und bestandsbedrohende Entwicklungen frühzeitig zu erkennen, hatte zunächst nicht den nötigen und gesetzlich geforderten Stellenwert.

In der Praxis hat sich insbesondere leider gezeigt, dass oft eine Risikoaggregation mittels stochastischer Simulation (Monte-Carlo-Simulation) unterblieb und bei der Vorbereitung wesentlicher unternehmerischer Entscheidung deren Implikationen für den zukünftigen Risikoumfang (und das Rating) nicht betrachtet werden [siehe eine beispielhafte Erläuterung in einem fiktiven Dialog vor dem Hintergrund der letzten Finanzkrise: Gleißner 2015a]. Ein Risikomanagement muss aber entscheidungsorientiert sein. Die vom Gesetzgeber geforderte "frühe" Identifikation bestandsbedrohender Entwicklungen bedeutet insbesondere, dass schon vor der Entscheidung – und nicht etwa im Risikoreport danach – aufgezeigt wird, welche Implikationen diese für das Unternehmen hätte (vgl. Abb. 02).

Abb. 02: Risikoanalyse und Bewertung zur Entscheidungsvorbereitung [Quelle: Gleißner 2015d, S. 6.]

Damit möglich wird zugleich ein Abwägen erwarteter Erträge und Risiken, also der Vergleich des Ertrag-Risiko-Profils verschiedener Handlungsmöglichkeiten, was genau der Kerngedanke einer tatsächlich wertorientierten Unternehmensführung darstellt. Anders als bei traditionellen kapitalmarktorientierten Verfahren (beispielsweise auf Grundlage des Capital Asset Pricing Modells (CAPM)) werden dabei die Kapitalkosten (Renditeanforderungen) unmittelbar aus den Ertragsrisiken als Resultat der Risikoaggregation abgeleitet (vgl. Abb. 03).

Abb. 03: Risiko, Kapitalkosten (k), Rating und Wert (w): Zusammenhänge [Quelle: Gleißner  2015d, S. 9.   ist der Variationskoeffizient der Erträge, eine wichtige Kennzahl aus der Risikoaggregation (und Maß für die Planungssicherheit)]

Risikomanagement wird dabei zu einem unverzichtbaren Kernbaustein jeder tatsächlich wertorientierten Unternehmensführung und ist insbesondere verantwortlich für die Steuerung der Werttreiber "Kapitalkosten" und "Rating" (Insolvenzwahrscheinlichkeit) [siehe Gleißner 2000a; Gleißner 2013; Gleißner 2015b und Gleißner 2015c sowie Gleißner 2004].

Abb. 04 zeigt beispielhaft die Management Summary einer Entscheidungsvorlage (zu einer Strategie der Auslandsexpansion). Man sieht, dass die durch die mögliche Auslandsexpansion zu erwartende Änderung des Risikoumfangs – sowie deren Implikation für Kapitalkosten und den Wert als Erfolgsmaßstab – angegeben ist.

Abb. 04: Bewertung einer strategischen Handlungsoption (Fallbeispiel) [Quelle: Gleißner 2015d, S. 8]

Erst in den letzten Jahren haben immer mehr Unternehmen begonnen Risikomanagement tatsächlich als ganzheitliches Managementkonzept zum Umgang mit Chancen und Gefahren (Risiken) aufgefasst. Risikomanagement wird nun zunehmend verstanden als Querschnittsfunktion und damit wird angestrebt, dass soweit möglich vorhandene Managementsysteme (wie Controlling und Qualitätsmanagement) Basisaufgaben von Risikoanalyse und Risikoüberwachung abdecken. So kann beispielsweise im Rahmen von Planungs- und Budgetierungsprozessen unmittelbar unsichere Planannahmen erfasst werden, die ja nichts anderes sind als Risiken. Die Grundsätze ordnungsgemäßer Planung [siehe Gleißner/Romeike 2012a], die österreichische Risikomanagement-Norm ONR 49000 [siehe Brühwiler 2015 und Brühwiler/Romeike 2010] und inzwischen auch die im September 2015 überarbeitete ISO 9001-Norm [vgl. Erben 2015 und Erben/Vogel 2016], die nun Risiken auch als Überbegriff von Chancen und Gefahren definiert, ebnen den Weg zum integrierten risikoorientierten Unternehmensführungssystem. Dies ist auch ganz im Sinne des § 91 Absatz 2 Aktiengesetz, das grundsätzlich schon von einem im weiteren Sinne zu verstehenden "Überwachungssystem" spricht, das der Vorstand einzurichten hat. Ein derartiges Überwachungssystem umfasst neben dem Risikomanagement im engeren Sinn möglichst alle anderen Managementsysteme, die sich mit Chancen und Gefahren (Risiken) befassen – und die damit auch Gegenstand der Prüfung des Risikomanagements (im weiteren Sinn) durch den Wirtschaftsprüfer sein sollten [siehe Sassen 2012].

Ein integriertes Risikomanagement muss natürlich insbesondere wieder die Unternehmensführung und deren Unternehmensstrategie einbeziehen. Strategische Unternehmensführung in einer nicht sicher vorhersehbaren Zukunft erfordert insbesondere eine Identifikation der strategischen Risiken, speziell also der Bedrohung von Erfolgspotenzialen [siehe dazu Gleißner 2016] und die Berücksichtigung dieser Risiken bei der Weiterentwicklung der Strategie. Die Konsequenz dieser "strategischen Risikobewältigung" sind "Robuste Strategien" – und damit schließt sich der Kreis zum Risikomanagement-Konzept des "Robusten Unternehmens", das schon seit 20 Jahren eine adäquate Strategie zur Absicherung des Unternehmens als Kernelement jeden Risikomanagements thematisiert. Die Idee hat in keiner Weise an Aktualität verloren.

Fazit und Ausblick: Jeds Management ist auch Risikomanagement

Zusammengefasst bedeutet Zukunftssicherung für Unternehmen zu einem erheblichen Teil die Entwicklung und Umsetzung einer geeigneten risikobewussten und Robusten Unternehmensstrategie. Das "Robuste Unternehmen" ist seit 20 Jahren Leitbild für die Verbindung von Strategie und Risikomanagement. Jede Strategie, die auf eine langfristige Steigerung des Unternehmenswertes ausgerichtet ist, muss sich mit dem Aufbau nachhaltig wirksamer Erfolgspotenziale befassen. Es ist dabei zu bedenken, dass ohne nachhaltige Differenzierung über Preis, Produkt, Service oder Marke sowie Wachstum eine überdurchschnittliche Wertsteigerung des Unternehmens kaum möglich ist. Jede nachhaltige Differenzierung muss dabei auf verteidigungsfähige Kernkompetenzen abgestützt sein. Die strategische Risikoanalyse hat zu beurteilen, ob die vorhandenen Kernkompetenzen zur langfristigen Erfolgssicherung ausreichen und welchen Bedrohungen diese Kernkompetenzen ausgesetzt sind. Die Einleitung geeigneter Maßnahmen zur Kompetenzentwicklung und der Kompetenzabsicherung sowie zur Flexibilisierung im Sinne einer strategischen Risikobewältigung hat entscheidende Bedeutung bei der Verminderung bestandsgefährdender Risiken und der Wahrscheinlichkeit "bestandbedrohender Entwicklungen". Dafür ist das Risikodeckungspotenzial so zu dimensionieren, dass der Umfang der Netto-Risiken gemäß Risikoaggregation abgedeckt und das Rating gesichert ist.

Was bringt die Zukunft? In vielen Unternehmen ist immer noch die Umsetzung eigentlich seit langen bekannter und wichtiger Methoden und Konzepte nötig. Verbesserungspotenzial besteht in der Integration des Risikomanagements und den Verfahren zur Quantifizierung und die Aggregation von Risiken. Zudem sollte die Risikoanalyse bei allen wichtigen Entscheidungen der Unternehmensführung vorbereitend durchgeführt werden und der Implikation für Gesamtrisikoumfang, zukünftiges Rating, Kapitalkosten und Wert ("wertorientiertes Management") dienen. Vor allem sollte sich die Unternehmensführung als "Oberste Risikomanagementinstanz" verstehen und durch Verbindung von Risikomanagement und strategischen Management "Robuste Unternehmen" schaffen. Der nächste Schritt ist dann ein "Roll Out" in das Unternehmen. Bei einer nicht sicher vorhersehbaren Zukunft mit unsicherer Auswirkung aller Aktivitäten ist nämlich jedes Management auch Risikomanagement. Alle Mitarbeiter sollten daher bei ihrer ganz normalen Tätigkeit immer auch über die damit verbundenen Chancen und Gefahren nachdenken – diese Weiterentwicklung zu einem "Embedded Risk Management" ist neu.

Quellenverzeichnis sowie weiterführende Literaturhinweise:

• Brühwiler, B. (2015): Die neuen Risikomanagement-Normen ISO 31000 und ONR 49000:2010, in: Gleißner, W./Romeike, F. (Hrsg): Praxishandbuch Risikomanagement, ESV Berlin, S. 175-186.
• Brühwiler, B./Romeike, F. (2010): Praxisleitfaden Risikomanagement. ISO 31000 und ONR 49000 sicher anwenden, ESV Berlin.
• Crasselt, N./Pellens, B./Schmidt, A. (2010): Zusammenhang zwischen Wert- und Risikomanagement. Ergebnisse einer empirischen Studie, in: Controlling, 22. Jg. (2010), Heft 7, S. 405–410.
• Erben, R. F. (2015): Normen und Standards im Risikomanagement – Anwendbarkeit und Nutzen von ISO 31000, ORN 49000ff. und COSO ERM, in: Gleißner, W./Romeike, F. (Hrsg): Praxishandbuch Risikomanagement, ESV Berlin, S. 143-174.
• Erben, R. F./Vogel, D. (2016): ISO 9001 Rev. 2015 – Qualitäts- und Risikomanagement wachsen weiter zusammen, in: Controller Magazin (erscheint in Kürze).
• Eschenbach, R./Eschenbach, S./Kunesch, H. (2003): Strategische Konzepte: Management-Ansätze von Ansoff bis Ulrich, 4. Aufl., Schäffer-Poeschel Stuttgart.
• Froot, K./Scharfstein, D./Stein, J. (1994): A Framework for Risk Management, in: Harvard Business Review, Nov.–Dez., S. 91–102.
• Gleißner, W. (1996): Erfolgsfaktoren, Unternehmenskrisen und Strategien bei Mittelständischen Unternehmen, in: Karlsruher Transfer, Nr. 17/1996, S. 16-22.
• Gleißner, W. (2000a): Risikopolitik und Strategische Unternehmensführung, in: Der Betrieb, Heft 33/2000, S. 1625-1629.
• Gleißner, W. (2000b): Faustregeln für Unternehmer, Gabler Wiesbaden.
• Gleißner, W. (2004a): Die Aggregation von Risiken im Kontext der Unternehmensplanung, in: ZfCM - Zeitschrift für Controlling & Management, Heft 5/2004, S. 350-359.
• Gleißner, W. (2004b): FutureValue – 12 Module für eine wertorientierte strategische Unternehmensführung, Gabler Wiesbaden.
• Gleißner, W. (2008): Strategische Positionierung und Strategieumsetzung (Teil 1 und 2), in: KRP Kredit & Rating Praxis, 4+5/2008, S. 33–38 (Teil 1), S. 32–35 (Teil 2).
• Gleißner, W. (2013): Die risikogerechte Bewertung alternativer Unternehmensstrategien: ein Fallbeispiel jenseits CAPM, in: Bewertungspraktiker, 3/2013, S. 82–89.
• Gleißner, W. (2014): Kapitalmarktorientierte Unternehmensbewertung: Erkenntnisse der empirischen Kapitalmarktforschung und alternative Bewertungsmethoden, in: Corporate Finance, 4/2014, S. 151–167.
• Gleißner, W. (2015a): Der Vorstand und sein Risikomanager, uvk Konstanz.
• Gleißner, W. (2015b): Börsenkurs und "wahrer Wert" in Abfindungsfällen – Aktien- versus Unternehmensbewertung, Anwendbarkeit des CAPM und Ertragsrisiko, in: WPg – die Wirtschaftsprüfung, 2/2015, S. 72–80
• Gleißner, W. (2015c): Ermittlung eines objektivierten Unternehmenswerts von KMU – Anregungen unter besonderer Berücksichtigung von Rating und Insolvenzwahrscheinlichkeit, in: WPg, 17/2015, S. 908-919
• Gleißner, W. (2015d): Controlling und Risikoanalyse bei der Vorbereitung von Top-Management-Entscheidungen – Von der Optimierung der Risikobewältigungsmaßnahmen zur  Beurteilung des Ertrag-Risiko-Profils aller Maßnahmen, in: Controller Magazin, 4/2015, S. 4–12.
• Gleißner, W. (2016): Grundlagen des Risikomanagements im Unternehmen, 3. Aufl., Vahlen München.
• Gleißner, W./Kalwait, R. (2010): Integration von Risikomanagement und Controlling – Plädoyer für einen völlig neuen Umgang mit Planungssicherheit im Controlling, in: Controller Magazin, Ausgabe 4, Juli/August 2010, S. 23–34.
• Gleißner, W./Romeike, F. (2012a): Gute Frage: Was sind die "Grundsätze ordnungsgemäßer Planung (GoP)"?, in: Risk, Compliance & Audit 1/2012, S. 14 – 16
• Gleißner, W./Romeike, F. (2012b): Psychologische Aspekte im Risikomanagement, in: Risk, Compliance & Audit 6/2012, S. 43-46.
• Hommel, U./Pritsch, G. (2015): Wertorientierte Begründung des unternehmerischen Risikomanagements, in: Gleißner, W./Romeike, F. (2015) (Hrsg): Praxishandbuch Risikomanagement, ESV Berlin, S. 935-950.
• Kaplan, R. S./Mikes, A. (2012): Managing Risks: A New Framework, in: Harvard Business Manager, Juni 2012, S. 48-60.
• Löffler, H. (2014): Resilienz ist das Ergebnis, in: Funk Forum, Ausgabe 2, September 2014, S. 13.
• Romeike, F./Hager, P. (2013): Erfolgsfaktor Risikomanagement 3.0: Lessons learned, Methoden, Checklisten und Implementierung, Springer Verlag, Wiesbaden.
• Romeike, F./Spitzner, J. (2013): Von Szenarioanalyse bis Wargaming – Betriebswirtschaftliche Simulationen im Praxiseinsatz, Wiley Verlag, Weinheim.
• Romeike, F. (2013): Fooled by Randomness, in: FIRM Yearbook 2013, Frankfurt/Main 2013, S. 25-29.
• Romeike, F. (2013): Narren des Zufalls, in: FIRM Jahrbuch 2013, Frankfurt/Main 2013, S. 95-99.
• Romeike, F. (2015): Szenarioanalyse: Lernen aus der Zukunft, in: FIRM Jahrbuch 2015, Frankfurt/Main 2015, S. 118-120.
• Sassen, R. (2012): Integration des Controllings in das Corporate Governance-System einer Aktiengesellschaft, in: Controlling, 24. Jg., Heft 6, S. 323-329.
• Taleb, N. N. (2007): The Black Swan – The Impact of the Highly Improbable, Random House
• Taleb, N. N. (2008): Der Schwarze Schwan: Die Macht höchst unwahrscheinlicher Ereignisse, Carl Hanser Verlag, München.