Internationale Risikomanager besinnen sich im Gefolge der Finanzkrise wieder stärker auf einen rationalen menschlichen Faktor im Risikomanagement und stellen die "Verwissenschaftlichung der Risikomessung" zunehmend in Frage. Insbesondere im Kreditrisikomanagement haben standardisierte Rating- und Scoringverfahren Gefühlsentscheidungen der Bankmitarbeiter schon länger in den Hintergrund gedrängt. Der Reduzierung der Ausfallraten im Kreditgeschäft hat dieser Trend zweifelsfrei gut getan, doch für alle Sektoren des Risikomanagements sind moderne Computermodelle freilich nicht das Allheilmittel. "Risikomanager haben in jüngerer Vergangenheit Modelle gesteuert, nicht Risiken", sagt Philippe Carrel, Risikoprofi bei Thomson Reuters. Computermodelle seien aber nur so gut wie die ihnen zugrunde gelegten Szenarien.

Idiosynkratische Risiken und Katastrophenrisiken mit systemrelevanten Auswirkungen seien allenfalls unter theoretischen Gesichtspunkten erfasst worden. Während letztere in der Regel aus Bewegungen des breiten Marktes resultieren, werden idiosynkratische Risiken von einem einzelnen Unternehmen bzw. Emittenten ausgelöst, können aber in ein systematisches Risiko münden. Auf systemische Risiken, die quasi über Nacht schlagend werden, sei die Branche allerdings nicht vorbereitet gewesen, meint Carrel. Er fordert deshalb eine neue Risikokultur im Unternehmen, die auf erhöhte Transparenz sowie einer Intensivierung der internen und externen Risikokommunikation beruht. "Die Balance zwischen Kapitaleffizienz und Risikoexposure muss wieder ins rechte Lot gebracht werden", so Carrel im Rahmen der Risikomanagement-Konferenz "FINtel 2009" in Bensberg bei Köln.

Die überzogene Forderung nach einer permanenten Steigerung des Shareholder Value sei schädlich für einen realistischen Blick auf die wahren Risiken gewesen. "Das bestehende Risikoportfolio im Unternehmen und der Risikoappetit der Shareholder müssen miteinander harmonieren", meint auch Scott Cheung, Risikomanager bei der Credit Europe Bank. Zu guter Unternehmensführung gehöre auch, dem Management und den verantwortlichen Mitarbeitern Anreize zu geben, die im Interesse des Gesamtunternehmens stehen und im Monitoring auch nachvollzogen werden können. "Ohne gute Corporate Governance keine Risikomanagement", sagt Cheung und plädiert für die Implementierung einer internen Risk Governance.

Darunter ist vom Grundsatz her die Risikoorganisation sowie die Festsetzung ihrer Prinzipien zu verstehen. "Die Aufgabe einer Risk Governance ist es, für ein umfassendes Risikobewusstsein im gesamten Unternehmen zu sorgen, Zuständigkeiten zu verteilen und die Risikokontrolle zu verbessern", sagt Sven Ludwig von der Professional Risk Managers' International Association (PRMIA). Die Branchenvereinigung zählt annähernd 64.000 Mitglieder in 193 Ländern. Im Rahmen dieser Risikorichtlinien steuern und überwachen die lokalen Einheiten selbstverantwortlich ihre Risiken. Ein regelmäßig tagendes Risikokomitee hat die Aufgabe, den Vorstand frühzeitig über risikorelevante Entwicklungen zu unterrichten und Risikolimite festzusetzen. Darüber hinaus empfiehlt und koordiniert es Maßnahmen zur Risikoreduzierung und entwickelt Methoden und Prozesse zur gruppenweiten Risikoanalyse, -bewertung und -steuerung.

Bei der Allianz-Gruppe setzt das Risikokomitee ein internes Risikokapitalmodell sowie ein System zur systematischen qualitativen Risikobewertung ein. Auf dieser Grundlage will sich das Gruppencontrolling einen Überblick über die lokalen und globalen Risiken verschaffen und daraus die Risikosituation des Unternehmens ermitteln. Außerdem fällt die zentrale Überwachung von Konzentrationsrisiken, vornehmlich Naturkatastrophen, Markt- und Kreditrisiken, in die Zuständigkeit des Group Risk Controlling. So soll sichergestellt werden, dass sowohl lokale als auch globale Risiken gleichermaßen beherrscht werden und der Versicherer nicht der Gefahr ausgesetzt ist, dass sich das Gesamtrisiko unbemerkt potenziert.