Damit quantitatives Risikomanagement funktioniert – ein Governance-Problem Viele Diskussionen über Enterprise Risk Management drehen sich seit Jahren um Experteneinschätzungen, Risk Maps und bunte Farben – ohne dass sich an der Praxis viel ändert. Vielleicht liegt das eigentliche Problem einen Schritt davor: bei der Governance des Risikomanagements. Unternehmen verlangen in ihrer Governance oft einfach das, was extern geprüft wird. • Gibt es ein Risikoinventar mit Risk Ownern? • Werden Risiken regelmäßig erhoben? • Gibt es einen Bericht an den Vorstand? • Ist alles dokumentiert? Was dagegen kaum verlangt wird: • ein explizites Wirkmodell • nachvollziehbare Parametrisierung • Validierung der Risikobewertung • systematische Prüfung der Inventarvollständigkeit Mit anderen Worten: Die Governance belohnt Erkenntnisqualität nicht. Man müsste für eine bessere Governance nicht verlangen, dass Prüfer jedes Risikomodell fachlich neu bewerten. Es würde schon reichen, strukturierte Mindestanforderungen einzuführen. Zum Beispiel: 1️⃣ Für jedes Risiko muss ein explizites Modell vorliegen. Der Prüfer muss nicht entscheiden, ob das Modell perfekt ist. Nur ob überhaupt strukturiert modelliert wurde. 2️⃣ Ein Modell sollte mindestens enthalten: • klare Beschreibung der Mechanik des Risikos • Treiber und Einflussfaktoren • dokumentierte Annahmen • Eintrittswahrscheinlichkeit und Schadensabschätzung als Ergebnis des Modells • Datum der letzten Überprüfung Auch das ist problemlos prüfbar. 3️⃣ Nicht nur Bewertung, sondern auch Validierung der Bewertung sollte verlangt werden. Zum Beispiel: • Prüfung der Risikotreiber und der Annahmen • Abgleich mit Schadenfällen • Daten oder Benchmarks für Risikotreiber • dokumentierte Modellüberarbeitung Der Prüfer validiert nicht selbst, er prüft nur, ob validiert wurde. 4️⃣ Mindestanforderungen an die Vollständigkeit des Risikoinventars Ein weiterer Hebel wäre ein strukturierter Negativnachweis, dass für das Geschäftsmodell typische Risiken tatsächlich nicht vorliegen. • kein Cyberrisiko? • kein Lieferkettenrisiko? • kein Produkthaftungsrisiko? • kein Personalengpassrisiko? Das würde viele heutige Auslassungsfehler deutlich erschweren. Governance kann nicht garantieren, dass die „wahre“ Risikolage erkannt wurde. Aber ein Unternehmen sollte in seiner Governance verlangen, dass Risiken rational strukturiert werden. Governance kann fragen: „Ist das, was ihr getan habt, überhaupt dafür geeignet, Erkenntnis zu erzeugen?“ Das wäre bereits ein enormer Fortschritt. Meine These: Solange Governance Analysequalität nicht thematisiert, wird Risikomanagement zwangsläufig zu einer Meldewesenfunktion. Wenn Governance dagegen Struktur- und Modellqualität verlangt, würden quantitative Ansätze automatisch zum normalen Handwerkszeug. In der Luftfahrt hat sich Sicherheit nicht durch mehr Erfahrung verbessert, sondern durch bessere Checklisten. Vielleicht steht das ERM heute vor einer ähnlichen Governance-Frage.
Dieser Beitrag ist zuerst auf LinkedIn erschienen. Dort ansehen und mitdiskutieren