Die gefährlichsten Risiken stehen nicht im Risikoinventar. Donald Rumsfeld hat einmal eine berühmte Unterscheidung geprägt: • Known knowns • Known unknowns • Unknown unknowns Diese Matrix wird bis heute im Risikomanagement zitiert. Aber sie hat einen blinden Fleck. Sie unterscheidet, was wir wissen und nicht wissen – aber nicht, was wir sagen dürfen. In der Praxis gibt es eine weitere Kategorie: Known but unspeakable Risiken, die allen bekannt sind – aber die nicht ins Risikoinventar aufgenommen werden können. Beispiele? • Strategische Fehlentscheidungen auf Vorstandsebene • Fehlanreize, die systematisch zu Regelverstößen führen • Risikomethoden, die scheinpräzise Zahlen liefern, aber nicht validiert sind Das Problem ist nicht, dass diese Risiken unbekannt sind. Das Problem ist: Ihre Benennung ist politisch nicht zulässig. Und damit wird es noch kritischer. Denn daraus entsteht eine zweite, noch gefährlichere Kategorie: Unknown because unthinkable Risiken, die wir nicht kennen, weil wir in bestimmte Richtungen gar nicht denken (dürfen). Was passiert? • Es werden keine Szenarien entwickelt • Es werden keine Daten erhoben • Es werden keine Modelle gebaut → Der gesamte Suchraum bleibt unerschlossen Damit entstehen zwei systematische blinde Flecken: • Bekannt, aber nicht sagbar • Unbekannt, weil nicht denkbar Beide haben nichts mit mangelnder Datenlage zu tun. Sie sind das Ergebnis von: • Anreizsystemen • Hierarchien • organisationaler Kultur In diesem Zusammenhang hat Stefan Hunziker, PhD kürzlich einen wichtigen Punkt gemacht: Die gefährlichsten Risiken werden oft nicht bewertet, weil sie schwer messbar sind. Das ist absolut richtig. Ich würde das gerne ergänzen: Für die wirklich kritischen Risiken werden oft keine Daten erhoben, weil sie nicht messbar sein sollen. Denn „fehlende Daten“ ist häufig die nach außen hin plausible Begründung. Der eigentliche Grund liegt oft tiefer: • Es werden keine Daten erhoben • keine Szenarien gerechnet • keine Modelle gebaut Nicht, weil es unmöglich wäre – sondern weil es organisational nicht gewollt ist. Fazit: Die größten Risiken entstehen nicht unbedingt dort, wo wir zu wenig wissen. Sondern dort, wo wir: • nicht sagen dürfen, was wir wissen • und nicht untersuchen, was wir wissen könnten Wenn man das ernst nimmt, verschiebt sich der Fokus im Risikomanagement: Weg von: → „Welche Risiken haben wir noch nicht identifiziert?“ Hin zu: → „Welche Risiken dürfen wir eigentlich nicht benennen?“ → „In welche Richtungen denken wir systematisch nicht?“ Das ist kein Methodenproblem. Das ist ein Organisationsproblem.
Dieser Beitrag ist zuerst auf LinkedIn erschienen. Dort ansehen und mitdiskutieren