Risk Map: Auf diese Punkte müssen Sie im Risikocontrolling achten
Stefan Hunziker, MScBA
Prof. Dr. Stefan Hunziker, Studium der Wirtschaftswissenschaften und Soziologie, Doktorat zum internen Kontrollsystem; Dozent und Studiengangleiter MAS/DAS Risk Management an der Hochschule Luzern – Wirtschaft, Institut für Finanzdienstleistungen Zug IFZ; Dozent an der Schweizerischen Akademie für Wirtschaftsprüfung; Lehraufträge in den Bereichen Risikomanagement, interne Kontrollsysteme und Controlling; Verfasser von zahlreichen Büchern und Fachartikeln zu den Themen internes Kontrollsystem und Risikomanagement. Stefan Hunziker ist zudem Präsident der Swiss Enterprise Risk Management Association SwissERM.
Prof. Dr. Thomas Rautenstrauch
Prof. Dr. rer. pol. Thomas Rautenstrauch ist Dozent für Controlling und Corporate Finance im Institut für Finance and Law der OST - Ostschweizer Fachhochschule. Er wirkt zudem seit 2007 als Dozent und Prüfungsexperte bei der ExpertSuisse für die Ausbildung zum dipl. Wirtschaftsprüfer und dipl. Steuerexperten sowie seit 2014 als Gastprofessor für Managerial Accounting im EMBA des MCI Management Center Innsbruck. Thomas Rautenstrauch ist Autor von mehreren Fachbüchern und zahlreichen Artikeln in Fachzeitschriften und in der Wirtschaftspresse.
Das Problem der Achsen
Weit verbreitet sind in der Praxis Risk Maps mit zwei Dimensionen – der Schadenshöhe und der Eintrittswahrscheinlichkeit. Oft werden hierbei relativ arbiträr Abstufungen von Schadenshöhen gebildet, z.B. anhand einer Abstufung in 5 Schadenskategorien. Diese werden häufig qualitativ umschrieben, beispielsweise von kleinem bis grossem Schadensausmass. Dasselbe Vorgehen wird oft mit der Wahrscheinlichkeits-Achse gewählt.
Solche qualitativen, meist arbiträren Abstufungen von Schadenshöhe und Eintretenswahrscheinlichkeit lassen grossen Interpretationsspielraum, wie sich dieses Risiko, falls es eintritt, wirklich auf den Unternehmenswert oder die Liquidität auswirkt (Die Risikobewertung und -klassifizierung muss zwingend im Zusammenhang mit der Unternehmensplanung und Risikotragfähigkeit durchgeführt werden, was oft auch vernachlässigt wird). Zumal verschiedene Personen unter einer Schadenshöhe 4 verschiedene Vorstellungen bezüglich dem tatsächlichen Ausmass verstehen. Dasselbe trifft auf die Definition von Eintrittswahrscheinlichkeits-Klassen zu. Wenn beispielsweise die Abstufung 3 als moderate Wahrscheinlichkeit qualifiziert ist, obwohl die Abstufung 3 faktisch einer Eintrittswahrscheinlichkeit von 50% entspricht, kann dies missinterpretiert werden.
Weiter stellt sich die Frage, was denn eigentlich unter der Schadenshöhe verstanden wird. Stellt die Schadenshöhe den maximal zu erwarteten Schaden (worst case) dar? Oder ist die Schadenshöhe ein Durchschnittswert vergangener, eingetretener Schäden? Oft scheint dies nicht eindeutig geklärt zu sein.
Die hier angesprochenen Probleme liegen weniger am Instrument Risk Map selber, als vielmehr in einem vorangegangenen Schritt im Riskmanagement-Prozess, nämlich der Quantifizierung von Risiken. Etliche Unternehmen scheuen sich, Risiken zu quantifizieren. Dies mag am damit verbundenen Aufwand (Aversion gegen Zahlen, nicht vorhandene historische Daten) oder Methodendefiziten liegen oder aber auch dem Argument, durch die Quantifizierung eine Scheingenauigkeit zu erzeugen, die nicht zutrifft. Risiken können aber nur frei von Interpretationsspielraum priorisiert und verglichen werden, wenn sie quantifiziert worden sind. Zudem kann kein Gesamtrisikoumfang durch Risikoaggregation (und somit die nötigen Liquiditätsreserven und Eigenkapitalquote) ermittelt werden, wenn Risiken nur qualitativ beschrieben werden.
Risk Map: Das Problem der Felder
Die Risiken werden in Risk Maps gemäss den zwei Dimensionen Schadenshöhe und Eintrittswahrscheinlichkeit in die Risk Map übertragen. Nun gilt es, Risikoschwellen in der Risk Map einzutragen, um daraus dann die Risikosteuerungsmassnahmen abzuleiten. Oft werden mehrere Kategorien gebildet, z.B. anhand vier Quadranten oder auch durch diagonale Linien, welche dann die Kategorisierung in A-Risiken (unbedingt Handlungsmassnahmen), B-Risiken (Risiken beobachten) und C-Risiken (kein Handlungsbedarf) erlauben. Weiter denkbar sind 9-Felder-Matrizen, oder auch die Bildung von 25 Feldern.
Passende Produkt-Empfehlungen
Die Bildung von Risikoschwellen beinhaltet zwei zentrale Fragen:
- Wo liegt die kritische Schwelle von wesentlichen Risiken; d.h. wo soll die Risikoschwelle in der Risk Map eingetragen werden? Grundsätzlich müssten wesentliche Risiken eine nicht tragbare Planabweichung bezüglich einer Unternehmensplangrösse wie z.B. EBIT sein (Die Risikotragfähigkeit muss in der Risikopolitik verankert sein und ist Teil der Unternehmensstrategie!). Dies setzt aber wiederum eine Quantifizierung der Risiken voraus.
- Es muss entschieden werden, wie viele Risikoschwellen in der Risk Map abgetragen werden. In der Praxis ist es nicht selten, dass bis zu fünf Schwellen abgetragen werden. Die einzelnen Schwellen sind dann aber kaum mehr sinnvoll interpretierbar.
Analysiert man die in der Praxis beobachteten Risikoschwellen etwas eingehender, fällt auf, dass beispielsweise bei der diagonalen Risikoschwelle, die Risiken, die genau auf der Risikoschwelle liegen (und diese stellt notabene die Indifferenzgerade zwischen den einzelnen Risiken dar), einen unterschiedlichen Erwartungswert aufweisen. Zudem entstehen verzerrte Ergebnisse, wie beispielsweise, dass ein Risiko mit einem Erwartungswert von ca. CHF 190 000 (EW: 95% SH: CHF 200 000) als wichtiges Risiko eingestuft wird, während ein Risiko mit einem Erwartungswert von CHF 225 000 (EW: 50% SH: CHF 450 000) als unwichtiges Risiko durch die diagonale Risikoschwelle (oder Risikoschwellen anhand von Quadranten) eingestuft wird. Dies hängt damit zusammen, dass die Indifferenzkurve keinesfalls einen linearen, sondern einen hyperbolischen Zusammenhang aufweist.
Der obere, rechte Quadrant steht für Risiken, die prioritär behandelt werden müssen (bestandesgefährdende Risiken). Risiken mit gleichem Erwartungswert liegen alle auf den eingezeichneten, hyperbolischen Linien. Gemäss der Risk Map mit vier Quadranten (ohne die hyperbolischen Hilfslinien) würde das Risiko im Quadrant I (oben rechts) als wesentlicher eingestuft als das Risiko im Quadrant III (unten rechts). Genau diese Einstufung ist aber falsch, da erkennbar wird, dass das Risiko im Quadrant III über der hyperbolischen Linie liegt, und das Risiko im Quadrant I darunter abgetragen wurde. Die Risikopriorisierung müsste also korrekterweise genau umgekehrt sein!
Selbst wenn man bezüglich diesem hyperbolischen Zusammenhang im Klaren ist, sind noch nicht alle Probleme gelöst. Die Indifferenzkurve steht für – wir der Name schon sagt – Risikoneutralität, da alle Risiken auf dieser Kurve denselben Erwartungswert aufweisen. In der Praxis herrscht diese Neutralität aber kaum vor; denn oft sind Entscheidungsträgern nicht gleichgültig, ob sie eine Gewinnchance (Verlustmöglichkeit) von CHF 50 000 mit 80% Wahrscheinlichkeit oder von CHF 500 000 mit 8% Wahrscheinlichkeit erwirtschaften können.
Das Problem der (nicht) abbildbaren Risiken
Nutzt man eine Risk Map, geht man stillschweigend davon aus, dass ein Risiko sinnvoll durch die Eintrittswahrscheinlichkeit und Schadenshöhe beschrieben werden kann. Implizit unterstellt wird eine so genannte Binomialverteilung der Risiken: Das Risiko tritt entweder ein, oder es tritt nicht ein. Und wenn es eintritt, dann immer mit derselben (sicheren) Schadenshöhe. Für einen Grossteil der Risiken, die in der Praxis eine hohe Relevanz aufweisen, ist die Wahrscheinlichkeitsbeschreibung durch eine Binomialverteilung nicht angemessen. Das Beispiel der Zinsrisiken soll dies veranschaulichen: Eine Änderung der Zinsen kann faktisch mit beliebig vielen möglichen Ausprägungen eintreten, nur ist nicht jede Zinsänderung gleich ausgeprägt und gleich wahrscheinlich. Ein solches Risiko lässt sich nicht mehr mit der Binomialverteilung beschreiben (und ist somit auch nicht sinnvoll in der Risk Map abtragbar). Vielmehr müsste hier beispielsweise eine Normalverteilung für die Beurteilung des Risikos zu Grunde gelegt werden. Dasselbe Problem weisen auch Ölpreisschwankungsrisiken, Umsatzrisiken durch konjunkturelle Einflüsse u.v.m. auf. Damit wird klar, dass viele Unternehmensrisiken nicht sinnvoll in einer Risk Map abgebildet werden können.
Fazit
Risk Maps sind in der Praxis ein zentrales Instrument im Risikomanagement. Wichtig ist es aber, sich im Klaren zu sein, wo die Grenzen solcher Instrumente liegen. Oft sind relevante Unternehmensrisiken nicht adäquat abbildbar in einer Risk Map, weil sie einer anderen Verteilungsfunktion (Normalverteilung) folgen. Hier müssen andere Risikomasse ihre Anwendung finden, z.B. der Value-at-Risk, der aus einer Normalverteilungsfunktion abgeleitet werden kann. Schliesslich ist zu betonen, dass die alleinige Abbildung von Einzelrisiken in einer Risk Map noch nicht ausreichend ist, um den Gesamtrisikoumfang bestimmen zu können. Oft interagieren Einzelrisiken miteinander und können sich in Kombination zu einem bestandesgefährdenden Risiko aufbauschen (Korrelation zwischen Risiken!). Es benötigt also Methoden der Risikoaggregation, um die Risikoposition eines Unternehmens abschätzen und damit auch den Eigenkapitalbedarf und die Liquiditätsreserven zur Risikodeckung bestimmen zu können.
