2 Grundlagen des Risikomanagements

Transkript

1 2 Grundlagen des Risikomanagements 2.1 Definition wesentlicher Begriffe des Risikomanagements Risiko Die wissenschaftliche Literatur verwendet keinen einheitlichen Risikobegriff. 13 Es existieren sowohl verschiedene ursachen- als auch wirkungsbezogene Definitionen. 14 Während sich die ursachenbezogenen Definitionen auf (interne) Entscheidungen oder (externe) Ereignisse beziehen, zielen die wirkungsbezogenen Definitionen auf die Folgen der Risiken für das Erfolgsziel. Im Rahmen dieser Arbeit bietet sich eine wirkungsbezogene Definition an, da Risikomanagementsysteme i. d. R. ebenfalls erfolgszielbezogen sind. Man kann die wirkungsbezogenen Risikodefinitionen in der Literatur in zwei Klassen einteilen: Die erste Klasse definiert Risiko in einem engen Sinne und bezeichnet mit Risiko eine ungünstige Entwicklung (z. B. Verlustgefahr, Gefahr der Nichterreichung von Zielen). 15 Die andere Klasse von Definitionen betrachtet Risiko in einem weiteren Sinne. Risiko gibt demnach die mögliche Abweichung vom Erwartungswert an und schließt damit Chancen ein. 16 Während die erste Definition in der Literatur und auch im allgemeinen Sprachgebrauch insgesamt am häufigsten ist, überwiegt die Chancen inkludierende, weitergehende Risikodefinition insbesondere in der Kapitalmarkt- und Portfoliotheorie. 17 Einige Autoren verwenden die Risikodefinition i. e. S. und schreiben daher stets explizit von Risiken und Chancen, wenn die möglichen positiven Abweichungen vom Erwartungswert mit betrachtet werden sollen. 18 Eine andere Gruppe von Autoren legt sich nicht auf einen Risikobegriff fest, sondern lässt explizit einen Risi- 13 Vgl. z. B. Rogler (1999), S. 5; Reichmann (2006), S Vgl. Borchert/Korth/Schemm (2006), S So z. B. Rogler (1999), S. 5ff.; Diedrichs (2004), S. 10; Grauer (2006), S. 8; Reichmann (2006), S. 623; Auer (2008), S. 22; Gundel/Mülli (2009), S So z. B. Kirchner (2002), S. 16; Romeike (2005), S. 18; Ahlrichs/Knuppertz (2007), S. 491; Denk/Exner-Merkelt/Ruthner (2008), S. 29; von Haaren (2008), S Vgl. Buchhart/Burger (2002), S So z. B. Pfohl (2001), S. 3ff.; Wolf (2003), S. 565; Form (2004), S. 21ff.; Vanini/Weinstock (2006), S. 379; Schäffer/Weber (2008), S M. Niggemann, Steuerung von Gaspreisrisiken, DOI / _2, Springer Fachmedien Wiesbaden 2013

2 10 Grundlagen des Risikomanagements kobegriff i. e. S. und einen Risikobegriff i. w. S. wie oben beschrieben zu. 19 Der Risikobegriff i. w. S. stellt somit eine Kurzform für Chance und Risiko i. e. S. dar. Chance Erwartete Entwicklung Risiko i.e.s Risiko i.w.s Zeitablauf Abbildung 1: Risikobegriff Ein ausschließlich auf die Reduzierung von Verlustmöglichkeiten ausgerichtetes Risikomanagementsystem würde zwangsläufig die Einstellung unternehmerischen Handelns fordern, welches i. d. R. mit Verlustmöglichkeiten verbunden ist. Erst die gleichzeitige Optimierung von Risiken i. e. S. und Chancen führt zu einer Unternehmenswertsteigerung. Dennoch gilt, dass die Mehrzahl der implementierten Risikomanagementsysteme als Führungssubsysteme unmittelbar nur auf die Reduzierung von Schadensmöglichkeiten im Sinne einer Existenz- und Ertragssicherung ausgerichtet sind, 20 da Investoren und Mana- 19 So z. B. Borchert/Korth/Schemm (2006), S Vgl. Abschnitt 2.2 zu den Zielen eines Risikomanagementsystems. Während bei der Formulierung einer Risikostrategie das optimale Risiko-Chancen-Verhältnis ermittelt wird, wirkt das operative Risikomanagement bei der Optimierung aus Komplexitätsreduzierungsgründen i. d. R. nur auf die Einhaltung eines Mindestsicherheitslevels als Nebenbedingung hin. Ein integriertes Chancen- und Risikomanagement, wie vielfach wissenschaftlich gefordert, hat sich in der Praxis bei Handelsunternehmen auf operativer Ebene bisher nicht durchgesetzt. Dies liegt sowohl an rechtlichen Herausforderungen (vgl. Abschnitt 2.2) als auch an Steuerungsschwierigkeiten und Anreizproblemen. Weiterhin ergeben sich Probleme bei der Abgrenzung zur Unternehmensführung. Zudem bestehen sehr unterschiedliche Anforderungen an das Management von Chancen und Risiken u. a. auch an die einzelnen Mitarbeiter. Im Gegensatz dazu kann ein integriertes Chancen- und Risikomanagement auf strategischer Ebene durchaus sinnvoll sein. Letztlich würde eine solche

3 Definition wesentlicher Begriffe des Risikomanagements 11 ger allgemein risikoavers eingestellt sind und daher einen sicheren Ertrag einem Erwartungswert in gleicher Höhe oder sogar mit einem leicht höheren Erwartungswert vorziehen. Die Einbeziehung von Chancen erfolgt erst mittelbar im Rahmen der Optimierung. Daher wird im Rahmen dieser Arbeit der Risikobegriff i. e. S. gewählt. Risiken sind demnach negative Abweichungen vom Erwartungswert. Wenn einzelne Instrumente des Risikomanagements auf negative und positive Abweichungen abzielen, werden in dieser Arbeit explizit die Begriffe Risiko i. w. S. bzw. Chancen und Risiken i. e. S. verwendet. Risiko entsteht durch die Nichtkenntnis der Ergebnisse von unternehmerischen Entscheidungen. Bei Entscheidungssituationen unter Sicherheit kann demnach kein Risiko auftreten. In aller Regel sind jedoch Entscheidungen zu treffen, bei denen zu einem gewissen Grad Unsicherheit über die Prozesse und die Veränderungen externer Faktoren existiert. Unsicherheit wird häufig von Ungewissheit derart abgegrenzt, dass bei Unsicherheit noch Wahrscheinlichkeiten für den Eintritt bestimmter Zustände angegeben werden können. Die betriebswirtschaftliche Entscheidungstheorie kennt daher nur den Risikobegriff bei Unsicherheit, nicht jedoch bei Ungewissheit. 21 Risiko als Verlustgefahr besteht aber auch bei Ungewissheit, was auch dem Risikobegriff im Sinne des KonTraG (Gesetz zur Kontrolle und Transparenz im Unternehmensbereich) entspricht. 22 Insofern wird im Rahmen dieser Arbeit unter Risiko die Verlustgefahr sowohl bei Unsicherheit als auch bei Unwissenheit verstanden. Risiken können in den Dimensionen Eintrittswahrscheinlichkeit, Schadenshöhe und ggfs. möglicher Zeitpunkt des potentiellen Schadenseintritts beschrieben werden. 23 Einige Autoren definieren daher Risiko bzw. Risikowert auch als Produkt aus Eintrittswahrscheinlichkeit und Schadenshöhe. 24 Trennung zu den eigenständigen Disziplinen operatives Risikomanagement und strategisches Risiko- und Chancenmanagement führen, welche aber eng in der Führungssystemlandschaft verbunden wären analog dem strategischen und operativen Controlling. Vgl. zur letzten Aussage Denk/Merkelt-Exner/Ruthner (2008), S Vgl. Liebich (2006), S Vgl. Wall (2001), S Vgl. Buchhart/Burger (2002), S. 4; Borchert/Korth/Schemm (2006), S. 30f. 24 So z. B. von Haaren (2008), S. 86; Gundel/Mülli (2009), S. 12.

4 12 Grundlagen des Risikomanagements Risikomanagement Historisch gesehen bezog sich Risk Management in den USA zunächst nur auf versicherbare Risiken und beinhaltete die Optimierung der zu zahlenden Versicherungsprämien. 25 Daraus entwickelte sich die erweiterte Aufgabe, durch Sicherheitsvorkehrungen im Unternehmen eine Verminderung der zu zahlenden Prämien zu erreichen. 26 Erst später bezog das Risikomanagement auch nicht versicherbare Risiken mit ein. Risikomanagement im heute üblichen Sinne ist kein spezifisches Managementkonzept, sondern Bestandteil der strategischen Unternehmensführung, welche für den bewussten Umgang mit Risikosituationen Sorge zu tragen hat. 27 Während die Unternehmensführung die allgemeine Optimierung der einzelnen Unternehmensziele verfolgt, richtet das Risikomanagement als Subfunktion seine Anstrengungen umfassend und systematisch gegen existenzbedrohende Abweichungen von den angestrebten Zielen. 28 Dem Risikomanagement kommt dadurch eine Existenz-, Erfolgspotenzials- 29 und Ertragssicherungsfunktion 30 zu, wobei die Existenzsicherungsfunktion übergeordnet ist. 31 Anders ausgedrückt besteht die Zielsetzung darin, Verluste in Abhängigkeit von einer bewusst gesteuerten Kosten-/Nutzen-Relation zu reduzieren, 32 wobei existenzgefährdende Risiken grundsätzlich zu vermeiden sind. Allgemein gilt, dass ein Risikomanagement die Leistungen umfassen muss, die zur Erfüllung der Risikomanagementziele 33 dienen. In der Literatur werden die Aufgaben des Risikomanagements trotz zum Teil unterschiedlicher Begrifflichkeiten und Schwerpunkte weitgehend ähnlich beschrieben. Einige Defini- 25 Vgl. Rogler (2002), S. 20; Diedrichs (2004), S Vgl. Rogler (2002), S Vgl. z. B. Pfohl (2001), S. 5. Dass Risikomanagement Teil der Unternehmensführung sein muss, kommt auch durch die Gesamtverantwortung des Vorstands für das Risikomanagement in den Mindestanforderungen an das Risikomanagement (MaRisk) der Bundesanstalt für Finanzdienstleistungsaufsicht zum Ausdruck. Vgl. Bundesanstalt für Finanzdienstleistungsaufsicht (2009b), AT Vgl. Diedrichs (2004), S Vgl. Pfohl (2001), S Vgl. Buchhart/Burger (2002), S Vgl. Diedrichs (2004), S Vgl. Auer (2008), S Vgl. hierzu Abschnitt 2.2.

5 Definition wesentlicher Begriffe des Risikomanagements 13 tionen lassen sinngemäß zunächst nur den sogenannten Risikomanagementprozess, welcher als permanente Prozessschleife bestehend aus Risikoidentifikation, -bewertung, -steuerung, -überwachung und -reporting 34 zu verstehen ist, als alleinige Aufgabe des Risikomanagements vermuten. 35 Gleichwohl wird auch in diesen Veröffentlichungen deutlich, dass zum Risikomanagement neben dem Risikomanagementprozess auch unterstützende Maßnahmen gehören. Diese bestehen aus der Formulierung und Implementierung einer Risikopolitik, 36 einer entsprechenden Risikokultur, geeigneter organisatorischer Regelungen, einem Risikocontrolling sowie einer Überwachung des Risikomanagementprozesses. 37 Da die einzelnen Risiken eines Unternehmens nicht unabhängig voneinander sind, können sie auch nicht vollständig unabhängig voneinander gesteuert werden. Daher muss ein Risikomanagementsystem stets die Risikogesamtposition steuern. 38 Dies schließt jedoch eine Einzelsteuerung von Risiken im Rahmen abgeleiteter, übergeordneter Vorgaben aus der Gesamtsteuerung nicht aus. Insofern ist Risikomanagement umfassend als die Gesamtheit aller systematischen strategischen, organisatorischen und prozessualen Maßnahmen inklusive der entsprechenden Methoden und Systeme anzusehen, die direkt oder 34 Das Risikoreporting wird von einigen Autoren nicht zum Risikomanagementprozess selbst, sondern zu den begleitenden Maßnahmen gezählt, so z. B. Gebhardt/Mansch (2001), S. 160; implizit Diedrichs (2004), S. 235ff.; Reichmann (2006), S. 609f. 35 So z. B. Denk/Exner-Merkelt/Ruthner (2008), S. 30: Risikomanagement ist die systematische, aktive, zukunfts- und zielorientierte Steuerung der Risikogesamtposition des Unternehmens. ; Romeike (2005), S. 17f.: Aufgabe des Risikomanagements ist es, die Chancen und Risiken systematisch zu identifizieren und sie hinsichtlich der Eintrittswahrscheinlichkeit und der quantitativen Auswirkungen auf den Unternehmenswert zu bewerten. 36 Einige Autoren sprechen statt von einer Risikopolitik von risikopolitischen Grundsätzen, so z. B. Diedrichs (2004), S. 16ff.; Reichmann (2006), S. 623ff. bzw. von einer Risikostrategie, so z. B. Bundesanstalt für Finanzdienstleistungsaufsicht (2009b), AT 4.2. Im Rahmen dieser Arbeit werden die Begriffe synonym verwendet. 37 Vgl. Burger (1998), S. 235; Kirchner (2002), S. 18; Reichmann (2006), S. 626ff. 38 Vgl. Denk/Exner-Merkelt/Ruthner (2008), S. 31.

6 14 Grundlagen des Risikomanagements indirekt der bewussten Steuerung der Risikogesamtposition des Unternehmens dienen. 39 Unternehmensstrategie/Unternehmenspolitik Risikostrategie/Risikopolitik Risikoidentifikation Unternehmenskultur Prozessüberwachung Risikobewertung Risikosteuerung Risikoüberwachung Risikoreporting Risikokultur Unternehmensorganisation Risikoorganisation Unternehmenscontrolling Risikocontrolling Abbildung 2: Bestandteile des Risikomanagements Zielsetzung, Aufgaben und Vorgehensweisen im Risikomanagement Risiken entstehen, bevor sich ihre Auswirkungen im Erfolgsziel niederschlagen. Gemäß der Ansoffschen Idee der schwachen Signale 41 können Risiken jedoch noch vor ihren Auswirkungen erkannt werden. Je früher sie erkannt werden, desto stärker sind sie noch beeinflussbar Die einzelnen Bestandteile der Risikomanagementprozessschleife brauchen in dieser Definition nicht aufgezählt zu werden, da die Risikosteuerung die vor- und nachgelagerten Prozessschritte voraussetzt. 40 In teilweiser Anlehnung an Diedrichs (2004), S. 15 und die dort angegebene Literatur sowie Kühne (2010), S Vgl. Ansoff (1976), S. 129ff. 42 Vgl. Pfohl (2002), S. 7.

7 Zielsetzung, Aufgaben und Vorgehensweisen im Risikomanagement 15 Erträge bzw. Aufwendungen Auswirkung des Risikos Beeinflussbarkeit des Risikos Zeit Abbildung 3: Zeitversatz zwischen Risikoentstehung und Ertragsauswirkungen 43 Dies erfordert ein Risikofrüherkennungssystem und eine Risikosteuerung. Zu den Zielen eines Risikomanagementsystems existieren in der Literatur diverse Aufzählungen. Statt jedoch an dieser Stelle Beispiele solcher aufzuzählen, sollen die Inhalte dieser Listen vielmehr kategorisiert werden. Die Ansätze der verschiedenen Autoren widersprechen sich üblicherweise nicht, sondern sind von unterschiedlichen Schwerpunkten und Detailgraden gekennzeichnet. Sie können daher sich ergänzend zusammengeführt werden. Die drei Hauptziele eines Risikomanagementsystems, auf welche die verschiedenen Einzelziele zurückgeführt werden können, sind die Existenzsicherung des Unternehmens, die Erfüllung gesetzlicher Anforderungen und die Steigerung des Unternehmenswerts. Trotz der von einzelnen Autoren herausgestellten Überordnung des Existenzsicherungsziels so spricht z. B. Diedrichs von der Existenzsicherung als primäres bzw. Metaziel des Risikomanagements 44 sollen die genannten Ziele hier zwar als unterschiedlich gewichtet, nicht aber als über- bzw. untergeord- 43 In loser Anlehnung an Coenenberg (1997), S Vgl. Diedrichs (2004), S. 14.

8 16 Grundlagen des Risikomanagements net verstanden werden. Obwohl die Existenzsicherung die wesentlichste Aufgabe des Risikomanagements darstellt, darf diese nicht derart verstanden werden, dass existenzbedrohende, aber für das unternehmerische Handeln notwendige und äußerst unwahrscheinliche Risiken nicht doch in Einzelfällen eingegangen werden können. 45 Das Risikomanagement liegt in der Verantwortung der gesamten Unternehmensführung. Dies ist einerseits eine konzeptionelle Notwendigkeit, da Risiken in allen Unternehmensbereichen bestehen können und gleichzeitig aber auch übergeordnet Interdependenzen und Korrelationen zwischen den Risiken zu beachten sind. Andererseits ist die Gesamtverantwortung der Unternehmensführung auch direkt gesetzlich verankert (s. u.). Dies bedeutet jedoch nicht, dass die Unternehmensführung nicht zur eigenen Entlastung operative Risikomanagementaufgaben an einen Risikobeauftragten, eine Risikomanagement- oder Risikocontrollingabteilung oder ein Risikokomitee delegieren kann. Das Risikomanagementsystem muss von der Unternehmensführung freigegeben werden (Modell, Limite, Risikotragfähigkeit etc.), da es sich hierbei um eine wesentliche strategische Entscheidung handelt. Allerdings muss weder die Entwicklung des Modells noch die operative Umsetzung und Nutzung durch die Unternehmensführung erfolgen. 46 Die gesetzlichen Anforderungen an ein Risikomanagementsystem sind in Deutschland eher gering. Dennoch zeigt sich in der Praxis, dass sie erheblichen Einfluss auf die Einführung von formalen Risikomanagementsystemen hatten. 47 Im Wesentlichen beruhen die gesetzlichen Anforderungen auf dem am 1. Mai 1998 in Kraft getretenen Gesetz zur Kontrolle und Transparenz im Unternehmensbereich, kurz KonTraG. Dieses hat 91 Abs. 2 des Aktiengesetzes geändert. Nunmehr wird von börsennotierten Aktiengesellschaften ausdrücklich die Einführung eines Risikomanagementsystems gefordert. Hintergrund waren spektakuläre Pleiten von Publikumsgesellschaften. Deutsche Aktiengesell- 45 Dies ist vergleichbar mit einem Menschen, der trotz seines ausgeprägten Existenzsicherungswunsches z. B. Auto fährt und damit die Gefahr eines unwahrscheinlichen, aber trotzdem möglichen tödlichen Autounfalls akzeptiert. 46 Vgl. Pfohl (2002), S Vgl. Baumann/Hoitsch/Winter (2006), S. 73; Ahlrichs/Knuppertz (2007), S. 493.

9 Zielsetzung, Aufgaben und Vorgehensweisen im Risikomanagement 17 schaften werden u. a. verpflichtet, ein konzernweites Risikofrüherkennungssystem aufzubauen. Börsennotierte Aktiengesellschaften haben zudem die Angemessenheit und den Betrieb des Risikofrüherkennungssystems von einem Abschlussprüfer prüfen zu lassen und über die Risiken im Lagebericht des Jahresabschlusses zu berichten. Dieses Risikofrüherkennungssystem soll bestandsgefährdende Entwicklungen, risikobehaftete Geschäfte, Unrichtigkeiten in der Rechnungslegung und gesetzliche Verstöße frühzeitig entdecken. Dabei lässt das Gesetz die konkrete Ausgestaltung des Risikomanagementsystems jedoch offen. Obwohl das Aktiengesetz unmittelbar nur für Aktiengesellschaften und deren Konzerntöchtern gilt und damit i. d. R. nicht für mittelgroße deutsche Gasversorger sind mittelbar auch diese Kapitalgesellschaften betroffen. Es wird davon ausgegangen, dass das Gesetz auch Ausstrahlungswirkung auf den Pflichtenrahmen von Unternehmensleitungen anderer Gesellschaften hat. 48 Ein Risikofrüherkennungssystem ist dabei im Übrigen nicht gleichzusetzen mit einem Risikomanagementsystem, sondern stellt lediglich einen Teil dessen dar. 49 Für deutsche Finanzdienstleistungsinstitute gelten zudem die von der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) sogenannten Mindestanforderungen an das Risikomanagement (MaRisk) in der Fassung vom 14.August Vorläufer der MaRisk lassen sich bis in das Jahr 1975 mit den Mindestanforderungen für bankinterne Kontrollmaßnahmen bei Devisengeschäften zurückverfolgen. Als Finanzinstitute gelten dabei nicht nur die klassischen Kreditinstitute, sondern auch bspw. Handelsunternehmen, die Derivate anbieten. Derivate sind Instrumente, deren Werte von den Preisen anderer, grund- 48 Vgl. z. B. Liebich (2006), S. 24; Reichmann (2006), S Vgl. Abschnitt zur Definition und Abgrenzung eines Risikomanagementsystems. 50 Vgl. Bundesanstalt für Finanzdienstleistungsaufsicht (2009b). Im Rahmen der vorliegenden Arbeit wird der Begriff Finanzdienstleistungsinstitute als Oberbegriff für Kreditinstitute, Wertpapierhandelsbanken und andere Finanzdienstleistungsinstitute verwendet. Seit dem 22. Januar 2009 gelten zudem aufsichtsrechtliche Mindestanforderungen an das Risikomanagement (MaRisk [VA]) bei Versicherungen. Vgl. Bundesanstalt für Finanzdienstleistungsaufsicht (2009a).

10 18 Grundlagen des Risikomanagements legenderer Variablen abhängen. 51 Auch einige Energiehandelshäuser handeln mit Derivaten und fallen unter die Aufsicht der BaFin. Im ersten, allgemeinen Teil der MaRisk befinden sich grundsätzliche Anforderungen an die Ausgestaltung des Risikomanagements. Im zweiten, besonderen Teil werden spezifische Anforderungen an die Organisation und Prozesse für das Management von spezifischen Risiken erörtert. Besonders wichtige Bestandteile der MaRisk sind die Regelungen zur Gesamtverantwortung des Vorstands, zur Abhängigkeit der Geschäftsstrategie von der Risikotragfähigkeit sowie die aufbau- und ablauforganisatorischen Regelungen. Letztere betreffen insbesondere die Funktionstrennung, die Implementierung von Risikosteuerungs- und Controllingprozessen für alle wesentlichen Risiken inklusive Stress Tests, die Steuerung der Gesamtrisikoposition sowie die Reporting- und Dokumentationspflichten. Die Einhaltung der MaRisk ist von einem Abschlussprüfer zu testieren. Viele der Regelungen der MaRisk gelten als Best-Practices. Daher haben sie erhebliche Ausstrahlungswirkung auch auf Nicht-Kreditinstitute, insbesondere auf die verschiedenen Arten von Handelsunternehmen. Weiteren gesetzlichen, zum Teil indirekten Einfluss auf das Risikomanagement bei deutschen Unternehmen haben der Deutsche Rechnungslegungs Standard Nr. 5 zur externen Risikoberichterstattung sowie der Deutsche Corporate Governance Kodex 52 in Verbindung mit dem durch das Transparenz- und Publizitätsgesetz modifizierten 161 des Aktiengesetzes. Nach diesem sind Abweichungen vom Deutschen Corporate Governance Kodex im Jahresabschluss zu erläutern. 53 Zusätzlich wirken auch der Prüfungsstandard 340 des Instituts der Wirtschaftsprüfer (IDW PS 340) zur Prüfung des Risikofrüherkennungssystems nach 317 Abs. 4 HGB sowie die Eigenkapitalanforderungen für Kreditinstitute bei der Kreditvergabe (Basel II) auf die Praxis des Risikomanagements in Deutschland. 54 Zur Steigerung des Unternehmenswerts gehören vielfältige Aspekte: 51 Vgl. Hull (2008), S Insbesondere Nr des Deutschen Corporate Governance Kodex: Der Vorstand sorgt für ein angemessenes Risikomanagement und Risikocontrolling im Unternehmen. Vgl. Bundesministerium der Justiz (2007). 53 Vgl. Ettmüller (2003), S. 689f. 54 Vgl. Ahlrichs/Knuppertz (2007), S. 493.

11