Risikomanagement: Was ist heute Was wird morgen?

Transkript

1 Risikomanagement: Was ist heute Was wird morgen? Tag der Schweizer Qualität vom 5. Juni 2012 Dr. Bruno Brühwiler Seite 1

2 GENESIS des Risikomanagements BASEL I-III Solvency I-II Finanzindustrie: Kapitalorientierung ISO ONR Unternehmen: Enterprise RM COSO 2004 Wirtschaftsprüfung IKS Seite 2

3 GENESIS des Risikomanagements 1970 USA Versicherung (Risikoanalyse) 1980 Banken 1980 EWG Solvency I BASEL I-III Solvency I-II 1960 USA Sicherheits- Technik (MIL) Normen (ISO/ EN) 1920 USA Risk, Uncertainty and Profit Management Systeme 1915 DE Gefahr des Kapitalverlusts Corporate Goverance z.b. KonTraG (DE) OECD Rechtliche Verantwortung COSO 1992 COSO 2004 Finanzindustrie: Kapitalorientierung ISO Unternehmen: Enterprise RM Wirtschaftsprüfung IKS Seite 3

4 Dumme Frage: Warum gibt es trotz diesen vielen Vorstellungen, Konzepten und (z.t. verbindlichen) Vorgaben zum Risikomanagement immer noch alle diese Krisen und Katastrophen und zwar in einem bisher nicht bekannten Ausmass? Finanz- und Immobilienkrise 2008 (Subprime) Staatverschuldungskrise 2011 (Eurokrise) Fukushima 2011 (Nuklearkatastrophe) Um dazu eine Antwort zu finden, sehen wir uns die Risikomanagement-Konzepte einmal genauer an: Seite 4

5 Merkmale verschiedener Ansätze Modell-orientierter mathematischer Ansatz Qualitativer Management Ansatz Kontroll- und finanzorientierter Ansatz BASEL I-III Solvency I-II Finanzindustrie: Kapitalorientierung ISO ONR Unternehmen: Enterprise RM COSO 2004 Wirtschaftsprüfung IKS Seite 5

6 Modell-orientierter mathematischer Ansatz BASEL I-III Solvency I-II Finanzindustrie: Kapitalorientierung Seite 6

7 Charakteristiken mathematischer Modelle Basel I-II (ex III) und Solvency I-II verfolgen einen Ansatz, der das Gesamtrisiko eines Finanzinstituts ermitteln will, wobei je nach Höhe des Gesamtrisikos Eigenmittel unterlegt werden sollen. Die Ermittlung des Gesamtrisikos erfolgt mit mathematischen Modellen, insbesondere mit dem Konzept des Value at Risk (VaR). Vergangenheitsdaten werden gesammelt, statistisch ausgewertet und auf die Zukunft projiziert Seite 7

8 Modell-orientierter mathematischer Ansatz Es geht dabei um folgende Risikogruppen: Marktrisiken (Preisschwankungen) von Aktiven Kreditrisiken (Ausfallrisiken) von Aktiven Operationellen Risiken (Betriebsrisiken) Versicherungstechnische Risiken (von Passiven) Die (adjustierte) Summe dieser Risiken ergibt den Bedarf an Eigenmitteln eines Finanzinstituts Seite 8

9 Value at Risk Konzept Der Value at Risk ist derjenige Verlustwert, der bei einer genügend grossen Eintrittswahrscheinlichkeit nicht überschritten wird Seite 9

10 Bewertungsversuch Positiv Wissenschaftlich Exakt Seriös Anspruchsvoll Negativ Eingeschränkte Sicht Mechanische Extrapolation Expertenbasiert Extern gefordert, reguliert shit in shit out Vermittelt falsches Bild von Sicherheit Seite 10

11 Kontroll- und finanzorientierter Ansatz COSO 2004 Wirtschaftsprüfung IKS Seite 11

12 Swiss Code of Best Practice for Corporate Governance «Der Verwaltungsrat sorgt für ein dem Unternehmen angepasstes internes Kontrollsystem und Risikomanagement. Das interne Kontrollsystem ist der Größe, der Komplexität und dem Risikoprofil der Gesellschaft anzupassen. Das interne Kontrollsystem deckt, je nach den Besonderheiten der Gesellschaft, auch das Risikomanagement ab; dieses bezieht sich sowohl auf finanzielle wie auf operationelle Risiken.» Seite 12

13 Corporate Governance Schweiz Das Schweizerische Aktienrecht verankert ab 2007 die Verantwortung des Managements wie folgt: Art. 663b Ziffer 12 Neufassung Obligationenrecht Der Anhang zur Jahresrechnung von größeren Aktiengesellschaften enthält Angaben über die Durchführung einer Risikobeurteilung. Die Revisionsstelle muss nur das Vorhandensein der Risikobeurteilung feststellen, nicht aber zum Inhalt Stellung nehmen. Die Risikobeurteilung hat sich mindestens auf die Risiken erstrecken, die einen wesentlichen Einfluss auf die Beurteilung der Jahresrechnung haben können Seite 13

14 Interpretation in der Schweiz Liberaler Ansatz mit minimaler Anforderung: Begrenzung auf die Risiken im Zusammenhang mit dem Jahresabschluss Ausschluss von strategischen und operationellen Risiken, sofern nicht für Jahresabschluss relevant Keine inhaltliche Prüfung durch die Revisionsstelle Schwerpunkte IKS: Organisation und Verantwortlichkeiten, für die Finanzberichterstattung wesentliche Bereiche, wichtige Kontrollaktivitäten Risikobeurteilung: Wesentliche Risiken, Einfluss auf die Jahresrechnung Seite 14

15 Sonderfall USA Sarbanes Oxly Act 2002 Die Betrugsfälle von ENRON und Worldcom nach 9/11 haben zu einer (überzogenen) Reaktion geführt: SOX 302: Corporate Responsibility for Financial Reports SOX 404: Management Assessment of Internal Controls SOX 906: Strafen bei Zuwiederhandlung Konsequenzen von SOX: Sehr aufwendige Kontrollsysteme für US-notierte Unternehmen Rückgang von neuen Börsengängen in den USA Rückzug von Europäischen Konzernen aus Finanzmarkt USA Kauf von Europäischen Börsen durch USA-Börsen Seite 15

16 COSO Enterprise Risk Management Framework Seite 16

17 Umsetzung und Ergebnis Die Umsetzung der Vorgaben von SOX erfolgt i.d.r. durch die Analyse und Risikobeurteilung der Finanzprozesse. Das erweist sich als sehr aufwendig, viele CH-Konzerne haben durchblicken lassen, dass die Einführung von SOX sie >100 Mio. CHF gekostet hat. Alle an der US-Finanzkrise direkt beteiligten Finanzinstitute waren SOX-Compliant! Warum hat das Risikomanagement hier nichts bewirkt? Seite 17

18 Vorboten der Subprime-Krise 2006/ Seite 18

19 Bewertungsversuch Positiv Finanzkontrolle Lückenlos Absicherung Anspruchsvoll Negativ Eingeschränkte Sichtweise Umfeldentwicklung ist ausgeklammert Defensiver Ansatz Extern gefordert, reguliert Gesetzlich gefordert Gibt falschen Eindruck von Sicherheit Seite 19

20 Qualitativer Management Ansatz ISO ONR Unternehmen: Enterprise RM Seite 20

21 Ziele des Risikomanagements (nach ISO 31000) Überleben der Organisation sicherstellen Ziele und Strategie mit der Risikofähigkeit abstimmen Wirksamkeit und Effizienz der Führung verbessern Planungssicherheit erhöhen Bedürfnisse von Kunden und Partnern befriedigen Sicherheit der Mitarbeiter, der Umwelt gewährleisten Schadenfälle effizient managen Seite 21

22 Risikomanagement in Deutschland Gesetz über die Kontrolle und Transparenz im Unternehmensbereich (KonTraG) 91 (2) AktG: Der Vorstand hat geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden. Im Bestätigungsvermerk ist auch darauf einzugehen, ob der Lagebericht und der Konzernanlagebericht insgesamt nach der Beurteilung des Abschlussprüfers eine zutreffende Vorstellung von der Lage des Unternehmens oder des Konzerns vermittelt. Dabei ist auch darauf einzugehen, ob die Risiken der zukünftigen Entwicklung zutreffend dargestellt sind Seite 22

23 Was ist ein Risiko? Risiko = Auswirkungen von Unsicherheit auf Ziele (Risk = Effects of Uncertainty on Objectives) (1) Die Auswirkungen von Risiko können positiv oder negativ sein, (2) die Unsicherheit bzw. Ungewissheit wird mit Wahrscheinlichkeiten geschätzt bzw. ermittelt; (3) Risiko ist eine Kombination von Wahrscheinlichkeit und Auswirkung (4) die Ziele der Organisation oder des Systems umfassen strategische, operationelle oder finanzielle Ziele, die Sicherheit von Menschen, Sachen und der Umwelt («safety, security») genauso wie andere Ziele, und (5) Risiko ist eine Folge von Ereignissen und von Entwicklungen. (ONR 49000:2010, Ziff ) Seite 23

24 Ereignis und Entwicklung Ereignis: Plötzlicher Eintritt einer bestimmten Kombination von Umständen Entwicklung: Allmähliche Veränderung von Umständen im innern oder ausserhalb des Unternehmens Seite 24

25 Die Bedeutung von Risikoszenarien (Risiko-)Szenario: Konkrete und bildhafte Darstellung eines Risikos mit Annahmen über mögliche Zusammenhänge von Ursachen und Abfolgen von Ereignissen oder Entwicklungen, die aufzeigt, wie sich Chancen bzw. Bedrohungen / Gefahren in einer Organisation oder in einem System verwirklichen lassen. Ein Risikoszenario dient dazu, die Risiken zu beschreiben, zu verstehen und zu kommunizieren. Nur wenn ein Risiko mit seinen Ursachen und Auswirkungen verstanden worden ist, kann man auch etwas unternehmen, um dieses zu beeinflussen Seite 25

26 Die Beschreibung von Risikoszenarien Mensch und Verhalten Folgen für Leib und Leben Politik-Recht- Gesellschaft Organisation und Technik Szenario Folgen für die Umwelt Folgen für Markt und Umsatz Folgen für Kosten und Margen Ursachen des Szenarios Auswirkungen des Szenarios Seite 26

27 Der Eisberg zeigt ein wichtiges Prinzip im Risikomanagement auf Worst Case Szenario 1 10 Katastrophal Kritisch 100 Spürbar 1000 Gering unbedeutend Seite 27

28 Risikokriterien Für die Auswirkungen: Geld, Leib- und Leben, Leistungsfähigkeit, Zeit, Reputation Für die Eintrittswahrscheinlichkeit: Häufigkeit (einmal pro Monat, einmal pro Jahr) oder Wahrscheinlichkeit (3%, 10 %, 30 %). Die Eintrittswahrscheinlichkeiten können oft nur geschätzt werden, da eine objektive, statistische Datenbasis fehlt Seite 28

29 Top-down- und Bottom-up-Ansatz Top-down-Ansatz: Vorgehensweise bei der Risikobeurteilung, bei der die Gesamtheit der Organisation oder des Systems Gegenstand der Risikoidentifikation und der Risikoanalyse sind. Bottom-up-Ansatz: Vorgehensweise bei der Risikobeurteilung, bei der die Design- und Prozess-spezifischen Einzelteile einer Organisation oder eines Systems Gegenstand der Risikoidentifikation und der Risikoanalyse sind Seite 29

30 Verpflichtung der obersten Leitung Strategisches Management Operatives Management Leistungs- Prozesse Seite 30

31 Bewertungsversuch Positiv GMV Erfahrung Konsensbasiert Weite Sicht Top down Proaktiv Negativ Datengrundlage Nicht wissenschaftlich Ermessen Seite 31

32 Positionierung verschiedener Ansätze ISO ONR BASEL I-III Solvency I-II COSO Seite 32

33 Der Einstieg ins Risikomanagement Es war zu beobachten, dass vor einigen Jahren viele grosse, mittlere und kleine Unternehmen das Risikomanagement entdeckten Erste Erfahrungen im Risikomanagement, Oft auch weil es vorgeschrieben ist (Regulierung), Unklares Verhältnis zum Qualitätsmanagements, Me-too-Strategie von vielen Stakeholdern Seite 33

34 Die Renaissance des Risikomanagement Viele Unternehmen, auch öffentlich Institutionen, kommen heute auf das Risikomanagement zurück, es gibt viele Aktivitäten in Richtung Weiterentwicklung des Risikomanagement Ausbildung von Risikomanagern Integration von BCM (ganzheitliches BCM) Seite 34

35 Trends bei Managementsystemen In den letzten 20 Jahren waren ISO 9001 und ISO die Blockbuster (meistverkaufte Standards) von ISO Seit 2011 ist die ISO der neue Blockbuster, d.h. der weltweit am meisten gekaufte Standard Subprimekrisen, Verschuldungskrisen, Fukushima, Costa Concordia und weitere (Klimaveränderung) Risiken beschleunigen eine Seite 35

36 Schwerpunkt-Verlagerung? Seite 36

37 Aus- und Anlaufmodell QM als Auslaufmodell RM als Anlaufmodell Seite 37

38 Unterschiede zwischen Qualitäts- und Risikomanagement werden sich verstärken Qualität Befasst sich mit dem Normalzustand Deskriptive Darstellungen (von Prozessen) Tendenz zur Vollständigkeit Dokumentationsstark Bottom-up-Ansatz Risiko Befasst sich mit Ausnahmesituationen Ursache-Wirkungs- Analysen Konzentration auf das Wesentliche Risiko-fokussiert Top-down-Ansatz Seite 38

39 Was führt vom Qualitätsmanagement weg zum Risikomanagement? Qualität Imagebezogen Audit-Aufregung Verwaltungsinstrument Spezialistentum Eigendynamik Nutzen geht zurück Risiko Sachbezogen Strategiebezogen Führungsinstrument Risikoeignerschaft Massnahmenstark Nutzen steigt Seite 39

40 Paradigmawechsel Bisher hat man das Risiko eher als Bestandteil des Qualitätsmanagement betrachtet. In Zukunft wird das Qualitätsmanagement eher zu einem Mittel / Instrument des Risikomanagements werden. Das Risikorelevante zu erkennen und zu steuern ist die Herausforderung des Risikomanagements, das Qualitätsmanagement hat sich darum wenig gekümmert Seite 40

41 Die neue Prozesslandschaft K U N D E N und andere Interessierte Parteien Führungsprozesse Strategieentwicklung und -Umsetzung Ressourcenprozesse Mitarbeitende Produkt- und Dienstleistungs-Realisierungsprozess Marktforschung Entwicklung Fabrikation Vertrieb Service Projektdefinition Unterstützungsprozesse Kommunikation Intern / extern Infrastruktur Projektmanagement-Prozess Management- Informationssystem Planung Ausführungs-Vorbereitung Ausführung Abschluss IT-Management Supply Chain Controlling Qualitätsmanagement Risikomanagement Kapital K U N D E N und andere Interessierte Parteien Seite 41

42 Problemhierarchie Risikomanagement Qualitätsmanagement Seite 42

43 Fazit Top down Ansatz im Vormarsch Komplexitätsbewältigung als Herausforderung Unternehmensentwicklung läuft weniger über Systeme, sondern über die Menschen Bürokratie wird zurückgefahren Zertifizierung und Regulierung wird relativiert Nutzen und Wertschöpfung im Vordergrund Seite 43