Fokusanalyse Risikokommunikation im Maschinen- und Anlagenbau

Transkript

1 Fokusanalyse Risikokommunikation im Maschinen- und Anlagenbau Eine vergleichende Untersuchung des External Risk Reportings

2 Liebe Leserin, lieber Leser, bei der Prüfung beziehungsweise Durchsicht eines Geschäftsberichts erwartet der fachkundige Leser heute selbstverständlich, dass die Informationen auch konkrete Aussagen zu Risikoaspekten enthalten. Es wird vorausgesetzt, dass die jeweilige Organisation ihre unternehmensrelevanten Risiken kennt und versteht, angemessene Maßnahmen ergreift und vor allem: öffentlich darüber berichtet. Dr. Gerhard Dauner Partner, Head of Diversified Industrials Volker Zieske Partner, Consulting Governance, Risk & Compliance Die Mehrheit der börsennotierten Unternehmen in Deutschland tut dies bereits seit einiger Zeit sowohl in ihren Jahresabschlüssen als auch in den Lageberichten der Geschäftsberichte. Ein umfassendes Standardrahmenwerk zum Format dieser Berichterstattung ist jedoch bisher nicht vorhanden. Die externe Risikoberichterstattung ist häufig inkonsistent, lückenhaft und schwer vergleichbar sogar bei Unternehmen, die an den gleichen Märkten oder in der gleichen Branche aktiv sind. Analysiert man verschiedene Geschäftsberichte hinsichtlich des Umgangs mit Risiken, sieht man, dass sich eine über die zwingend vorgeschriebenen Aspekte hinausgehende Berichterstattung auszahlt. Unternehmen, die sich mit den freiwilligen Aspekten der externen Risikoberichterstattung intensiv und effizient beschäftigen, sparen Zeit und Kosten und generieren sogar Mehrwert in Form eines Vertrauensbonus. Die veränderten Rahmenbedingungen zur Risikoberichterstattung auf Ebene der Aufsichtsorgane nach dem BilMoG (insb. 107 Abs. 3 AktG) sind ebenfalls zu berücksichtigen. Nur Unternehmen, die sich frühzeitig damit auseinandersetzen, können zielgerichtet reagieren. Auf den folgenden Seiten haben wir für Sie die Ergebnisse einer KPMG-Analyse zum Thema Externe Risikoberichterstattung zusammengestellt. Wir freuen uns darauf, mit Ihnen persönlich die Implikationen für die angemessene Ausgestaltung Ihrer externen Risikoberichterstattung und Ihrer Kontrollsysteme zu diskutieren. Die Notwendigkeit einer umfassenden externen Risikoberichterstattung steigt. Eine optimierte Berichterstattung über ein breiteres Risikospektrum wird nicht nur durch verschärfte Gesetze gefordert, sondern kann auch das Vertrauen der Berichtsadressaten in das Unternehmen selbst stärken. 2

3 Grundlagen der Analyse Die externen Adressaten von Geschäftsberichten gehen davon aus, dass im Unternehmen ein adäquates System mit angemessenen Prozessen vorhanden ist, um Risiken zu identifizieren, zu bewerten, zu überwachen und zu managen. Folgende Interessengruppen erwarten eine umfangreiche Risikoberichterstattung, um die Performance eines Unternehmens besser einschätzen und daraufhin fundierte Entscheidungen treffen zu können: Investoren: Die externe Offenlegung von Risiken und Risikomanagementinitiativen ermöglicht Aktionären und anderen externen Stakeholdern eine bessere Einschätzung der Einflussfaktoren bei der Wertentwicklung von Aktien. Finanzmärkte: Finanzanalysten und Rating-Agenturen werden einerseits besser über unternehmensrelevante Risiken, andererseits aber auch über die Schritte informiert, die unternommen wurden, um diese Risiken zu kontrollieren und gegebenenfalls zu verringern. Darüber hinaus wird über Mechanismen zur Entscheidungsfindung auf institutioneller Ebene berichtet. Branchen- und Marktumfeld: Eine umfängliche Risikoberichterstattung kann die Kunden- und Lieferantenloyalität unterstützen und erhöht die Chancen auf eine faire und positive Medienpräsenz. Zudem dient die Risikoberichterstattung dem proaktiven Schutz des Wertes von Markennamen (Markenschutz). Gesetzliche Anforderungen versus freiwillige Risikoberichterstattung Während viele Rechnungslegungsgrundsätze nur ausgewählte Risikoangaben einfordern (zum Beispiel IFRS 7), ist in Deutschland eine umfassende und zukunftsorientierte Risikoberichterstattung seit 1999 verpflichtend. Deutsche Kapitalgesellschaften im Sinne des 264d HGB, das heißt kapitalmarktorientierte Kapitalgesellschaften, haben im Lagebericht die wesentlichen Merkmale des internen Kontroll- und Risikomanagementsystems im Hinblick auf den Rechnungslegungsprozess zu beschreiben. Dies ist Gegenstand der Jahresabschlussprüfung gemäß 317 Abs. 3 HGB. Dem Vorstand einer Aktiengesellschaft obliegt darüber hinaus die Verpflichtung zur Einrichtung eines Risikofrüherkennungssystems gemäß 91 Abs. 2 AktG, das durch den Abschlussprüfer gemäß 317 (4) HGB bei einer börsennotierten AG zu prüfen ist. Die gesetzlichen Anforderungen werden durch die beiden Deutschen Rechnungslegungsstandards (DRS) DRS 5 Risikoberichterstattung und DRS 15 Management- Reporting * des Deutschen Standardisierungsrats (DSR) ergänzt. In Ermangelung spezifischer Regelungen für eine umfassendere externe Risikoberichterstattung, die über die ausdrücklich eingeforderte Offenlegung von finanziellen Risiken hinausgeht, fragen Unternehmen verstärkt nach Leitlinien, Prinzipien oder Benchmarks für eine wirksamere freiwillige Risikoberichterstattung. Methodik KPMG führte eine umfangreiche Analyse der Geschäftsberichte deutscher Maschinen- und Anlagenbauunternehmen durch. Untersucht wurden das berichtete Risikobewusstsein der Vertreter dieser Branchengruppe und die beschriebenen Maßnahmen zur Risikobegrenzung und -minimierung. Zunächst wurde ein Risiko-Framework (Risk Map) und einen Bewertungsleitfaden erstellt. Mithilfe der einheitlichen Kriterien wurde eine Basis für die Messbarkeit und die Vergleichbarkeit der Risikoberichterstattung einzelner Unternehmen geschaffen. KPMG berechnete einen Industrie-Benchmark, der auf Basis eines Best Practice-Modells quantifiziert und qualifiziert werden konnte. Mit diesem Best Practice-Modell lassen sich die Risikobericht erstattung messen und anhand von statistischen Kenn größen Handlungsfelder aufzeigen. Die Zielsetzung der Analyse ist die Schaffung von Leit linien für ein wirksames freiwilliges Risikoberichtswesen, wobei der Best Practice-Ansatz als Grundlage dient. Der Mehrwert dieser Ergebnisse besteht in einem differenzierten, Schwerpunkte setzenden Risikomanagementsystem und in einer entsprechenden externen Risikoberichterstattung. * Zukünftig sind die Anforderungen des DRS 20 zu beachten. 3

4 Methode Risk Map Struktur und Ergebnisse Im Rahmen der vorliegenden Analyse wurden rund 170 relevante Risikoaspekte und Fragestellungen in 18 Kategorien gebündelt und zu vier Risiko-Clustern zusammengefasst. Diese Risk Map diente als Bewertungs leitfaden, wobei die Einzelrisiken hinsichtlich Nennung, Risikominimierungsansatz (quantitative Bewertung), Gehalt und Aussagekraft (qualitative Bewertung) überprüft und bewertet wurden. Für die Vergleichbarkeit wurde aus diesen Werten ein Benchmark-Koeffizient gebildet, der hier zur Veranschaulichung in einen Ampel-Code übertragen wurde. Untersuchungsgegenstand waren die Geschäftsberichte 15 deutscher Maschinen- und Anlagenbauunternehmen aus dem Geschäftsjahr Strategische Risiken Qualität Operative Risiken Qualität Strategie Interne technologische Risiken (Innovation) Kundenansprache und Preisgestaltung Risiken der Geschäftsentwicklung Expansion/Restrukturierung/M&A Vision, Leitbild und Werte Externe Faktoren Wettbewerbssituation am Markt External Fraud* Bonitätsbeurteilung/Kredit-Rating Makroökonomische und Branchentrends (Geo-)politische und regulatorische Risiken Externe technologische Risiken Naturgefahren/katastrophenbedingte Schäden Anforderungen an Joint Ventures Planung Planung/Entwicklung von Szenarien Nachhaltigkeit Zertifizierung Ressourcenverfügbarkeit und Energieversorgung Umweltrisiken/Klimawandel Abfallreduzierung und Recycling Mittel-/langfristige Nachhaltigkeitsstrategie Richtlinien und soziale Verantwortung Interner Kommunikationsaufwand und dessen öffentliche Darstellung Unternehmenskultur und -verhalten sowie entsprechende Überwachungsmechanismen Infrastrukturelle Risiken / Gesellschaftsvermögen (Kapazitäts-)Auslastung, Instandhaltung sowie Akquisition von Anlagen und Equipment Immaterielle Vermögenswerte Sicherheitsstandards in Gebäuden Steuerwesen Human Resources Corporate Identity Gesundheitswesen und Ruhestand Anreizsystem (leistungsbezogene Bezahlung) Recruitment und Personalentwicklung Information Technology Information Technology Geistiges Eigentum Interne präventive Identifikation, Untersuchung und Beilegung von Disputen Behördliche Untersuchungen / Rechtsstreitigkeiten Insolvenz Produktentwicklung Einstellung der Produktentwicklung aufgrund von Veräußerungen Zeitgerechte Entwicklung, Prüfung, Produktion und Markteinführung eines Produkts Vertrieb, Marketing und Kommunikation Marketing- und Vertriebsstrategie Reputationsrisiko Projektmanagement Projektmanagement * Wirtschaftskriminalität in Form von Bilanzmanipulationen, Vermögensschädigungen, Korruptionssachverhalten und sonstigen Compliance-Verstößen ( Fraud and Misconduct ). 4

5 Finanzielle Risiken Qualität Governance- und Compliance-Risiken Qualität Kapitalbeschaffung Compliance Zukünftige Finanzierungsbedingungen Budgetierungsrisiko Treasury und Marktrisiken Kapitalmanagement Versicherungen und Kurssicherungsgeschäfte Marktrisiken: Wechselkurse, Rohstoffpreise, Zinssätze Liquiditätsrisiko Kommunikation der internen und externen Compliance-Kriterien Compliance Management und -Kultur, insbesondere Verbesserung der Compliance-Effizienz Compliance: Überwachung, Reporting und Risikobeurteilung Corporate Governance Zusammensetzung des Aufsichtsrats und dessen Qualifikation/Reputation Anreizsystem zur bewussten Risikobereitschaft Besteuerung Besteuerung Altersversorgung/Pensionsfonds Transparenz und finanzielle Integrität, (Nicht-)Compliance-Bewusstsein des Top- Managements Reporting Altersversorgung/Pensionsfonds Genauigkeit und Qualität von Finanzberichten Qualität der Rechnungslegung und der Jahresabschlüsse Berichterstattung zu Nachhaltigkeit und steuerrechtlichen Themen Verfügbarkeit finanzieller Informationen Insgesamt hohe Qualität und große Aussagekraft Im Durchschnitt hohes berichtetes Risikobewusstsein (akkurate Beschreibung von Risiken, deren Relevanz für das Unternehmen und deren möglichen Auswirkungen auf das Unter nehmen) Im Durchschnitt hohe Qualität der Risikoberichterstattung (detaillierte und aussagekräftige Berichterstattung über die Risikoidentifikation, das Risiko-Monitoring und die Risikominimierungsmaßnahmen (auf Basis von Leistungskennzahlen); Anforderungen und Erwartungen an die Berichterstattung werden erfüllt) Insgesamt mittlere Qualität und eingeschränkte Aussagekraft Im Durchschnitt mittleres berichtetes Risikobewusstsein (rudimentäre, stark verkürzte oder teilweise auch unvollständige Beschreibung von Risiken) Im Durchschnitt mittlere Qualität der Risikoberichterstattung ( rudimentäre, stark verkürzte oder teilweise auch unvollständige Berichterstattung über die Risikoidentifikation, das Risiko-Monitoring und die Risikominimierungsmaßnahmen; häufig werden nur regulatorische Minimalanforderungen erfüllt) Insgesamt geringe Qualität und stark eingeschränkte Aussagekraft Risikobewusstsein im Durchschnitt nur geringfügig oder gar nicht vorhanden (Risiken teilweise nicht genannt, bestenfalls aufgelistet, nicht jedoch erläutert, keine Bezugnahme auf andere identifizierte Risiken, keine Beschreibung der Relevanz und der möglichen Auswirkungen auf das Unternehmen) Im Durchschnitt geringe Qualität der Risikoberichterstattung (nur mangelhafte Beschreibung des Risikomanagementsystems, keine Berichterstattung über Risikoidentifikation, Risiko-Monitoring und Risikominimierungsmaßnahmen; insgesamt ein intransparentes Risikomanagementsystem) 5

6 Ergebnisse im Überblick Allgemein Die Ergebnisse unserer Analyse zeichnen ein ausgesprochen heterogenes Bild der Risikoberichterstattung der ausgewerteten Maschinen- und Anlagenbauunternehmen. Die Streuung der Benchmark-Koeffizienten innerhalb der Cluster ist stark bis sehr stark ausgeprägt und durch Ausreißer bestimmt. Obwohl viele Risikoaspekte angesprochen werden, wird eine hohe Anzahl an Risiken nur unzureichend behandelt. Signifikante Risiken werden zum Teil gar nicht oder nur rudimentär angesprochen. Eine detaillierte und aussagekräftige Risikoberichterstattung erfolgt häufig nur im Zuge einer regulativen Kopplung durch gesetzliche Vorgaben. Generell gibt es eine nur lückenhafte Berichterstattung über die Maßnahmen zur Risikobekämpfung und nahezu kein Reporting in Bezug auf die Effektivität der Kontrollmaß nahmen. Schlussfolgernd ist zusammenzufassen, dass Unternehmen die Chance, mit einer soliden Risikoberichterstattung die Stärke und das Potenzial ihrer Organisation zu vermitteln, zu selten nutzen und den damit verbundenen Mehrwert nicht ausschöpfen. Strategische Risiken Das Cluster der strategischen Risiken zeigt zwar eine nur mittelstarke Streuung der Benchmark-Koeffizienten auf, die Mehrheit der ausgewerteten Maschinen- und Anlagenbauunter nehmen liegt jedoch unterhalb des Medians und zeigt ein nur mäßig ausgeprägtes Risikobewusstsein. Die Berichterstattung über die Unternehmensstrategie und externe Risiken ist qualitativ am stärksten innerhalb dieses Clusters. Unsere Analyse zeigt jedoch, dass relevante Themenbereiche der Kategorie Strategie Fragen offenlassen. Auf die Herausforderungen des Wertschöpfungsmanagements (Supply Chain-Management, Manufacturing Footprint) und des sich wandelnden Wettbewerbsumfelds (steigender Wettbewerbsdruck aus Asien) wird mehrheitlich nur unzureichend eingegangen. Der Kategorie Planung wird insgesamt eine hohe Bedeutung zugesprochen, die sich in Form häufiger Nennungen zeigt. Trotzdem nutzen viele Unternehmen die Möglichkeit nicht, die Berichterstattung zu Planungsrisiken durch eine höhere Qualität und höhere Aussagekraft aufzuwerten. Zahlreiche Unternehmen gehen auf die üblichen branchen- und konjunkturabhängigen Zyklen nur vage oder gar nicht ein. Innerhalb der Kategorie Externe Faktoren bergen Aspekte wie External Fraud, Naturgefahren oder Anforderungen an Joint Ventures ein hohes Verbesserungspotenzial. Besonders der Themenkomplex der Nachfrageänderung (Shift to East) wird häufig nur indirekt oder zu pauschal abgehandelt. Auf die Berichterstattung über Maßnahmen zur Minimierung und Überwachung dieses Risikos wird häufig verzichtet. Auf Risiken der Geschäftsentwicklung (Konjunktur) gehen einige Unternehmen nur vage, undetailliert oder eingeschränkt aussagekräftig ein. Das Risiko-Reporting zu Fragestellungen aus der Kategorie Richtlinien und soziale Verantwortung ist insgesamt schwach; in manchen Geschäftsberichten wird sie fast vollständig ausgespart. Sowohl die Thematik der internen Kommunikation und deren öffentliche Präsentation als auch Aspekte der Unternehmenskultur und der entsprechenden Überwachungsmecha nismen werden zumeist unter Marketing-Gesichtspunkten behandelt auf Kosten der Aussagekraft im Rahmen der Risikoberichterstattung. Die Kategorie Nachhaltigkeit wird von den Unternehmen recht uneinheitlich bearbeitet. Insgesamt ist ein starkes Verbesserungspotenzial in den Bereichen Umweltrisiken und Klimawandel sowie bei der Abfallreduzierung und dem Recycling identifiziert worden. Auch Angaben zu nachhaltiger Ressourcenverfügbarkeit und Energieversorgung (Ressourcenabhängigkeit, Ressourcenund Energieeffizienz) sind meist nur rudimentär. Die Möglichkeit, durch Zertifizierungen und Sustainability Audits die Nachhaltigkeit des Unternehmens unter Beweis zu stellen, wird häufig nicht genutzt. Operative Risiken Die analysierten Geschäftsberichte der Maschinen- und Anlagenbauunternehmen zeigen ein extrem heterogenes Bewusstsein für operationelle Risiken. Dieses Cluster weist die höchste Streuung der Benchmark-Koeffizienten auf, wobei fast zwei Drittel der Unternehmen unterhalb des Medians liegen. Der Fokus der Berichterstattung innerhalb dieses Clusters liegt bei Innovation und Human Resources, wobei die IT- und Rechtsrisiken gar nicht oder nur selten erwähnt werden. Aufgrund der zum Teil sehr unterschiedlichen Geschäftsmodelle der untersuchten Gesellschaften sind übergreifende Aussagen zu diesem Risiko-Cluster teilweise schwer zu treffen. Der Risikothemenbereich Projektmanagement beispielsweise betrifft nicht jedes der analysierten Unternehmen. 6

7 Generell wird den Berichtsadressaten in der Kategorie Human Resources von den meisten Unternehmen detailliert über Anreizsysteme, Recruitment und Personalentwicklung berichtet. Aufgrund sensibler interner Kommunikationswege ist diese Berichterstattung aber besonders vertraulich zu behandeln. Auch Rechtsrisiken (Legal) sind in der externen Risikoberichterstattung sensibel zu behandeln. Allzu konkrete Aussagen zu Präventivmaßnahmen, behördlichen Untersuchungen oder Rechtsstreitigkeiten können das eigentliche Risikomanagement konterkarieren. Rechtsthemenbereiche wie das geistige Eigentum werden trotz aller Einwände deutlich zu wenig berücksichtigt. Die Komplexität der betriebsinternen IT-Systeme erschwert eine umfängliche Risikoberichterstattung hierzu. Die Mehrheit der untersuchten Unternehmen blendet diese Risikokategorie fast vollständig aus, ebenso wie die Möglichkeit, durch Zertifikate oder freiwillige Audits die Qualität der Berichterstattung zu erhöhen. In den Kategorien Produktentwicklung sowie Vertrieb, Marketing und Kommunikation ist das Risk Reporting mehrheitlich durch eine nur verhaltene Aussagekraft geprägt. Themenbereiche wie die Veränderungen in der Produktentwicklung durch Geschäftsmodelländerungen (Restrukturierung) und Reputationsrisiken werden größtenteils sogar ganz ausgespart. Auf Risiken der F&E-Tätigkeiten wird nur selten ausführlich eingegangen. Beschreibungen eines angemessenen F&E-Managementsystems zur Sicherstellung einer zeitgerechten Entwicklung, Prüfung, Produktion und Markteinführung eines Produkts (Innovations- und Technologiemanagement) sind häufig unzureichend und lückenhaft. Finanzielle Risiken Die ausgewerteten Geschäftsberichte der Maschinenund Anlagenbauunternehmen zeigen ein überdurchschnittlich hohes Bewusstsein für finanzielle Risiken. Diese Gesamteinschätzung ergibt sich angesichts einer sehr starken Spitzengruppe, eines großen, um den Median verdichteten Mittelfelds und lediglich weniger Ausreißer nach unten. Das Risiko-Reporting über Treasury und Marktrisiken ist am genauesten und detailliertesten dargestellt. Unsere Analyse zeigt jedoch Verbesserungspotenzial beim Kapitalmanagement sowie bei Versicherungen und Kurssicherungsgeschäften (volatile Rohstoffmärkte, Fremdwährungsrisiken). Die Einbindung und Erläuterung von Frühwarnindikatoren zur Erhöhung der Berichterstattungsqualität wird nur selten genutzt. In der Kategorie Kapitalbeschaffung zeigen die Unternehmen ein sehr hohes Risikobewusstsein. Die Möglichkeit einer Verbesserung des Risk Reportings durch aussagekräftige Kommentare der Budgetierungsrisiken wird kaum genutzt. Die Kategorien Besteuerung und Altersversorgung/ Pensionsfonds werden pflichtbewusst und den Vorgaben folgend bearbeitet. Die kommerzielle Sensibilität dieser Thematik spiegelt sich in einer mittleren Qualität und einer eingeschränkten Aussagekraft der Berichterstattung wider. Governance- und Compliance-Risiken Die Mehrheit der auf dem Prüfstand stehenden Unternehmen zeigt in ihren Geschäftsberichten ein überdurchschnittlich hohes Bewusstsein für Risiken, die sich auf den Bereich Governance und Compliance beziehen. Gleichzeitig ist die Streuung innerhalb dieses Clusters stark ausgeprägt: Zwei Drittel der Unternehmen liegen oberhalb des Medians, eine starke Spitzengruppe führt das Ranking an und eine Gruppe negativer Ausreißer verschließt sich abgesehen vom gesetzlich vorgegebenen Maß fast komplett diesem Risiko Cluster. Der Fokus der Risikoberichterstattung bei Governance und Compliance liegt auf dem Reporting in Bezug auf Genauigkeit und Qualität. Die beiden Kategorien Compliance und Corporate Governance werden in der Risikoberichterstattung von den untersuchten Unternehmen sehr unterschiedlich behandelt und zeigen die größte Varianz aller Kategorien. Festzustellen ist eine mangelhafte Darstellung möglicher Risiken im Compliance Management-System (Kultur, Reporting, Controlling) der Unternehmen. Auf das Compliance-Bewusstsein des Top-Managements sowie auf die Zusammensetzung des Aufsichtsrats und dessen Qualifikation beziehungsweise Reputation wird nur stark verkürzt eingegangen. 7

8 Unsere Handlungsempfehlungen Allgemein Strategisch Unternehmen sollten ihre Risikoberichterstattung durch eine detailliertere und differenziertere Darstellung der Risikoprogramme und Richtlinien verbessern. Hierbei sollten sie auch noch näher auf die Strategie zur Risikominimierung und auf Frühwarnindikatoren eingehen. Unternehmen sollten die Möglichkeit nutzen, (a) den Prozess der Risikoidentifikation und -bewertung detaillierter zu beschreiben, (b) zu erläutern, wie die Wirksamkeit und Angemessenheit von Risikosteuerung und Management-Tools gewährleistet wird, und (c) zu definieren, welche Maßnahmen zur Reduzierung von Risiken ergriffen wurden und wie diese Maßnahmen überwacht werden. Gestützt auf die Merkmale Wahrnehmung, Kategorisierung und Wirkungszusammenhänge sollten Unternehmen die Entwicklung eines Frühwarnsystems für Risiken vorantreiben. Gegenstand eines solchen Systems sind die frühzeitige Ortung von Risiken und die Kalkulation von Kennzahlen zur Beurteilung der Risikolage sowie zur anschließenden Risikosteuerung und -kontrolle. Eine umfassende Analyse der Wirkungszusammenhänge ermöglicht zudem die Definition von Frühwarnindikatoren, die rechtzeitig Handlungsbedarf aufzeigen. Die Risikoberichterstattung sollte das Frühwarnsystem mit den Frühwarnindikatoren zu einem adäquaten Risikomanagementsystem synchronisieren. Unternehmen sollten in ihren Geschäftsberichten verstärkt auf die Instrumente und Techniken eingehen, die die Folgeeinschätzungen der strategischen Risiken messen. Hierbei sollten die Strategien zur Risikominimierung näher erläutert werden. Diesen Strategien sollte eine Szenarienplanung zugrunde liegen, die auch externe Faktoren (Konjunktur, Wettbewerbs umfeld, Nachfrageveränderung) ausreichend berücksichtigt. Zudem sollte die Strategie hinreichend operationalisiert (zum Beispiel mithilfe einer Balanced Scorecard) und in messbare Maßnahmen herunterge brochen werden. Zudem empfiehlt es sich, auf Risiken einzugehen, die durch die Umsetzung der Geschäftsstrategie entstehen könnten. Die Unternehmen sollten über strategische Risiken konkreter berichten, wobei natürlich stets zwischen offenkundiger Transparenz und dem Zurückhalten wirtschaftlich sensibler Informationen abzuwägen ist. Operativ Das Cluster der operativen Risiken ist sehr heterogen und bietet großes Potenzial für Verbesserungen. Als Hauptansatzpunkte seien hier (a) die Verknüpfung von Risikobewertung, Folgenabschätzung und Risikosteuerung und (b) die Erläuterung von Wechselwirkungen und Interdependenzen von Risiken genannt. Die Unternehmen sollten eine aktuelle und zeitgemäße Strategie und Planung zur Geschäfts- und Organisationsentwicklung für ihre Geschäfte präsentieren. Ein Regelkreis sollte die einzelnen (Querschnitts-)Funktionsbereiche (F&E, Einkauf, Produktion, Logistik, Vertrieb) integrieren und in der Aufbau- und Ablauforganisation des gesamten Unternehmens verankert werden. 8

9 Finanziell Governance und Compliance Unternehmen sollten den Berichtsadressaten mehr quantitative Informationen über finanzielle Risiken bereitstellen, darunter auch mehr Details über Strategien zur Risikominderung. Die Einschätzung der Risikosituation sollte für die Berichtsadressaten nachvollziehbar sein. Den Berichtsadressaten sollten die verwendeten Konzepte der Risikomessung (Szenario- und Sensitivitätsanalysen, Value-at-Risk), die installierten Instrumente zur Risikosteuerung (Swaps, Forwards, Futures und Optionen) und die entsprechenden Kontrollinstrumente von beziehungsweise für Risiken erläutert werden. Aufgrund der bestehenden Risiko-Reporting-Standards und der relativ hohen Risikoberichterstattungsqualität sollten sich Verbesserungen der Berichterstattung über finanzielle Risiken auf punktuelle Anpassungen konzentrieren. Unternehmen sollten in ihren Geschäftsberichten die Chance nutzen, detaillierter zu beschreiben, wie sie sicherstellen, dass sie externe Vorschriften und interne Richtlinien bei allen Geschäftstätigkeiten und in allen Funktionen erfüllen. Einige Unternehmen versäumen es, ihr umfassendes Verständnis für nicht finanzielle Risiken zu demonstrieren. Sie sollten die Chancen nicht ungenutzt lassen, regulatorische Anforderungen zu übertreffen, freiwillige Standards zu befolgen und sich Zertifizierungen zu unterziehen und anhand von klaren und messbaren KPIs zu berichten. 9

10 Diskussionsansätze Vor dem Hintergrund der sehr differenzierten Ergebnisse unserer Analyse halten wir eine fortlaufende Diskussion über das External Risk Reporting für wichtig. Die folgenden Leitsätze zeigen zusammenfassend die Bereiche mit Optimierungspotenzial. Allgemein 1 In der Risikoberichterstattung werden wesentliche Risiken gar nicht oder nur rudimentär angesprochen, zudem gestaltet sich dies meistens lückenhaft beziehungsweise erfolgt nur in Kopplung mit gesetzlichen Vorgaben. 2 Unternehmen nutzen nicht die Chancen, mit einer soliden Risikoberichterstattung ihre Stärke und ihr Potenzial aufzuzeigen, und nutzen somit nicht den damit verbundenen Mehrwert. Strategische Risiken 3 In der Berichterstattung über strategische und externe Risiken sind viele relevante Bereiche wie das Wertschöpfungsmanagement und das sich wandelnde Wettbewerbsumfeld nicht fokussiert dargestellt. External Fraud, Naturgefahren, Anforderungen an Joint Ventures und Nachfrageänderungen fehlen. 4 In Bezug auf das Thema Nachhaltigkeit besteht sowohl im Bereich der sozialen als auch in dem der ökologischen Verantwortung wesentliches Verbesserungspotenzial. 5 Dem Themenbereich Planung wird eine hohe Bedeutung zugesprochen, trotzdem fehlen hier noch eine hohe Qualität und Aussagekraft. Operative Risiken 6 Der Fokus bei der Berichterstattung in Bezug auf die operationellen Risiken liegt auf Human Resources und Innovationen; IT- und Rechtsrisiken werden dagegen selten bis gar nicht erwähnt. 7 IT-Systeme, Vertrieb, Marketing, Produktentwicklung sowie F&E-Tätigkeiten sind häufig unzureichend und lückenhaft dargestellt. Finanzielle Risiken 8 Die Geschäftsleitung benötigt ein Frühwarnsystem, das Risiken rechtzeitig identifiziert. Da Kenn zahlen(-systeme) in den Organisationen schon seit langer Zeit implementiert sind, besteht die Herausforderung darin, unter einer Vielzahl von Kennzahlen solche mit Frühwarncharakter herauszustellen. Governance- und Compliance-Risiken 9 Es liegt eine mangelhafte Darstellung möglicher Risiken im Compliance Management-System vor, zudem werden das Compliance-Bewusstsein des Top-Managements sowie die Zusammensetzung, Qualifikation und Reputation des Aufsichtsrats deutlich verkürzt dargestellt. 10

11 Checkliste zum Status quo des Risikomanagementsystems Gerne erarbeiten wir mit Ihnen den Status quo Ihrer Risikomanagementsysteme und beantworten gemeinsam mit Ihnen folgende Fragen: Sind alle Anforderungen der externen Risikoberichterstattung erfüllt? Sind die Schwachstellen bekannt? Gibt es ein funktionierendes Frühwarnsystem? Ist die Wirksamkeit des Risiko management systems gesichert? Wurde ein angemessenes Verhältnis zwischen Pflicht und Information gefunden? Sind die Systeme im Sinne eines Corporate Governance-Ansatzes miteinander synchronisiert? Welche Art von Absicherung durch dritte Parteien werden Sie in Betracht gezogen? Sie möchten mehr zum Thema erfahren oder Ihre Fragestellung diskutieren? Bitte sprechen Sie uns an. 11

12 Kontakt KPMG AG Wirtschaftsprüfungsgesellschaft Dr. Gerhard Dauner Partner, Head of Diversified Industrials T gdauner@kpmg.com Volker Zieske Partner, Consulting Governance, Risk & Compliance T vzieske@kpmg.com Autoren: Dr. Gerhard Dauner, Volker Zieske, Dr. Ventzislav Kartchev und Karsten Reschke KPMG AG Wirtschaftsprüfungsgesellschaft Die enthaltenen Informationen sind allgemeiner Natur und nicht auf die spezielle Situation einer Einzelperson oder einer juristischen Person ausgerichtet. Obwohl wir uns bemühen, zuverlässige und aktuelle Informationen zu liefern, können wir nicht garantieren, dass diese Informationen so zutreffend sind wie zum Zeitpunkt ihres Eingangs oder dass sie auch in Zukunft so zutreffend sein werden. Niemand sollte aufgrund dieser Informationen handeln ohne geeigneten fachlichen Rat und ohne gründliche Analyse der betreffenden Situation. Unsere Leistungen erbringen wir vorbehaltlich der berufsrechtlichen Prüfung der Zulässigkeit in jedem Einzelfall KPMG AG Wirtschaftsprüfungsgesellschaft, eine Konzern gesellschaft der KPMG Europe LLP und Mitglied des KPMG- Netz werks unabhängiger Mitglieds firmen, die KPMG International Cooperative ( KPMG International ), einer juristischen Person schweizerischen Rechts, ange schlossen sind. Alle Rechte vorbehalten. Printed in Germany. Der Name KPMG, das Logo und cutting through complexity sind eingetragene Markenzeichen von KPMG International.