Risikoanalyse Methodik
Die einzusetzende Risikobewertungs-Methodik ist für jede
Risikoanalyse kontextspezifisch
und aufgabenspezifisch zu bestimmen. Generell bevorzugen wir
pragmatische Risikobewertungsmethoden, deren Ergebnisse
nachvollzogen und überprüft werden können. Für die Bestimmung der Gesamtrisikokosten sind andere methodische
Ansätze zu verwenden, als bei der Wirkungsanalyse eines Szenarios. Die von uns angewandten Methoden zur Risiko-Modellierung setzten
sich teilweise deutlich ab, von dem herkömmlich häufig eingesetzten
stark versicherungs-mathematisch geprägten Bewertungsraster und
ermöglichen somit ganz neue Optionen zur Steuerung von Risiken.
Nachfolgend Empfehlungen und unsere Meinung zu einzelnen
heutigen Risikobewertungsaspekten.
Top Down versus Bottom Up und
Aktualität versus Detaillierungsgrad
In den meisten Fällen ist ein Top Down Ansatz besser geeignet als
ein Bottom-Up Ansatz. Für kritische Unternehmensbereiche/
Projektphasen ist ein höherer Detaillierungsgrad und eine höhere
Aktualisierungsrate zu wählen. Generell ist die Aktualität der
Risikoanalyse wichtiger als der Detaillierungsgrad. Je höher der
Detaillierungsgrad desto aufwändiger ist die Aktualisierung der
Risikoanalyse. Wählen Sie Detaillierungsgrad und
Aktualisierungsrate, so dass die Analyse der Kompelxität des zu
bewertenden Systems gerecht wird
und andererseits der zukünftige Aktualisierungsaufwand in einem
vernünftigen Rahmen bleibt. Detaillierungsgrad und Aktualisierungsrate sind wichtige
Planungsgrößen einer Risikoanalyse und können oft nur approximativ
über mehrere Risikoanalysen hinweg optimal bestimmt werden.
Zusätzlich empfehlen wir Ihnen stichprobenartig in jeder
Risikoanalyse auch einige unkritische Bereiche detaillierter zu
betrachten, um zumindest langfristig etwaige unterschätzte,
nicht wahrgenommene Risiken aufzudecken.
Oft stellen wir fest, dass Unternehmen Risikoanalysen durchführen
und diese dann aufgrund des Aufwands zwei Jahre lang nicht
aktualisieren. Wir empfehlen stattdessen den Detaillierungsgrad zu
reduzieren und dafür die Aktualisierung öfters und regelmäßiger
durchzuführen. Durch den Einsatz eines IT-gestützten
Risikomanagement Systems mit Workflow-Funktionalität kann der
Aktualisierungsaufwand zusätzlich reduziert und stärker
dezentralisiert werden.
Ziele und Untersuchungsbereich der Risikoanalyse
Für jede Risikoanalyse ist eine Zielsetzung vorzunehmen. Diese
Zielsetzung definiert den Fokus der Risikoanalyse. Die Festlegung
und Strukturierung des Untersuchungsbereichs der Risikoanalyse wird
anhand den Zielen der Risikoanalyse hergeleitet. Für die
Identifikation und Festlegung der relevanten Risiken innerhalb des
definierten Untersuchungsbereichs sind Sie auf das Wissen Ihrer
Mitarbeiter angewiesen. Kein Tool, keine Risikomanagementmethodik
kann Ihnen diese Aufgabe abnehmen. Standardisierte
Risikoinventare und Risikoklassifizierungen sind hilfreich z.B. bei
der Überprüfung der Vollständigkeit des Risikoinventars. Risiken,
welche die Einzigartigkeit des Unternehmens gefährden, sind oft
kritisch, können jedoch keinem Best-Practice Ansatz entnommen
werden.
Risikobewertung
Wie die Risiken zu bewerten sind, hängt stark von der
gewählten Risikodefinition ab. Die klassische Risikodefinition
Eintrittswahrscheinlichkeit multipliziert mit erwartetem
Schadenausmaß ist versicherungstechnisch wichtig. Sie ist jedoch
aus Sicht der Risikosteuerung nicht sehr hilfreich. Wir unterstützen Sie gerne bei der Ausarbeitung einer
Risikobewertungsmethodik, welche ihren Anforderungen genügt und die
Aktualisierung der Risikoinformationen mit einem vernünftigen
Aufwand erlaubt.
Risikoaggregationsansätze versus Entscheidungskritische
Information
Risikoaggregationsansätze stellen aus unserer Sicht oft eine
unzulässige Komplexitätsreduktion dar. Entscheidend ist zu wissen,
wie Risiken auf das Unternehmen/ die Unternehmenswerte wirken, sowie
das Aufzeigen, wie Risiken sich gegenseitig beeinflussen und von
einander abhängig sind. Einfache Aggregationsansätze berücksichtigen
diese Abhängigkeiten der Einzelrisiken und deren Überschneidungen
nicht. Aggregationsansätze, welche diese Abhängigkeiten
berücksichtigen benötigen viel statistisches Datenmaterial z.B. für die
Ausarbeitung von Co-Varaianzmatrizen, was oft nicht vorhanden
ist, und selbst wenn über mehrere Jahre Risikoinformationen
gesammelt wurden, so muss berücksichtigt werden, dass das
Unternehmen zum Zeitpunkt der Informationssammlung ein Anderes war
als heute und, dass diese Informationen nur bedingt verwendet werden
können.
Bei unseren Risk Reports stehen die entscheidungskritischen
Informationen im Vordergrund und nicht die aggregrierten
Risikopositionen. Gerne Unterstützen wir sie bei der Ausarbeitung
von aussagekräftigen Risikoberichten.
Risikomodellierung und Simulation
Viele Fehlplanungen zeigen, dass
komplexe Systeme aufgrund ungenügender Informationslage nur bedingt
geplant und nur ungenau modelliert und simuliert werden können. Die
Ergebnisse einer Simulation können nur so gut sein, wie die Qualität
der Ausgangsinformationen.
Neben der Simulation von komplexen Sachverhalten empfehlen wir
deswegen immer allgemeine Verhaltensregeln im Umgang mit komplexen
Situationen einzuhalten. Z.B. Maßnahmen, zur Komplexitätsbeherrschung
und Komplexitätsreduktion komplexer Systeme sollten immer
revidierbar (rückgängig machbar) sein, denn deren Langzeitwirkungen
und Nebenwirkungen sind für niemand 100% abschätzbar.
Gesamtrisikokosten und Finanzierung der Risikohandhabung
Unter der Hypothese, dass es für jedes Unternehmen ein Szenario
mit Eintrittswahrscheinlichkeit ungleich null gibt, welches
das Unternehmen in eine Insolvenz treibt, übersteigen die
Gesamtrisikokosten bei einem unendlichen Betrachtungszeitraum den
Unternehmenswert immer. Diese Aussage ist nicht sehr nützlich. Sie
zeigt aber, dass Gesamtrisikokosten immer nur in Bezug auf einen
vorgegebenen Betrachtungszeitraum bestimmt werden können. Die
Festlegung des relevanten Betrachtungszeitraums stellt dabei eine
äußerst komplexe Fragestellung dar. Es ist zu beachten, dass
Prognosen über lange Zeiträume sehr ungenau sind. Die Bestimmung der
zukünftigen Gesamtrisikokosten bleibt egal mit welcher Methodik
bestimmt eine sehr wage Größe und hängt von vielen Faktoren unter
anderem der gewählten Risikohandhabung ab. In diesem Zusammenhang
wird auch zwischen Bruttorisikokosten (Risikokosten falls keine
Risikohandhabungsmaßnahmen realisiert werden) und Nettorisikokosten
(Verbleibende Risikokosten nach Risikohandhabung) unterschieden. Die
Risikohandhabung ist theoretisch optimal, wenn die Nettorisikokosten
plus die Kosten für die Risikohandhabung minimal sind. Oft ist
jedoch die optimale Risikohandhabung im Rahmen eines vorgegebenen
Risikobudgets zu suchen. Dabei kann es je nach Budgethöhe zu ganz
unterschiedlichen Risikohandhabungen kommen. Aus Sicht der
Geschäftsleitung stellt sich deshalb neben der Fragestellung der
Gesamtrisikokosten die Frage, mit welcher machbaren
Risikofinanzierung kann eine sinnvolle und wirksame Risikohandhabung
realisiert werden, welche gewährleistet, dass alle Nettorisiken im
akzeptierbaren Restrisikobereich zu liegen kommen.
