Risikomanagementstrategien: Das Kletterseil, das deine Organisation braucht

Würdest du es jemals wagen, ohne geeignetes Seil, Gurtzeug, Selbstsicherungsgerät und einen Partner, der dir beim Auf- und Abstieg hilft, einen Felsen zu besteigen? Wahrscheinlich nicht. Selbst wenn du gut genug bist, um nicht zu stürzen, sind die Risiken zu hoch, um sie zu ignorieren. Es gibt zwar so was wie Freiklettern, aber nur die erfahrensten Kletterer, die echt risikofreudig sind, machen das. Eine Organisation zu leiten ist nicht immer einfach. Du musst dir der Risiken bewusst sein, die du eingehst, wenn du auf der Karriereleiter nach oben kletterst. Und du brauchst die richtige Ausrüstung – also die richtigen Strategien zum Risikomanagement –, um diese Risiken zu minimieren.

Mit einem guten Risikomanagementplan kannst du finanzielle Verluste und Reputationsschäden vermeiden, sicherstellen, dass du die Vorschriften einhältst, und Vertrauen aufbauen.

Förderung der Einhaltung von Vorschriften

Risikomanagementstrategien sind in manchen Branchen keine Option. Zum Beispiel müssen Finanzinstitute in der EU (Europäische Union) die DORA (Digital Operational Resilience Act) einhalten, die strenge Vorschriften für das Risikomanagement im Bereich der Informations- und Kommunikationstechnologie (IKT) enthält. Die Nichteinhaltung gesetzlicher Vorschriften hat sich als erhebliche Gefahr herausgestellt. Das ist kein Scherz, denn die Aufsichtsbehörden scheuen sich nicht, Verstöße mit Geldstrafen zu ahnden. Im Fall von Equifax musste das Unternehmen eine Geldstrafe in Höhe von 575 Millionen Dollar zahlen, weil die Datenbank des Unternehmens für Hackerangriffe anfällig war und dadurch persönliche und finanzielle Daten von 150 Millionen Verbrauchern verloren gingen.

Vermeidung von Reputationsverlusten

Das Betriebszentrum von Delta Airlines wurde 2016 fünf Stunden lang lahmgelegt. Das hat das Unternehmen 150 Millionen Dollar gekostet, weil die Fluggesellschaft gezwungen war, etwa tausend Flüge zu streichen und weitere tausend freizugeben. Das ist ein Beispiel für Risikomanagement, das nicht nur mit Verlusten zu tun hat. Delta hat sich immer als pünktliche Fluggesellschaft vermarktet, die auch mal Flüge streicht. Man könnte sagen, dass Reputationsverluste für die Fluggesellschaft sogar teurer sind als Flugausfälle und Flugverbote.

Das Endergebnis sichern

Wenn Organisationen davon überrascht werden, kann das richtig teuer werden. Die Folgen einer Datenverletzung können zu Millionenstrafen führen. Plötzliche Ausfälle oder die Nichtverfügbarkeit des Dienstes bedeuten Umsatzverluste. Denke zum Beispiel an das Risiko der Compliance. Meta (Facebook) war das erste Unternehmen, das wegen Verstoßes gegen die EU-Datenschutzvorschriften eine Strafe von 1,2 Milliarden Euro zahlen musste.

Probleme verhindern, bevor sie Chaos verursachen

Ein guter Risikomanagementansatz beschränkt sich nicht nur auf das Risikomanagement. Er legt auch fest, wie die tatsächlichen Risiken ermittelt und behandelt werden, bevor sie zu erheblichen finanziellen Verlusten führen können. Als Beispiel könnte man ein leistungsstarkes automatisiertes System zur Erkennung von Anomalien einrichten, mit dem mögliche Sicherheitsverletzungen frühzeitig erkannt werden können.

Kunden und Investoren dazu bringen, uns zu vertrauen

Ein gutes Risikomanagement-System zeigt deinen Investoren, dass du alles im Griff hast. Wenn du Risiken minimierst und mit unvermeidbaren Risiken gut umgehst, schützt das ihre Investitionen vor finanziellen Verlusten und Reputationsschäden. Kunden vertrauen eher einem Unternehmen, das seine Risiken, vor allem im Zusammenhang mit personenbezogenen Daten, gut im Griff hat. Der Schutz von Kundendaten ist das Wichtigste, um bei den Verbrauchern Vertrauen in ein Unternehmen zu schaffen.

Bevor du dich mit der Auswahl von Risikomanagementmethoden beschäftigst, solltest du ein Team für das Unternehmensrisikomanagement zusammenstellen (falls du das noch nicht gemacht hast). Diese Gruppe wird ständig Risiken erkennen und überwachen, sie behandeln und die Strategie entsprechend den auftretenden Risiken optimieren. Ein Team für Unternehmensrisikomanagement bringt zusammen:

• Der Vorstand, entweder als Vertreter oder als Ausschuss auf Vorstandsebene, überwacht das Team.
• Das Team wird vom Chief Risk Officer (CRO) geleitet, der die Umsetzung der Strategie und die kontinuierliche Verbesserung überwacht.
• Der Chief Operating Officer (COO) hat den Überblick über den gesamten Tagesbetrieb und hilft dabei, Lücken im Risikomanagement zu erkennen und Risiken zu beseitigen.
• Der Finanzvorstand (CFO) gibt Input zu Risiken für Umsatz und Rentabilität sowie zu Versicherungsrisiken (falls zutreffend) und Risiken für Umsatz und Rentabilität.
• Der Leiter der Rechtsabteilung gibt seine Meinung zu den rechtlichen Fragen der Organisation und der Möglichkeit einer Haftung ab.
• Der Chief Compliance Officer sorgt dafür, dass alle Vorschriften eingehalten werden, damit die Sicherheit der Mitarbeiter durch Cybersicherheit gewährleistet ist.
• Der Chief Information Officer (CIO) kümmert sich um IT-Risiken und sorgt dafür, dass der Betrieb weiterläuft, wenn was passiert.
• Der Personalvorstand (CHRO) kümmert sich um Risiken im Zusammenhang mit der Belegschaft.
• Der Kommunikationschef gibt einen Einblick in die Reputationsrisiken, die auftreten können.
• Die Abteilungsleiter, die als Verantwortliche für die Risiken benannt sind, geben einen praktischen Überblick über die Risiken in ihren jeweiligen Geschäftsbereichen.

Risikovermeidung, -reduzierung, -teilung, -übertragung und -beibehaltung sind die am häufigsten verwendeten Methoden des Risikomanagements.

Risiken vermeiden

So eine Risikomanagementstrategie bedeutet, dass Aktivitäten mit hohen Risiken, die der Organisation schaden könnten, vermieden werden. Was ist ein häufiger Hinweis darauf, dass man sie braucht? Überleg dir, ob die möglichen Vorteile die Risiken nicht überwiegen. Es kann auch Gefahren geben, die die Existenz der Organisation bedrohen.

Verlustvermeidung/Risikominderung

Einige Risiken lassen sich nicht komplett vermeiden. Zum Beispiel kann man die Gefahr von schlechten Wetterbedingungen nicht ganz ausschließen. Du kannst nur versuchen, Schäden zu verhindern oder zu verringern. Zum Beispiel kann man das Risiko verringern, indem man Hochwasserentlüftungen und Sumpfpumpen einbaut, um die Schäden durch Überschwemmungen zu reduzieren. Im Gesundheitswesen wird das Risiko normalerweise durch Vorsorge minimiert.

Risikoteilung

Risiko nicht vermeiden oder reduzieren können? Durch Risikoteilung kannst du stattdessen die Gefährdung verringern. Bei diesem Risikomanagementansatz werden im Falle des Eintretens des Risikos die Verluste auf verschiedene Parteien verteilt und die Auswirkungen für jede Partei gemildert. Ein gutes Beispiel für Risikoteilung ist die Beteiligung: Wenn das Unternehmen keinen Gewinn macht, teilen sich die Investoren die Verluste.

Risikoübertragung

Hierbei handelt es sich um eine Risikoverlagerungsstrategie, bei der das Risiko an einen Dritten übertragen wird. Es ist eine geeignete Methode des Risikomanagements, wenn das Risiko so groß ist, dass Organisationen die Verluste nicht mehr bewältigen können. Risikoübertragung bedeutet meistens, sich gegen Naturkatastrophen oder Rechtsstreitigkeiten abzusichern. Mit einem Dienstleistungsvertrag kannst du auch Risiken an einen Subunternehmer weitergeben.

Risikoakzeptanz/-beibehaltung

Wenn alle anderen Strategien zum Risikomanagement ausprobiert wurden, ist die Risikoakzeptanz die letzte Option. Ein Risiko zu akzeptieren heißt, dass es entweder unmöglich ist, das Risiko loszuwerden, oder dass die Kosten für alternative Strategien höher sind als der Nutzen. Um eine Risikorückhaltung anzuwenden, musst du das Budget und andere Ressourcen, die zur Bewältigung der Auswirkungen dieses Restrisikos erforderlich wären, beiseite legen. Dieses Risiko kann in Form von regelmäßigen Kundenbeschwerden oder kleineren Betriebsstörungen auftreten, z. B.

Eine Versicherungsgesellschaft ist im Vergleich zu beispielsweise einem Technologie-Startup ebenfalls verschiedenen Risiken ausgesetzt. Die Analyse ihrer potenziellen Auswirkungen umfasst in der Regel eine Kombination der folgenden Methoden zur Risikobewertung.

Quantitative Risikobewertung

Mit einer quantitativen Risikobewertung kannst du die potenziellen Kosten jedes Risikos beziffern und die Risiken entsprechend priorisieren. Der Grund, warum die quantitative Risikoanalyse so attraktiv ist, liegt darin, dass ihre Ergebnisse messbar und objektiv sind, leicht zu verstehen und zu vergleichen sind. Eine quantitative Risikobewertung ist aber keine Einheitslösung. Manche Organisationen haben vielleicht nicht die nötigen Infos, um mögliche Verluste abzuschätzen. Einige Auswirkungen, wie zum Beispiel Reputationsverluste, sind vielleicht gar nicht messbar. Zu den gängigen quantitativen Risikoanalysetechniken gehören:

• Dreipunktschätzung: Erstelle die besten Prognosen für den besten, den wahrscheinlichsten und den schlechtesten Fall, um die besten Prognosen zu erhalten.
• Entscheidungsbaum-Analyse: Das ist eine Technik, bei der ein Diagramm erstellt wird, das die möglichen Auswirkungen von Entscheidungsoptionen veranschaulicht.
• Erwarteter Geldwert: Festlegen von Geld- und Zeitreserven für unvorhergesehene Fälle
• Sensitivitätsanalyse: Schätzung des Risikos, das einen Prozess oder ein Projekt am stärksten beeinflussen wird.
• Monte-Carlo-Simulation: Ermittlung der Wahrscheinlichkeit verschiedener Ergebnisse in einem Prozess, der Zufallsvariablen beinhaltet.
• Fehlerbaumanalyse: Erstelle ein Diagramm, um die Faktoren zu bestimmen, die zu einem Systemausfall führen können.

Qualitative Risikobewertung

Mit dieser Risikobewertungstechnik kannst du die Stellen identifizieren, die genauer analysiert und praktisch gemanagt werden müssen. Dabei werden die Leute in einer Organisation in eine Diskussion über Risiken und ihre möglichen Auswirkungen einbezogen. Die qualitativen Methoden sind:

• Keep It Super Simple (KISS): Ordne die Risikoereignisse auf einer einfachen Skala von (sehr hoch) bis (sehr niedrig).
• Wahrscheinlichkeit/Auswirkung: Ordne die Wahrscheinlichkeit des Auftretens eines Risikos und dessen Auswirkungen auf einer zweidimensionalen Grafik von 1 bis 10 oder von 1 bis 5 ein.

Bei der qualitativen Risikobewertung werden Faktoren berücksichtigt, die schwer zu quantifizieren sind. Sie basiert auf persönlichen Eindrücken und Ansichten und kann daher durch Voreingenommenheit beeinflusst sein.

Vermögensbasierte Risikobewertung

Diese Methode erkennt die Risiken, die sich auf die Vermögenswerte der Organisation auswirken können, darunter Ausrüstung, Eigentum und geistiges Eigentum. Dazu gehören:

• Erstelle eine Liste aller verfügbaren Assets.
• Schau dir an, wie gut die aktuellen Risikokontrollen funktionieren.
• Hol dir Hilfe von den Eigentümern der Assets, um mögliche Risiken für jedes Asset zu erfassen.
• Neben der Identifizierung von Risiken ist auch eine Priorisierung der Risiken hinsichtlich ihrer Wahrscheinlichkeit und der Intensität ihrer Auswirkungen vorzunehmen.

Assetbasierte Risikobewertungen liefern zwar leicht verständliche Ergebnisse, berücksichtigen jedoch bestimmte Risiken nicht, die mit den Richtlinien oder Prozessen der Organisation verbunden sind.

Schwachstellenbasierte Risikobewertung

Bei dieser Methode geht es darum, die Schwachstellen jeder Organisation oder jedes Systems aufzudecken. Bei Schwachstellenbasierten Bewertungen geht's darum, nicht mit einer Liste der Vermögenswerte des Unternehmens anzufangen.

• Identifizierung bestehender organisatorischer/systemischer Schwächen und Ineffizienzen
• Überleg dir, wie diese Schwachstellen ausgenutzt werden könnten.
• Schätze die möglichen Auswirkungen jedes Exploits ab.

Obwohl diese Methode eine ausgewogenere Risikoeinschätzung ermöglicht, hat sie einen Nachteil: Sie basiert auf bekannten Schwachstellen. Daher bleiben noch nicht behobene Sicherheitslücken weiterhin eine Gefahr.

Die richtige Kombination von Risikomanagementstrategien zu finden, braucht ein klares Verständnis der Risiken der Organisation und ihrer möglichen Auswirkungen. Deshalb gibt es keine allgemeingültigen Risikomanagement-Tipps für diese oder jene Strategie. Trotzdem entscheiden sich manche Organisationen manchmal für bestimmte Strategien:

• Die Strategie zur Risikovermeidung sollte in Fällen angewendet werden, in denen die potenziellen Auswirkungen des Risikos größer sind als der Nutzen der Aktivität.
• Risikominderung ist eine gute Option, wenn es keine andere Wahl gibt, aber es kann trotzdem Maßnahmen zur Risikokontrolle geben.
• Die Risikoteilung hängt mit Projekten zusammen, die zu groß oder zu kompliziert sind, um von einer einzigen Partei gemanagt zu werden.
• Das Beibehalten von Risiken ist bei Risiken mit geringen Auswirkungen üblich, die im täglichen Betrieb normal sind.
• Risikoverlagerung wird normalerweise bei großen Risiken mit starken Auswirkungen genutzt, die für eine Organisation zu teuer wären.

Das Risikoniveau, die Risikobereitschaft der wichtigsten Stakeholder und die Ressourcen bestimmen aber, welche Strategie du wählst.

Der Prozess des Risikomanagements hat fünf Schritte: Risikoidentifizierung, Risikobewertung, Risikobehandlungsplan, Umsetzung, Überwachung und Verfeinerung.

1. Risikoidentifizierung

Als Erstes musst du dir einen Überblick über alle möglichen Risiken verschaffen, denen dein Unternehmen ausgesetzt ist. Halte alle identifizierten Risiken in einem Dokument fest, z. B. in einem Risikoregister – einer Datenbank mit Risiken, ihrer Wahrscheinlichkeit und potenziellen Auswirkungen, Risikoverantwortlichen und ausgewählten Risikobehandlungsstrategien. Um alle möglichen Risiken zu ermitteln:

• Sprich mit den Mitarbeitern vor Ort und der Geschäftsleitung über Umfragen, Brainstorming und Interviews.
• Schau dir an, wann Risiken in der Vergangenheit aufgetreten sind, und finde heraus, warum das passiert ist.
• Zieh aus historischen Daten mit Hilfe von Datenanalysen Erkenntnisse über Risiken.

Berücksichtige bei diesen sieben Risikokategorien interne und externe Risiken:

2. Risikoanalyse

Jetzt ist es an der Zeit, den Schweregrad jedes der identifizierten Risiken zu bestimmen. Bestimme für jedes Risiko:

• Das Risikoereignis würde, falls es eintritt, negative Auswirkungen auf die Organisation haben.
• Interne und externe Faktoren, die das Auftreten eines Risikos verursachen können
• Wahrscheinlichkeit, dass das Risiko eintritt
• Auswirkungen des Risikoereignisses
• Zeitrahmen oder die Geschwindigkeit, mit der das Risiko eintreten kann

Du kannst deine Ergebnisse in einer Risikomatrix zusammenfassen, wobei die Risikowahrscheinlichkeit auf der einen Achse und die Schwere der Auswirkungen auf der anderen Achse dargestellt werden. Wenn du die Bewertung gemacht hast, kannst du die Risiken von den schwerwiegendsten bis zu den am wenigsten schwerwiegenden kategorisieren.

3. Plan zur Risikobehandlung

Beim Umgang mit Risiken musst du dich zuerst für eine Strategie entscheiden: Vermeidung, Reduzierung, Aufteilung, Übertragung oder Beibehaltung. Du kannst mehrere Arten von Risikomanagementstrategien kombinieren, wenn du dasselbe Risiko angehst. Mach dann für jedes Risiko einen Plan zum Risikomanagement, mit den Maßnahmen, Richtlinien und Kontrollen, um das Risiko zu verringern. Such dir auch die richtigen Risikomessungen aus, die du anwenden willst.

4. Umsetzung des Risikomanagements

Nachdem der Plan steht, ist es höchste Zeit, ihn umzusetzen. Informiere auch deine wichtigsten Stakeholder über Risiken, damit sie darüber Bescheid wissen und sich angemessen an Risikomanagementprozessen beteiligen können. Außerdem solltest du ein System einführen, das die Risikokennzahlen überwacht, die du im vorherigen Schritt festgelegt hast. Du kannst auch eine Datenanalyselösung berechnen, um Erkenntnisse aus diesen Informationen zu gewinnen.

5. Überwachung und Verfeinerung

Risikomanagement ist kein Projekt, sondern ein Prozess, der ständig weiterlaufen sollte. Um Risiken effizient zu managen:

• Beobachte die Risikokennzahlen immer im Auge, wie zum Beispiel die Liquiditätsquote oder die Ausfallzeiten der Geräte.
• Schau dir das Risikoregister regelmäßig an, überprüfe die Risiken und achte auf neue Risiken.
• Halte die Augen offen und mach was gegen Risiken.
• Testet und überarbeitet eure Pläne und Maßnahmen zur Risikominderung.
• Hol dir Tipps zu deinen Risikomanagementpraktiken von den wichtigsten Beteiligten.
• Mach regelmäßig interne Audits.

Analytisches und strategisches Denken, zwischenmenschliche und Führungsfähigkeiten sowie regulatorische und finanzielle Kenntnisse sind die wichtigsten Fähigkeiten im Risikomanagement.

Analytisches Denken

Das Risikomanagement umfasst die Analyse verschiedener Daten. Ein guter Risikomanager kann auf der Grundlage der gesammelten Informationen und unter Berücksichtigung quantitativer und qualitativer Faktoren kluge Entscheidungen treffen.

Strategisches Denken

Risikomanager müssen einen umfassenden Überblick über die Strategie eines Unternehmens und die Rolle des Risikomanagements haben. Ohne diesen Überblick und ohne die Identifizierung von Chancen, die ihre Kollegen möglicherweise übersehen haben, können sie ihre Aufgaben nicht optimal erfüllen.

Menschen und Kommunikationsfähigkeiten

Risikomanagement braucht echt viel Zusammenarbeit zwischen verschiedenen Abteilungen, um gut zu funktionieren. Der Risikomanager sorgt dafür, dass die wichtigsten Leute zusammenarbeiten und Feedback geben.

Individuelle Management- und Führungskompetenzen

Irgendwann müssen Risikomanager Risikomanagementpraktiken in der Organisation umsetzen. Dazu gehört, dass sie ein Gespür dafür entwickeln, wie sie die Leute dazu bringen können, sich an die Maßnahmen zur Risikominderung zu halten, und eine ehrliche Diskussion über Risiken anregen.

Regulatorisches Wissen

Jede Methode zum Risikomanagement wird wahrscheinlich durch verschiedene Vorschriften geregelt. Deshalb müssen Risikomanager die gesetzlichen Anforderungen an das Risikomanagement und die Möglichkeiten zu deren praktischer Umsetzung verstehen.

Finanzwissen

Risikomanager müssen Risiken fast täglich einschätzen. Dazu brauchen sie viel Finanzwissen über die Kosten von Netzwerkausfällen und die Verluste durch Geräteausfälle.

Zusammenfassend lässt sich sagen: So wie ein Kletterer sich aus Sicherheitsgründen auf Seile und Gurte verlässt, muss ein Unternehmen robuste Risikomanagementstrategien einsetzen, um potenzielle Fallstricke zu umgehen. Ob es nun darum geht, Risiken zu vermeiden, zu reduzieren, zu teilen, zu übertragen oder zu behalten – jeder dieser Ansätze ist entscheidend, um finanzielle, operative und Reputationsverluste zu mindern. Diese ganzheitliche Strategie sorgt dafür, dass Unternehmen Schwachstellen frühzeitig angehen und widerstandsfähig sein können, was langfristigen Erfolg und Nachhaltigkeit garantiert.