Risikomanagement für KMU: Erwarte das Unerwartete

Jede unternehmerische Tätigkeit bedeutet eigentlich ein Wagnis. Harter Wettbewerb, Paragrafendschungel, Änderungen im Kaufverhalten – Gefahren lauern überall. Ein nicht unbedeutender Teil der Insolvenzen könnte sich vermeiden lassen, wenn in Unternehmen ein Problembewusstsein hinsichtlich der Risiken vorhanden wäre. Nur wer sich mit den Risiken auseinandersetzt, kann auch entsprechende Abwehrmaßnahmen und Handlungsszenarien entwickeln. Unternehmerische Intuition und Bauchgefühl reichen in der heutigen komplexen Welt nicht mehr aus, um die Vielzahl an Risiken zu beherrschen. Der erste Schritt, um für Unternehmensrisiken sensibilisiert zu werden, ist die Erstellung eines Risikoprofils. Dabei lassen sich die vier grundsätzlichen Phasen der Risikoidentifikation, -bewertung, -steuerung und -kontrolle unterscheiden. Um die risikorelevanten Unternehmensbereiche systematisch erfassen zu können, ist ein Risikomanagement unabdingbar. Grundlagen, nach deren Anforderungen sich Unternehmen zertifizieren lassen können, bilden die Inhalte von ISO 31000 und ONR 49001.

Schritt 1: Risikoanalyse

Welche Risiken bestehen überhaupt für das Unternehmen? Im Geschäftsleben sind sie so vielfältig wie die Firmen und ihre Branchen. Es gibt unterschiedliche Instrumente, um die Risiken zu identifizieren: Unternehmens- und Umweltanalyse, Befragung der Mitarbeiter, Auswertung vorhandener Daten und Dokumente oder interne Risiko-Workshops. Dabei gilt grundsätzlich der Slogan „Erwarte das Unerwartete“. Im Gegensatz zu Großunternehmen können KMU ihre Risiken oft auf wenige, dafür aber signifikante Gefahren reduzieren. Diese betreffen dann jedoch recht häufig existenzielle Bereiche und können rasch zur Insolvenz führen. Beispiele dafür sind:
- die Abhängigkeit von einzelnen Großkunden.
- Marktveränderungen, wodurch sich das Hauptprodukt nicht mehr verkaufen lässt.
- ein Dominoeffekt, wenn Kunden die Rechnungen nicht mehr bezahlen.
Häufig werden aber auch strategische Risiken unterschätzt, wie eine nicht geregelte Nachfolge des Inhabers oder der Wegfall von Fachkräften. Mangelndes Bewusstsein besteht auch bei IT-Risiken.

Wie wahrscheinlich ist es, dass die identifizierten Risiken eintreten und welche potenziellen Auswirkungen haben sie? Für die Risiken werden die Ursachen aufgelistet und priorisiert. Bei externen Risiken werden Indikatoren gesucht, die frühzeitig vor Veränderungen warnen. Risiken sollten jedoch nicht bloß einzeln bewertet werden, sondern auch deren Zusammenwirken oder deren Kumulation im Zeitverlauf.

Unter dem Begriff Risikosteuerung werden alle Maßnahmen zusammengefasst, mit denen Unternehmen auf Risiken reagieren können. Grundsätzlich unterscheidet man zwei Arten von Maßnahmen:
- Proaktive, präventive Maßnahmen, die schon vor dem Eintreten des Risikos umgesetzt werden.
- Reaktive, passiv korrektive Maßnahmen, die dann umgesetzt werden, wenn das Risiko bereits Wirklichkeit geworden ist.
In Workshops werden die Aktivitäten herausgefiltert, welche die Ursachen am effektivsten und kosteneffizientesten bekämpfen.

Im Rahmen der Risikokontrolle werden die Maßnahmen auf ihre Effizienz, Angemessenheit und Wirksamkeit hin überprüft. Dies kann durch fortlaufendes Monitoring in Echtzeit oder als periodische, tiefergehende Risikoprüfung erfolgen. Im Idealfall ergänzen sich diese zwei Arten.

Zur strategischen Ausrichtung eines Unternehmens gehört es auch, die Risikobereitschaft zu definieren. Welche Risiko-Höhen ist die Firma bereit zu akzeptieren? Dies ist stark gekoppelt mit den Ambitionen des Unternehmens. Bei höher gesteckten Zielen ist es wahrscheinlicher, dass Risiken auftreten. Diese Risiko-Strategie sollte klar formuliert und kommuniziert werden, um die Mitarbeiter auf die Existenz von Risiken im Tagesgeschäft zu sensibilisieren.