Unternehmensweites Risikomanagement - Systemdesign und prototypische Implementierung

Abstract

Risikomanagement ist zu einem unverzichtbaren Teil in der heutigen Unternehmensrealität geworden. Krisen verschiedenster Art sowie spektakuläre Unternehmenspleiten führten in den letzten Jahren zu einem Bedeutungszuwachs des Risikomanagements, sowohl in der gelebten Unternehmenspraxis als auch im regulatorischen Bewusstsein. Dabei ist eine Neupositionierung weg vom traditionellen ex-post Compliance- und Kontrollzugang hin zu einem auf allen Unternehmensebenen integrierten Bestandteil zu beobachten. Unternehmen sind zunehmend gefordert Risiko systematisch, ganzheitlich und vor allem ex-ante, also vorausschauend, anzugehen, um bewusst das Eingehen von Risiken und deren Chancen zu managen. Im Zuge dieser Arbeit wird anhand von konkreten Anforderungen eines mittelständischen Industriekonzerns ein unternehmensweites und softwareunterstütztes Risikomanagementsystem entwickelt. Die Ermittlung des aktuellen Industriestandards, der gesetzlichen Mindestanforderungen und der nötigen Funktionen eines softwareunterstütztes Informationssystem stehen dabei im Vordergrund. Die als Grundlage verwendete Theorie orientiert sich an dem regelkreisgesteuerten Risikomanagementansatz, wie er im enterprise-risk- management-framework von COSO II und in der ISO 31000 Norm beschrieben wird. Die Ergebnisse dieser Arbeit helfen mittelständischen Industrieunternehmen bei der Einführung eines für sie passenden Risikomanagementsystems, da sie in der Regel dabei Schwierigkeiten haben. Dies ist begründet durch die Fülle an Varianten, Literatur, Regelwerken, Methoden, Kennzahlen und Gesetzen, sowie gleichzeitig durch die Abwesenheit eines eindeutigen best-practice Ansatzes. Die vorliegende Arbeit zeigt, dass ein Risikomanagementsystem erst seinen vollen Nutzen entfaltet, wenn erstens die Konzeption speziell auf das Unternehmen angepasst ist, es zweitens parallel in ein softwareunterstützendes Informationssystem eingebettet wird und drittens durch einen proaktiven Risikomanagementansatz auch die Chancen, die sich ergeben können, gezielt genutzt werden. Zusätzlich umfasst der wissenschaftliche Mehrwert dieser Arbeit ein Modell zur Risikokategorisierung inklusive Risikokontorahmen; eine Risikopyramide, die das strategische Risikomanagement mit der Risikokalkulation verbindet; eine mittelständische Organisationsstruktur; ein umfangreiches Reifegradmodell; eine einfache Risikoberechnung in Form von Quantifizierung und Aggregation mittels Risikolandkarten; ein Anwendungsleitfaden in Form eines Handbuchs; ein Risikomanagement-Datenmodell und die Gestaltung der Benutzeroberfläche als übersichtliche Workflow und Managementcockpits. Abschließend kann gesagt werden, dass die naturwissenschaftlichen Methoden erstaunlich wenig zum beiliegenden Projekt beitragen konnten. Es sind vielmehr Softskills von Risikokultur bis hin zu Transparenz und die Aufbereitung und Auswertung von Informationen, die wesentlich für den Erfolg eines Risikomanagementsystems verantwortlich sind. Und genau diese weichen Faktoren bieten weitere Forschungsmöglichkeiten für empirische Studien oder Modellentwicklungen, die das Risikomanagement besser im Unternehmen verknüpfen können. Trotzdem sollte weiterhin nach einem akzeptablem Modell aus technischen und mathematischen Methoden geforscht werden, nach dem Motto “so wenig wie möglich und so viel wie nötig”.

In today’s world, risk management has evolved to an inevitable component enterprises must not ignore any more. During the past decades various crises (e.g. spectacular bankruptcy or fraud cases) led to both, an increasing importance of enterprise-wide risk management and an ever growing regulatory framework. Within risk management, a paradigm change occurred during this period, away from the ex-post view as a controlling tool towards an active involvement throughout the whole spectrum of company activities. This new risk management philosophy increasingly requires enterprises to tackle risks ex-ante from a 360◦ perspective and to decide beforehand what chances and risks the company should take or not take. In this thesis specific requirements for a software-supported risk management platform are developed, in consideration of industrial small-medium-enterprise (SME) needs. Therefore prior investigation of the current industry standard, regulatory minimal requirements and necessary functionality are conducted. Based on these considerations, the risk management processes of COSO II ERM and ISO 31000 are used as basic frameworks for this thesis. The results of this thesis are intended to help industrial SMEs implementing a suitable risk management platform, which is often a difficult task due to the vast amount of literature, frameworks, methods, key performance indicators, laws and especially the lack of general best practice cases. In general, a risk management platform only unfolds its full potential when: The concept is tailored to the traditions and processes of the specific company. In parallel a software-based information system is embedded with the risk management. A proactive risk management approach targets the potential chances as well as the involved risk. The first and second points are the main focus of this thesis. The scientific output and added value of this thesis include a numbered risk categorisation; a so-called risk pyramid, where the strategic risk management is connected to the calculation; a proposed organisational hierarchy; an extensive risk management maturity model; a sound quantitative risk calculation and aggregation by means of risk maps; a comprehensive risk management handbook; an entity-relation-diagram for risk management as well as designed user-interfaces, management cockpits and workflows. In conclusion, it is apparent that scientific and statistical methods contributed astonishingly little to the successful risk management implementation project conducted in this thesis. Instead, soft skills (ranging from a positive risk culture to a transparent work environment and the information collection and analysis) have been most beneficial. These soft skills provide many future research opportunities, for example the optimum way of anchoring risk management within the whole company. Nevertheless, this does not necessarily exclude research on scientific and statistical methods which should be further enhanced.