Ins offene Messer

Foto: Paulo Cruz/Fotolia

Ein Drittel der Unternehmen läuft Monat für Monat ins offene Messer, weil ein funktionierendes Supply Risk Management praktisch nicht vorhanden ist. Unternehmen sollten umfassende Pläne zur Risiko- minderung in der Schublade haben, meint unser Autor Detlef Harting, und erläutert wie.

Nicht nur in den traditionellen Dienstleistungsbranchen, wie Banken und Versicherungen, wird Risikomanagement immer wichtiger. Auch andere Industrien stehen wachsenden Risiken gegenüber, seien es bereits bekannte branchenspezifische Risiken (Nichterfüllungsrisiko, Marktpreis- und Wechselkursschwankungen), die sich verstärken, oder neue, bislang unbedeutende oder unterschätzte Risiken (Naturkatastrophen, Terrorismus oder die aktuelle Finanz- und Wirtschaftskrise). So haben auch die Risiken im Beschaffungsbereich in den vergangenen Jahren ganz erheblich zugenommen.

Noch vor zehn Jahren stellten Unternehmen bis zu 80 Prozent ihrer Produkte und Dienstleistungen selbst her. In der Zwischenzeit ist die eigene Wertschöpfungstiefe auf 25 bis 45 Prozent gesunken, bis zu drei Viertel der Produkte werden fremdbezogen. Das bedeutet, dass das Management der gesamten Einkaufsprozesse und -strukturen sehr viel wichtiger geworden ist, als die bloße Bestell- und Beschaffungstätigkeit und eines der zentralen Themen in diesem Supply Management ist das Risikomanagement oder kurz Supply Risk Management (SRM).

Für die deutsche Wirtschaft hat das eine enorme Bedeutung: Ein Drittel der Unternehmen läuft Monat für Monat ins offene Messer, weil ein funktionierendes Supply Risk Management praktisch nicht vorhanden ist. Ein weiteres Drittel der Unternehmen hängt zwischen den Stühlen, sie erkennen zwar die Notwendigkeit eines professionellen SRM, schaffen aber die Umsetzung nicht. Das letzte Drittel der Unternehmen verschafft sich jährlich erhebliche Wettbewerbsvorteile, weil sie ihre Risiken professionell managen. Auf dieses Drittel wollen wir unser Augenmerk richten.

Heute sind Risiken in vielerlei Hinsicht beherrschbar. Es sind eine Reihe neuer effektiver Instrumente zum Risikomanagement entwickelt worden, so z. B. das Enterprise Risk Management (ERM), ein strategisches Management von Risiken. Doch auch jenes Drittel, welches ein anspruchsvolles Enterprise Risk Management etabliert, befasst sich vorwiegend mit der Absicherung von Risiken, nicht mit der Suche nach Chancen.

Es gibt aber auch Risiken, gegen die kein Kraut gewachsen ist. Sie sind unberechenbar, tauchen aus dem Nichts auf und können Existenzen sowohl im privaten Leben als auch im Geschäftsleben vernichten.

Es sind Emergenzen, deren Eintreten plausibel scheint, ohne dass es vorhersehbar gewesen wäre. Emergente Phänomene entziehen sich der Kontrolle durch das Subjekt, weil sie sich nicht in Gesetzen von Kausalität erfassen lassen.

In der Regel hat bei unkalkulierbaren Risiken der Zufall seine Finger im Spiel, und das Unheil nimmt mit scheinbar unbedeutenden Begebenheiten seinen Lauf. Um den Geschäftsbetrieb im Ernstfall dennoch aufrechthalten zu können, muss das Unternehmen die Fähigkeit zu improvisieren üben bzw. vorbereiten.

Für den Einkauf stellt sich die Aufgabe, Listen aktueller Risiken zu erarbeiten und konkrete Maßnahmen zur Vermeidung, Verminderung, Überwälzung und Kompensation von Risiken zu konzipieren oder Ersatzlieferanten für den Risikofall aufzubauen. Genau diesen Zweck erfüllt das sogenannte Kontinuitätsmanagement (Business Continuity Management). Es wird aus fünf Schritten entwickelt:

· das eigene Geschäft verstehen

· Strategien entwickeln

· mögliche Reaktionsweisen erarbeiten

· eine Kontinuitätskultur fördern

· das eingerichtete System ständig erproben und verbessern.

Für die meisten deutschen Unternehmen bedeutet Risikomanagement in erster Linie das Erfüllen gesetzlicher Anforderungen. Weitergehender Nutzen, etwa eine Unterstützung der wertorientierten Unternehmensführung, z. B. eine bessere Transparenz der sich bietenden Chancen und die Senkung der Risikokosten bleiben außer acht.

Risiken lediglich zu identifizieren, z. B. von Ursache- und Wirkungsketten, reicht dabei nicht aus. Risiken müssen auch bewertet werden. Ferner muss das Gesamtrisikopotenzial mithilfe statistischer Verfahren bestimmt, Frühwarnindikatoren erkannt und relevante Risikofaktoren im Unternehmensumfeld überwacht werden.

Risikomanagement basiert auf den vier Kernkomponenten:

· 1. Identifikation von Beschaffungs- risiken: Was bedroht den Einkauf potenziell oder akut?

· 2. Analyse der Beschaffungsrisiken: Suche nach der Ursache.

· 3. Bewertung dieser Risiken: Welche Eintrittswahrscheinlichkeit und welche Auswirkungen haben diese Risiken? Aggregation der Risiken um das Gesamtrisiko für das Unternehmen zu bestimmen.

· 4. Steuerung der Risiken, Risiko- bewältigung: Welche spezifischen Gegenmaßnahmen müssen geplant bzw. ergriffen werden?

Identifikation von Beschaffungsrisiken

Bei der Risikoidentifikation sollen alle das Unternehmen betreffenden künftigen Entwicklungen erkannt werden, die ein Zielabweichungspotenzial aufweisen. Dabei geht es um die aktuelle, systematische, vollständige und wirtschaftliche Erfassung aller Gefahrenquellen.

Risiken werden in Beobachtungsfeldern erkennbar, die unternehmens- und branchenunabhängig sind und mögliche Ursachenbereiche gefährdender Entwicklungen und Ereignisse beschreiben.

Negative Entwicklungen und Ereignisse innerhalb dieser Beobachtungsfelder können für das Unternehmen Risiken darstellen, die in Risikofeldern und -gruppen kategorisierbar sind.

Einzelrisiken ergeben sich demgegenüber aus der jeweiligen Situation des Unternehmens und können den Gruppen als spezielle, für das jeweilige Unternehmen relevante Entwicklungen und Ereignisse zugeordnet werden.

Zu 2. Analyse der Beschaffungsrisiken:

Sie dient der strukturierten und detaillierten Erfassung wesentlicher Risiken. Folgende Instrumente können im Rahmen von Workshops oder Interviews eingesetzt werden: Risikokatalog, Umfeldanalyse, Stärken- und Schwächenanalyse, Wettbewerbsanalyse, Produktlebenszyklus- und Erfahrungskurvenanalyse, Portfolioanalyse, Risikokennzahlen und Frühwarnindikatoren sowie Checklisten, Wertketten, Prozessketten und Produktionsflusspläne.

Natürlich kann ein Unternehmen zur systematischen und vollständigen Erfassung von Risiken der unterschiedlichsten Methoden bedienen, für die Beschaffung bieten sich hier das Risiko-Checklisten-Verfahren, die Mitarbeiterbefragung und die Prozessanalyse bzw. Ausfalleffektanalyse an.

Risiko-Checklisten sind standardisierte Fragebögen zur systematischen Erfassung von Risiken, die mittels geschlossener Fragen Gefährdungspotenziale erkennen lassen. Sie eignen sich besonders für Routinetätigkeiten. Mitarbeiterbefragungen sollen zur Erfassung interner Risiken beitragen, mittels Interviews oder schriftlicher Befragungen werden Informationen zur Risikovermeidung bzw. -verringerung eingeholt. Mit der Prozessanalyse werden Prozesse aller Art auf ihre Schwachstellen untersucht, u. z. nach Schnittstellenproblemen in der Prozessstruktur.

Zu 3. Bewertung der Risiken:

Sie wird als zielgerichtete Bewertung und Klassifizierung unternehmensinterner und -externer Risikopotenziale verstanden. In Workshops oder Interviews wird hier die Beurteilung mit der Ermittlung eines Schadenerwartungswertes, Scoringmodells, Kennzahlen und -systeme, Value-at-Risk, Cashflow-at-Risk oder der Erstellung einer Risk Map unterstützt.

Risiken sind auch unter großer Unsicherheit so weit wie möglich zu quantifizieren. Dies kann in Schadensklassen erfolgen, u.z.

· < 20 Prozent für die geringste Schadenhöhe

· 20–50 Prozent mittlere Schadensklasse und

· > 50 Prozent als schwerwiegend, gemessen am durchschnittlichen Betriebsergebnis.

Wenn das Schadensrisiko größer als 50 Prozent des Eigenkapitals ist, so stellt dies ein Existenz bedrohendes Risiko dar. Aber auch durch das Kumulieren mehrerer Risiken kann die Existenzbedrohung erreicht werden.

Zu 4. Steuerung der Risiken:

Durch ein Risiko steuerndes Instrumentarium soll eine aktive und gezielte Beeinflussung der wesentlichen Risikopotenziale erreicht werden: durch Vermeidung, Überwälzung risikobehafteter Geschäfte, vollständig oder teilweises Outsourcen, Verminderung und Akzeptanz der Risiken. Das Abwägen von Risiken ist häufig ein psychisches und kein analytisches Problem. Menschen scheuen Risiken aus Angst vor Verlusten selbst dann, wenn die Chance auf einen Gewinn größer ist als die Wahrscheinlichkeit, einen Verlust zu erleiden. Sie wollen Sicherheit – oft zu einem hohen Preis.

Unternehmen sollten natürlich umfassende Pläne zur Risikominderung in der Schublade haben. Sie sollten sich in Bezug auf ihre Lieferketten und interne Organisation aber auch fragen: Was passiert, wenn ein Glied der Kette ausfällt? Was ist zu tun, wenn zwei Glieder ausfallen?

Genauso wichtig ist es, sich zu fragen: Welche Wahrnehmungs- und Koordinationsmechanismen benutzen wir bei emergenten Phänomenen, Ereignissen, die wir nicht genau vorhersehen können, die plötzlich auftauchen?

Das Ziel ist nicht, bestimmte Reaktionsmuster für spezielle Bedrohungen zu entwickeln, sondern neue Möglichkeiten der Problemlösung in einer tendenziell unberechenbaren, sich schnell verändernden Umgebung zu proben. Im Krisenfall wird jene Organisation im Vorteil sein, die ihre Kräfte besser bündeln kann und fähig ist, sich mit anderen Mitgliedern in der Wertschöpfungskette abzustimmen, d. h. ein Unternehmen wird zu einer Art Open-Source-Modell der Krisenbewältigung.

Detlef Harting