Risikomanagement im Wandel - Mehrwert eines modernen Risikomanagementsystems auch im Lichte von Covid-19

Von Hans Fasen und Diana Basilio

​veröffentlicht am 02. Juni 2020

Eine Vielzahl von Unternehmenskrisen zu Beginn der 1990er Jahre waren seinerzeit Anlass für den Gesetzgeber, Aktiengesellschaften durch § 91 Abs. 2 AktG zur Einrichtung eines Risikofrühwarnsystems zu verpflichten. Schnell wurde klar, dass die Regelung Ausstrahlungswirkung weit über den eigentlichen Anwendungsbereich hinaus hat. Im Jahr 2020 sind nun aufgrund der Covid-19-Pandemie wieder zahlreiche Unternehmen von einer Krise betroffen. Dies nehmen wir zum Anlass, in vorliegendem Beitrag zu beleuchten, was sich seit dem KonTraG im Jahr 1998 beim Risikomanagement von Versorgungsunternehmen und Stadtwerken getan hat und welche Bedeutung ihm in Zeiten von Covid-19 zukommt.

PFLICHT ZUR EINRICHTUNG EINES RMS BEI VERSORGUNGSUNTERNEHMEN UND STADTWERKEN

Die Pflicht zur Einrichtung geht in Deutschland auf das Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) aus dem Jahr 1998 zurück. Durch das KonTraG wurden Aktiengesellschaften in § 91 Abs. 2 AktG gesetzlich zur Einrichtung eines Überwachungssystems verpflichtet, damit den Fortbestand der Gesellschaft gefährdende Risiken früh erkannt werden (Risikofrühwarnsystem). Während das Risikofrühwarnsystem auf das Erkennen bestandsgefährdender Risiken gerichtet ist, ist ein Risikomanagementsystem (RMS) in verschiedener Hinsicht weitreichender.

Durch die Rechtsprechung und die an das KonTraG anknüpfende Entwicklung von Grundsätzen guter Unternehmensführung in Form des Deutschen Corporate Governance Kodex (DCGK) wurde die Verpflichtung zur Einrichtung eines Risikofrühwarnsystems bereits früh und rechtsformunabhängig als allgemeine Sorgfaltspflicht (§ 43 Abs. 1 GmbHG, § 93 Abs. 1 AktG) verstanden und zugleich auf ein umfassenderes Risikomanagementsystem ausgedehnt.

Daneben gibt es für Unternehmen der Versorgungswirtschaft weitere branchenspezifische Anforderungen für die Einrichtung von Risikomanagementsystemen:

• Seit 2018 ist ein RMS für alle Netzbetreiber gemäß ISMS verpflichtend
• Zertifizierung nach dem Technischen Sicherheitsmanagement (TSM) macht RMS erforderlich
• Verpflichtende Einrichtung eines RMS für Versorgungsunternehmen im Anwendungsbereich der KRITIS-Verordnung

PFLICHT ZUR ÜBERWACHUNG DURCH DAS AUFSICHTSORGAN

Das RMS ist nicht nur mit Pflichten für die Unternehmensleitung verbunden. Das Aufsichtsorgan eines Unternehmens ist nämlich verpflichtet, die Unternehmensleitung dahingehend zu überwachen, dass diese ihren Pflichten nachkommt. So hat sich das Aufsichtsorgan u. a. auch mit der Wirksamkeit des Risikomanagementsystems (RMS) zu befassen. Entsprechende Regelungen hierzu finden sich beispielsweise im Aktiengesetz (§§ 111 Abs. 1 und 107 Abs. 3 AktG, die über § 52 GmbHG oder Verweise in den Satzungen in der Regel auch für Aufsichtsräte kommunaler Unternehmen gelten), im Deutschen Corporate Governance Kodex (DCGK) sowie für kommunale Unternehmen auch im Public Corporate Governance Kodex (PCKG) oder daran angelehnte Länder-Kodizes.

Erfahrungsgemäß begnügen sich die Aufsichtsgremien in kommunalen Unternehmen oftmals mit einer kritischen Durchsicht der Berichterstattung des Abschlussprüfers über die Prüfung nach § 53 Haushaltsgrundsätzegesetz (HGrG) oder dessen Abschlusspräsentation. Diese Prüfungen haben allerdings nicht das gesamte Risikomanagementsystem zum Gegenstand und können demnach die originären Überwachungspflichten des Aufsichtsorgans nicht ersetzen oder dieses von seinen Pflichten entbinden. Das Überwachungsorgan kann sich gleichwohl bei seiner Überwachung auf Prüfungen durch den Wirtschaftsprüfer stützen, insbesondere entsprechende Prüfungsschwerpunkte mit dem Abschlussprüfer abstimmen oder eine Prüfung nach IDW PS 981 (Grundsätze ordnungsmäßiger Prüfung von Risikomanagementsystemen) beauftragen.

NEUERE ENTWICKLUNGEN BEIM RMS

War das Risikomanagementsystem in der Einführungsphase des KontraG noch ein zartes Pflänzchen, so liegen mittlerweile mehr als 20 Jahre Erfahrungswerte und kontinuierliche Weiterentwicklung vor. Auch die Wahrnehmung hat sich massiv geändert. In der Anfangsphase wurde die Einrichtung eines Risikofrühwarnsystems oftmals als lästiges Übel empfunden. Dies ist bei kleineren Versorgungsunternehmen und Stadtwerken vielfach heute noch der Fall. In der Prüfungs- und Beratungspraxis findet man gerade bei kleineren Unternehmen mitunter immer noch wenig formalisierte/dokumentierte und minimalistisch ausgeprägte Risikomanagementsysteme vor, die allenfalls als Feigenblatt im übertragenen Sinne gewertet werden können. Dies ist weder angemessen noch zeitgemäß.

Deshalb verwundert es nicht, dass in den vergangenen Jahren immer wieder verschiedene Stadtwerke für Negativschlagzeilen gesorgt haben. Regelmäßig sind hohe Verluste entstanden, die mit Mängeln im  Risikomanagement in Zusammenhang gebracht wurden.

Erfreulicherweise wird das Risikomanagement heutzutage aber mehrheitlich als Chance gesehen. Hierzu beigetragen haben insbesondere folgende (Fort-)Entwicklungen der letzten Jahre:

• Ausweitung um ein Chancenmanagement anstatt nur Fokussierung auf (Verlust-)Risiken 
• Fortentwicklung von nur Transparenz über bestandsgefährdende Risiken zu einem entscheidungs- und wertorientierten RMS (z. B. Einbindung in Planungsprozesse) 
• Verständnis und Bedeutung als integraler Bestandteil des Corporate Governance Systems (GRC) 
• Digitalisierung der Wertschöpfungskette und Unternehmensprozesse (einschl. RMS) 
• Veränderte Risikokultur und zunehmende Haftungsrisiken 
• Weiterentwicklung und Anpassung der konzeptionellen Grundlagen (insb. COSO-Framework und ISO 31000)

RMS IN ZEITEN DER COVID-19-PANDEMIE

Die wohl allerwenigsten Unternehmen (ausgenommen Banken und Versicherungen) haben derart seltene Ereignisse wie die aktuelle Covid-19-Pandemie in ihr Risikoinventar aufgenommen. Dies kann vernünftigerweise weder erwartet noch geleistet werden, zumal Eintrittswahrscheinlichkeit und Schadenshöhe im Vorhinein kaum abgeschätzt werden können. Dennoch stellt sich die Frage, welchen Beitrag ein wirksames und fortschrittliches RMS aktuell leisten kann.

Empirische Studien hierzu existieren soweit ersichtlich bislang nicht. In der Prüfungs- und Beratungspraxis sind gleichwohl folgende Tendenzen beobachtbar:

• Schnellere und systematischere Erfassung der Covid-19-bedingten Risiken (z. B. Zahlungsausfälle, Beschaffungsportfolio und Hedging, Liquidität) einschl. deren Quantifizierung 
• Standardisierte Gegenmaßnahmen bei Überschreiten von Grenzwerten
• Verbessertes Verständnis der Risikozusammenhänge und -aggregation
• Vordefinierte Berichtsstrukturen und -prozesse (anstatt manuelle Abfrage der Abteilungen)
• Klare Zuständigkeiten und Verantwortlichkeiten
• Schnellere Reaktionszeiten
• Schnittstelle zum Krisenmanagement/Business Continuity Management (BCM; z. B. auch KRITIS-relevante Aspekte) bereits vorhanden und Zuständigkeiten klar verteilt
• Besseres Risikobewusstsein (Risikokultur)

In der aktuellen Situation zeigt sich außerdem ganz klar der Vorteil von digitalen Workflows gegenüber excel-basierten Lösungen im Risikomanagement. Bei alt hergebrachten Risikomanagementsystemen erfordert jede Aktualisierung oder Neuabfrage einen nicht unerheblichen Zeit- und Koordinationsaufwand; zudem sind diese Prozesse aufgrund von bestehenden Medienbrüchen eher fehleranfällig und vor allem sehr manuell. Mittels digitaler Workflows lässt sich das Risikoinventar dagegen innerhalb kürzester Zeit aktualisieren, zu einer Risikomatrix verdichten und ein tagesaktueller Risikobericht generieren. Darüber hinaus lassen sich durch ein workflow-basiertes Maßnahmenmanagement risikoreduzierende Maßnahmen besser und erfolgreicher steuern. Dies ist nicht nur in solch bewegten Zeiten von Vorteil, sondern steigert auch bei turnusmäßigen Aktualisierungen (z. B. quartalsweise) sowie dem Maßnahmenmanagement die Effizienz und Qualität.

Während alle Welt auf eine baldige Normalisierung hofft, bedeutet dieser neue Normalzustand im unternehmerischen Umfeld auch, sich der weiterhin schnell ändernden Risikosituation zu stellen und mit dieser Herausforderung professionell umzugehen. Ein wirksames und auf digitalen Workflows basierendes Risikomanagementsystem kann hierbei ganz erheblich unterstützen.

DIGITALES RISK MANAGEMENT TOOL RIMAS

Die Hürde für die Einrichtung oder Fortentwicklung eines Risikomanagementsystems scheint für viele Versorgungsunternehmen und Stadtwerke hoch zu liegen. Dies gilt ebenso für die Umstellung auf digitale Workflows. Die Gründe hierfür sind vielfältig – und oftmals nur vorgeschoben:

• Knappes Budget
• Fehlende Kapazitäten (insb. qualifizierte Mitarbeiter)
• Fehlendes Know-how
• Kein Bedarf identifiziert oder fehlende Priorisierung

Häufig ist der Handlungsbedarf aber auch erkannt, nur der konkrete Handlungsansatz fehlt noch. Hier bieten digitale Tools hilfreiche und kostengünstige Unterstützung. Speziell auf die Bedürfnisse und das Risikoprofil von Versorgungsunternehmen und Stadtwerken zugeschnitten hat Rödl & Partner die cloud-basierte Lösung „RIMAS“ entwickelt: RIMAS ist ein hochmodernes und cloud-basiertes Risikomanagementtool mit einem für Versorgungsunternehmen und Stadtwerke vordefinierten Risikokatalog, der die Erstaufnahme des Risikoinventars erheblich vereinfacht und der mit dem Branchen-Know-how von Rödl & Partner fortlaufend weiterentwickelt wird.

ZUSÄTZLICHE VORTEILE DURCH OUTSOURCING

Der digitale Workflow von RIMAS ist außerdem darauf ausgerichtet, Rödl & Partner als externen Berater in die Berichts- und Freigabeprozesse einzubinden, um Ihnen weitere Risikomanagementaufgaben im Wege des Outsourcings abzunehmen. Damit werden wertvolle Ressourcen für Ihr Tagesgeschäft freigeschaufelt. Das Outsourcing hat gerade für kleinere Versorgungsunternehmen und Stadtwerke, die für das Risikomanagement keine dafür ausgebildeten Mitarbeiter einstellen können, zahlreiche Vorteile:

• Kostenersparnis
• Konzentration auf das Kerngeschäft 
• Zugriff auf Fachwissen und die Branchenkenntnisse von Rödl & Partner
• Steigerung der Qualität
• Reduktion des Implementierungs- und Aktualisierungsaufwands

Für das Outsourcing gilt dabei der Grundsatz „so viel wie möglich“. Denn Zielsetzung ist es, das Unternehmen maximal zu entlasten.

Wesentliche Beratungsleistungen

• Erstellung der erforderlichen Risikomanagementrichtlinien
• Pflege-/Aktualisierungsdienst der relevanten Dokumente zum Risikomanagement
• Durchführung von Risikoinventuren
• Implementierung Risikomanagementsystem und -organisation
• Bereitstellung und fortlaufende Pflege Risikomanagementkatalog
• Abdeckung der wesentlichen Risikoarten
• IT-gestütztes Prozess- und Workflowmanagement
• Betrieb Risikomanagement-Office
• Risikocontrolling und -reporting

Mehrwerte

• Aufbau und Betrieb Risikomanagementsystem
• Unterjähriges Risikomanagement-Office
• Zugriff auf den Risikomanagementkatalog von Rödl & Partner
• Schaffung von mehr Transparenz und Sicherstellung bei der Dokumentation
• Zugriff auf Know-how und Kapazitäten von Rödl & Partner
• Outsourcing von Teilen der Aufgaben des Risikomanagements– Hohe Kostentransparenz und planbares Beratungsbudget

Ein wichtiger Erfolgsfaktor beim Outsourcing ist ferner ein klar definiertes und im Vorhinein abgestimmtes Rollenverständnis und Zusammenspiel der Akteure. Dies gilt auch und in besonderem Maße für das RMS, weil originäre Managementaufgaben stets in der Verantwortung des Unternehmens verbleiben sollten und müssen. Diese Verantwortlichkeiten sind im digitalen Workflow von RIMAS klar hinterlegt und ermöglichen der Unternehmensleitung tagesaktuelle Statusberichte.

Zu guter Letzt bietet RIMAS auch für Versorgungsunternehmen und Stadtwerke mit bereits etabliertem RMS eine kostengünstige und professionelle Möglichkeit zur Digitalisierung der Risikomanagementprozesse.

FAZIT

Ein wirksames Risikomanagementsystem ist nicht länger nur als gesetzliche Verpflichtung oder Anforderung guter Unternehmensführung (PCGK) zu verstehen. Vielmehr leistet ein digital unterstütztes Risiko-/ Chancenmanagement einen wertvollen Beitrag zur Effizienz der Wertschöpfungsprozesse und erhöht die Transparenz für alle Beteiligten. Es ermöglicht Unternehmensführung, Anteilseignern und Aufsichtsorgan, die Geschicke des Unternehmens vorausschauend und professionell zu lenken. Dies ist gerade in unsicheren Zeiten wie der andauernden COVID-19-Pandemie besonders wichtig.

Digitale Tools bieten heutzutage zeitgemäße, kostengünstige sowie effiziente Unterstützung und einen echten Mehrwert. Sie lassen sich obendrein binnen weniger Wochen implementieren. Oftmals zu hörende Hinderungsgründe wie hohe Kosten oder Ressourcenengpässe sind keine Argumente mehr. Mit dem digitalen Tool RIMAS und sinnvollem Outsourcing stellt Rödl & Partner eine auf Versorgungsunternehmen und Stadtwerke zugeschnittene Lösung zur Verfügung. Darüber hinaus haben wir ein umfangreiches Dienstleistungspaket für das Risikomanagement von Versorgungsunternehmen und Stadtwerken entwickelt.

Erfahren Sie mehr über unsere Beratungsleistungen in den Bereichen:

Sie haben eine Frage zum Thema?

Dann nehmen Sie jetzt Kontakt auf und unsere Experten melden sich umgehend bei Ihnen!