Nachgefragt bei: Prof. Dr. Werner Gleißner
12.03.2018
Gleißner: Prüfung des Risikomanagementsystems
ESV-Redaktion INTERNE REVISIONdigital
Fortsetzung des Interviews mit Prof. Dr. Werner Gleißner. Den ersten Teil des Interviews zu bestandsgefährdenden Entwicklungen lesen Sie hier.
Das IDW hat mit dem PS 981 einen noch relativ jungen Standard veröffentlicht. Welche neuen Anforderungen an das Risikomanagement stellt der Prüfungsstandard 981 des IDW?
Werner Gleißner: Diverse Ideen des IDW PS 981 haben auf jeden Fall das Potenzial, zu einer Verbesserung des Risikomanagements in deutschen Unternehmen beizutragen; zumindest, wenn die Wirtschaftsprüfer dort genannte Schlüsselkonzepte – wie Risikoaggregation oder Risikotragfähigkeit – auch konsequent prüfen. Bisher war die Prüfung von Risikomanagementsystemen leider oft primär eine Organisations- und Prozessprüfung, und die wichtigen Risikomanagement-Methoden wurden eher vernachlässigt.
Wie bewerten Sie den neuen Standard?
Werner Gleißner: Erfreulich ist, dass der IDW PS 981 nun mögliche positive und mögliche negative Planabweichungen, und damit eben auch Chancen, zum Themenfeld des Risikomanagements erklärt. Aus ökonomischer Sicht ist Risiko sowieso nichts anderes als die Möglichkeit einer Planabweichung. Positiv ist auch, dass die zentrale Bedeutung strategischer Risiken und die entsprechende Verantwortung der Unternehmensführung unterstrichen wird.
Und schließlich ist ja positiv, dass eine Weiterentwicklung der vorhandenen Risikoaggregationsmodelle durch darauf aufbauende Konzepte für die Messung von Risikotragfähigkeit und Risikotoleranz gefordert werden. Ein solches Risikotragfähigkeitskonzept soll durch eine geeignete Kennzahl den Abstand der aktuellen Unternehmenssituation zu einer möglichen „bestandsgefährdenden Entwicklung“ - im Sinne KonTraG - messen. Damit wird klargestellt, dass eine Schlüsselkennzahl des Risikomanagements – berechnet über das Risikotragfähigkeitskonzept – zu einer zentralen Größe der Unternehmenssteuerung, z.B. im Rahmen einer Balanced Scorecard, werden sollte.
Glauben Sie, dass der PS 981 auch zu einer Steigerung der Qualität im Risikomanagement beitragen wird?
Werner Gleißner: Ja, wenn auch die Wirtschaftsprüfer neu genannte Forderungen, z.B. zum Risikotragfähigkeitskonzept, prüfen.
Bei welchen Kriterien ist bereits ein relativ hoher Erfüllungsgrad erreicht?
Werner Gleißner: Im Allgemeinen ist die Qualität der Organisationsstruktur und der Prozesse im Risikomanagement vieler Unternehmen schon vergleichsweise gut. Auch hier gibt es sicherlich Verbesserungspotenziale. Beispielsweise in der Einbeziehung des Risikomanagements bei der Vorbereitung unternehmerischer Entscheidungen, die aufgrund der Notwendigkeit entscheidungsvorbereitender Risikoanalysen gemäß den Anforderungen der Business Judgement Rule erforderlich wäre. Auch bei der Verknüpfung von Risikomanagement und Controlling gibt es Verbesserungspotenziale.
Gibt es auch Punkte die zu kritisieren sind? Wo sehen Sie noch Verbesserungsbedarf?
Werner Gleißner: Viel gravierender sind die Defizite im Bereich der Risikomanagement-Methoden. Diese werden nämlich oft durch Wirtschaftsprüfer gar nicht ernsthaft überprüft. Entsprechend stellen wir regelmäßig fest, dass sie für die quantitative Beschreibung von Risiken unzureichend sind. Die Beschreibung sämtlicher Risiken durch Eintrittswahrscheinlichkeit und Schadenshöhe und die Darstellung der Ergebnisse in einer Risk Map ist schlichter Unfug. Die meisten wesentlichen Risiken, wie z.B. Nachfrageschwankungen oder Rohstoffpreis-Änderungen, treten sowieso ein. Zudem ist die Höhe der Auswirkung, z.B. die Schadenshöhe, eben keine sichere Größe, sondern selbst unsicher und damit durch eine geeignete Wahrscheinlichkeitsverteilung zu beschreiben. Man kann im einfachsten Fall Mindestwert, wahrscheinlichsten Wert und Maximalwert einer Schadenshöhe angeben. Das Ignorieren der Unsicherheit über die Auswirkungen eines Risikos führt zu einer Fehleinschätzung des Risikos. Es ist leider festzustellen, dass die schon seit 1998 durch den IDW PS 340 geforderte Risikoaggregation in vielen Unternehmen noch immer nicht stattfindet. Damit versagt das Risikomanagement genau im Bereich der Kernanforderung. Ohne Risikoaggregation ist es nicht möglich, bestandsgefährdende Entwicklungen aus Kombinationseffekten von Risiken festzustellen.
Alles in allem besteht also durchaus großer Verbesserungsbedarf?
Werner Gleißner: Die Verbesserungen sind im Prinzip nicht schwierig umzusetzen. In vielen Unternehmen fehlt es aber am dafür erforderlichen Know-how.
Den ersten Teil des Interviews zu bestandsgefährdenden Risiken lesen Sie auf ESV.info.
(ESV/ps)
Das IDW hat mit dem PS 981 einen noch relativ jungen Standard veröffentlicht. Welche neuen Anforderungen an das Risikomanagement stellt der Prüfungsstandard 981 des IDW?
Werner Gleißner: Diverse Ideen des IDW PS 981 haben auf jeden Fall das Potenzial, zu einer Verbesserung des Risikomanagements in deutschen Unternehmen beizutragen; zumindest, wenn die Wirtschaftsprüfer dort genannte Schlüsselkonzepte – wie Risikoaggregation oder Risikotragfähigkeit – auch konsequent prüfen. Bisher war die Prüfung von Risikomanagementsystemen leider oft primär eine Organisations- und Prozessprüfung, und die wichtigen Risikomanagement-Methoden wurden eher vernachlässigt.
Wie bewerten Sie den neuen Standard?
Werner Gleißner: Erfreulich ist, dass der IDW PS 981 nun mögliche positive und mögliche negative Planabweichungen, und damit eben auch Chancen, zum Themenfeld des Risikomanagements erklärt. Aus ökonomischer Sicht ist Risiko sowieso nichts anderes als die Möglichkeit einer Planabweichung. Positiv ist auch, dass die zentrale Bedeutung strategischer Risiken und die entsprechende Verantwortung der Unternehmensführung unterstrichen wird.
Und schließlich ist ja positiv, dass eine Weiterentwicklung der vorhandenen Risikoaggregationsmodelle durch darauf aufbauende Konzepte für die Messung von Risikotragfähigkeit und Risikotoleranz gefordert werden. Ein solches Risikotragfähigkeitskonzept soll durch eine geeignete Kennzahl den Abstand der aktuellen Unternehmenssituation zu einer möglichen „bestandsgefährdenden Entwicklung“ - im Sinne KonTraG - messen. Damit wird klargestellt, dass eine Schlüsselkennzahl des Risikomanagements – berechnet über das Risikotragfähigkeitskonzept – zu einer zentralen Größe der Unternehmenssteuerung, z.B. im Rahmen einer Balanced Scorecard, werden sollte.
Glauben Sie, dass der PS 981 auch zu einer Steigerung der Qualität im Risikomanagement beitragen wird?
Werner Gleißner: Ja, wenn auch die Wirtschaftsprüfer neu genannte Forderungen, z.B. zum Risikotragfähigkeitskonzept, prüfen.
Bei welchen Kriterien ist bereits ein relativ hoher Erfüllungsgrad erreicht?
Werner Gleißner: Im Allgemeinen ist die Qualität der Organisationsstruktur und der Prozesse im Risikomanagement vieler Unternehmen schon vergleichsweise gut. Auch hier gibt es sicherlich Verbesserungspotenziale. Beispielsweise in der Einbeziehung des Risikomanagements bei der Vorbereitung unternehmerischer Entscheidungen, die aufgrund der Notwendigkeit entscheidungsvorbereitender Risikoanalysen gemäß den Anforderungen der Business Judgement Rule erforderlich wäre. Auch bei der Verknüpfung von Risikomanagement und Controlling gibt es Verbesserungspotenziale.
Gibt es auch Punkte die zu kritisieren sind? Wo sehen Sie noch Verbesserungsbedarf?
Werner Gleißner: Viel gravierender sind die Defizite im Bereich der Risikomanagement-Methoden. Diese werden nämlich oft durch Wirtschaftsprüfer gar nicht ernsthaft überprüft. Entsprechend stellen wir regelmäßig fest, dass sie für die quantitative Beschreibung von Risiken unzureichend sind. Die Beschreibung sämtlicher Risiken durch Eintrittswahrscheinlichkeit und Schadenshöhe und die Darstellung der Ergebnisse in einer Risk Map ist schlichter Unfug. Die meisten wesentlichen Risiken, wie z.B. Nachfrageschwankungen oder Rohstoffpreis-Änderungen, treten sowieso ein. Zudem ist die Höhe der Auswirkung, z.B. die Schadenshöhe, eben keine sichere Größe, sondern selbst unsicher und damit durch eine geeignete Wahrscheinlichkeitsverteilung zu beschreiben. Man kann im einfachsten Fall Mindestwert, wahrscheinlichsten Wert und Maximalwert einer Schadenshöhe angeben. Das Ignorieren der Unsicherheit über die Auswirkungen eines Risikos führt zu einer Fehleinschätzung des Risikos. Es ist leider festzustellen, dass die schon seit 1998 durch den IDW PS 340 geforderte Risikoaggregation in vielen Unternehmen noch immer nicht stattfindet. Damit versagt das Risikomanagement genau im Bereich der Kernanforderung. Ohne Risikoaggregation ist es nicht möglich, bestandsgefährdende Entwicklungen aus Kombinationseffekten von Risiken festzustellen.
Alles in allem besteht also durchaus großer Verbesserungsbedarf?
Werner Gleißner: Die Verbesserungen sind im Prinzip nicht schwierig umzusetzen. In vielen Unternehmen fehlt es aber am dafür erforderlichen Know-how.
Den ersten Teil des Interviews zu bestandsgefährdenden Risiken lesen Sie auf ESV.info.
| Zur Person |
| Prof. Dr. Werner Gleißner ist Vorstand der FutureValue Group AG und Honorarprofessor für Betriebswirtschaft, insb. Risikomanagement, an der Technischen Universität Dresden. Er ist Mitglied des Beirats der Risk Management Association e. V. und Autor zahlreicher Fachpublikationen. |
 |
Das 1x1 der Internen Revision Hochwertige Prüfungs- und Beratungsleistungen der Internen Revision erfordern, neben soliden betriebswirtschaftlichen Kenntnissen, die Berücksichtigung erprobter Verfahren und maßgeblicher Leitlinien im Prüfungsprozess. |
(ESV/ps)