Editorial im Controller Magazin
Liebe Leserinnen und Leser,
die RMA hat letztes Jahr nicht nur ihr 20-jähriges Bestehen gefeiert, sondern dieses Jahr auch den 20. RMA Risk Management Congress veranstaltet. Näheres sehen Sie dazu in dem separaten Bericht über den sehr erfolgreichen RMA Risk Management Congress 2026 in München.
Dieses Jubiläum ist eine gute Gelegenheit, innezuhalten und zu reflektieren, was sich im Risikomanagement in den letzten 20 Jahren getan hat und ob die RMA mit ihren Anliegen auch durchdringen konnte.
Wenn man sich die Geschäftsberichte der Unternehmen von 2025 anschaut (nicht repräsentative Analyse des Autors), fällt auf, dass Risiko- und Chancenberichte in den Lageberichten und dazu noch separate Nachhaltigkeitsberichte vom Umfang her stattliche Seitenzahlen und ausladende Wordings bieten. Beliebt sind auch Heatmaps und qualitative Bewertungen, dass Risiken groß, mittel oder klein seien und sich erhöht, gleichgeblieben oder reduziert haben. Bei den Risiken sind aber oft Risikofaktoren genannt mit eher oberflächlichem Bezug zum konkreten Business Case. Dabei finden sich zum Teil krasse Verständnisfehler, z. B. es werden Risiken mit einer Eintrittswahrscheinlichkeit von 75 % und mehr kategorisiert. Ohne ins Detail zu gehen: ein Risiko mit 75 % Eintrittswahrscheinlichkeit ist nicht nur „hoch“, es ist kein Risiko mehr, sondern muss in den Geschäftszahlen bereits Eingang gefunden haben.
Die Vernetzung von Unternehmensentscheidungen, sei es strategisch oder operativ, lassen sich nicht erkennen. Natürlich sind in jedem Risikobericht dem Vorstand keine Risiken bekannt, die sich bestandsgefährdend auswirken. Generell gibt es kaum Berichte, die eine Vernetzung von strategischen, operativen und Nachhaltigkeitsrisiken darstellen und aus den allerwenigsten kann der Shareholder wirklich erkennen, wie hoch die Risikoposition auf die Ziele sind.
In den meisten Unternehmen herrscht leider noch folgendes vor: Strategie ohne bewertete Risiken und Chancenbetrachtung, Punktplanung ohne risiko-/chancenbasierte Bandbreiten, Risikomanagement, wenn als Funktion überhaupt vorhanden, fungiert als Compliance und Reportinginstrument ohne Einbindung in den unternehmerischen Entscheidungsprozess. Quantifizierung, Aggregation und Simulation sind als Instrument den meisten Risikomager:innen bekannt, nur mit der Anwendung hapert es. Warum stört das scheinbar niemanden? Die Wirtschaftsprüfer winken durch, der Aufsichtsrat stellt keine Fragen und der Vorstand ist glücklich, dass das Reporting compliant und ohne Beanstandung durchgewunken wird. Auch die Wirtschaftspresse, die dann über die Unternehmen, wirtschaftliche Risiken und Krisen berichtet, tut dies meist ohne vertiefte Kenntnisse über Risikomanagement.
Nein, Risikomanagement wird von den meisten Akteuren weiterhin als Krisenmanagement missverstanden, der rechtliche Kontext wenig verstanden und daher werden auch nicht die richtigen Fragen gestellt. Es ist kaum eine Kultur ausgeprägt, die erwartet, dass Risikomanagement von qualifizierten Personen durchgeführt, geprüft oder berichtet wird. Denn man meint, diese Kenntnisse erwirbt man quasi automatisch im Studium zur Betriebswirtschaftslehre, Recht oder dem Ingenieursstudium oder sowieso durch Lebens- und Betriebserfahrung. Es ist fast wie im Fußball: jeder, der mal in der Kindheit gekickt hat, kann beim Bundestrainer mitreden.
Die RMA bildet seit gut 20 Jahren zertifizierte Risikomanager:innen aus. Obwohl die Bildungsangebote angenommen werden, ist die Nachforderung oder das Bedürfnis, sich zu qualifizieren nicht in dem Maß ausgeprägt, wie es notwendig wäre. Zu wenig wird dies in den Stellenbeschreibungen eingefordert und der Mehrwert verkannt.
Weil mehr geht. Das war das Motto des erfolgreichen Wahlkampfs in der Wahl zum Oberbürgermeister in München. Dieses Motto möchte ich ebenfalls aufgreifen.
Denn mit einem qualifizierten Risikomanagement geht mehr. Bessere Strategien, bessere Entscheidungen, stabilere Ergebnisse, (nicht nur) finanzielle Nachhaltigkeit und damit ein Fundament für eine insgesamt erfolgreichere Wirtschaft und öffentliche Hand.
Die Vorträge und Diskussionen beim RMA RMC 2026 haben es wieder gezeigt. Risikomanagement ist strategisch, muss in den Entscheidungsprozess integriert werden, der Nutzen muss dem Vorstand und Aufsichtsrat klar sein. Die rechtliche Notwendigkeit spätestens mit StaRUG sowieso. Interessant wird es sein, wenn Shareholder und öffentliche Hand dieses Mittel ziehen und es erste Haftungs- und Entschädigungsfälle geben wird.
Aber auch die Prüfung muss endlich qualifizierter werden, damit Unternehmen auch besser werden (können). Das fängt an bei der Anforderung von ausreichenden und qualifizierten Ressourcen, passende Prozesse und Betriebsmittel, wobei uns passende KI Anwendungen helfen könnten. Einer entwickelten Risiko- und Fehlerkultur. Know-how in Entscheidungstheorien und Prozessen und angemessen ausgewählte Personen in Management Funktionen.
Alle diese Themen haben wir beim diesjährigen RMC gestreift, angesprochen, diskutiert, sowie Lösungsansätze aufgezeigt.
Jetzt geht es darum, dies in die Unternehmen zu tragen. Die RMA bleibt mittendrin und wird durch ihr Netzwerk, die Arbeitskreise, dem CERM-Programm und weiteren Bildungsangeboten und den Publikationen weiter unterstützen.
Bleiben Sie interessiert, schauen Sie auf das Angebot unserer Website (www.rma-ev.org) und abonnieren unseren Newsletter.
Wir freuen uns auf den Austausch mit Ihnen.
Übrigens, wenn ich Sie als Unternehmen mit meiner zugegeben pessimistischen Analyse provoziert habe, Sie aber prüfen möchten, wo ihr Unternehmen steht, dann nehmen Sie doch gerne an einer Studie teil, welche durch RMA unterstützt von Navigator´s First durchgeführt wird. Die Wirksamkeit von Risikomanagement & Corporate Governance: von der Formalie zur Wirkung: Chancen nutzen, Risiken managen.
Schreiben Sie mir eine kurze Mail und Sie werden eingeladen, daran teilzunehmen.
Mit den besten Grüßen
Michael Jahn-Kozma