Dass das Risikomanagement und das Controlling nicht völlig losgelöst voneinander betrachtet werden können, liegt auf der Hand. Gleichwohl ist das Zusammenwirken beider Aufgaben der Unternehmenssteuerung in der Praxis noch nicht immer gelungen. Das Verständnis für die Verzahnung und die gegenseitigen Einflüsse beider Bereiche, versucht der vorliegende Sammelband zu stärken. Er ist folgerichtig auch das Gemeinschaftswerk eines Arbeitskreises der beiden Fachverbände.

Während das Controlling fest in der Unternehmensorganisation verwurzelt ist, hat das Risikomanagement erst vor 20 Jahren seinen Anstoß von außen, durch das KontrAG, erhalten. Das bedeutet nicht, dass zuvor Risiken völlig ignoriert wurden; aber das Risikomanagement soll dazu dienen, umfassend und systematisch Risiken erkennen, analysieren, bewerten und – soweit möglich – beherrschen zu können. Zwischen dem Controlling und dem Risikomanagement gibt es einen fundamentalen Unterschied. Das Controlling arbeitet mit Zielen und Ergebnissen, ist also deterministisch ausgerichtet. Demgegenüber befasst sich das Risikomanagement mit Wahrscheinlichkeiten, ist also stochastisch (Wolfrum). Damit unterliegt es auch wesentlich stärker subjektiven Einstellungen der Akteure im Unternehmen. So konstatiert Gleißner in seinem Beitrag einen risk-bias, indem „relativ unbedeutende, aber leicht vorstellbare und plastische Risiken … überschätzt, eher abstrakte oder schleichende Risiken systematisch unterschätzt (werden)“ (S. 21). Die von ihm so bezeichnete Risikoblindheit könnte dazu führen, dass auch der Stellenwert des Risikomanagements nicht hinreichend erkannt wird.

Angesichts dessen ist es nachvollziehbar, dass gerade die Ausgestaltung des Risikomanagements im Buch breiteren Raum einnimmt. Das geschieht vor allem in dem Beitrag von Flath / Göppel / Heller-Herold, aber auch in den Ausführungen von Heller-Herold und Berenstein, der auch einen guten Überblick über die einschlägigen Rechtsvorschriften enthält. In Anlehnung an ähnliche Modelle beschreibt Vanini einen fünfstufigen Reifegrad der Integration von Risk Management und Controlling (Risk Management Integration Maturity Model). Dass Risikomanagement ganz wesentlich für die Unternehmensentwicklung ist, beschreiben Findeis und Maron. Die Risikotragfähigkeit gebe wichtige Hinweise auf Entwicklungen, die den Fortbestand des Unternehmens gefährden können. Es gilt jedoch nicht nur die Innenperspektive im Unternehmen, sondern auch die Perspektive von außen zu berücksichtigen. So befassen sich Gleißner und Wolfrum mit der Bedeutung von Risikomanagement und Risikotragfähigkeit für das Rating eines Unternehmens und möglichen Covenants der Gläubiger.

Eine zentrale Frage betrifft die organisatorische Einbindung des Risikomanagements. Blumthaler und Flachs sprechen sich ausdrücklich dafür aus, das Risikomanagement als einen Teil des Controllings zu sehen und dementsprechend organisatorisch zu verknüpfen. Dies ist aber – wie Wolfrum im einleitenden Beitrag bemerkt (S. 15) – keineswegs zwingend. Über die reine Organisation hinaus bedarf es der Entwicklung einer Risikokultur im Unternehmen (Heller-Herold). Denn Risikomanagement ist nicht einfach nur ein technisches Instrument; vielmehr soll damit im gesamten Unternehmen das Bewusstsein dafür geschärft werden, dass mit jeder Tätigkeit und mit jeder Entscheidung Risiken verbunden sein können. Hierzu definiert der Beitrag die Aufgaben und Rollen, die die einzelnen Akteure im Unternehmen zu erfüllen haben.

Die Erkenntnisse aus dem Risikomanagement müssen auch in die unternehmerischen Planungen Eingang finden. Findeis und Maron machen in ihrem zweiten Beitrag deutlich, dass eine Plan-GuV einen Risikopuffer enthalten sollte, der das mögliche Restrisiko abbildet. Damit wird die potenzielle Schwankungsbreite des Jahresergebnisses aufgezeigt. Das ist nach Auffassung des Rezensenten in der Praxis besonders schwer umzusetzen, da vor allem die Akteure außerhalb des Unternehmens definitive Zahlen erwarten. Zum Schluss konstatiert Oehler zu Recht (S. 168), „dass ein effizienter Prozess, welcher Risiko-Management und Controlling … verzahnt und umfassend unterstützt, ohne eine adäquate IT-Unterstützung kaum realisierbar ist.“

Die Zielrichtung des Gesamtwerks ist klar: Controlling und Risikomanagement müssen eng miteinander verknüpft werden. Doch die Wahl der Form eines Sammelbandes lässt Raum für Nuancierungen. Im Übrigen sind die Beiträge sehr verständlich und erfreulich knappgehalten. Das Buch ist ein überzeugendes Plädoyer für eine Integration beider Aufgabenbereiche und kann Unternehmensleitungen, aber auch den aktiven Controllern und Risk-Managern uneingeschränkt empfohlen werden.

Gunnar Schwarting, Deutsche Universität für Verwaltungswissenschaften Speyer

Quelle: ZRFC Risk Fraud & Compliance Heft 6/2018