Suchen

Die Prüfungsstandards (PS 315, Beurteilung der Risiken und Verstehen der Einheit) verlangen für die Vorbereitung von Abschlussprüfungen (ordentliche und eingeschränkte Revisionen), dass der Abschlussprüfer ein Verständnis des Unternehmens und des Umfelds erarbeitet. Hierzu zählen das interne Kontrollsystem, die Risiken wesentlicher Falschdarstellungen und mögliche Reaktionen hierzu. In diesem Zusammenhang kann die Existenz von Risk-Management-Ansätzen von Interesse sein, die in die Planung der Abschlussprüfung einbezogen werden können, um ein besseres Verständnis über das Unternehmen und mögliche Risiken für eine Fehlaussage zu erarbeiten.

Die Verbreitung von Risk-Management-Ansätzen divergiert in der Industrie stark. Viele kleine und mittlere Industrieunternehmen in der Schweiz wähnen sich in trügerischer Sicherheit. Sie erfüllen die gesetzlichen und branchenspezifischen Grundlagen zum Thema Risikomanagement, vergessen aber, dass ein umfassendes und unternehmensweites Risikomanagement nicht nur die Sicherung der Unternehmensziele garantiert, sondern damit auch die Erhöhung des Unternehmenswerts möglich wird. Eine Masterthesis an der Fachhochschule St. Gallen kommt zu dem Schluss, dass der Nutzen eines adäquaten Risikomanagements in der Praxis vielfach unterschätzt wird und lediglich dazu dient, die gesetzlichen Anforderungen zu erfüllen.¹

Das wirtschaftliche Umfeld in der Schweiz befindet sich gerade in den letzten Monaten wieder sehr stark im Wandel. Mit dem Wegfall der Eurountergrenze oder der Annahme der Masseneinwanderungsinitiative wurde vielen Industrieunternehmen in der Schweiz wieder einmal vor Augen geführt, dass sie sich in einem sehr schnelllebigen und ungewissen Umfeld bewegen.² Neben den bereits erwähnten, politisch motivierten Herausforderungen gibt es für die Industrieunternehmen auch andere, branchenspezifischere Schwierigkeiten. So entstehen beispielsweise bei grenzüberschreitenden Aktivitäten teilweise grosse Länderrisiken.Die Verkürzung der Produktlebenszyklen und die Individualisierung der Nachfrage können steigende Investitionen in Forschung und Entwicklung notwendig machen. Eine zunehmende Komplexität von Produktionssystemen kann einen negativen Einfluss auf die Störanfälligkeit haben.³ Dies sind nur einige wenige Entwicklungen, mit denen sich Industrieunternehmen in den letzten Jahren verstärkt auseinandersetzen müssen. Der Gesetzgeber hat die Problematik erkannt und bereits vor sieben Jahren darauf reagiert. Seit 2008 ist Risikomanagement deshalb für viele Schweizer Unternehmen zur gesetzlichen Pflicht geworden.⁴ Das schweizerische Obligationenrecht gibt nur knappe Vorschriften und Vorgaben zum Thema Risk Management. In dieser etwas schwammigen Formulierung liegt jedoch genau das Problem. Ein systematisches Risikomanagement wird nämlich gemäss mehreren Studien vielfach nicht betrieben. So hat beispielsweise eine österreichische Studie bei mittelständischen Unternehmen ergeben, dass Risikomanagement, wenn überhaupt, in den Bereichen Rechnungswesen bzw. Finanzen und Controlling betrieben wird.⁵

Es scheint, als fehle es bei vielen Unternehmen an Kenntnissen der verschiedenen branchenübergreifenden Risikomanagement-Normen und -Rahmenkonzepte. Diese wurden von grossen Organisationen wie ISO speziell entwickelt und sollen den Unternehmen bei der Implementierung eines adäquaten Risikomanagements einen Leitfaden darstellen. In der Theorie sind diverse Konzepte zu finden, die für die Industriebranche anwendbar sind. Die bekanntesten Normen und Standards sind hierbei der ISO Guide 73 Risk Management, der «COSO-Würfel», der ONR 49000 des österreichischen Normierungsinstituts oder auch die ISO 31000 Guidelines on Principles and Implementation of Risk Management. Für die Industrie werden in der Theorie vor allem die beiden zuletzt erwähnten Standards empfohlen. Dies deshalb, da sie das Risikomanagement in das Managementsystem der Unternehmen einfliessen lassen.⁶

Auch zum im Risikomanagement zentralen Risikomanagement-Prozess in der Industrie gibt es viele theoretische Ansätze und Implementierungshilfen. Dabei differieren die Prozessphasen für die Industriebranche je nach Bedürfnissen in den Detaillierungsgraden. Meist lauten die groben Teilschritte jedoch Risikoidentifikation, Risikobewertung, Risikosteuerung und Risikokontrolle.⁷ Für den ersten Prozessschritt empfehlen sich der Aufbau eines geeigneten Frühwarnsystems und eine ganzheitliche Sichtweise auf verschiedene potenzielle Risikoquellen. Ein Frühwarnsystem soll den Unternehmen erlauben, vor dem Eintreten eines Risikos geeignete Massnahmen ergreifen zu können. In diesem Prozessschritt sollte es das Ziel sein, «den Fortbestand der Gesellschaft gefährdende Entwicklungen» frühzeitig zu erkennen. Das bedeutet, dass eine möglichst vollständige Erfassung aller Risikoquellen, Schadensursachen und Störpotenziale angestrebt werden sollte und kein Ressortdenken angebracht ist.⁸ Dieser erste Teilschritt ist sodann gemäss vielen Autoren der wichtigste Prozessschritt im Risikomanagementprozess. Er sollte deshalb fortlaufend durchlaufen werden und mit verschiedenen Identifikationsmethoden wie Interviews, Fragenkatalogen, Fehlermöglichkeits- und Einflussanalysen oder auch Brainstormings durchgeführt werden. Als Ergebnis der Risikoidentifikation sollten geeignete Risikokategorien in einem sogenannten Risikoinventar dargestellt werden. Ein solches kann beispielsweise als übergeordnete Kategorien «Finanzrisiken» und «operationelle Risiken» enthalten. Untergeordnet könnten die «operationellen Risiken» beispielsweise in «operative» (organisatorische, HR-Risiken, Prozessrisiken usw.) und «strategische Risiken» im Detaillierungsgrad verfeinert werden.⁹ Es sollte aber für jedes Unternehmen eine individualisierte Lösung bzw. Auflistung angestrebt werden. Der nachfolgende Prozessschritt der Risikobewertung sollte mindestens die Bewertung der Risiken nach Eintretenswahrscheinlichkeit und Tragweite beinhalten. Dies kann entweder mit qualitativen oder quantitativen Methoden gemacht werden. Als qualitative Methoden können beispielsweise Interviews oder Workshops genannt werden. Quantitative Methoden sind gemäss Theorie bei ausreichender Datenqualität vorzuziehen. Solche könnten beispielsweise Sensitivitäts- oder Szenarioanalysen sein. Sind die Risiken bewertet, werden sie in ein Risikoportfolio bzw. eine Risikomatrix eingetragen. Abschliessend müssen die nicht tolerierbaren Risiken mit geeigneten Massnahmen gesteuert, fortlaufend kontrolliert und bewältigt werden. Es bleibt festzuhalten, dass diese Ausführungen lediglich einen groben Abriss über die sehr umfangreich vorhandene Literatur zum Thema Risikomanagement in der Industrie darstellen.¹⁰