RISK MAPS SIND OUT - OPTURE IST IN!
So bringen Sie einen nachhaltigen Mehrwert in die Risikoberichterstattung!
Die Volatilität der Märkte nimmt deutlich zu und eine Umkehr der Situation ist mittel- bis langfristig nicht zu erwarten. Eine Risk Map mit den Top 10 Eventrisiken als Risikosteuerungsgrundlage und Berichtsgrundlage ist in immer volatileren Märkten kritisch, weil sie dynamische, korrelierte und stetig verteilte Marktrisiken nicht abbilden kann und damit nur einen kleinen, oft harmlosen Teil der tatsächlichen Risikolandschaft aufzeigt. Die wirklich bestandsgefährdenden Risiken entstehen durch hohe Varianz (Sigma), starke Korrelationen und Marktvolatilitäten, die in einer zweidimensionalen Matrix unsichtbar bleiben. Unternehmen, die weiterhin ausschließlich nach Risikomatrizen steuern, treffen Entscheidungen auf Basis eines verzerrten Bildes und übersehen genau jene Risiken, die ihre Resilienz und Zukunftsfähigkeit gefährden.
Ausgangslage: Einsatz von Risk Maps mit den Top‑10‑Eventrisiken zur Risikosteuerung
In vielen Unternehmen ist die Risk Map nach wie vor das zentrale Instrument zur Risikosteuerung. Risiken werden entlang der Achsen Eintrittswahrscheinlichkeit et Auswirkung bewertet und in einer zweidimensionalen Matrix eingeordnet. Besonders im Fokus stehen jene Risiken, die im Brutto-/Nettoerwartungswert im roten Bereich liegen. Dabei handelt es sich fast ausschließlich um diskret verteilte Eventrisiken – also Ereignisse wie der Ausfall eines Lieferanten, ein Brand in einer Immobilie, ein Cybervorfall oder ein Produktionsstillstand. Diese Risiken sind meist gut versicherbar und seit Jahrzehnten Bestandteil klassischer Risikoberichte. Doch diese Sichtweise ist zunehmend unzureichend: Die Risk Map bildet nur einen kleinen, oft harmlosen Teil der tatsächlichen Risikolandschaft ab.
Problem: Gefährlichen Risiken liegen außerhalb der Risk Map
Die Risiken, die Unternehmen tatsächlich gefährden können, sind selten die „Top‑10‑Eventrisiken“ aus der Risk Map. Diese sind meistens ohnehin bekannt und über Versicherungen oder operationelle Massnahmen gesteuert (= geringer Nettoerwartungswert). Die bestandsgefährdenden Risiken sind vielmehr strategische Risiken und vor allem stetig verteilte Marktrisiken wie Konjunkturabschwünge, Währungskursschwankungen, Zinsänderungen, Rohstoffpreisvolatilitäten. Diese Risiken sind nicht über klassische Versicherungen steuerbar, treten häufig korreliert auf und beeinflussen sich gegenseitig. Ihr Impact ist massiv – deutlich höher als der Schaden eines einzelnen Eventrisikos. In der Risk Map tauchen sie jedoch kaum auf, weil ihr Erwartungswert gering (aufgrund der Schwankung in beide Bereiche) ist, ihre Varianz (Sigma) jedoch extrem hoch. Genau diese Varianz ist es, die 2008 zur globalen Finanzkrise geführt hat und auch heute maßgeblich für die hohe Risk Exposures vieler Unternehmen verantwortlich ist.
Ursache: Risk Maps bilden keine stetig verteilten Marktrisiken ab
Die klassische Risk Map ist ein statisches, zweidimensionales Instrument, das auf einer Momentaufnahme basiert. Sie bewertet Risiken ausschließlich über den Erwartungswert – also über die Kombination aus Eintrittswahrscheinlichkeit und Schadenhöhe. Stetig verteilte Marktrisiken funktionieren jedoch völlig anders – sie entfalten ihre Wirkung über Volatilität, Korrelationen, Streuung, Trendbrüche und Kaskadeneffekte. Ihr Erwartungswert ist oft niedrig, weil sie nicht als einzelnes Ereignis auftreten, sondern als kontinuierliche Marktbewegung, d.h. negative und positive Effekte haben. Ihre Varianz (Sigma) ist dagegen enorm – und genau diese Varianz entscheidet über die Bestandsgefährdung. Deshalb bleiben Marktrisiken in der Risk Map unsichtbar, obwohl sie die größten Bedrohungen darstellen. Bei strategischen Risiken werden die Erwatungswerte erst zu viel späteren Zeitpunkten kritisch, weil sie in der Zukunft liegen. Der Risikoexposure ist also zum Zeitpunkt der Berichtserstattung innerhalb der nächsten 1-3 Jahre mittels Risk Map noch viel zu gering, um in Erscheinung zu treten.
Unternehmen, die weiterhin ausschließlich nach Risk Maps und „Top‑10‑Eventrisiken“ steuern, treffen Entscheidungen auf Basis eines verzerrten und unvollständigen Risikobildes.
Lösung: Erweiterung der Risikoberichte um zusätzliche Informationen
In immer volatileren Märkten ist es zwingend erforderlich, Risikoberichte um strategische Risiken (-> heute geringer Exposure, ABER morgen hoher Exposure) und stetig verteilte Marktrisiken (-> geringer Erwartungswert, ABER hohe Varianz) Volatilitäten (Sigmas) und – sofern verfügbar – Simulationsergebnisse wie Value at Risk (VaR), Expected Loss oder Tail‑Risiken zu erweitern. Diese Kennzahlen zeigen die tatsächliche Risikodynamik und machen bestandsgefährdende Entwicklungen sichtbar. Es können auch ohne Simulation für alle Risiken die Sigmas und Sigma² berechnet werden, sodass sowohl Eventrisiken als auch Marktrisiken vollständig abgebildet werden.
Botschaft für Risikomanager und Entscheidungsträger
Einfacher Upgrade Ihrer Risikoberichte mit folgenden Massnahmen:
Erweiterung der Risk Map um stetig verteilte Marktrisiken und strategische Risiken (auch ohne Simulation möglich!)
Erweiterung der Risk Map um weitere Informationen wie Risikotreiber, Ursachen und ggfs. Risikokennzahlen
Stellen Sie neben Strukturanalysen auch Trends und Entwicklungen dar
Stellen Sie Interdepenedenzen und Abhängigkeiten zwischen den Risiken dar
Bewerten Sie Steuerungsmassnahmen nach Effizienz und Wirksamkeit
Stellen Sie den Ausnutzungsgrad der Risikotragfähigkeit dar
Zeigen Sie über Sensitivitäten und Szenarioanalysen wie stark das Unternehmen bzw. die Planung von Umweltschwankungen abhängt. Zeigen Sie wie stabil oder sensitiv das Unternehmen in volatilen Märkten reagiert
Erweiterung: Unternehmensweite Integration aller Risiken in den Risikobericht
Ein unternehmensweites Risikomanagement-System muss sicherstellen, dass Risiken wie z.B. aus den regulatorischen Themenbereichen SMSI, ESG, AI-Act, IKS, Conformité, LkSG, Audit, HinSchG, etc. zentral zusammengeführt und einheitlich konsolidiert berichtet werden.
Einbindung aller Risiken in das unternehmensweite Risikoinventar
Erweiterung der Risikobewertungsmethoden und Relevanzmatrix
Durchführung von Szenarioanalysen
Definition spezifischer Risikokennzahlen und Frühwarnindikatoren
Integration aller Risiken in die regelmäßige Berichterstattung
Ein gesamtheitlicher Risikobericht ist nur dann steuerungsrelevant, wenn alle Risikoarten – von ESG über ISMS/NIS2, Compliance, IKS, AI‑Act bis hin zu ERM – in einem integrierten Modell zusammengeführt werden. Dabei ist von besonderer Bedeutung, dass im ERM-Bereich neben den diskret verteilten Eventrisiken auch die stetig verteilten Marktrisiken und die strategischen Risiken berichtet werden. Erst die gemeinsame Darstellung aller Risiken in einem Bericht schafft ein vollständiges Bild des Risikoexposures, zeigt Wechselwirkungen und Konzentrationen, verhindert Silodenken und Doppelbewertungen und ermöglicht eine konsistente Priorisierung über alle Themen hinweg. Für das Management entsteht damit ein einziger, klarer Entscheidungsrahmen, der Maßnahmen, Verantwortlichkeiten und Steuerungsimpulse bündelt und gleichzeitig Audit‑ und Compliance‑Anforderungen erfüllt.
