42
42 RISIKO MANAGER 09|2019 DIIR RS Nr. 2 Das neue Paradigma des „entscheidungsorientierten Risikomanagements“ Durch Präzisierungen im regulatorischen Umfeld sehen wir nun das neue Paradigma eines „entscheidungsorientierten Risikomanagements“, das über seinen Beitrag zur besseren Fundierung unternehmerischer Entscheidungen Mehrwert schafft. Die veränderten Rahmenbedingungen und die Implikationen für die Weiterentwicklung des Risikomanagements werden nachfolgend skizziert in Bezug auf den neuen Risikomanagement-Standard DIIR RS Nr. 2. Von KonTraG zum „entscheidungsorientierten Risikomanagement“ Seit Inkrafttreten des Kontroll- und Transparenzgesetzes (KonTraG) [vgl. Füser/ Gleißner/Meier 1999] im Jahr 1998 ist es die primäre Aufgabe des Risikomanagements mögliche „bestandsgefährdende Entwicklungen“ (§ 91 Abs. 2 AktG) früh zu erkennen. Neben bestandsgefährdenden Einzelrisiken sind dabei insbesondere Kombinationseffekte von Einzelrisiken zu untersuchen, die in der Regel Krisen- oder gar Insolvenzen auslösen, was eine Risikoaggregation mittels Monte-Carlo-Simulation erfordert [vgl. Gleißner 2017a und Gleißner 2017b]. Die wesentlichen Anforderungen an ein Risikofrüherkennungssystem fasst auch schon seit 1998 der IDW Prüfungsstandard 340 des Instituts der Wirtschaftsprüfer (IDW) zusammen, der auch auf die zentrale Bedeutung einer Risikoquantifizierung und Risikoaggregation verweist [vgl. Gleißner 2017a]. Mit dem IDW PS 981 für die freiwillige Prüfung von Risikomanagement-Systemen gibt es seit 2017 einen ergänzenden Standard, der sich auch mit Risikobewältigung befasst und vor allem die zentrale Bedeutung von Konzepten für die Messung von Risikotragfähigkeit, Risi-
OpRisk 43 kotoleranz und Risikoappetit aufzeigt [vgl. Wermelt et al. 2017 und Gleißner/Wolfrum 2017]. Diese Regelwerke haben allerdings eine zentrale jüngste Anforderung an das Risikomanagement noch gar nicht thematisiert: Die notwendige entscheidungsorientierte Ausrichtung von Risikomanagement-Systemen. Gemeint ist damit ein neues Paradigma des Risikomanagements, demzufolge das Risikomanagement dazu beitragen soll, bei der Vorbereitung unternehmerischer Entscheidungen die dafür notwendigen Risikoinformationen zu liefern. Speziell sollte durch eine Risikoanalyse aufgezeigt werden, wie sich der Umfang an Chancen und Gefahren (Risiken) infolge einer Entscheidung verändern würde. Dieses neue Paradigma eines „entscheidungsorientierten Risikomanagements“ findet man ansatzweise auch in der neuen ISO 31000 (aus dem Jahr 2018) und – deutlicher – in der neuen Version von COSO Enterprise Risk Management (ERM) aus dem Jahr 2017 [vgl. hierzu Hunziker 2019 und Gleißner/Hunziker 2019]. Der ökonomische Mehrwert dieser Neuausrichtung von Risikomanagement-Systemen ist offensichtlich. Das Risikomanagement soll dazu beitragen, dass schon vor einer Entscheidung deren Auswirkung auf Ertrag und Risiko gegeneinander abgewogen wird (also Handlungsoptionen risikogerecht bewertet werden) [vgl. zu den Methoden Gleißner/Ernst 2019 und Gleißner 2019]. Dies geht einher mit einer engeren Verknüpfung von Risikomanagement und Controlling [vgl. beispielsweise Vanini 2012 und Gleißner/Klein 2017 und ergänzend Rieg 2018 und Bier et al. 2018]. Zu beachten ist, dass diese ökonomisch wünschenswerte Neuausrichtung des Risikomanagements auch geboten ist, um den in der Zwischenzeit durch die Rechtsprechung präzisierten Anforderungen an die Vorbereitung „unternehmerischer Entscheidungen“ durch Geschäftsführer und Vorstände gerecht zu werden [vgl. hierzu RMA 2019 sowie Graumann 2014]. Gemäß der sogenannten „Business Judgement Rule“ (BJR) in § 93 AktG [eine analoge Anforderung gilt für GmbH-Geschäftsführer, vgl. RMA 2019] muss ein Geschäftsleiter nämlich bei der Vorbereitung „unternehmerischer Entscheidungen“, beispielsweise bezüglich einer Investition, Akquisition oder Strategie-Veränderung, beweisbar „angemessene Informationen“ vorliegen haben, um sein „Haftungsprivileg“ zu gewährleisten (und damit nicht für das Pech zu haften, dass Risiken eintreten können) [vgl. hierzu auch Romeike 2014 sowie Hartmann/Romeike 2015]. Da die Auswirkungen unternehmerischer Entscheidungen unsicher sind, sind es insbesondere die Ergebnisse einer entscheidungsvorbereitenden Risikoanalyse, die in einer Entscheidungsvorlage zu dokumentieren sind. Daraus ergibt sich auch aus rechtlicher Sicht die Notwendigkeit einer entscheidungsorientierten Ausrichtung des Risikomanagements. Rechtliche Mindestanforderungen an das Risikomanagement (und das Controlling) ergeben sich entsprechend in der Zwischenzeit sowohl aus dem § 91 als auch dem § 93 AktG. Der neue DIIR Revisionsstandard Nr. 2 (2018) im Überblick Mit dem DIIR Revisionsstandard Nr. 2 des Deutschen Instituts für Interne Revision e.V. (vom November 2018) liegt erstmalig ein Risikomanagement-Standard vor, der die Anforderungen aus § 91 und § 93 AktG gemeinsam betrachtet. Auch der nun als Entwurf vorliegende neue IDW EPS 340 (von September 2019) befasst sich nur mit den Anforderungen aus § 91 AktG (ein
