"Wer erfolgreich sein will, muss Risiken kalkuliert eingehen", sagt Stefan Huckemann von Deloitte. Dafür ist ein funktionierendes Risiko-Management notwendig. Als integriertes, wertorientiertes Steuerungselement leistet ein solches System weit mehr, als nur den allgemeinen Vorgaben zu entsprechen. Es bietet beispielsweise die Basis zur Identifikation von Frühwarn-Indikatoren und ist eine Entscheidungshilfe für risikoreduzierende Maßnahmen, so der Berater.
Das sieht die Mehrheit der befragten Unternehmen genauso. Sie hält ein Risiko-Management für unverzichtbar. Dabei richten 81 Prozent der Studienteilnehmer ihre Strategie nach den Firmenzielen aus. Nur ein Drittel kann dies jedoch realisieren, was unter anderem an der Formulierung der Ziele liegt.
71 Prozent der Firmen wollen mit einem Risiko-Management in erster Linie gesetzliche Vorschriften erfüllen. Das trifft besonders auf börsennotierte Kapitalgesellschaften zu. Für 59 Prozent bedeutet das System vor allem eine Verbesserung des Unternehmenswertes.
Risiko-Strategie ist Chefsache
Generell ist Risiko-Management in fast allen Firmen Chefsache. Vorstand und Geschäftsleitung definieren dabei Ziele und Strategien, wobei aber auch die jeweilige Fachabteilung eine bedeutende Rolle spielen kann.
Die Verantwortung für Implementierung und Umsetzung der Strategie trägt dagegen in den meisten Fällen ein zentraler Risiko-Manager, falls es ihn gibt. Dabei gilt: Je größer ein Unternehmen ist, desto wahrscheinlicher ist es, dass diese Position explizit bekleidet wird.
Neben der Definition von Zielen und Maßnahmen muss der RM-Beauftragte vor allem die Mitarbeiter für das Thema sensibilisieren. Und das frühzeitig, denn oft findet eine solche Sensibilisierung erst bei der Anwendung des Systems statt. Rund drei Viertel der Befragten sind überzeugt, dass die Einführung eines Frühwarnsystems die Sensibilität bei den Mitarbeitern erhöht. Der Rest sieht trotz eines bestehenden Systems keinen deutlich erkennbaren Fortschritt.
Check-Listen und Prozess-Analysen
Die Herausforderungen bei der Implementierung eines Risiko-Management-Systems bestehen in der Bewertung, Messung und Festlegung von relevanten Risiken. Die Mehrheit der Lebensmittelunternehmen setzt dabei auf Prüf- und Check-Listen sowie auf Prozess-Analysen. Workshops und Expertenbefragungen spielen eine eher untergeordnete Rolle. Die Nutzung von Kennzahlen hängt wiederum von der Größe der Firma ab: Je größer das Unternehmen, desto eher setzt es dieses Instrument ein.
Gängige Praxis ist die Identifizierung und Bewertung der Risiken durch die Geschäftsführung. Ein Risiko-Manager kommt hier nur bei knapp der Hälfte der Unternehmen zum Einsatz. Das erscheint den Analysten als kritisch. Besser ist es, wenn der Risiko-Manager auch die Verantwortung für die Identifizierung und Bewertung übernimmt.
Die Berichterstattung beziehungsweise die Weitergabe der mit dem System gemachten Erkenntnisse sollten am besten zentralisiert erfolgen. Daran hält sich aber nur die Hälfte der Firmen. Ähnlich sieht es mit einem regelmäßigen Risikobericht sowie bei der Nutzung von Kennzahlen und Schwellenwerten aus. Auch hier befolgt lediglich die Hälfte dieses Prinzip.
Fast alles wie beim Alten
Deloitte führte bereits 2005 eine ähnliche Studie durch. Der Vergleich mit der aktuellen zeigt, dass nach wie vor eine Lücke zwischen Anspruch und Wirklichkeit klafft. Doch vor zwei Jahren waren noch fast 30 Prozent der Unternehmen davon überzeugt, ihr Risiko-Management bleibe hinter den Erwartungen zurück. "Im Großen und Ganzen haben sich die Perspektiven jedoch kaum verschoben", sagt Stefan Huckemann.
Für die Studie "Erfolgsfaktor Risiko-Management" befragte Deloitte im Sommer 2007 71 Unternehmen der Lebensmittelbranche.