Praxisbericht Balanced Scorecard and beyond

Als integrierte Lösung für das Risiko-Management und die Balanced Scorecard ist die "Risk Enhanced Balanced Scorecard" (REBS) zu sehen. Diese Lösung hilft Unternehmen dabei, das Risiko-Management aus seinem Schattendasein herauszuführen und mit der Balanced Scorecard zu einem integralen Steuerungskonzept zu verbinden. Die Balanced Scorecard wird dadurch wesentlich bereichert, da Risiken integraler Bestandteil eines Steuerungskonzeptes sein sollten. Das Konzept ist mit Hyperion Performance Scorecard umgesetzt worden, einer offenen Plattform für Balanced Scorecard, Risk Management und diversen weiteren Performance Measurementkonzepten.
 
Es ist nicht leicht, eine entsprechende Wirkungsanalyse durchzuführen, ohne sich in die eher fragwürdigen Tiefen eines Unternehmenssimulationsmodells zu begeben. Häufig können nur "weiche" Größen mit vagen Wirkungsbeziehungen herausgearbeitet werden, so dass eine mathematisch anspruchsvolle Modellierung in der Regel für den Praktiker recht befremdlich wirken muss. Wir befinden uns hiermit direkt in der Diskussion, wie mit dieser Komplexität umzugehen ist. Probst und Gomez haben Ende der achtziger Jahre auf die Notwendigkeit des vernetzten Denkens hingewiesen und ein entsprechendes Management-Modell entwickelt, das mittlerweile häufig auch in der Balanced Scorecard Beratung eingesetzt wird. Die Stärke dieses Konzepts liegt gerade darin, nicht auf mathematische Modelle abzustellen - die Modellierungstechnik des vernetzten Denkens basiert zwar auf Forresters System Dynamics, dem "Urvater" der Simulation, die Wirkungszusammenhänge werden eher informal aber dafür in ihren wesentlichen Vernetzungen dargestellt.
 
Diese Ursachen-Wirkungsbeziehungen sind ebenfalls ein wesentlicher Stützpfeiler der Balanced Scorecard. Was ursprünglich nur wenig betont wurde, hat sich als leistungsfähiges Kernkonzept der Balanced Scorecard entwickelt. Dieses Konstrukt kann für das Risiko-Management nutzbringend verwendet werden. Im Gegensatz zu den bekannten standardisierten Risiko-Katalogen ist es zweckmäßig, die Risiken nicht nur katalogartig zu erfassen, sondern ihre Wirkungen auf die verschiedenen Ziele zu beschreiben.
 
Die REBS ermöglicht gegenüber der konventionellen Balanced Scorecard sogar die Darstellung erweiterter Ursache-Wirkungszusammenhänge, in dem die klassischen vier Perspektiven in ihrer jeweiligen Wechselwirkung nicht nur untereinander sondern auch zur Unternehmensumwelt gezeigt werden. Die Risiken- und Zielverknüpfungen sind hierbei nicht auf die jeweilige (Bereichs-)Scorecard beschränkt. Man erkennt damit organisationsübergreifend die potentiellen Risiken, die direkt oder aber auch indirekt mit möglichen Spitzenkennzahlen wie EVA oder ROCE verbunden sind. Dabei können auch kumuliere Risiken dargestellt werden.
 
Ein System zur Unterstützung des Risiko-Managements sollte prozessorientiert funktionieren. Dieser Prozess darf von der Komplexität her nicht unterschätzt werden, insbesondere dann, wenn der Anspruch besteht alle hierarchischen Ebenen im Unternehmen einzubeziehen. Isolierte Werkzeuge, wie sie in Form von Tabellenkalkulationen zahlreich und einfach bereitstehen, helfen hier nur dem ersten Anschein nach weiter. Die erfassten Informationen müssen organisations- und prozessübergreifend verfügbar sein. Was nutzt ein Risiko-Katalog, der über zahlreiche Dateien und verschiedene Rechner verteilt ist?
 
Es werden die klassischen Phasen des Risikomanagements, Analyse der Risiken, Formulierung der Risiko-Management-Strategien, Implementierung der Risiko-Management-Maßnahmen, Monitoring sowie Kontinuierliche Verbesserung auf die REBSC adaptiert. Voraussetzung ist die Implementierung eines entsprechenden Balanced Scorecard Prozesses.
 
Bei der Risikoanalyse geht es darum, ein vollständiges Bild der relevanten Risiken zu erhalten. Üblicherweise gibt es hier zwei Vorgehensweisen:

• Die deduktive Vorgehensweise geht von einer Ziel-Mittelhierarchie aus und betrachtet für jedes (Sub-)Ziel die entsprechenden Risiken. Der entstehende Risiko-Katalog ist damit besonders eng an das strategische Managementsystem angebunden. Bei der Balanced Scorecard-Umsetzung existiert bereits ein gültiges Kausal-Schema der Ziele, welches für die Analyse herangezogen werden kann.
• Die induktive oder auch progressiv genannte Vorgehensweise übernimmt häufig extern erstellte Risikokataloge und wendet diese checklistenartig auf die individuelle Unternehmenssituation an. Damit besteht die Möglichkeit, externes Wissen über die möglichen Risiken einzubringen, was bei einer reinen Zielfokussierung unter Umständen übersehen werden könnte.

Beide Verfahren haben ihre Berechtigung. Es ist davon auszugehen, dass beide Ansätze parallel und wechselseitig eingesetzt werden. Im Rahmen der strategischen Planung beschäftigt man sich naturgemäß mit den entsprechenden zielbezogenen Risiken. Man wird später auf einen externen Risikokatalog zurückgreifen und diesen entsprechend modifizieren, in dem man die relevanten Risiken "personalisiert". Das System der REBS ist so gestaltet, dass beide Verfahren unterstützt werden. Zu jedem Ziel der Scorecard lassen sich entsprechende Risiken (aber auch Chancen) erfassen und beschreiben.
 
Aufgabe der Risikobewertung ist es, negative Potentiale in ihrer Stärke, ihrer Wahrscheinlichkeit und ihrem zeitlichen Bezug (Monate bis Jahre) einzuschätzen. Wir sehen hier folgende wesentliche Probleme:

• Inwieweit gelingt eine Abschätzung des Schadens. Wenn man sich auf die klassischen Schadensfälle konzentriert, dürfte dies relativ einfach sein. Schwieriger ist es bei den unternehmerischen Wagnissen wie Änderungen der Kundenpräferenzen oder Mitarbeiterfluktuationen.
• Welche Abhängigkeiten bestehen zwischen den einzelnen Risiken? Hier können längere Kausalitätsketten entstehen. Ein sinkender Dollarkurs erschwert den Export, schafft also ein Absatzrisiko, was aufgrund eines geänderten Betriebsklimas (aufgrund des hohen Umsatzdrucks) zu einer höheren Fluktuation führen könnte.
• Man wird in der Regel auf subjektive Größen zurückgreifen müssen. Ãœber entsprechende Richtlinien müssen einheitliche Bewertungsmaßstäbe herangezogen werden. Insofern ist die Kommunikation darüber was wesentlich und wahrscheinlich ist, elementar für ein funktionierendes Risiko-Management.

Das präferierte Werkzeug hierzu ist die Ursache-Wirkungsanalyse. Wir unterscheiden hier drei Ursache-Wirkungsbeziehungen, zwischen Zielen (gerichtet hin zur finanziellen Größe), zwischen Risiken und zwischen Risiken und Zielen.
 
Über bewährte Werkzeuge wie das Risiko-Portfolio ist es möglich, bedrohende Situationen zu erkennen und entsprechende Maßnahmen zu initiieren. Das Wissen um die Ursache-Wirkungszusammenhänge kann dabei genutzt werden. So ist es möglich, für jedes Ziel ein eigenes Risiko-Portfolio zu erstellen und hierbei direkt wirkende Risiken und indirekte Risiken einzubeziehen. Inwieweit hier Vier oder Neun-Felder-Matrizen oder nichtlineare Funktionen für die Risiko-Beurteilung zum Tragen kommen, kann nicht endgültig entschieden werden und liegt im Ermessen des Anwenders.
 
Aufgrund der Ergebnisse der Bruttobewertung werden entsprechende Maßnahmen für kritische Risiken eingeplant. Kritische Risiken sind diejenigen Risiken, deren Schadenshöhe existenzgefährdend ist bzw. diejenigen, die eine hohe Eintrittswahrscheinlichkeit besitzen. Besonders kritisch sind natürlich Risiken, für die beides zutrifft.
 
Mit Blick auf die Definition von Risiko-Management-Strategien kommen nun die klassischen Risiko-Handling-Maßnahmen zum Tragen. Üblicherweise werden hier Maßnahmen zur Vermeidung, Reduzierung, Versicherung und Akzeptanz angewendet. Für jede Maßnahme sollte die Wirkung auf die Ziele abgeschätzt werden. Auch hier sind wieder die Integrationsaspekte zu betrachten. Es ist wenig zweckmäßig, Sicherungsmaßnahmen isoliert zu planen. Dies fängt mit Rabatten bei umfassenden Versicherungen an und endet bei konträr wirkenden Sicherungsmaßnahmen.
 
Während einige Maßnahmen zeitpunktbezogen sind (z. B. Abschluss eines Versicherungsvertrags), stehen hinter anderen Sicherungsmaßnahmen richtige Projekte (z. B. Aufbau Frühwarnungssystem). Aus diesem Grund besteht die Möglichkeit zur Implementierung der definierten Risiko-Management-Maßnahmen, umfassende Projekte mit Zuständigkeiten, Meilensteinen, Ressourcenbedarf und Budgetierung abzubilden.
 
Im Rahmen des Montorings der Risiken sind die Risiken und zugeordnete Indikatoren von den Verantwortlichen regelmäßig zu betrachten. Bewährt hat sich hier eine Zuordnung der Risiken zu verantwortlichen Bereichen. Veränderungen in der Wahrscheinlichkeit und der Stärke sind entsprechend zu kommentieren.
 
Im Rahmen des Controllings können die einschlägigen Auswertungen verwendet werden, wobei das Wissen um die Zusammenhänge zum Tragen kommt. So macht es Sinn, neben der klassischen disaggregierenden Navigation ("Drill Down") auch die Kausalketten zur Navigation zu verwenden. Zu jedem Ziel / Risiko können abhängige Risiken / Ziele in ihrer Wirkung angezeigt werden.
 
Der beschriebene Risiko-Management-Prozess muss selbst Gegenstand einer regelmäßigen Kontrolle und Verbesserung sein. Nicht zuletzt sollte die interne Revision in sinnvollen Abständen die Einhaltung des definierten Risiko-Management-Systems überprüfen und Verbesserungsvorschläge unterbreiten. I.d.R. wird aber der verantwortliche Risikomanager im Unternehmen Defizite in den definierten Abläufen regelmäßig reflektieren und kommunizieren.