Risikoreporting: 5 Fragen, die jeder Verwaltungsrat stellen sollte
In vielen KMU gibt es ein Risikoreporting. Das heisst aber noch nicht, dass der Verwaltungsrat tatsächlich über die Informationen verfügt, die er für seine Aufsicht braucht.
Ein vor der Sitzung verschicktes Register, einige Dutzend Zeilen, eine farbige Matrix und eine Massnahmenliste reichen nicht zwingend aus, um eine gute Diskussion zu ermöglichen.
Die eigentliche Frage liegt woanders: Verfügt der Verwaltungsrat über ausreichend klare, strukturierte und vergleichbare Informationen, um die wichtigsten Risiken zu verstehen, ihre Entwicklung zu verfolgen und im richtigen Moment einzugreifen?
In einer Schweizer Aktiengesellschaft hat der Verwaltungsrat unübertragbare Aufgaben: die Oberleitung der Gesellschaft, die Festlegung der Grundsätze der Rechnungslegung und der Finanzkontrolle sowie die Oberaufsicht über die Geschäftsführung (Art. 716a OR). Seit der 2023 in Kraft getretenen Revision hält Art. 725 OR zudem fest, dass der Verwaltungsrat die Zahlungsfähigkeit der Gesellschaft überwacht. Diese Pflichten setzen voraus, dass er sich auf verwertbare Informationen stützen kann und nicht bloss auf das formale Vorhandensein eines Risikoregisters.
Sich auf die Risiken konzentrieren, die wirklich zählen
Ein wirksames Reporting muss nicht zwingend das gesamte Risikoregister wiedergeben.
Für ein KMU kann eine Übersicht mit rund zehn Hauptrisiken eine gute Grundlage bilden, natürlich angepasst an Grösse und Komplexität des Unternehmens. Das vollständige Register bleibt im Hintergrund verfügbar, doch der Verwaltungsrat muss rasch erkennen können, welche Themen seine Aufmerksamkeit tatsächlich erfordern.
Für jedes wesentliche Risiko sollten fünf Elemente sichtbar sein:
Das Szenario. Was kann tatsächlich passieren und welche Folgen hätte dies für das Unternehmen?
Die Bewertung. Nach welcher Skala wurden Eintrittswahrscheinlichkeit und Auswirkung beurteilt?
Die Wirkung der getroffenen Massnahmen. Wie hoch war das Bruttorisiko, wie hoch ist das Restrisiko heute und welches Niveau wird angestrebt?
Verantwortliche Person und Termin. Wer koordiniert die Nachverfolgung und wann ist der nächste Statusbericht fällig?
Die Entwicklung. Nimmt das Risiko zu, ab oder bleibt es stabil? Was erklärt diese Entwicklung?
Diese Struktur verhindert vor allem, dass der Verwaltungsrat seine Zeit damit verbringt, eine Risikomatrix zu kommentieren, statt über die eigentlichen Abwägungen zu diskutieren.
Festlegen, was das Unternehmen zu akzeptieren bereit ist
Das Reporting wird deutlich nützlicher, wenn der Verwaltungsrat einen Rahmen für die Risikoakzeptanz definiert hat.
Der Risikoappetit legt fest, welche Exposition das Unternehmen bereit ist einzugehen, um seine Ziele zu erreichen, aber auch, welche Grenzen es nicht überschreiten will.
Das kann sehr konkret bleiben.
Ein Verwaltungsrat kann beispielsweise eine Obergrenze für bestimmte risikoreiche Finanzanlagen festlegen oder bestimmen, in welchen Ländern das Unternehmen eine neue Tätigkeit aufbauen darf und in welchen nicht. In weiter entwickelten Systemen lassen sich diese Grenzen zusätzlich durch Stressszenarien ergänzen.
Ziel ist nicht, die Regeln zu vervielfachen, sondern einen Rahmen zu schaffen, in dem Geschäftsleitung und Verwaltungsrat dieselbe Sprache sprechen, wenn ein Risiko zunimmt.
Signale verfolgen, bevor sie zu Problemen werden
Key Risk Indicators (KRI) können dem Verwaltungsrat helfen, eine ungünstige Entwicklung früher zu erkennen.
Für ein KMU können bereits einige einfache Indikatoren sehr nützlich sein:
- Abweichung zwischen Budget und Ist für das strategische Risiko
- Anzahl Monate verfügbarer Liquidität für das Liquiditätsrisiko
- Umsatzanteil der wichtigsten Kunden für das Konzentrationsrisiko
- Anzahl kritischer Vorfälle oder Schwachstellen für das Cyberrisiko
- Personalfluktuation für das Personalrisiko
- Abhängigkeit von einem kritischen Lieferanten für das Lieferantenrisiko
Diese Indikatoren ersetzen die qualitative Analyse nicht. Sie verschieben aber die Diskussion im Verwaltungsrat.
Statt nur über das zu sprechen, was bereits geschehen ist, beginnt der VR über Signale zu diskutieren, die ein kommendes Problem ankündigen könnten.
Auch die Alarmierung zwischen den Sitzungen organisieren
Ein gutes Reportingsystem darf nicht nur im Rhythmus der Verwaltungsratssitzungen funktionieren.
Gewisse Ereignisse erfordern eine sofortige Information.
Der Verlust eines Grosskunden, ein erhebliches Liquiditätsproblem, der Ausfall eines kritischen Dienstleisters oder ein schwerwiegender Vorfall sollten nicht bis zur nächsten ordentlichen VR-Sitzung warten.
Verwaltungsrat und Geschäftsleitung sollten deshalb im Voraus vereinbaren, welche Ereignisse eine Alarmierung auslösen, wer zu informieren ist und über welchen Kanal.
Das bedeutet nicht, dass der Verwaltungsrat die operative Führung übernimmt. Es erlaubt ihm lediglich, seine Aufsichtsrolle wahrzunehmen, wenn sich die Exposition des Unternehmens wesentlich verändert.
Knappe, stabile und nachvollziehbare Informationen
Das Risikoreporting gewinnt auch dann an Qualität, wenn seine Darstellung über die Zeit stabil bleibt.
Dieselben Kategorien, dieselben Skalen und eine von Sitzung zu Sitzung vergleichbare Struktur machen Entwicklungen leichter erkennbar.
Ebenso wichtig ist die Nachvollziehbarkeit. Kritische Daten müssen sich einer Quelle, einem Datum oder einer Annahme zuordnen lassen.
Und vor allem: Kürze bleibt eine Stärke.
Wenige gut aufgebaute Seiten Zusammenfassung können dem Verwaltungsrat weit mehr nützen als ein Register von mehreren Dutzend Seiten.
Fünf Fragen für die nächste Sitzung
Um die Qualität des Risikoreportings rasch zu prüfen, kann der Verwaltungsrat mit fünf einfachen Fragen beginnen:
- Welche Skala wurde zur Bewertung dieses Risikos verwendet und wer hat sie validiert?
- Entspricht das dargestellte Niveau dem Bruttorisiko, dem Restrisiko oder dem Zielniveau?
- Wer koordiniert die Nachverfolgung und wann ist der nächste Termin?
- Wie hat sich dieses Risiko in den letzten sechs Monaten entwickelt und warum?
- Welches Ereignis würde eine Alarmierung vor der nächsten Sitzung rechtfertigen?
Bleiben die Antworten vage oder widersprüchlich, liegt das Problem möglicherweise nicht im Dokument, das dem Verwaltungsrat vorgelegt wird, sondern im Risikomanagement- und Reportingprozess selbst.
Das Reporting ist kein Selbstzweck
Die Qualität eines Risikomanagementsystems bemisst sich nicht an der Anzahl Zeilen im Register oder an der Raffinesse der verwendeten Matrix.
Sie bemisst sich an der Fähigkeit des Verwaltungsrats, die wichtigsten Risiken zu verstehen, die richtigen Fragen zu stellen und im richtigen Moment einzugreifen.
Um das System zu verbessern, können bereits drei einfache Entscheide einen Unterschied machen: die Frist für die Zustellung der Unterlagen an den Verwaltungsrat festlegen, zum Beispiel sieben Tage vor der Sitzung; die Schwellenwerte bestimmen, die eine Alarmierung zwischen zwei Sitzungen auslösen; und eine über die Zeit stabile Reportingstruktur einführen.
Dann erhält das Reporting seinen eigentlichen Sinn: Es dient nicht mehr nur der Dokumentation von Risiken. Es wird zu einem echten Instrument der Governance und der Entscheidungsfindung.
Über den Autor
Jaurès Adjamonsi ist Senior Accountant in Lausanne und arbeitet eng mit dem Risikomanagement zusammen. Er ist zudem Gründer von RiskBoard in Juriens im Kanton Waadt.
Hinweis zur Übersetzung
Der Originaltext wurde auf Französisch verfasst. Die deutsche Fassung wurde mit Unterstützung von KI erstellt. Bei abweichender Auslegung ist die französische Fassung massgebend.
Transparenzhinweis
Generative KI wurde bei der Erstellung dieses Artikels unterstützend für Recherche und redaktionelle Vorarbeiten eingesetzt. Die konzeptionelle Anlage, die Auswahl und Gewichtung der Inhalte, die fachliche Einordnung, die Endfassung des Textes sowie die Verantwortung für alle Aussagen und Schlussfolgerungen liegen beim Autor.
Disclaimer
Dieser Artikel ist Teil der Reihe "Network Briefs", Reflexionen und Impulse von Mitgliedern des SwissBoardForum». Die Inhalte geben die persönliche Meinung der Autorin oder des Autors wieder und entsprechen nicht zwingend der Position des SwissBoardForum. Ziel ist es, aktuelle Fragen aus der Praxis von Verwaltungsräten aufzugreifen und unterschiedliche Perspektiven aus dem Netzwerk sichtbar zu machen: persönlich, relevant und anregend für die Mandatsarbeit. Die französische Version dieses Artikels wurde mithilfe eines Tools der künstlichen Intelligenz erstellt. Der Originaltext wurde auf Deutsch verfasst. Bei Abweichungen in der Auslegung ist die deutsche Originalfassung massgebend