Risiken führen statt fürchten

Dennis Fehrenbacher, Sie beschäftigen sich an der HSG mit modernem Risikomanagement in Unternehmen. Wie hat sich das Verständnis von Risiko in den letzten Jahren verändert und was bedeutet das konkret für KMU?
Dieses Verständnis hat sich definitiv gewandelt: Früher hat man Risiken oft als einzelne, klar abgrenzbare Ereignisse gesehen, heute bedenken wir mehr, dass Risiken miteinander vernetzt sind und sich gegenseitig verstärken können. Für KMU bedeutet das: Man kann nicht mehr nur auf einzelne Gefahren reagieren, sondern muss das grosse Ganze im Blick behalten. Risiken sind nicht nur externe Bedrohungen, sondern auch interne Schwächen, etwa in der Organisation oder Kommunikation. Das verlangt ein strategisches, ganzheitliches Denken.

Viele Unternehmer sehen Risikomanagement noch als lästige Pflicht. Warum lohnt es sich, das Thema als Teil der Unternehmensführung zu verstehen und nicht nur als Kontrollinstrument?
Ich erlebe immer wieder, dass Risikomanagement als etwas gesehen wird, das man halt machen muss, weil es der Gesetzgeber oder die Unternehmensleitung verlangt. Man könnte es «Tick-the-box-Mentalität» nennen. Aber wenn man es als Führungsinstrument versteht, dann verändert sich die Perspektive: Es geht nicht um Kontrolle, sondern um Steuerung, Hilfestellung und Transparenz. Wer Risiken früh erkennt und aktiv managt, trifft bessere Entscheidungen, baut Vertrauen auf und wird langfristig widerstandsfähiger. Dann kommen wir weg vom Fokus auf den bürokratischen Aufwand hin zum Fokus auf einen potenziellen Wettbewerbsvorteil.

Welche typischen Risiken beobachten Sie aktuell in KMU am häufigsten?
Cyberangriffe stehen in mehreren Erhebungen ganz oben auf der Liste, dennoch können sie unterschätzt werden. KMU könnten denken, sie seien zu klein, um ins Visier zu geraten. Aber gerade fehlende Schutzmechanismen können sie attraktiv für Angreifer machen. Daneben sind Lieferkettenprobleme ein grosses Thema, vor allem bei internationalen Abhängigkeiten. Und der Fachkräftemangel ist nicht nur ein HR-Thema für KMU und öffentliche Verwaltungen, sondern ein strategisches Risiko. Es ist die Kombination dieser Faktoren, der perfekte Sturm sozusagen, der Unternehmen gefährlich werden kann.

In Ihrem Kurs sprechen Sie davon, dass Risikomanagement Chefsache sei. Wie können Geschäftsführer in kleineren Unternehmen eine Risikokultur schaffen, ohne grosse Strukturen aufzubauen?
Risikomanagement muss von oben gelebt werden – «tone from the top» ist einer der Schlüssel. Aber das heisst nicht, dass man gleich eine eigene Abteilung braucht. Es kann reichen, wenn die Geschäftsführung das Thema ernst nimmt und eine Kultur schafft, in der Risiken offen angesprochen werden. Das kann durch kurze Risiko-Reviews im Team passieren, mit klarer Aufgabenverteilung, zum Beispiel einer «Devil’s Advocate»-Rolle. Wichtig ist: Es muss zur DNA des Unternehmens gehören, nicht als Projekt, sondern als Haltung.

Oft wird gesagt, dass es in KMU an Zeit und Ressourcen für systematisches Risikomanagement fehle. Was ist Ihrer Meinung nach das Minimum, das jedes Unternehmen trotzdem tun sollte?
Das Minimum? Einmal im Jahr eine strukturierte Risiko-Inventur: Was sind unsere Top-Risiken (Identifikation)? Dann eine einfache Bewertung: Wie wahrscheinlich ist das und wie gross wäre der Schaden (Analyse)? Und für die drei kritischsten  Risiken (Evaluation) sollte ein Notfallplan erarbeitet werden (Treatment). Beim Eintreten von Top-Risiken kann so ein Notfallplan ein echter Wettbewerbsvorteil sein. Um strukturiert vorzugehen, helfen auch Risikomanagement-Richtlinien wie die ISO 31000 der Internationalen Standardisierungsorganisation.

Und wie können KMU den Überblick behalten, wenn sie gleichzeitig mit Cyber-, Finanz- und Reputationsrisiken konfrontiert sind?
Genau diese Organisation eines Überblicks soll das Enterprise Risk Management ermöglichen. Strukturell sind hier verschiedene Vorgehensweisen denkbar, es muss nicht gleich ein grosses Team sein. In KMU ist es durchaus denkbar, dass der CFO diesen Überblick bereitstellt.

Viele Gefahren entstehen nicht durch Technik, sondern durch menschliche Fehlentscheidungen. Welche Rolle spielt die Psychologie im Umgang mit Risiken?
Eine grosse! Wir alle sind anfällig für Denkfehler, sei es Überoptimismus, Gruppendenken oder das Ignorieren unangenehmer Wahrheiten. Studien zeigen, dass unterschiedliche Perspektiven zu unterschiedlichen Einschätzungen von Risiken führen. Unternehmer sollten sich dieser Muster bewusst sein und Mechanismen einbauen, um sie zu durchbrechen, zum Beispiel durch Perspektivenwechsel, kritische Rückfragen oder eine Kultur, in der Fehler nicht tabu sind, sondern Lernchancen bieten.

Resilienz ist heute ein Schlagwort. Was bedeutet unternehmerische Resilienz für Sie konkret?
Resilienz ist zwar ein Schlagwort, kann aber viele Nuancen beinhalten. Sie kann die Perspektive der Unternehmensführung oder die jedes einzelnen Mitarbeiters umfassen. Daten zeigen, dass Resilienz von Mitarbeitern auch durch deren Netzwerkorientierung, Teamidentität und Optimismus bei der Arbeit gestärkt werden kann.

Wenn ein KMU beginnt, sein Risikomanagement bewusster zu gestalten: Welche einfachen Instrumente oder Routinen empfehlen Sie für den Start?
Für den Einstieg kann folgendes Vorgehen sinnvoll sein: ein Risiko-Workshop pro Jahr, ein Logbuch für Vorfälle und Learnings sowie eine Person, die dafür die Verantwortung übernimmt. Das wäre ein sinnvoller Start, um Struktur hineinzubringen und das Thema greifbar zu machen. 

Zum Schluss: Wenn Sie einem Unternehmer drei Ratschläge geben könnten, um sein Geschäft sicherer zu machen – welche wären das?
Erstens: Machen Sie sich bewusst, dass prinzipiell alle Entscheidungen, ob unternehmerisch oder privat, Risiken beinhalten. Zweitens: Reden Sie über Risiken, offen und strukturiert. Drittens: Feiern Sie nicht nur Erfolge, sondern auch gute Fehleranalysen. Denn wer aus Fehlern lernt, wird besser und sicherer.