Unternehmensrisiken identifizieren und bewerten sowie Strategien festlegen und umsetzen, mit denen sich diese Risiken steuern lassen - das sind die klassischen Elemente des Risiko-Managements, wie sie auch die Swisscom realisiert hat. Über ein ständig abrufbares und aktuelles Risikoprofil sollen problematische Entwicklungen frühzeitig erkennbar sein und - beispielsweise durch den Abschluss von Versicherungen oder durch Outsourcing einzelner Aufgaben an Dritte - gemindert oder sogar ausgeschaltet werden. So lässt sich die Risikostruktur des Unternehmens ständig weiter verbessern.
Diesen Prozess startete die Swisscom Anfang 2001 - nicht gezwungenermaßen wie bei vielen deutschen Unternehmen durch das Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (Kontrag), sondern freiwillig wegen der darin erkannten Chancen. Bei der Swisscom ist das Risiko-Management Chefsache. Organisatorisch untersteht der Bereich "Risk Management" einem Mitglied der Gruppenleitung - mit einem direkten Zugang zum Verwaltungsrat.
Die Risiken zu identifizieren und zu bewerten ist hingegen eine dezentral zu lösende Aufgabe. In den Gruppengesellschaften und Headquarter-Bereichen zeichnen "Risk Champions" für das Risiko-Management verantwortlich. Für jedes Risiko einer Gesellschaft wird ein spezieller "Risk Owner" verpflichtet, meist ein Mitglied der Führungsetage. Dieser Risikoeigner erfasst und bewertet das Risiko nicht nur, sondern schlägt auch Maßnahmen vor, wie es sich mindern oder ausschalten lässt. Darüber hinaus wurde ein "Risk Committee" institutionalisiert; dort treffen sich einmal im Vierteljahr das zentrale Risk Management und die dezentralen Risk Champions.
Verantwortung nicht delegierbar
Zunächst wurde ein telekommunikationsspezifisches Risikoinventar in Form eines Risikoatlas erarbeitet. Er setzt sich aus 45 generischen Risiken zusammen, die in vier Risikokategorien eingeteilt sind. Mit Hilfe dieser Risikolandkarte lassen sich die Risiken identifizieren und einzeln bewerten - entweder quantitativ nach Eintrittswahrscheinlichkeit und Auswirkung oder qualitativ. Auf dieser Basis sind Strategien und Maßnahmen für die Risikominimierung zu entwickeln. Deren Erfolg muss ständig kontrolliert werden.
Althergebrachte Methoden auf Grundlage der Microsoft-Produkte "Excel" oder "Access" stoßen hier schnell an ihre Grenzen: Zum einen müssen die Informationen dezentral erfasst und von unten nach oben verdichtet werden, damit Gruppenleitung und Verwaltungsrat jederzeit einen schnellen Überblick über die Risikoentwicklung des Gesamtunternehmens und seiner Tochtergesellschaften erhalten können. Zum anderen ist ein Berechtigungskonzept unabdingbar, das unbefugte Datenzugriffe verhindert kann.
Wenig sinnvoll ist es aus Sicht der Swisscom, das Risiko-Management auf komplexe Data Warehouses aufzusetzen und möglichst viele Prozesse über definierte Grenzwerte zu automatisieren. Denn zum einen sind viele Risiken nur qualitativ beschreibbar, und zum anderen muss das Risiko-Management "gelebt" werden. "Man darf die Verantwortung nicht an technische Systeme delegieren", warnt Projektleiter Albert-Thomas Flammer. Deshalb entschied die Swisscom, das Risiko-Management mit einem System abzubilden, das die oben genannten Kriterien erfüllt: mit "Risk to Chance", kurz R2C, des Softwareanbieters Schleupen.
Potenzial im Projekt-Management
Die Software unterstützt sämtliche Arbeitsschritte des Risiko-Managements von der Erfassung über die Bewertung bis hin zum Reporting. Zudem ließ es sich relativ schnell einführen: In sechs Monaten konnten sämtliche Informationen und Strukturen hinterlegt und zusätzliche, von Swisscom benötigte Funktionen eingerichtet werden. Ende 2001 ging das System in den Echtbetrieb. Die Mitarbeiter waren nach einer halbtägigen Schulung in der Lage, damit umzugehen.
Nun wird das Risiko-Management schrittweise ausgebaut, verbessert und auf neue Bereiche ausgedehnt. Vor allem im Projekt-Management ist das Risikobewusstsein heute noch nicht sehr ausgeprägt. Aber gerade hier steckt großes Potenzial für Effizienzsteigerungen. Deshalb wurde nach dem Business-Risiko-Atlas auch ein Projekt-Risiko-Atlas erarbeitet, der die unterschiedlichsten Projekte abdeckt. "Die Swisscom ist auf dem Weg, eine echte Risikokultur zu entwickeln", freut sich Martin Vögeli, Head of Risk Management und damit Flammers Vorgesetzter. "Dieser Prozess zieht sich sicher noch über einige Jahre hin, aber er wird entscheidend zum Erfolg der ganzen Gruppe beitragen." (qua)
*Uwe Pagel ist Fachjournalist in Ulm.
Abb: Eine Landkarte der Risiken
Die "Risk Map" macht auf einen Blick sichtbar, welche Risiken besonders wahrscheinlich und/oder besonders schwerwiegend sind. Quelle: Schlumpen AG