Warum Risikomanagement nicht bedeutet, ständig mit dem Schlimmsten zu rechnen
Was passiert, wenn morgen der größte Kunde kündigt?
Wenn ein wichtiger Mitarbeiter mehrere Monate ausfällt?
Wenn die IT nicht funktioniert?
Wenn ein Lieferant plötzlich nicht mehr liefern kann?
Oder wenn innerhalb weniger Wochen deutlich weniger Aufträge eingehen?
Solche Fragen gehören vermutlich nicht zu den beliebtesten Aufgaben eines Geschäftsführers. Schließlich gibt es im Tagesgeschäft genug reale Probleme – da muss man sich nicht auch noch zusätzliche ausdenken.
Genau darin liegt allerdings der Sinn von Risikomanagement.
Es geht nicht darum, möglichst viele Katastrophenszenarien zu entwickeln. Es geht darum, vorbereitet zu sein, bevor aus einem Problem eine Unternehmenskrise wird.
Gerade kleine und mittelständische Unternehmen können von einzelnen Ereignissen besonders stark betroffen sein. Häufig fehlen die finanziellen Reserven, personellen Doppelstrukturen oder alternativen Kapazitäten größerer Unternehmen.
Deshalb lohnt sich gelegentlich die Frage:
„Was passiert, wenn …?“
Risikomanagement beginnt nicht mit einer komplizierten Excel-Tabelle
Beim Begriff Risikomanagement denken viele zunächst an Konzerne, umfangreiche Regelwerke, Compliance-Abteilungen und sehr große Tabellen mit roten, gelben und grünen Feldern.
Für ein kleines oder mittelständisches Unternehmen darf es deutlich pragmatischer sein.
Im Kern reichen zunächst vier Fragen:
Was könnte passieren?
Wie wahrscheinlich ist es?
Welche Auswirkungen hätte es auf unser Unternehmen?
Was können wir heute tun, damit uns dieses Ereignis morgen nicht unvorbereitet trifft?
Damit lässt sich bereits erstaunlich viel erreichen.
Die folgenden sieben Risiken sind dabei keineswegs vollständig. Sie zeigen aber typische Bereiche, die KMU regelmäßig betrachten sollten.
Risiko 1: Ein wichtiger Kunde fällt weg
Ein Unternehmen hat einen langjährigen Kunden. Die Zusammenarbeit funktioniert hervorragend und über die Jahre steigt das Auftragsvolumen immer weiter.
Irgendwann macht dieser Kunde 30, 40 oder sogar 50 Prozent des Gesamtumsatzes aus.
Das ist zunächst ein wirtschaftlicher Erfolg.
Es entsteht aber gleichzeitig eine Abhängigkeit.
Denn auch eine gute Geschäftsbeziehung kann sich verändern. Ansprechpartner wechseln, Budgets werden gekürzt, Unternehmen werden verkauft, Leistungen neu ausgeschrieben oder Einkaufsstrategien geändert.
Die entscheidende Frage lautet deshalb:
Was passiert mit unserem Unternehmen, wenn unser größter Kunde morgen wegfällt?
Wie stark sinkt der Umsatz?
Welche Kosten bleiben bestehen?
Welche Mitarbeiter oder Kapazitäten wären betroffen?
Wie lange würde es dauern, den Umsatz durch andere Kunden zu ersetzen?
Und reicht die vorhandene Liquidität für diesen Zeitraum?
Die Lösung besteht dabei nicht zwingend darin, weniger Geschäft mit einem guten Kunden zu machen.
Häufig ist es sinnvoller, das Geschäft mit anderen Kunden gezielt auszubauen und damit das Unternehmen insgesamt breiter aufzustellen.
Risiko 2: Ein wichtiger Mitarbeiter fällt aus
In vielen KMU gibt es ihn:
Den Mitarbeiter, bei dem jeder sagt:
„Frag ihn. Der weiß das.“
Er kennt die Kunden, die Abläufe, die Software, die Lieferanten und sämtliche Sonderfälle der vergangenen zehn Jahre.
Das ist wertvoll.
Bis dieser Mitarbeiter länger krank wird, kündigt oder irgendwann in den Ruhestand geht.
Dann stellt sich heraus, dass ein erheblicher Teil des Unternehmenswissens ausschließlich in seinem Kopf gespeichert war.
Deshalb sollte bei wichtigen Funktionen regelmäßig geprüft werden:
Wer kann die Aufgabe vertreten?
Ist das notwendige Wissen dokumentiert?
Sind Zugänge und Informationen verfügbar?
Kann ein anderer Mitarbeiter den Prozess tatsächlich übernehmen?
Und wie lange würde eine Übergabe dauern?
Wissensmanagement und funktionierende Vertretungsregelungen sind deshalb keine Bürokratie.
Sie sind Risikovorsorge.
Risiko 3: Die Liquidität reicht plötzlich nicht mehr
Ein Unternehmen kann Aufträge haben, Umsatz machen und sogar profitabel arbeiten – und trotzdem in Liquiditätsschwierigkeiten geraten.
Zum Beispiel, wenn Kunden später zahlen als erwartet.
Oder wenn große Projekte vorfinanziert werden müssen.
Wenn Steuern fällig werden.
Wenn eine unerwartete Investition notwendig wird.
Oder wenn mehrere dieser Dinge gleichzeitig passieren.
Deshalb reicht es nicht, ausschließlich auf Gewinn und Kontostand zu schauen.
Unternehmen sollten wissen, welche Einzahlungen und Auszahlungen in den kommenden Wochen und Monaten zu erwarten sind.
Eine einfache Szenariofrage kann bereits sehr hilfreich sein:
Was passiert, wenn unsere drei größten Kunden ihre Rechnungen vier Wochen später bezahlen als geplant?
Können Gehälter, Lieferanten und Steuern weiterhin bezahlt werden?
Wenn die Antwort unklar ist, sollte die Liquiditätsplanung genauer betrachtet werden.
Denn ein finanzieller Engpass ist deutlich angenehmer zu lösen, wenn man ihn acht Wochen vorher erkennt – und nicht acht Stunden vorher.
Risiko 4: Ein wichtiger Lieferant kann nicht liefern
Lieferketten funktionieren im Alltag häufig so selbstverständlich, dass ihre Bedeutung erst auffällt, wenn etwas nicht funktioniert.
Ein Lieferant meldet Insolvenz.
Ein wichtiges Material ist plötzlich nicht verfügbar.
Lieferzeiten verlängern sich drastisch.
Preise steigen.
Oder ein benötigtes Produkt wird kurzfristig eingestellt.
Besonders kritisch wird es, wenn ein Unternehmen für wichtige Materialien oder Leistungen nur eine einzige Bezugsquelle hat.
Deshalb lohnt sich eine einfache Lieferantenanalyse:
Welche Lieferanten sind für unseren Geschäftsbetrieb besonders wichtig?
Für welche Produkte oder Leistungen haben wir keine Alternative?
Wie lange könnten wir einen Lieferausfall überbrücken?
Welche Ersatzlieferanten kommen infrage?
Und welche Auswirkungen hätte ein Ausfall auf unsere eigenen Kunden?
Nicht jedes Bauteil benötigt drei alternative Lieferanten.
Aber bei geschäftskritischen Leistungen sollte zumindest bekannt sein, welche Möglichkeiten im Ernstfall bestehen.
Risiko 5: Die IT funktioniert nicht
E-Mail, Cloudspeicher, Warenwirtschaft, CRM, Buchhaltung, Telefonie, Produktionssysteme oder digitale Zeiterfassung:
Viele Unternehmen merken erst bei einem Ausfall, wie abhängig ihre täglichen Prozesse inzwischen von funktionierender IT sind.
Die relevante Frage lautet deshalb nicht nur:
„Machen wir Backups?“
Sondern:
„Was machen wir, wenn unsere Systeme morgen nicht verfügbar sind?“
Welche Prozesse stehen sofort still?
Wie können Kunden erreicht werden?
Sind wichtige Kontaktdaten auch anderweitig verfügbar?
Wer ist Ansprechpartner bei einem Ausfall?
Wie schnell können Daten und Systeme wiederhergestellt werden?
Und wurde die Wiederherstellung jemals tatsächlich getestet?
Eine Datensicherung zu besitzen und Daten erfolgreich wiederherstellen zu können, sind schließlich zwei unterschiedliche Dinge.
Für technische IT- und Cyberrisiken sollte bei Bedarf spezialisierte Expertise eingebunden werden. Aus Sicht der Unternehmensorganisation bleibt aber eine wesentliche Aufgabe:
Das Unternehmen muss wissen, wie es bei einem Ausfall handlungsfähig bleibt.
Risiko 6: Die Auftragslage bricht ein
Ein paar schlechte Wochen sind noch keine Krise.
Aber was passiert, wenn der Auftragseingang über mehrere Monate deutlich unter dem geplanten Niveau liegt?
Viele Kosten eines Unternehmens verändern sich nicht automatisch mit dem Umsatz.
Gehälter, Mieten, Leasingraten, Versicherungen und Finanzierungen laufen weiter.
Deshalb sollte ein Unternehmen nicht erst reagieren, wenn die Auftragsbücher bereits leer sind.
Ein einfaches Szenario könnte lauten:
Was passiert, wenn unser Umsatz für sechs Monate um 20 Prozent zurückgeht?
Welche Auswirkungen hätte das auf Ergebnis und Liquidität?
Welche Kosten könnten kurzfristig reduziert werden?
Welche Maßnahmen im Vertrieb könnten intensiviert werden?
Welche Investitionen könnten verschoben werden?
Und ab welchem Punkt müsste die Geschäftsführung weitergehende Maßnahmen einleiten?
Wer solche Szenarien vorab durchdenkt, muss in einer schwierigen Situation nicht bei null anfangen.
Risiko 7: Der Geschäftsführer fällt aus
Dieses Risiko wird erstaunlich häufig übersehen.
Gerade in kleinen Unternehmen laufen viele Fäden beim Geschäftsführer zusammen.
Er kennt Bankzugänge, Verträge, Kundenvereinbarungen, Preise, Passwörter, Ansprechpartner und laufende Verhandlungen.
Er gibt Zahlungen frei.
Er entscheidet über Angebote.
Und häufig ist er die einzige Person, die bei außergewöhnlichen Situationen weiß, was zu tun ist.
Dann eine unangenehme Frage:
Was passiert, wenn der Geschäftsführer morgen für sechs Wochen ausfällt?
Wer darf Entscheidungen treffen?
Wer hat notwendige Vollmachten?
Wer kann auf wichtige Informationen zugreifen?
Wer spricht mit Bank, Steuerberater, Kunden oder Lieferanten?
Welche Zahlungen können weiterhin freigegeben werden?
Und weiß diese Person überhaupt, dass sie dafür vorgesehen ist?
Eine funktionierende Notfallregelung gehört deshalb zu einer soliden Unternehmensorganisation.
Sie wird hoffentlich nie benötigt.
Aber genau das gilt für viele gute Vorsorgemaßnahmen.
Nicht jedes Risiko ist gleich wichtig
Nachdem mögliche Risiken gesammelt wurden, sollte nicht sofort für jedes denkbare Szenario ein Maßnahmenpaket entwickelt werden.
Sonst entsteht tatsächlich jene Bürokratie, wegen der Risikomanagement in kleinen Unternehmen häufig unbeliebt ist.
Sinnvoller ist eine Priorisierung.
Dafür können zwei Kriterien genutzt werden:
Eintrittswahrscheinlichkeit: Wie wahrscheinlich ist es, dass das Ereignis eintritt?
Auswirkung: Wie schwer wären die Folgen für das Unternehmen?
Ein Ereignis mit geringer Wahrscheinlichkeit und geringen Auswirkungen benötigt vermutlich wenig Aufmerksamkeit.
Ein Risiko mit hoher Wahrscheinlichkeit und großen wirtschaftlichen Folgen dagegen schon.
Besonders interessant sind außerdem Ereignisse, die zwar selten eintreten, im Ernstfall aber existenzbedrohend wären.
Die einfache Risikomatrix für KMU
Für einen ersten Überblick genügt eine Tabelle:
Die Bewertung muss dabei nicht wissenschaftlich exakt sein.
Niedrig, mittel und hoch reichen für den Anfang vollkommen aus.
Entscheidend ist, dass Risiken sichtbar werden und anschließend bewusst entschieden wird, welche davon bearbeitet werden müssen.
Vier Möglichkeiten, mit einem Risiko umzugehen
Ist ein relevantes Risiko erkannt, gibt es grundsätzlich verschiedene Möglichkeiten.
Risiko vermeiden
Manche Risiken lassen sich vollständig beseitigen.
Wenn beispielsweise ein bestimmtes Geschäft wirtschaftlich ausgesprochen riskant ist und kaum Nutzen bringt, kann die beste Entscheidung sein, darauf zu verzichten.
Risiko reduzieren
Viele Risiken lassen sich nicht vollständig vermeiden, aber ihre Wahrscheinlichkeit oder ihre Auswirkungen können reduziert werden.
Beispiele sind zusätzliche Lieferanten, Vertretungsregelungen, bessere Prozesse oder eine größere Liquiditätsreserve.
Risiko übertragen
Bestimmte finanzielle Folgen können beispielsweise durch geeignete Versicherungen oder vertragliche Regelungen teilweise auf andere übertragen werden.
Das Risiko verschwindet dadurch nicht zwangsläufig, aber seine wirtschaftlichen Auswirkungen können begrenzt werden.
Risiko bewusst akzeptieren
Auch das ist eine legitime Entscheidung.
Nicht jedes kleine Risiko muss mit Maßnahmen versehen werden.
Manchmal wären die Kosten der Absicherung höher als der mögliche Schaden.
Wichtig ist lediglich, dass das Risiko bewusst akzeptiert wird – und nicht deshalb, weil niemand darüber nachgedacht hat.
Risikomanagement bedeutet nicht, jedes Problem verhindern zu können
Auch das beste Risikomanagement kann nicht garantieren, dass nichts passiert.
Kunden werden trotzdem kündigen.
Mitarbeiter können ausfallen.
Märkte können sich verändern.
Technik kann versagen.
Und manche Ereignisse lassen sich schlicht nicht vorhersehen.
Das Ziel besteht deshalb nicht darin, ein Unternehmen vollständig risikofrei zu machen.
Das wäre weder realistisch noch unternehmerisch sinnvoll.
Das Ziel ist Widerstandsfähigkeit.
Ein gut vorbereitetes Unternehmen erkennt Probleme früher, besitzt Alternativen und kann schneller reagieren.
Genau dieser Handlungsspielraum macht im Ernstfall den Unterschied.
Der 60-Minuten-Risiko-Check
Für den Einstieg braucht es weder eine neue Software noch ein umfangreiches Beratungsprojekt.
Nehmen Sie sich mit Ihren wichtigsten Mitarbeitern eine Stunde Zeit.
Stellen Sie gemeinsam nur eine Frage:
„Was könnte passieren, das unseren Geschäftsbetrieb ernsthaft beeinträchtigt?“
Sammeln Sie zunächst alle Antworten.
Anschließend bewerten Sie jedes Risiko nach Wahrscheinlichkeit und möglicher Auswirkung.
Wählen Sie danach die drei größten Risiken aus und beantworten Sie jeweils:
Was haben wir bereits dagegen unternommen?
Was würde unmittelbar nach Eintritt des Risikos passieren?
Wer wäre verantwortlich?
Welche Alternative haben wir?
Welche Maßnahme können wir innerhalb der nächsten 30 Tage umsetzen?
Mehr braucht es für den Anfang nicht.
Drei konkret bearbeitete Risiken bringen einem Unternehmen wesentlich mehr als eine Liste mit 47 Risiken, die anschließend im Ordner verschwindet.
Risikomanagement ist Unternehmensentwicklung
Bei genauer Betrachtung sind Unternehmensrisiken selten isolierte Probleme.
Kundenabhängigkeit betrifft Vertrieb, Finanzen und Strategie.
Der Ausfall eines Schlüsselmitarbeiters betrifft Personalmanagement, Wissensmanagement und Prozesse.
Lieferantenrisiken betreffen Einkauf, Produktion und Kunden.
Liquiditätsrisiken betreffen nahezu jede unternehmerische Entscheidung.
Und die Abhängigkeit vom Geschäftsführer ist gleichzeitig eine Frage von Organisation, Führung und Verantwortlichkeiten.
Genau deshalb lohnt es sich, Risiken ganzheitlich zu betrachten.
Nicht mit dem Ziel, überall Gefahren zu suchen.
Sondern mit der Frage:
Wo ist unser Unternehmen heute unnötig verwundbar – und was können wir mit vertretbarem Aufwand daran ändern?
Fazit: „Was passiert, wenn …?“ ist eine ziemlich gute Unternehmerfrage
Unternehmertum bedeutet immer, Risiken einzugehen.
Ohne Risiko gibt es schließlich weder Investitionen noch Wachstum, Innovation oder neue Geschäftsmöglichkeiten.
Professionelles Risikomanagement bedeutet deshalb nicht, Risiken grundsätzlich zu vermeiden.
Es bedeutet, sie zu kennen und bewusst mit ihnen umzugehen.
Vielleicht fällt der größte Kunde nie aus.
Vielleicht bleibt der wichtigste Mitarbeiter noch 15 Jahre.
Vielleicht funktioniert die IT ohne größere Probleme.
Hervorragend.
Aber wenn es anders kommt, sollte die erste Reaktion möglichst nicht lauten:
„Darüber haben wir noch nie nachgedacht.“
Business Support Lübeck unterstützt kleine und mittelständische Unternehmen dabei, wirtschaftliche, finanzielle, personelle und organisatorische Risiken zu erkennen, zu bewerten und pragmatische Maßnahmen daraus abzuleiten.
Dabei geht es nicht darum, für jedes denkbare Problem einen Notfallordner anzulegen.
Es geht darum, bei den wirklich wichtigen Risiken vorbereitet zu sein – damit aus einem schlechten Tag nicht gleich ein schlechtes Geschäftsjahr wird.