Im Nachgang zur letzten Finanzkrise ist die gezielte Beeinflussung der Risikokultur in den Fokus von Regulierung und Risiko-Controllern in Banken gerückt. Unter anderem wurden Führungskultur und Anreizsysteme stärker in den Blick genommen. Diese Entwicklung kann von Controllern auch für andere Branchen nutzbar gemacht werden.
Die Financial Crisis Inquiry Commission (FCIC) bezeichnete im Jahr 2011 die von ihr analysierte Finanzkrise von 2007/2008 als eine grundlegende systemische Störung des markwirtschaftlichen Systems (vergleiche FCIC 2011, S. xv). Sie wurde als einschneidendes Ereignis erlebt und hinterließ einen nachhaltigen Eindruck. Weltweit wurde in der Folge darüber diskutiert, wie in Zukunft eine Krise solchen Ausmaßes vermieden werden und welche Rolle dabei die Risikokultur spielen könnte. Da 2007 Banken Ausgangspunkt der Krise waren, standen sie bei dieser Diskussion im Fokus, doch beschäftigten sich auch andere Branchen verstärkt mit dem Thema Risikokultur, vor allem im Kontext von Corporate Governance. Risikokultur umfasst dabei als Teil der Corporate Governance "die Gesamtheit der Normen, Einstellungen und Verhaltensweisen einer Bank in Bezug auf Risikobewusstsein, Risikobereitschaft und Risikomanagement sowie Kontrollen, die Risikoentscheidungen gestalten. Risikokultur beeinflusst die Entscheidungen des Managements und der Mitarbeiter bei ihrer täglichen Arbeit und hat Auswirkungen auf die Risiken, die sie eingehen" (BCBS 2015).
Greift man diese Diskussion zur Risikokultur in Banken auf, können aus den hier erarbeiteten Regularien Ansatzpunkte für eine effektive Risikokultur auch in anderen Unternehmen abgeleitet werden.
Qualitative Faktoren in der Risikosteuerung
Der Fokus bei der Risikosteuerung in Banken lag vor der Krise 2007/2008 auf quantifizierbaren Faktoren. Genau diese Messbarkeitsdoktrin wurde nach der Krise scharf kritisiert. So argumentiert Power (2009, S. 850 ff.), dass das vielfach im Bankenkontext diskutierte Konzept des Risikoappetits und die daran anknüpfende Vorstellung von klar definierbaren "Risikoportionen", die eine Bank akzeptieren und entsprechend steuern kann, zu kurz greifen, um eine tragfähige Risikokultur zu etablieren. In dieser Sichtweise wird gemäß Power (2009, S. 850 ff.) eine Bank wie eine Maschine betrachtet, zu deren Kontrolle lediglich eine gewisse Risikomenge definiert werden muss, die dann durch eine adäquate Kapitaldeckung abgesichert werden kann. Er plädiert dagegen für die stärkere Berücksichtigung menschlichen Verhaltens zur Sicherung einer zielführenden Risikosteuerung.
Diese Forderung hat Eingang in die Richtlinien zur Gestaltung der Risikokultur in Banken zur Stärkung der qualitativen Bankenregulierung gefunden. So nennt das Financial Stability Board (FSB 2014) vier Pfeiler zur Steuerung einer soliden Risikokultur. Hierzu gehören
die Leitungskultur (tone from the top),
die Verantwortlichkeit der Mitarbeiter (accountability),
eine zielführende Anreizsetzung (incentives) sowie
eine offene Kommunikation und ein kritischer Dialog (effective communication and challenge).
Diese qualitativen Faktoren der Risikosteuerung ergänzen die klassischen, mathematischen Instrumente. Die hier aufgezeigte Entwicklung ist auch für andere Unternehmen wegweisend. Entsprechend sollten Controller aus anderen Branchen sich mit dieser Entwicklung ebenfalls vertraut machen. Die Empfehlungen des FSBs vom April 2014 bieten hierzu wichtige und strukturierte Ansatzpunkte.
Richtig führen, aber wohin?
Eine Grundvoraussetzung dafür, dass in Unternehmen der gewünschten Risikokultur gefolgt wird, ist deren Vorleben durch das Top-Management (vergleiche FSB 2014, S. 6). Menschen orientieren ihr Handeln grundsätzlich an Vorbildern, sie folgen dem Prinzip des sozialen Lernens (Bandura 1977, 1986). Daher stellt das Auseinanderfallen zwischen dem, was Top-Manager im Hinblick auf die Risikokultur kommunizieren, und dem, was sie dann tatsächlich tun, auch unabhängig von jeglichen Anreizsystemen ein großes Hindernis für die Etablierung einer adäquaten Risikokultur dar. Entsprechend müssen zunächst einmal diese obersten Entscheider ein gemeinsames Verständnis entwickeln, was für sie eine adäquate Risikokultur ist, und die Bereitschaft zeigen, diese dann auch vorzuleben. Bei der Erarbeitung eines solchen Verständnisses kommt dem Controlling eine unterstützende Funktion zu, da es als klassischer Informationslieferant die relevanten Informationen über interne und externe Risikopotenziale und die betriebliche Risikotragfähigkeit zusammentragen kann.
Zudem sollte die oberste Führungsriege einen gesunden Skeptizismus ihrer Mitarbeiter zulassen und fördern sowie Raum für kritische Nachfragen und alternative Sichtweisen eröffnen (vergleiche FSB 2014, S. 6). Auch sollten sie Mechanismen etablieren, die das Lernen aus vergangenen Erfahrungen unterstützen, was auch eine gewisse Fehlertoleranz umfasst (vergleiche FSB 2014, S. 7). Hierzu gehört die kontinuierliche Reflexion über Verbesserungsmöglichkeiten. Dem Controller kommt an dieser Stelle eine besondere Funktion als kritischer Counterpart zu, da er die vorgelebten Handlungsweisen hinterfragen sollte. Zudem kann er im Zuge des Berichtswesens Richtlinien zur Verfügung stellen, die ein einheitliches Verständnis über die gewünschte Risikokultur kommunizieren, und überprüfen, ob diese verstanden und umgesetzt werden.
Somit ist festzuhalten: Eine adäquate Risikokultur wird nur dann von den Mitarbeitern aufgenommen und umgesetzt werden, wenn die obersten Entscheidungsträger diese selbst verinnerlicht haben und sie aktiv vorleben. Das Controlling kann durch Informationsbereitstellung und kritisches Hinterfragen diesen Prozess unterstützen.
Richtig verantworten, aber wie umfassend?
Um eine adäquate Risikokultur breit in der Organisation zu verankern, sollten Mitarbeiter für ihr Handeln verantwortlich zeichnen und sich über die Konsequenzen bewusst sein, die ein Verstoß gegen die betriebliche Risikokultur mit sich bringt (vergleiche FSB 2014, S. 8). Diese Forderung ist nicht unkritisch, da Entscheidungen nicht immer von Einzelpersonen getroffen werden und die Konsequenzen vieler Handlungen nicht immer klar abschätzbar sind. Damit verstößt diese Forderung gegen das Prinzip der Controllability, das heißt, Entscheider sollten nur für Ergebnisse ihrer Handlungen verantwortlich zeichnen, die sie auch tatsächlich beeinflussen können, da es andernfalls zur Demotivation und Frustration kommen kann (vergleiche Kunz/Linder 2015, S. 45 f.). Neuere Erkenntnisse zu diesem Prinzip zeigen aber auch, dass Unternehmen es nicht durchgängig befolgen und dies sinnvolle Gründe hat (vergleiche Kunz/Linder 2015, S. 46 ff.). Entsprechend liegt es am Controller, hier einen Ausgleich zu finden, der einerseits die motivationalen Aspekte des Controllability-Prinzips berücksichtigt und andererseits die Bedeutung der grundsätzlichen Verantwortlichkeit zur Aufrechterhaltung eines adäquaten Risikoverhaltens beachtet.
Damit Mitarbeiter ihrer Verantwortlichkeit nachkommen können, bedarf es aber auch Informationssysteme, die eine schnelle Weiterleitung von aufkommenden Risiken unterstützen (vergleiche FSB 2014, S. 8). Mitarbeiter müssen die Möglichkeit haben, aus ihrer Sicht kritische Aspekte im Zusammenhang mit Risiken anzusprechen und an die richtigen Stellen kommunizieren zu können. Diese Verantwortlichkeit jedes Einzelnen muss klar kommuniziert und überprüft werden, was eine weitere wichtige Aufgabe für das Controlling als Informationslieferant, aber auch kritischen Counterpart darstellt. Die Etablierung der genannten Systeme liegt wiederum im Kernbereich des Controllings.
Zu berücksichtigen ist, dass die Etablierung einer positiven Fehlerkultur einerseits und das hier betonte strenge Ahnden von Fehlverhalten andererseits in einem gewissen Spannungsverhältnis stehen. Wenn Mitarbeiter bei Fehlern harte Konsequenzen befürchten, werden sie nicht bereit sein, zu diesen zu stehen, und damit die gewünschten Lernprozesse blockieren. Entsprechend liegt es am Controlling als einer zentralen Kontrollinstanz, ein gesundes Augenmaß im Umgang mit solchen Fehlern und dem Festlegen der Konsequenzen zu finden.
Insgesamt kann hieraus Folgendes abgeleitet werden: Eine adäquate Risikokultur kann nur nachhaltig etabliert werden, wenn alle Mitarbeiter für ihr Handeln verantwortlich zeichnen und bei Fehlverhalten auch die Konsequenzen tragen müssen, hierbei aber die Verhältnismäßigkeit und Kontrollierbarkeit bestimmter Ergebnisse berücksichtigt werden. Controller agieren in diesem Bereich als Informations- und Systemlieferanten sowie als Kontrollinstitution, aber auch als ausgleichende Instanz, die dazu beiträgt, dass die Regeln angemessen sind.
Richtig anreizen, aber womit?
Nicht erst im Zuge der letzten Finanzmarktkrise gerieten gerade kurzfristige Anreizsysteme verstärkt in die Kritik, weil sie zu exzessivem Risikoverhalten verleiteten, das kurzfristig hohe Renditen versprach. Durch die Institutsvergütungsverordnung wird eine solche Anreizsetzung mittlerweile in Banken stark reguliert. Andere Unternehmen sind bei der Vergütungsgestaltung noch weniger eingeschränkt, aber auch hier findet ein Umdenken hin zu langfristigeren Vergütungssystemen statt.
Darüber hinaus verweist das FSB (2014) aber auch auf die Bedeutung eines geeigneten Nachfolge-Managements. Führungspositionen sollen mit Führungskräften besetzt werden, die Erfahrung im Abschätzen und im Umgang mit Risiken gesammelt haben. Hierzu gehört die Rotation von Personal zwischen Kontrollinstanzen und Geschäftsfeldern. Auch sollten Weiterbildungsmöglichkeiten gegeben werden, damit alle Mitarbeiter sich im Hinblick auf das Risiko-Management weiterentwickeln können. Diese Sichtweise bedeutet eine klare Abwendung von der in der klassischen Literatur zur Anreizsetzung vorherrschenden Fokussierung auf optimale monetäre Anreize. So betont das FSB (2014) die Bedeutung intrinsisch motivierter Handlungsweisen: Mitarbeitern sollten nicht nur Anreize gesetzt werden, adäquat mit Risiken umzugehen. Sie müssen vielmehr dazu befähigt werden, dies tun zu können. Dadurch können sie eine passende handlungsleitende Einstellung entwickeln, die sie dazu veranlassen sollte, von sich aus adäquat mit Risiken umzugehen.
Diese Erweiterung des Blickwinkels liefert auch für das Controlling in anderen Branchen wichtige Ansatzpunkte: Um die Implementierung einer effektiven Risikokultur zu unterstützen, sollte die Anreizsetzung breiter gedacht werden und sich der Fokus weg von den rein monetären Anreizen hin zum gezielten Wissensaufbau und dem Einsatz von Mitarbeitern verschieben, die grundsätzlich bereit und fähig sind, dem vom Unternehmen gewünschten Risikoprofil zu folgen. Dies betrifft auch die Controller selbst, die als kritischer Counterpart die Einhaltung der gewünschten Risikokultur überwachen müssen.
Richtig kommunizieren, aber wie?
Damit eine adäquate Risikokultur in Unternehmen tatsächlich ihre Wirkung entfalten kann, bedarf es einer offenen Kommunikation und eines kritischen Dialogs entlang sämtlicher hierarchischer Ebenen (vergleiche FSB 2014, S. 9). Die Umsetzung dieser Forderung ist für Unternehmen besonders herausfordernd. Damit eine solche Kommunikationskultur tatsächlich gelebt wird, müssen sowohl die Mitarbeiter- als auch die Führungsperspektive berücksichtigt werden (vergleiche Kunz/Heineke 2020, S. 24): Zum einen müssen Mitarbeiter grundsätzlich motiviert sein, sich zu äußern, sich dies dann auch trauen und eine Möglichkeit haben, es auch zu tun. Zum anderen sollten Führungskräfte solche Äußerungen zunächst einmal tatsächlich wahrnehmen und sie dann nicht als persönlichen Angriff werten, sondern entsprechende Maßnahmen einleiten. Diese Anforderungen zeigen, dass anders als die anderen drei Bereiche eine offene Kommunikation und ein kritischer Dialog nicht über klare Richtlinien gesteuert werden können. Es betrifft das Führungsverhalten an sich und die generelle Kommunikationskultur.
Auch das Controlling muss sich über seinen Anteil an diesen Kommunikationsprozessen bewusst sein. So werden Controller einerseits nicht selten immer noch als reine Kontrollinstanz wahrgenommen, mit der über mögliche Hintergründe von negativen Entwicklungen und Regelverstößen nicht gesprochen wird. Aber gerade das Verständnis dieser Hintergründe kann Wege zur Verbesserung eröffnen. Andererseits sind Controller als Business Partner durchaus in der Position, Probleme konkret anzusprechen und als kritischer Counterpart zu agieren.
Insgesamt folgt hieraus: Um eine adäquate Risikokultur im gesamten Unternehmen zu verankern, bedarf es eines partizipativen und kooperativen Führungsstils, der eine Vertrauensbasis schafft und durch einen wertschätzenden Umgang geprägt ist. Als Business Partner fällt es in den Aufgabenbereich des Controllers, eine solche offene Kommunikation auch selbst vorzuleben und als kritischer Counterpart aktiv zu werden.
Schlussbetrachtung
Die Etablierung einer adäquaten Risikokultur fällt nicht nur auch, sondern gerade in den Aufgabenbereich von Controllern. Sie müssen hierbei sowohl in ihrer klassischen Rolle als auch in deren Weiterentwicklung agieren.
Die Risikokultur ist dabei nicht nur einfach als ein weiteres Instrument neben den bekannten Methoden der quantitativen Risikosteuerung zu verstehen. Sie ist vielmehr ein übergreifendes Konzept, in das die bestehenden Instrumente der quantitativen Risikosteuerung eingebettet werden müssen, andernfalls wird sie keine Wirkung entfalten können. Eine solche Einbettung ist nur möglich, wenn auch die Risikokultur wiederum einer gewissen Messbarkeit zugänglich gemacht wird. Entsprechend sind Controller in ihrer Rolle als klassische Zahlenlieferanten dafür zuständig, Informationen zu liefern, die zur Erarbeitung einer adäquaten Risikokultur benötigt werden. Insbesondere bedarf es zunächst eines Überblicks, welche Risiken in welcher Form eingegangen werden können und welche zu vermeiden sind. Ohne eine fundierte Abschätzung der Risikotragfähigkeit ist die Angemessenheit einer Risikokultur nicht bewertbar.
Darüber hinaus wird aber auch die Bedeutung weicher Faktoren wie einer offenen Kommunikationskultur deutlich. Die Etablierung von Strukturen, die eine solche Kommunikation erlauben, fällt wiederum in den Kompetenzbereich des Controllers als Business Partner. Mit der Hinwendung zu einer solchen qualitativen Risikosteuerung, in der eine adäquate Risikokultur bewusst etabliert wird, gewinnt somit gerade diese Rolle an Bedeutung.
Literatur
Bandura, A. (1977): Social learning theory, Englewood Cliffs.
Bandura, A. (1986): Social foundations of thought and action: a social cognitive theory, Englewood Cliffs.
BCBS - Basel Committee on Banking Supervision (2015): Guidelines - Corporate governance principles for banks. Überarbeitete Fassung vom 08. Juli 2015.
FCIC - Financial Crisis Inquiry Commission (2011): The financial crisis inquiry report: Final report of the National Commission on the causes of the financial and economic crisis in the United States, New York.
FSB - Financial Stability Board (2014): Guidance on supervisory interaction with financial institutions on risk culture: a framework for assessing risk culture, www.fsb.org/2014/04/140407/ (letzter Abruf: 18.12.2020).
Kunz, J./Heineke, C. (2020): Risikokultur - Das Unmessbare messbar machen?, in: Frankfurter Institut für Risikomanagement und Regulierung Jahrbuch 2020, Frankfurt am Main, S. 24-25.
Kunz, J./Linder, S. (2015): Controllability sinnvoll einsetzen, in: Controlling & Management Review, 59 (4), S. 44-50.
www.springerprofessional.de/link/6050484
Power, M. (2009): The risk management of nothing, in: Accounting, Organisations and Society, 34 (6-7), S. 849-855.
Zusammenfassung.
Seit der letzten Finanzkrise 2007/2008 ist die Etablierung einer adäquaten Risikokultur in den Fokus von Regulierung und Unternehmen gerückt.
Gemäß Financial Stability Board (2014) spielen im Bankenbereich hierbei insbesondere die Führungskultur, passende Anreizsysteme, die Benennung von Verantwortlichkeiten und die Umsetzung einer offenen Kommunikationskultur eine wichtige Rolle.
Die Beachtung dieser Aspekte bietet auch für Unternehmen anderer Branchen wichtige Ansatzpunkte, die den Controller sowohl als klassischen Zahlenlieferanten als auch als Business Partner fordern.
Handlungsempfehlungen.
Entwickeln Sie eine umfassende Sicht auf Anreize, um die intrinsische Motivation der Mitarbeiter im Umgang mit Risiken zu fördern.
Tragen Sie zu einer offenen Kommunikationskultur bei, indem Sie bestehende Prozesse kritisch betrachten und Kritik von anderen zulassen.
Lehnen Sie das Konzept der Risikokultur nicht wegen seines qualitativen Charakters ab, sondern überführen Sie es in eine messbare und steuerbare Größe.
Prof. Dr. Jennifer Kunz
ist Inhaberin des Lehrstuhls für Betriebswirtschaftslehre mit Schwerpunkt Controlling an der Universität Augsburg. E-Mail: jennifer.kunz@wiwi.uni-augsburg.de