Anderthalb Jahre nach In-Kraft-Treten des StaRUG ist das Bundesministerium der Justiz der in § 101 StaRUG konstituierten Pflicht nachgekommen und hat „von öffentlichen Stellen bereitgestellte Instrumentarien zur frühzeitigen Identifizierung von Krisen“ tatsächlich auf seiner Internet-Seite zur Verfügung gestellt (Link s. unten). Die auf der Seite aufgelisteten Tools dürften für die mittelständische Beratungspraxis auf Grund ihrer Allgemeinheit allerdings nicht wirklich zielführend sein. Im Nachgang zu vorherigen Betrachtungen (hier und hier, vertiefend hier) sollen deswegen nachfolgend einige Aspekte der tatsächlichen Ausgestaltung eines Risikofrüherkennungssystems in mittelständischen Unternehmen dargestellt werden.
Die Regelung des § 1 StaRUG schreibt seit 2021 vor, dass Geschäftsleiter „fortlaufend über Entwicklungen, welche den Fortbestand der juristischen Person gefährden können“ zu wachen haben. Diese Pflicht ist – z.B. im Gegensatz zu § 91 Abs. 2 AktG – grundsätzlich rechtsform- und größenunabhänig ausgestaltet, trifft also alle in Deutschland tätigen Unternehmen. Zahlreiche aktuelle Fälle – gerade auch im Bankenbereich (s. allgemein dazu zuletzt hier und zum gescheiterten Risikomanagement bei der Credit Suisse hier) – verdeutlichen die Erforderlichkeit einer möglichst frühzeitigen Identifikation von Risiken.
Wie aber soll gerade der mittelständische Unternehmer nun konkret vorgehen? Zwar existiert mit dem IDW PS 340 für die Prüfung eines existierenden Risikomanagementsystems in einer Aktiengesellschaft nach § 317 Abs. 4 HGB ein konkreter Standard. Dieser wie auch andere Standards sind jedoch für die meisten mittelständischen Unternehmen viel zu umfangreich und damit nur in den Grundannahmen überhaupt anwendbar. Für die Praxis des mittelständischen Unternehmens dürfte der erste, wichtigste, Schritt viel mehr in der Identifikation konkreter Risiken für den eigenen Unternehmenserfolg bestehen, wobei zwischen (hier zunächst nicht weiter beleuchteten) unternehmensinternen und hier vorrangig beleuchteten externen Risiken zu unterscheiden ist. Dazu sollte die eigene Geschäftsplanung (bzw. zumindest die SWOT-Analyse) mit den (Risiko-) Prognosen unabhängig voneinander agierender Institutionen abgeglichen werden, um möglichst früh bereits „schwache“ (externe) Krisensignale erkennen zu können. Die „Lehre“ von derartigen „schwachen Signalen“ wurde von Harry Igor Ansoff nach den Erfahrungen der Ölkrise in den 70er Jahren des vorigen Jahrhunderts begründet (s. dazu und zu weiteren Zukunftsforschern hier). In der heutigen „VUCA“-Welt mit seinen teils drastischen Kehrtwendungen ist die Antizipierung von Risiken (und Chancen) für Unternehmen überlebenswichtig. Seit Jahren steigt die Zahl entsprechender institutionalisierter Risikoprognosen an (s. nur hier für die „Risk Map“ von Control Risks oder die „Top Risks 2023“ von der Eurasia Group, um nur zwei zu nennen). Aus diesen und anderen Prognosen lässt sich ein vorläufige Liste von Risiken erstellen, die den Unternehmenserfolg konkret gefährden können. Wichtige Stichwörter dafür sind aktuell natürlich (nach wie vor) Lieferketten, Währungs-, Zins- und Inflationsrisiken oder die Entwicklung der Energiepreise. Bei der Identifikation und Abschätzung der grundsätzlich erkannten Risiken kann in der Folge z.B. das „Futures Wheel“ helfen (s. dazu die unten angegebene Fundstelle der Bundesakademie für Sicherheitspolitik (BAKS).
Sind die Top-Risiken identifiziert und in Bezug auf den Unternehmenserfolg „gerankt“, müssen diese Risiken „operationalisiert“, sprich mit einem konkreten auf das Unternehmen bezogenen Wert (oder besser einer Spannbreite) versehen werden. In Bezug auf die Energiepreise ist z.B. zu fragen, wie sich eine Erhöhung (oder Verringerung) des Preises um einen konkreten – zu begründenden – Prozentsatz auf den Unternehmenserfolg auswirken würde. Oder, wie sich z.B. der (partielle) Ausfall der unternehmenseigenen IT auf den Erfolg des Unternehmens – und daraus resultierende Ausfälle in Produktion oder Auslieferung von einem, zehn oder 100 Tagen – auswirken könnte. Die entsprechend berechneten Werte müssen zurück in die Unternehmensplanung fließen – werden also im Zweifel die SWOT-Analyse konkretisieren. „Grundsätzlich reicht dazu eine Excel-Liste“, wie schon das Creditreform-Magazin 4/2021, S. 27, nüchtern konstatiert. Daneben existieren zudem kostenfreie Online-Tools zur Unterstützung des mittelständischen Risikomanagements, etwa der „Risikosimulator“ (hier).
Wurden die Risiken in die Unternehmensplanung integriert, sollte die Überwachung der Planerfüllung auch eine Überwachung der identifizierten, wie auch erst im Laufe des Geschäftsjahres erkannten, Risiken beinhalten. Gegebenenfalls ist die Risikobewertung – und darauf beruhend die Unternehmensplanung – anzupassen. Unabhängig davon muss dieser Prozess der Risikoabschätzung und – aggregation spätestens zum neuen Geschäftsjahr wiederholt werden. Dann können und sollten auch die Lehren aus dem jeweils vorherigen Planungszyklus gezogen werden. Im Laufe der Zeit entwickelt sich so aus den ersten Schritten zunächst ein Risikofrüherkennungssystem, dem dann ein -management folgen muss. Aber das ist ein anderer Artikel.
Fazit: Nicht nur vor dem Hintergrund der derzeit noch abstrakten Haftungsrisiken im Falle eines fehlenden Risikofrüherkennungssystems sollte sich der mittelständische Unternehmer spätestens vor dem Hintergrund der Erfahrungen mit Corona oder dem Krieg in der Ukraine spätestens jetzt konkret mit den sein Unternehmen möglicherweise betreffenden Risiken auseinandersetzen. Die Einhaltung der vom BMJ veröffentlichten Checklisten zur Risikofrüherkennung dürfte dabei den Mindestmaßstab bilden, der nach § 1 StaRUG zu beachten ist, bei Einhaltung allerdings auch haftungsvermeidend wirken. Wie gezeigt, sind die veröffentlichten Checklisten zu generisch, so dass die Geschäftsleitung sich weitere eigene Gedanken über die für eine tatsächliche Erkennung „schwacher Krisensignale“ erforderlichen Prozesse machen sollte.
Allgemein gilt aber auch in diesem Bereich die Regel, „einfach mal anfangen“, sprich pragmatisch an Hand einschlägiger Foren Risiken möglichst systematisch aufzuspüren und daraus sukzessive eine „Risiko-Landkarte“ zu entwickeln. Als „Bonus“ könnte am Ende des Prozesses sogar die Erkenntnis über neue Geschäftschancen stehen. Nicht umsonst sagt man, dass sich die chinesischen Schriftzeichen für „Krise“ und „Chance“ entsprechen.
BMJ: „Frühwarnsysteme (§ 101 StaRUG)“
BAKS: „Methoden zur Strategischen Vorausschau: Futures Wheel“