Ganze Abteilungen internationaler Konzerne sind damit beschäftigt, künftige Entwicklungen einzuschätzen, die das Unternehmen daran hindern könnten, seine wirtschaftlichen Ziele zu erreichen. Doch was machen kleinere und mittlere Unternehmen (KMU)? Zu wenig – das ist jedenfalls das Ergebnis einer Erhebung der Fachhochschule Dortmund unter 521 KMU. «Das Risikobewusstsein von KMU ist von Fehleinschätzungen der Wirkung vieler Risiken geprägt, obwohl die KMU keine übertriebene Risikofreude zeigen», so das Fazit der Studie.
Oft keine Ressourcen
Hackerangriff, Stromausfall oder Personalmangel – es gibt viele Risiken, die ein KMU treffen können. Diese Risiken sollten erfasst und analysiert werden, um daraus entsprechende Massnahmen abzuleiten. Viele Firmen haben aber oft keine Ressourcen, um sich im Detail damit auseinanderzusetzen. Doch es gibt eine pragmatische Methode, die an der ETH Zürich entwickelt wurde:
- Skizzieren einer Risikomatrix: Geschäftsleitung und Mitarbeitende aus allen Bereichen listen alle internen und externen Risiken auf, analysieren und bewerten deren Ausmass und Eintrittswahrscheinlichkeit in einer Matrix.
- Analyse der Ursachen: Die Teilnehmenden suchen nach den Hauptursachen der internen Toprisiken, indem sie für jedes Risiko die Ursachen auflisten und priorisieren. Für externe Risiken suchen sie nach Indikatoren, die frühzeitig vor Veränderung warnen.
- Geeignete Massnahmen suchen: Die Hauptursachen werden nun analysiert, und es wird eine Liste geeigneter Massnahmen erstellt, welche die Ursachen bekämpfen. Die Erkenntnisse werden in einem Massnahmenplan pro Ursache zusammengefasst.
- Umsetzung definieren: Die so definierten Massnahmen werden den Personen im Unternehmen zugewiesen, in deren Verantwortungsbereich die Risiken liegen und die sie regelmässig überprüfen.
Pflichten sind unabhängig von der Grösse
Die Geschäftsleitung eines KMU ist nicht dazu verpflichtet, eine solche Risikobeurteilung durchzuführen – der Verwaltungsrat jedoch schon. Der hat gemäss Art. 716a OR eine Prüfungs- und eine Handlungspflicht. Diese Pflichten sind unabhängig von der Grösse des Unternehmens und fordern, die Risiken des Unternehmens zu identifizieren, zu analysieren, zu bewerten und sie aktiv zu managen.
Ansonsten könnte eine strafrechtliche Klage drohen. Das OR lässt allerdings offen, wie die Organe ihren gesetzlichen Sorgfaltspflichten nachkommen müssen.