Geheimnisse und Mysterien des Risikomanagements

11.12.2025 – Warum die Riskmap mit „Risiko“ eigentlich nichts zu tun hat, wie Risikomanagement und Kontrolle zusammenpassen, was das lange Auflisten von zu managenden Objekten und unvorhersehbaren Ereignissen bringt – Versicherungsmathematiker Christoph Krischanitz setzt sich im folgenden Kommentar mit diesen Fragen auseinander und plädiert für „offensives Risikomanagement statt defensiver Blockade“.

Wissen Sie, was eine Riskmap ist? Das ist eine zweidimensionale Anordnung von Ereignissen:

• Die eine Achse (meistens die x-Achse, also die horizontale) gibt die Häufigkeit, Frequenz oder Wahrscheinlichkeit (auf die genaue Unterscheidung möchte ich hier nicht eingehen) dieses Ereignisses an.
• Die andere Achse (die y-Achse, also vertikal) beschreibt das Ausmaß dieses Ereignisses.

Damit sieht man auf einen Blick das Gefährdungspotenzial dieser Ereignisse. Je weiter weg vom Ursprung (da, wo sich die Achsen kreuzen), desto „gefährlicher“. Je weiter oben, desto gravierender die Auswirkung, und je weiter rechts, desto häufiger ist damit zu rechnen.

Was hat die Riskmap mit Risiko zu tun?

Ja, und das wird „Riskmap“ genannt. Seltsamerweise. Denn mit „Risiko“ hat das nichts zu tun. Und mit Risikomanagen schon gar nicht. Warum nicht, werden Sie jetzt fragen, als Risikomanager sind Sie jetzt vielleicht sogar erbost.

Nun, das Produkt von Häufigkeit und Ausmaß beschreibt in der Mathematik was? Ja genau, den Erwartungswert. Also das, von dem der Versicherungsmathematiker davon ausgeht, dass es als Best Estimate schon rückgestellt ist. So what?

Risiko ist doch ganz was anderes. Nämlich zum Beispiel mit der Einschätzung von Häufigkeit und Ausmaß völlig danebenzuliegen. Oder in der „Riskmap“ gar nicht aufzuscheinen.

Risikoinventur

Dafür hat die Beratungswelt einen einfachen Trick erfunden. Wir nennen es „Risikoinventur“. Wir laufen durch das Unternehmen und schreiben alles auf, was uns als „Risiko“ genannt wird. Eine Liste mit 473 Risiken. Oder mehr.

Ich habe Unternehmen erlebt, die haben nach 178 Risiken aufhören müssen, weil Ihnen das Budget für die „Berater“ ausgegangen ist. Dabei hatten Sie die wesentlichen Bereiche noch gar nicht erfasst.

Eines sollte sofort klar sein. Mit dem Management von Risiken hat das nichts zu tun.

Lange Listen – mit welcher Wirkung?

Der Autor: Versicherungsmathematiker
Christoph Krischanitz (Bild: Krischanitz)

Es ist der übliche Beratungsansatz, der so im Prozessmanagement gemacht wird, im Nachhaltigkeitsmanagement, und was weiß ich noch wo.

Man erstellt zuerst eine elendslange Liste von zu managenden Objekten (ob Prozesse, ob Risiken, whatever), trägt die dann in eine Datenbank ein (die immer wieder dieselbe ist, aber mit neuem Mascherl versehen neu verkauft werden kann), hängt ein Dashboard dran und fertig ist das Nachhaltigkeitsmanagement, das Prozessmanagement, das IKS oder das Risikomanagement.

Es ist immer dasselbe. Wirkung? Naja …

Es ist halt ein prüfbarer Ansatz. Man bekommt Transparenz ins System. Man kann einen fancy Bericht erstellen und der Vorstand kann sich in der Vorstandssitzung 20 Minuten lang darüber unterhalten. Anhand von dokumentierten Unterlagen. Aufgabe erledigt, Hakerl dran, wir sind compliant!

Das, was heute als „Risikomanagement“ gilt, wurde von Prüfern entwickelt und passt auch gut in deren Welt. Kommt ja aus dem COSO-Ansatz, also aus der IKS-Ecke, wo es um Kontrollen geht. Für die Prüfung braucht man immer Referenzobjekte, und Checklisten sind da ein taugliches Instrument.

Kontrolle vs. Risikomanagement

Aber passen Risikomanagement und Kontrolle grundsätzlich zusammen?

Sind Kontrollen nicht wieder eher dort angebracht, wo es um Erwartungen geht? Und eben nicht um das Risiko?

Was waren denn die wesentlichen Risikoereignisse der letzten Jahre? Terroranschlag auf das World-Trade-Center 2001, Hochwasser 2002 und 2021 bzw. 2024, Finanzkrise 2008, Corona 2020, Russland-Angriff 2022. Mit den dazugehörigen Negativzinsen und Inflationsentwicklungen.

Welches dieser Ereignisse stand davor auf dieser ominösen Riskmap? Keines! Welches Unternehmen war darauf vorbereitet? Keines! Klar, mittlerweile wurden diese Themen alle in die Liste aufgenommen. Jetzt wissen wir nämlich davon. Jetzt haben wir auch schon eine Erwartungshaltung. Aber jetzt sind wir nicht mehr im Risikomanagement, sondern jetzt sind wir in der Kontrolle.

Ungenügendes Auflisten von Unvorhersehbarem

Hören wir doch auf mit dieser zeitaufwändigen und immer ungenügenden Auflistung von Ereignissen, die wir eh nicht vorhersehen können.

Beschäftigen wir uns lieber mit dem Unternehmen, das wir resilient machen wollen. Dazu gehört Robustheit und Flexibilität gleichzeitig. Ein Unternehmen muss flexibel sein, um auf unvorhergesehene Ereignisse angemessen und rasch reagieren zu können. Und es muss robust sein, um Angriffe auf die Existenzgrundlage bis zu einem gewissen Grad aushalten zu können.

Aber dazu muss man wissen, was die Fundamente des eigenen Unternehmens sind. Dazu muss man als Risikomanager im Business agieren, bei Geschäftsentscheidungen mit Rat und Tat zur Seite stehen und selbst Möglichkeiten für das Unternehmen aktiv aufzeigen und gestalten.

Offensives Risikomanagement statt defensiver Blockade.

Das Unternehmen beweglich machen, profitables Geschäft ermöglichen

Im regulierten Bereich, der formal von Listen und Dokumentationen und Regeln dominiert wird, also ausschließlich Geld kostet, werden die oben genannten Berater weiterhin gut Geld verdienen, aber dort ist weitgehende Automatisierung angesagt.

Damit die Risikomanager das tun können, was ihre Berufsbezeichnung eigentlich beschreibt. (Zukünftige) Risiken zu managen!

Also das Unternehmen beweglich zu machen und nicht in Starre zu versetzen, profitables Geschäft zu ermöglichen, anstatt Kosten zu verursachen und neugierig und offen in die Zukunft zu schauen, anstatt im dunklen Kammerl die Erbsen der Vergangenheit zu zählen.

Christoph Krischanitz

Der Autor ist Versicherungsmathematiker (profi-aktuar.at) und verfügt über langjährige Erfahrung in der aktuariellen Beratung. Krischanitz war von 2004 bis 2019 Vorsitzender des Mathematisch-Statistischen Komitees im Versicherungsverband (VVO), von 2008 bis 2014 Präsident der Aktuarvereinigung Österreichs (AVÖ). Derzeit ist er unter anderem Chairman der Arbeitsgruppe Non-Life Insurance in der Actuarial Association of Europe (AAE).