Risikokultur als Resilienztreiber Erfassung, Kommunikation und Prüfung Franziska Grieser, M.Sc., ist wissenschaftliche Mitarbeiterin am Lehrstuhl Controlling an der Universität Stuttgart. Andrea Kampmann, M.Sc., ist wissenschaftliche Mitarbeiterin am Lehrstuhl Controlling an der Universität Stuttgart. Prof. Dr. Burkhard Pedell ist Inhaber des Lehrstuhls Controlling an der Universität Stuttgart und Mitherausgeber der Zeitschrift Controlling. Er ist Senior Fellow am Risk Management and Decision Processes Center, The Wharton School, University of Pennsylvania. Für die bessere Erfassung von Risikokultur werden ihre konstituierenden Elemente identifiziert und aus diesen eine Definition und ein Risikokulturmodell abgeleitet. Auf dieser Basis werden die Operationalisierung, die Kommunikation und die Prüfung der Risikokultur analysiert, um die Potenziale der Risikokultur für Unternehmen besser auszuschöpfen. Franziska Grieser, Andrea Kampmann und Burkhard Pedell 1. Risikokultur und Risikokommunikation als Treiber der Resilienz von Unternehmen Risikokultur und Risikokommunikation sind zentrale Faktoren, die das Risikobewusstsein, die Risikowahrnehmung und den Umgang mit Risiken in Unternehmen und in der Konsequenz die Resilienz von Unternehmen maßgeblich beeinflussen. Resilienz ist dabei „(...) die Fähigkeit eines Unternehmens, auch mit unerwarteten und bestandsgefährdenden Ereignissen und Entwicklungen widerstandsfähig und konstruktiv umzugehen sowie aus den Erfahrungen daraus Kompetenzen aufzubauen, die das Unternehmen agiler und wettbewerbsfähiger machen“ (Pedell, 2014, S. 608, basierend auf Pedell/Seidenschwarz, 2011, S. 153). Angesichts von Entwicklungen der Risikolandschaft, die von einer Zunahme schwierig einzuschätzender und völlig unerwarteter Ereignisse und Entwicklungen sowie der Vernetzung von Risiken gekennzeichnet ist, gewinnt diese Fähigkeit an Bedeutung (vgl. Pedell, 2014, S. 608). Eine Studie des Lehrstuhls Controlling an der Universität Stuttgart in Kooperation mit dem Wharton Risk Management and Decision Processes Center und Seidenschwarz & Comp. zeigt, dass dafür eine risikoorientierte Führung und das Risikobewusstsein entscheidender sind als einzelne Risikomanagementtechniken (vgl. Pedell, 2014, S. 613). Vor diesem Hintergrund steigt auch die Bedeutung von Risikokultur und Risikokommunikation als „weiche Resilienzfaktoren“, die stark auf das Risikobewusstsein und den Umgang mit Risiken wirken. Diese zunehmende Bedeutung schlägt sich bislang allerdings noch nicht in einer entsprechend umfassenden Auseinandersetzung mit Risikokultur und Risikokommunikation in der Wissenschaft nieder. Dies beginnt bereits bei der Abgrenzung des Begriffs der Risikokultur, die recht uneinheitlich ist. Die Zielsetzung des vorliegenden Beitrags besteht vor diesem Hintergrund darin, die konzeptionelle Fundierung weiterzuentwickeln, um so letztlich den Zugang zu einem zielgerechteren Umgang mit Risikokultur und Risikokommunikation zu schaffen. Durch die Erfassung, Kommunikation und auch Prüfung der Risikokultur wird es möglich, die damit verbundenen Potenziale in größerem Umfang auszuschöpfen. Im folgenden Abschnitt wird die begriffliche Abgrenzung von Risikokultur geschärft und daraus werden die kennzeichnenden Elemente und Ansatzpunkte zur Operationalisierung von Risikokultur abgeleitet. Abschnitt 3 erläutert die Bedeutung von Risikokommunikation für die Risikokultur eines Unternehmens und Abschnitt 4 zeigt Ansätze zur Prüfung von Risikokultur auf. Abschnitt 5 schließt den Beitrag mit einem Fazit. 2. Erfassung von Risikokultur Voraussetzung für die Erfassung von Risikokultur und darauf aufbauend für ihre mögliche Gestaltung ist eine umfassende und trennscharfe Definition (vgl. Fritz-Morgenthal et al., 2016, S. 72). Es gibt zwar bereits verschiedene Ansätze zur Definition von Risikokultur, diese sind jedoch teilweise branchenspezifisch und umfassen auch Wirkungsbeziehungen von Risikokultur mit dem betrieblichen Steuerungssystem. Diese Ansätze liefern damit keine generische Definition, die als Fundament für die Erfassung und Gestaltung von Risikokultur vollumfänglich geeignet wäre. Das Gebiet der Unternehmenskultur ist in der Literatur bereits vergleichsweise weit entwickelt, weshalb es ein sinnvoller Weg ist, die Definition 4 CONTROLLING – ZEITSCHRIFT FÜR ERFOLGSORIENTIERTE UNTERNEHMENSSTEUERUNG Zentrale Aussagen Leadership, Motivation, Organization, Risk Competence und Risk Framework sind die konstituierenden Elemente von Risikokultur. Diese Elemente bilden die Ebene der Grundannahmen eines Risikokulturmodells, in dem die dazugehörigen Sub-Elemente die Ebene der unterstützenden Werte und die Ebene der Artefakte bilden. Das Risikokulturmodell schafft die Basis für eine umfassende Erfassung und Operationalisierung, eine zielgerichtete Kommunikation und eine systematische Prüfung von Risikokultur. von Risikokultur aus den vorhandenen Arbeiten zur Unternehmenskultur abzuleiten, zumal da Risikokultur oft als Teil der Unternehmenskultur eingeordnet wird (vgl. bspw. Cooper et al., 2013). Unternehmenskultur nach Edgar Schein und Verbindung zur Risikokultur Das Themengebiet der Unternehmenskultur wurde insbesondere durch die Forschungsarbeiten von Geert Hofstede und Edgar Schein geprägt. Hofstede definiert Unternehmenskultur als „die kollektive Programmierung des Geistes, die die Mitglieder einer Organisation von einer anderen unterscheidet“ (Hofstede/Hofstede, 2011, S. 369), wohingegen die Definition von Schein „Culture is a pattern of basic assumptions that the group learned as it solved its problems of external adaption and internal integration that has worked well enough to be considered valid and therefore to be taught to new members as the correct way to perceive, think, and feel in relation to those problems“ (Schein, 2010, S. 18) konkreter formuliert ist. Schein geht von einer stärkeren Gestaltbarkeit von Unternehmenskultur aus und betont in seiner Definition das organisationale Lernen, welches dafür sorgt, dass Kultur weitervermittelt wird und erhalten bleibt (vgl. Schein, 2010, S. 18 ff.). Die Entstehung der Kultur führt Schein auf Ansätze zur Lösung von Problemen zurück, die funktioniert haben und welche von einer Führungskraft oder dem Unternehmensgründer initiiert wurden. Daraus ergibt sich eine Verbindung zu den Risiken, mit denen ein Unternehmen konfrontiert ist. Kultur determiniert die für die Erreichung der Unternehmensziele bevorzugte Art der Organisationsmitglieder, Probleme wahrzunehmen, zu strukturieren und zu entscheiden. Dies lässt sich auf die Risikoebene übertragen. Kultur kann durch die Organisationsmitglieder geändert werden und gewünschte Verhaltensweisen können dadurch forciert werden (vgl. Cooper et al., 2013, S. 63 ff.). Folglich scheint eine Übertragung von Scheins Definition auf die Risikokultur zielführend, da diese neutral verfasst ist und keine branchenbezogenen Spezifizierungen und Wirkungen enthält. Cooper et al. (2013, S. 65) wählen genau diesen Weg und definieren Risikokultur wie folgt: „Risk Culture is a pattern of basic assumptions that the group learned as it identified, evaluated and managed its internal and external risks that have worked well enough to be considered valid, and therefore to be taught to new members as the correct way to perceive, think, and feel in relation to those risks.” Definition von Risikokultur Cooper et al. räumen jedoch selbst ein, dass ihre Definition noch verbesserungsfähig ist – „still not a perfect definition“ (Cooper et al., 2013, S. 65). Um zu einer umfassenden und trennscharfen Definition zu gelangen, wird daher auch die vorhandene Literatur zur Abgrenzung von Risikokultur herangezogen. Dabei zeigt sich, dass sich insbesondere Unternehmensberatungen mit dem Thema auseinandergesetzt und Elemente sowie Sub-Elemente von Risikokultur herausgearbeitet haben. Einen Überblick der jeweiligen Elemente und Sub-Elemente, anhand derer Risikokultur erfasst werden kann, gibt Abb. 1. Eine Analyse der Risikokulturmodelle verschiedener Unternehmensberatungen, die von Power et al. im Rahmen ihrer Studie zu Risikokultur in Finanzinstitutionen durchgeführt wurde, weist ähnliche Ergebnisse auf (vgl. Power et al., 2013, S. 94). Risikokultur basiert auf den fünf Elementen Leadership, Motivation, Organization, Risk Competence und Risk Framework. Der Vergleich der Risikokulturmodelle zeigt, dass teilweise Überschneidungen und eine weitgehend einheitliche Begriffsverwendung vorliegen. Jedoch unterscheiden sich die Frameworks in der Einordnung der Begriffe als Elemente oder Sub-Elemente. Leadership wird beispielweise bei EY und PwC als Element angesehen, wohingegen es im Ansatz von Deloitte als Sub-Element eingeordnet ist. Die Elemente Risk Framework, welches das risikobezogene Rahmenkonzept des Unternehmens abbildet und Risk Competence, welche sich auf die Kompetenz und den organisationalen Lernprozess im Umgang mit Risiken bezieht, werden in der Definition von Cooper et al. (2013) bereits abgedeckt. Die Elemente Leadership, Motivation und Organization werden darin jedoch nicht explizit adressiert. Daher wird die bestehende Definition von Cooper et al. (2013), welche aus Scheins Definition von Unternehmenskultur abgeleitet wurde, um diese Elemente erweitert, woraus sich die folgende Definition von Risikokultur ergibt, die auch alle fünf aus dem Literaturvergleich identifizierten Elemente abdeckt: „Risk culture is a pattern of basic assumptions that the organizational members learned as they identified, evaluated and managed, initiated by the organization’s leaders, their internal and external risks that have worked well enough to be considered valid and therefore to be taught to and to be motivating for existing and new members as the correct way to perceive, think, feel and perform in relation to current and future risks.“ Elemente und Sub-Elemente von Risikokultur Schein (2000, S. 18) entwickelte auch das sogenannte Drei-Ebenen-Modell, welches es einem Un- SCHWERPUNKT 29. JAHRGANG 2017 · 3/2017 5 Deloitte EY PwC McKinsey KPMG Result of synoptic analysis Relationships • Communication • Leadership • Management • Challenge Leadership • Tone from the Top • Risk Behaviour Standards Leadership and Strategy: Integrity and Ethical Values • Tone at the Top • Personal Ethical Practices Communicate Mission and Objectives • Policies and Procedures • Top-Down Alignment of Strategy Acknowledgement of Risks • Confidence • Challenge • Openness Belief and Commitment • Involvement • Role Modeling Leadership • Tone from the Top • Risk Behaviour Standards • Openness • Challenge Motivation • Performance Management • Risk Orientation • Incentives • Accountability Incentives • Rewards • Employee Life Cycle Accountability and Reinforcement: Assignment of Authority and Responsibility • Assignment of Ownership • Demonstrated Accountability Human Resource Policies and Practices and Performance Measurement • Performance Indicators • Incentives and Discipline Motivation • Rewards • Employee Life Cycle • Incentives • Accountability Organization • Risk Governance • Policies • Processes and Procedure • Values and Ethics • Strategy and Objectives • Communication Organization • Roles and Responsibilities • Risk Governance Information and Communication • Information Quality • Top-Down Communication • Communication across Processes Responsiveness to Risks • Level of Care • Speed of Response Respect for Risk • Cooperation • Adherence to Rules Action and Determination • Enforcement • Improvement Organization • Risk Governance • Policies • Processes and Procedure • Values and Ethics • Strategy and Objectives • Roles and Responsibilities • Cooperation • Assignment of Ownership • Communication Risk Competence • Knowledge • Skills • Learning • Recruitment • Induction People and Communication: Commitment to Competence • Employee Competence • Training Knowledge and Understanding • Clarity • Visibility Competencies and Context • Practicability • Openness Risk Competence • Knowledge • Skills • Training • Recruitment and Induction Risk Framework • Risk Appetite • Risk Transparency Risk Management and Infrastructure: Identify and Assess Risk • Risk Assessment Practices • Risk Tools and Processes Establish Processes and Controls • Process Reliability and Efficiency • Control Effectiveness and Efficiency • System Access and Security Transparency of Risks • Communication • Tolerance • Level of Insight Risk Framework • Risk Assessment Practices • Risk Tools and Processes • Process Reliability and Efficiency • Control Effectiveness and Efficiency • System Access and Security • Risk Appetite, Risk Orientation • Risk Transparency • Risk Communication Elements/ Sub- Elements Values and Ethics Risk Orientation Risk Appetite Tone from the Top Leadership Motivation Organization Level 3: Basic Assumptions Processes and Procedures Strategy and Objectives Risk Behavior Standards Risk Governance Employee Life Cycle Rewards Roles and Responsibilities Risk Tools and Processes Level 1: Artefacts Level 2: Espoused Values Practices Risk Assessment System Access and Security Training Recruitment and Induction Policies Assignment of Ownership Process Efficiency Risk Transparency Openness, Challenge Accountability Skills, Knowledge Risk Competence Risk Framework Abb. 1: Elemente und Sub-Elemente von Risikokultur im Vergleich (vgl. Deloitte, 2012; EY, 2014; PricewaterhouseCoopers, 2012; Levy et al., 2010;Wong/Ross, 2015) Abb. 2: Entwurf eines Risikokulturmodells entsprechend dem Drei-Ebenen-Modell der Unternehmenskultur nach Schein (2010) ternehmen möglich macht, seine Kultur zu erfassen. Unternehmenskultur lässt sich demnach anhand von drei Ebenen wahrnehmen und beschreiben. Das Modell bildet diese Ebenen und ihre Verbindungen ab. Die unterste Ebene bilden die sogenannten Grundannahmen. Darunter fallen grundlegende Orientierungs- und Verhaltensmuster der Organisationsmitglieder, die als selbstverständlich angesehen werden und im Unterbewusstsein ver- Die Elemente von Risikokultur lassen sich in einem Drei- Ebenen-Modell greifbar machen. ankert sind. Sie beeinflussen die Wahrnehmung und das Handeln von Menschen. Die aus den Grundannahmen abgeleiteten Werte und Normen finden sich auf der mittleren Ebene der „unterstützenden Werte“ wieder. Aufgrund der Grundannahmen entstehen Werte und Normen sowie Verhaltensstandards, Ziele und Ideologien. Die oberste Ebene bilden dieArtefakte. Auf dieser Ebene erlangen Verhaltensmuster einen sichtbaren und greifbaren Charakter. Artefakte manifestieren sich unter anderem in Prozessen, Strategien, Leitsätzen und Technologien. Sie sind leichter wahrnehmbar als die anderen beiden Ebenen, aber teilweise dennoch schwer zu entziffern. Übertragen auf die Risikokultur lassen sich die zuvor identifizierten Elemente und Sub-Elemente den verschiedenen Ebenen in Scheins Modell zuordnen, um so Risikokultur möglichst vollständig zu erfassen. Die Grundannahmen bilden die Elemente von Risikokultur, anhand derer die verschiedenen Sub-Elemente abgeleitet werden können. Die Sub-Elemente verteilen sich auf die anderen beiden Ebenen. Dabei werden den Artefakten entsprechend Schein (2010) jene Sub-Elemente zugeordnet, die objektiv erfassbar sind (vgl. Abb. 2). RISIKOKULTUR ALS RESILIENZTREIBER 6 CONTROLLING – ZEITSCHRIFT FÜR ERFOLGSORIENTIERTE UNTERNEHMENSSTEUERUNG the communication across all management levels is equal and clear the management is obeying the rules there are differences in the behavior of management and communication the atmosphere in the company is positive desired risk behavior is clear desired risk behavior standards are practiced within the company risk behavior standards are well communicated risk behavior standards and goals are aligned I feel free to talk about problems and risks I don't get punished for unreached goals I feel free to bring up new ideas there is access to expertise there is a request for constructive challenge of others ideas I feel free to challenge suggestions from leadership leadership forces constructive challenge throughout the company I am comfortable with the challenge mode in the company Leadership Tone from the Top Risk Behavior Standards Openness Challenge 60,6 62,6 64,3 55,2 56,1 56,4 59,2 60,7 50 52 54 56 58 60 62 64 66 2012 2013 2014 2015 30 35 40 45 50 55 60 65 70 2012 2013 2014 2015 Insurance Corporate Bank Retail Bank Conformity with Leadership’s Cultural Expectations (Divisions) 10 12 14 16 18 20 2012 2013 2014 2015 Risk Competence Motivation Risk Framework Leadership Organization Risk Competence: The collective risk management competence of the organization Motivation: The reasons why people manage risk the way that they do Organization: How the organizational environment is structured and what is valued Risk Framework: The basic risk-based assumptions and processes of a company Leadership: How leadership determines and influences risk culture Cultural Influencers (0-25) 30 40 50 60 70 80 2012 2013 2014 2015 Europe, Middle East and Asia Asia Pacific Latin America Organizational Risk Culture (0-100) Conformity with Leadership’s Cultural Expectations (Regions) Abb. 3: Erfassung von Leadership Abb. 4: Risikokultur-Bericht (in Anlehnung an Deloitte, 2012) Operationalisierung von Risikokultur Wie gezeigt, kann Risikokultur mithilfe der in Abb. 1 aufgeführten Elemente und Sub-Elemente erfasst werden, an denen folglich auch die Operationalisierung bspw. im Rahmen einer Befragung anknüpfen sollte. Um herauszufinden, wie bspw. Leadership im Unternehmen wahrgenommen wird, kann dieses Element mithilfe der in Abb. 3 gezeigten Items bzw. entsprechender Fragen, welche die jeweiligen Sub- Elemente beschreiben, operationalisiert werden. Durch eine Gewichtung der einzelnen Elemente, lässt sich dann ein Index für die gesamte Risikokultur bilden. Die Ergebnisse können mithilfe eines Risikokultur-Berichts dargestellt werden. Abb. 4 stellt beispielhaft dar, wie solch ein Bericht ausgestaltet werden kann. 3. Risikokommunikation als Bestandteil und Erfolgsfaktor der Risikokultur Risikokommunikation ist ein zentraler Bestandteil und Erfolgsfaktor der Risikokultur (vgl. EY, 2014, S. 1; PricewaterhouseCoopers, 2012, S. 1). So werden von mehreren der in Abschnitt 2 abgeleiteten Elemente und Sub-Elemente von Risikokultur explizit Kommunikationsaspekte adressiert (vgl. Abb. 2), die sich auf die Kommunikation von Risikokultur oder die Kommunikation einzelner Risiken beziehen: Zum Element Leadership gehört das Sub-Element Tone from the Top. Dieses berücksichtigt, wie und was die Führungskräfte kommunizieren, welche Leitbilder sie darstellen und wie gut Werte, Missionen, Ziele und Strategien im gesamten Unternehmen, ausgehend vom Top-Ma- SCHWERPUNKT 29. JAHRGANG 2017 · 3/2017 7 Merkmal Ausprägung Kommunikationsinhalt • Risikokultur bzw. einzelne ihrer Elemente, wobei es sich um den Ist-Zustand oder eine angestrebte Risikokultur handeln kann • Verwendung eines einheitlichen Risiko-Wortschatzes zur Reduzierung möglicher Differenzen zwischen Unternehmensführung und Mitarbeitern bei der Interpretation von Informationen zur Risikokultur (vgl. Deloitte, 2012, S. 4) Kommunikationsziel • Unternehmensführung und Mitarbeiter sollen ein übereinstimmendes Bild der (angestrebten) Risikokultur haben, sodass Mitarbeiter die angestrebte Risikokultur als Leitlinie für ihre Entscheidungen und Handlungen heranziehen. • Erkenntnisgewinne und Anpassungen der Risikokultur im Zeitablauf laufend in der Kommunikation berücksichtigen, um kontinuierlich auf ein einheitliches Risikokulturverständnis hinzuwirken • Vertrauensaufbau in die Unternehmensführung, damit Mitarbeiter auch in kritischen Situationen Risiken melden (vgl. Deloitte, 2012, S. 4 sowie Rohde- Liebenau, 2005, S. 17 ff.). Kommunikator • Zunächst die Unternehmensführung und nachgelagert alle weiteren Bereiche des Unternehmens, die an der Kommunikation der Risikokultur beteiligt sind • Wirkung der Kommunikation ist dabei von der Glaubwürdigkeit des Kommunikators abhängig. Kommunikanten • Gesamtes Unternehmen, einzelne Organisationseinheiten oder einzelne Personen Kommunikationskanal • Unterscheidung zwischen Massenkommunikation und persönlicher Kommunikation • Die dabei eingesetzten Kommunikationsinstrumente lassen sich nach formellen und informellen Instrumenten strukturieren. Abb. 5: Elemente der Kommunikation von Risikokultur nagement, kommuniziert werden (vgl. PricewaterhouseCoopers, 2012, S. 1). Die Ausprägung des Sub-Elements Tone from the Top ist unter anderem dadurch charakterisiert, ob es im Unternehmen klare Informationen darüber gibt, wie beispielsweise Risikoneigung und Risikotoleranz ausgestaltet sind (vgl. Levy et al., 2010, S. 10). Bei Tone from the Top geht es also in erster Linie um die Kommunikation von Risikokultur. Beim Element Organization wird explizit das Sub-Element Communication betrachtet. Dieses bezieht sich darauf, wie die Kommunikation im gesamten Unternehmen ausgestaltet ist. So soll- Die von der Unternehmensführung angestrebte Risikokultur kann durch entsprechende Kommunikation im Unternehmen bekannt gemacht und gefördert werden. ten die Kommunikationsprozesse innerhalb des Unternehmens derart ausgestaltet sein, dass Warnzeichen von internen und externen Risiken geteilt werden. Dies setzt eine entsprechende Definition der Kommunikationsprozesse voraus: An wen wird wann kommuniziert, wenn derartige Warnzeichen auftreten (vgl. Levy et al., 2010, S. 6). Dieser Kommunikationsaspekt bezieht sich sowohl auf die Kommunikation von Risikokultur als auch von einzelnen Risiken. Beim Element Risk Framework findet sich explizit das Sub-Element Risk Communication. Dieses bezieht sich auf die Kommunikation von Risiken, d. h. darauf, wie Risiken innerhalb und zwischen Abteilungen sowie an das Top-Management kommuniziert werden. Dies betrifft aber auch die Kommunikation von Risikokultur, z. B. dass Mitarbeiter im Unternehmen nicht zögern, Fehler offen zu kommunizieren, sowie eine Kultur des Informationsaustausches und des gegenseitigen Lernens im Unternehmen etabliert ist (vgl. Levy et al., 2010, S. 8). Die Kommunikation der Risikokultur steht in diesem Beitrag im Vordergrund und wird im Folgenden näher analysiert; die Kommunikation von Risiken wird am Ende des Abschnitts aufgegriffen. Auf beiden Ebenen ist Kommunikation ein Erfolgsfaktor für eine Verbesserung der Risikokultur und des Umgangs mit Risiken im Unternehmen, wobei insbesondere die interne Kommunikation angesprochen ist. Kommunikation der Risikokultur Wie gerade gezeigt, ist Kommunikation selbst ein Bestandteil der Risikokultur; mit Kommunikation der Risikokultur ist daher in erster Linie die Kommunikation der anderen Bestandteile von Risikokultur gemeint. Die von der Unternehmensführung angestrebte Risikokultur kann durch entsprechende Kommunikation im Unternehmen bekannt gemacht und gefördert werden. Dabei ist festzulegen, wer was mit welchem Ziel wann und wie an wen kommuniziert. Abb. 5 erläutert die Elemente Kommunikationsinhalt, Kommunikationsziel, Kommunikator, Kommunikanten (Zielgruppe) sowie Kommunikationskanäle bei der Kommunikation der Risikokultur (vgl. Kroeber-Riel/Groeppel-Klein, 2013, S. 587). Kommunikationsinhalte sowie Zielgruppen, Kommunikationskanäle und Kommunikatoren hängen dabei voneinander ab. Zudem werden verschiedene Instrumente der Kommunikation nach ihrem Formalisierungsgrad RISIKOKULTUR ALS RESILIENZTREIBER 8 CONTROLLING – ZEITSCHRIFT FÜR ERFOLGSORIENTIERTE UNTERNEHMENSSTEUERUNG Merkmale Umfang des Empfängerkreises Homogenität des Empfängerkreises Kontaktfrequenz Kontaktintensität Distanz Sender – Empfänger Rückkopplung Empfänger – Sender Massenkommunikation groß gering gering gering groß gering Persönliche Kommunikation gering groß groß groß gering groß Formelle Maßnahmen Informelle Maßnahmen Verhalten der Unternehmensführung Rituale und Bräuche „Role modeling“ der Unternehmensführung Geschichten über Ereignisse und Personen Merkmale von persönlicher Kommunikation und Massenkommunikation Formelle und Informelle Maßnahmen zur Kommunikation der Kultur Abb. 6: Vergleich von Formen und Instrumenten der Kommunikation (in Anlehnung an Kroeber-Riel/Groeppel-Klein, 2013, S. 590, sowie Ausschnitt aus Schein, 2010, S. 236) strukturiert und analysiert. Abb. 6 zeigt einen Vergleich von Formen und Instrumenten der Kommunikation. Massenkommunikation und persönliche Kommunikation Bei der Massenkommunikation werden Informationen an einen großen Empfängerkreis berichtet, wohingegen bei der persönlichen Kommunikation eine Person-zu-Person-Kommunikation vorherrscht, die einen kleineren Empfängerkreis betrifft (vgl. Kroeber-Riel/Groeppel-Klein, 2013, S. 587 ff.). In Abb. 6 werden Massen- und persönliche Kommunikation nach verschiedenen Merkmalen verglichen. Daran lässt sich bereits erkennen, welcher Kanal welche Vor- und Nachteile hat. In Bezug auf die Kommunikation der Risikokultur sollte vor diesem Hintergrund abgewogen werden, für welche Aspekte eher die Massen- und für welche eher die persönliche Kommunikation eingesetzt wird. Die Massenkommunikation weist einen großen Empfängerkreis auf, der jedoch sehr heterogene Empfängergruppen enthält. Zudem gibt es kaum Möglichkeiten des Austausches oder für Rückfragen zwischen Sender und Empfänger einer Information. Daher können generelle Prinzipien, Leitlinien und übergeordnete Ideen der Risikokultur anhand der Massenkommunikation kommuniziert werden, um somit in der Breite des Unternehmens ein einheitlicheres Verständnis zu erreichen. Beispielsweise besitzt ein Leitsatz des Unternehmens wie „Wir gehen offen mit Fehlern um.“ Allgemeingültigkeit im Unternehmen und kann an alle Mitarbeiter kommuniziert werden. Die Risikokultur könnte über mögliche Instrumente der Massenkommunikation, wie eine Mitarbeiterzeitung, E-Mails, Newsletter, Pressekonferenzen, das Intranet, Broschüren, Rundbriefe, Business-TV (vgl. Esch et al., 2012, S. 111), an die Mitarbeiter kommuniziert werden. Bei der persönlichen Kommunikation werden wenige Empfänger erreicht, die häufig jedoch sehr ähnlich sind. Es besteht die Möglichkeit des Austausches zwischen Sender und Empfänger. Daher bietet es sich an, komplexe, konkrete sowie spezifische Themen der Risikokultur persönlich zu kommunizieren. Beispielsweise könnte die Leitlinie für die Lieferantenauswahl „Wenn wir einen neuen Lieferanten engagieren, testen wir folgende Punkte ...“ persönlich an die Verantwortlichen in der Abteilung Einkauf kommuniziert und die Punkte erläutert werden. Als Instrumente der persönlichen Kommunikation können unter anderem Trainings/ Schulungen, Meetings, Storytelling, Role Modeling und Mitarbeiterveranstaltungen eingesetzt werden (vgl. Esch et al., 2012, S. 111), wobei diese Instrumente teilweise auch für die Massenkommunikation verwendbar sind. Risikokultur kann durch eine Kombination vonMassenund persönlicher Kommunikation in das Unternehmen getragen werden. Diese beiden Möglichkeiten der Kommunikation werden häufig miteinander kombiniert, um die Vorteile beider Kommunikationsformen miteinander zu verbinden (vgl. Esch et al., 2012, S. 105). Formelle und informelle Kommunikation Darüber hinaus lassen sich Maßnahmen zur Kommunikation der Kultur anhand ihres Formalisierungsgrades in formelle und informelle Maßnahmen kategorisieren (vgl. Schein, 2010, S. 236). Abb. 6 gibt eine Übersicht über einige formelle und informelle Maßnahmen. Die formellen Maßnahmen zeichnen sich durch einen expliziteren Bezug zu den Kommunikationszielen und eine höhere Sichtbarkeit aus als die informellen. Nach Schein ist das Verhalten der Unternehmensführung der wichtigste Faktor für den Erfolg einer Kultureinführung oder -änderung. Hierzu gehören kommunizierte Denkweisen und Handlungen, insbesondere worin die Unternehmensführung Zeit investiert, worauf sie achtet, welche Da- SCHWERPUNKT 29. JAHRGANG 2017 · 3/2017 9 ten, z. B. Performancemaße sie berechnen und erheben lässt sowie welches Verhalten und welche Ergebnisse von welchen Personen oder Bereichen sie honoriert (vgl. Schein, 2010, S. 237). Eine weitere formelle Maßnahme besteht darin, dass die Unternehmensführung „Role modeling“ betreibt. Hierbei kann zunächst einmalig das Verhalten und speziell die Risikokultur, wie sie von der Unternehmensführung angestrebt wird, erläutert werden. Im Folgenden werden von der Unternehmensführung dann durch den Umgang mit konkreten Vorfällen laufend weitere Botschaften gesendet. Kommunizierte Leitlinie und eigenes Verhalten der Unternehmensführung, z. B. zum offenen Umfang mit Fehlern, sollten konsistent sein. Die informellen Maßnahmen stärken die Umsetzung der Kultur eher indirekt. Sie sind weniger transparent. Für ihre Wirkung ist es wichtig, dass sie im Einklang mit den formellen Maßnahmen stehen (vgl. Schein, 2010, S. 235 ff.). Die Unternehmensführung kann bewusst Geschichten einsetzen, um eine bestimmte Risikokultur in das Unternehmen zu transportieren. Rituale und Bräuche sind Artefakte, mit denen kulturelle Grundlagen kommuniziert werden können. Ein Ritual bei der Umsetzung der Risikokultur könnte beispielsweise darin bestehen, dass in der Produktion vor jedem Schichtbeginn die Sicherheitsbestimmungen durchgegangen werden, um diese im Bewusstsein der Mitarbeiter zu verankern. In einem Unternehmen entstehen mit der Zeit Geschichten über Ereignisse, das Führungsverhalten, grundsätzliche Prinzipien, Arbeitsabläufe und vieles mehr. Vor allem neu in das Unternehmen zu integrierende Mitarbeiter können über derartige Geschichten das Unternehmen kennenlernen. Aber auch innerhalb von und zwischen Abteilungen können Geschichten einen bestimmten Eindruck z. B. von Ereignissen über das Verhalten von Führungskräften vermitteln. Geschichten sind nicht immer kontrollierbar, jedoch kann die Unternehmensführung Geschichten bewusst einsetzen, um eine bestimmte Risikokultur in das Unternehmen zu transportieren. So könnten z. B. Geschichten zum Umgang mit Fehlern erzählt werden, um auf eine offene Fehlerkultur hinzuwirken, wie in dem bekannten Beispiel eines Seemanns, der an Deck eines Flugzeugträgers arbeitet und feststellt, dass er ein Werkzeug verloren hat, nachdem gerade eine Fliegerstaffel abgehoben hat (vgl. Landau/Chisholm, 1995, S. 77). Sollte das Werkzeug auf der Landebahn sein, könnte es bei der Landung der Flugzeuge zur Katastrophe kommen. Der Seemann berichtet den Verlust des Werkzeugs sofort der Flugleitung, die daraufhin die Flugzeuge, die sich in der Luft befinden, zu einem Flughafen auf dem Festland umdirigiert, um keine Risiken einzugehen. Erst nachdem das Werkzeug gefunden wurde, können die Flugzeuge auf den Flugzeugträger zurückkehren. Der Seemann wird nicht für den Verlust des Werkzeugs abgemahnt, sondern vor versammelter Mannschaft für den sofortigen Bericht des Verlusts belobigt. Eine derartige Geschichte verdeutlicht sehr gut den offenen Umgang mit Fehlern als Teil der Risikokultur und wird von sämtlichen Beteiligten vermutlich sehr intensiv und lange erinnert. Empirisch wurde anhand von Magnetresonanzuntersuchungen des menschlichen Gehirns gezeigt, dass Storytelling im Vergleich mit anderen Kommunikationsinstrumenten dazu führt, dass Informationen besser im Langzeitgedächtnis gespeichert werden (vgl. Mar, 2011, S. 123). Kommunikation von Risiken Auch bei der Kommunikation von einzelnen Risiken ist festzulegen, wer was mit welchem Ziel wann und wie an wen kommuniziert, um die beabsichtigten Wirkungen auf das Risikobewusstsein und das Verhalten zu erzielen. Insbesondere hat das Wie der Kommunikation eine Auswirkung darauf, wie mögliche Risiken wahrgenommen und Erfahrungen mit Ereignissen der Vergangenheit erinnert werden und wie in der Folge Risiken identifiziert, bewertet und gehandhabt werden. So kann auch im Rahmen der Kommunikation einzelner Risiken Storytelling zum Einsatz kommen. Beispielsweise können in der Beschaffung Lieferantenausfallrisiken anhand unterschiedlicher Medien, wie einer Tabelle, einem analytischen Text, einem Gespräch oder anhand von Storytelling kommuniziert werden. Beim Storytelling könnte beispielsweise die Geschichte eines Mitarbeiters erzählt werden, der in der Beschaffung tätig ist und dort aufgrund von geringen Kostenersparnissen einen Lieferanten auswählt hat, der kurz darauf Insolvenz anmelden muss und daher ausfällt. Die Kommunikation des Lieferanteninsolvenzrisikos anhand einer solchen Geschichte kann dazu beitragen, die Mitarbeiter in der Beschaffung nachhaltig für Lieferantenausfallrisiken zu sensibilisieren. Bei der Ausgestaltung der Kommunikation von Risiken sollte auch auf Interdependenzen mit anderen Merkmalen der Risikokultur geachtet werden, um insgesamt zu erreichen, dass sich Risikobewusstsein und Verhalten in die angestrebte Richtung verändern. 4. Prüfung von Risikokultur Ansätze zur Prüfung von Risikokultur lassen sich vorwiegend aus den Leitlinien des Financial Stability Boards (FSB) ableiten. Dementsprechend beziehen sich die Ansätze zur Prüfung von Risikokultur auch vorwiegend auf Finanzinstitute. In einem vom FSB veröffentlichten Leitfaden zum Umgang mit Risikokultur wurden konkrete Kriterien festgelegt, anhand derer die Wirkung und Bedeutung von Risikokultur für das jeweilige Unternehmen geprüft werden kann. Diese sind in Abb. 7 in Form von Sub-Elementen, von denen in diesem Zusammenhang als Indikatoren gesprochen wird, dargestellt (vgl. Schiwietz, 2016, S. 148). RISIKOKULTUR ALS RESILIENZTREIBER 10 CONTROLLING – ZEITSCHRIFT FÜR ERFOLGSORIENTIERTE UNTERNEHMENSSTEUERUNG Zentrale Indikatoren Ansätze zur Beurteilung Tone from the Top • klares Verständnis sowie glaubwürdiges Verhalten der Leitungsebene • effektives Risikoappetit-Rahmenwerk verknüpft mit der Geschäftsstrategie • Etablierung angemessener „check and balance“ Strukturen • Monitoring und laufende Förderung / Kommunikation der Werte • Förderung eines nachhaltigen Risikoverständnisses und Risikobewusstseins • Lernen aus Fehlern und offener Umgang mit Fehlern Accountability • klare Verantwortung für Risiken und für das eigene Verhalten (Business, Kontrollfunktionen etc.) • Transparenz und wirksame / offene Eskalationsprozesse • konsequente Durchsetzung und Sanktionierung Effective Communication and Challange • Offenheit für kritische Sichtweisen • Positionierung, Stärke und Unabhängigkeit des Risikomanagements und anderer Kontrollfunktionen im Unternehmen • fortlaufendes Training des angestrebten Verhaltens Incentives • nachhaltig wertorientierte Vergütungsstrukturen, insbesondere auch auf den Leitungsebenen • Förderung risikobewussten Verhaltens bei Mitarbeiterentwicklung und Nachfolgeplanung Top-Down Interne Governance zur Risikokultur • Wertesystem und Verhaltenskodex • Strategien und Standards • Rahmenwerk Risikoappetit • Zuständigkeiten und Verantwortlichkeiten • Kommunikation und Fehlerkultur • Whistleblowing-System • Vergütungs- und Anreizsystem • Personalentwicklung • Mikrokultur in geprüften Einheiten • Persönliche Einstellungen und Verhalten • Fehler- und Maßnahmenkultur • Umgang mit Stakeholdern • Markt- und Risikoverhalten • Neue Geschäftsaktivitäten • Führungsverhalten • Zielvorgaben, Entwicklung und Vergütung Bottom-Up in der Praxis gelebte Risikokultur Abb. 7: Indikatoren und Ansätze zur Beurteilung von Risikokultur (in Anlehnung an Schiwietz, 2016, S. 148) Abb. 8: Prüfungsansätze von Risikokultur (in Anlehnung an Schiwietz, 2016, S. 160) Risikokultur wird somit indirekt anhand ihrer Elemente bzw. Sub-Elemente gemessen. Das Ergebnis der Messung stellt jedoch kein Zahlenergebnis dar, sondern ist ein Hinweis auf eine schwach oder stark ausgeprägte Risikokultur im Einklang mit den Zielsetzungen des jeweiligen Unternehmens, der durch subjektive Wahrnehmungen und Bewertungen geprägt ist. Das FSB weist ferner darauf hin, dass die Indikatoren nicht vollständig sind und daher unternehmensindividuell ergänzt werden können. Einzelne Elemente bzw. Sub-Elemente werden bereits heute von der Internen Revision geprüft. Oftmals werden diese bisher jedoch nicht ausdrücklich der Risikokultur zugeordnet. Bei einigen Prüfungsvorgängen wird zu Beginn der Prüfung eine Umfrage zur Selbsteinschätzung des Managements durchgeführt. Außerdem enthalten Prüfungspläne bereits Ursachenanalysen von Problemen und Risiken sowie Prüfungen zur Risikoneigung und deren Anwendung im Unternehmen. Auch gibt es Prüfungen von Vergütungssystemen und zum Umgang mit neuen Produkten. Die Untersuchungen erfolgen jedoch bisher getrennt voneinander und sind nicht auf die ganzheitliche Prüfung der Risikokultur ausgerichtet. Risikokultur betrifft jedoch das gesamte Unternehmen und seine Mitarbeiter und verlangt daher nach einem ganzheitlichen Prüfungsansatz. Um dieser Anforderung gerecht zu werden, kann eine Verknüpfung von Top- Down- und Bottom-Up-Prüfungsansatz angewendet werden (siehe Abb. 8). Top-Down verfolgt Risikokultur vor allem strategische Ziele und ihre Durchsetzung mithilfe von Verhaltenskodizes. Die gelebte Risikokultur lässt sich jedoch insbesondere Bottom-Up über Prüfungen in Regionen und Niederlassungen feststellen (vgl. Schiwietz, 2016, S. 153 ff.). Die Prüfung der Risikokultur kann durch Indikatoren in einem kombinierten Bottom- Up- und Top-Down- Prüfungsansatz erfolgen. 5. Fazit Um eine bessere Erfassung von Risikokultur zu ermöglichen, wurden zunächst durch einen Vergleich bestehender Konzepte Leadership, Motivation, Organization, Risk Competence und Risk Framework als die konstituierenden Elemente von Ri- SCHWERPUNKT 29. JAHRGANG 2017 · 3/2017 11 Implikationen für die Praxis Für die Erfassung und Gestaltung der Risikokultur sollten die Elemente Leadership, Motivation, Organization, Risk Competence und Risk Framework mit ihren Indikatoren systematisch analysiert werden. Bei der Kommunikation der Risikokultur sollte untersucht werden, welche Elemente am besten mit Massen- oder persönlicher Kommunikation sowie mit formellen oder informellen Maßnahmen kommuniziert werden. Für das nachhaltige Prägen von Risikobewusstsein sollte insbesondere der stärkere Einsatz von informellen Maßnahmen wie Storytelling geprüft werden. Voraussetzung für eine systematische Prüfung der Risikokultur ist die Bestimmung der angestrebten Ausprägungen ihrer Elemente und Sub-Elemente. sikokultur identifiziert. Daraus wurde eine umfassende Definition abgeleitet, die anders als bisherige Definitionen diese konstituierenden Merkmale vollständig abdeckt. Die Elemente und ihre Sub- Elemente wurden daraufhin den drei Ebenen des Unternehmenskulturmodells von Schein (2010) zugeordnet, um zu einem Risikokulturmodell zu gelangen. Die Grundannahmen auf der ersten Ebene dieses Modells bilden die fünf konstituierenden Merkmale von Risikokultur. Daraus abgeleitete Werte und Normen für den Umgang mit Risiken bilden die zweite Ebene des Modells. Die dritte Ebene des Modells bilden sogenannte Artefakte (objektiv erfassbare Sub-Elemente), zu denen Prozesse, Strategien, Leitsätze und Technologien gehören. Auf Basis dieses Modells wurden die Operationalisierung, die Kommunikation und die Prüfung der Risikokultur analysiert, um die Potenziale der Risikokultur für ein Unternehmen möglichst gut zu erschließen. Die Operationalisierung eines Elements kann bspw. über Fragen zu seinen einzelnen Sub-Elementen erfolgen, die sich durch Gewichtung zu einem Index des Elements und durch eine Gewichtung der Elemente zu einem Index für die gesamte Risikokultur verdichten lassen. Für die Kommunikation der Risikokultur lassen sich Massenkommunikation und persönliche Kommunikation kombinieren. Neben formellen Kommunikationsinstrumenten sollte dabei auch der Einsatz informeller Instrumente wie Storytelling geprüft werden, um kulturelle Aspekte nachhaltig im Bewusstsein der Mitarbeiter zu verankern. Eine systematische Prüfung von Risikokultur sollte ebenfalls an den identifizierten Elementen und Sub-Elementen der Risikokultur anknüpfen. Da Risikokultur das gesamte Unternehmen betrifft, sollte dabei eine Kombination aus Top-Down- und Bottom-Up-Prüfung erwogen werden. Literatur Cooper, T./Faseruk, A./Khan, S., Examining Practitioner studies to explore ERM and organizational culture, in: Journal of Management Policy and Practice, 14. Jg. (2013), H. 1, S. 53–68. Deloitte, Cultivating a Risk Intelligent Culture – Understand, measure, strengthen, and report, 2012, https://www2.deloitte.com/content/dam/ Deloitte/us/Documents/center-for-corporate-governance/us-ccg-cultivating-a-risk-intelligentculture-050212.pdf, Stand: 12.11.2016. Esch, F.-R./Fischer, A./Strödter, K., Interne Kommunikation zum Aufbau des Markenwissen bei den Mitarbeitern, in: Tomczak, T./Esch, F.-R./ Kernstock, J. Herrmann, A. (Hrsg.), Behavioral Branding – Wie Mitarbeiterverhalten die Marke stärkt, 3. Aufl., Wiesbaden 2012, S. 101–120. EY, Risk culture – Meeting regulatory expectations and assessing culture, in: Global Regulatory Network, 2014, http://www.ey.com/Publication/vwLUAssets/EY-Building-a-strong-risk-culture/$FILE/EY-GRN-Executive-Briefing-Riskculture-June-2014.pdf, Stand: 08.12.2016. Fritz-Morgenthal, S./Hellmuth, J./Packham, N., Does risk culture matter? The relationship between risk culture indicators and stress test results, in: Journal of Risk Management in Financial Institutions, 1. Jg. (2016), H. 9, S. 71–84. Hofstede, G./Hofstede, G. J., Lokales Denken, globales Handeln, 5. Aufl., München 2011. Kroeber-Riel, W./Groeppel-Klein, A., Konsumentenverhalten, 10. Aufl., München 2013. Landau, M./Chisholm, D., The Arrogance of Optimism: Notes on Failure-Avoidance Management, in: Journal of Contingencies and Crisis Management, 3. Jg. (1995), H. 2, S. 67–80. Levy, C./Lamarre, E./Twining, J., Taking control on organizational risk culture, in: McKinsey working papers on risk, 2010, http://www.mckin sey.com/business-functions/risk/our-insights/ taking-control-of-organizational-risk-culture, Stand 18.01.2017. Mar, R. A., The neural bases of social cognition and story comprehension, in: Annual review of psychology, 62. Jg. (2011), S. 103–134. Pedell, B., Führung im Umgang mit schwerwiegenden Risiken – Strategien für die Verbesserung der Resilienz von Unternehmen, in: Controlling, 26. Jg. (2014), H. 11, S. 608–615. Pedell, B./Seidenschwarz, W., Resilienzmanagement, in: Controlling, 23. Jg. (2011), H. 3, S. 152–158. Power, M/Ashby, S./Palermo, T., Risk culture in financial organisations – a research report, 2013, https://www.lse.ac.uk/accounting/CARR/pdf/ final-risk-culture-report.pdf, Stand 09.02.2017. PricewaterhouseCoopers, The Risk Culture Survey, 2012, http://www.pwc.com/us/en/risk-culture/assets/pwc-rcs-2012-brochure.pdf, Stand: 08.12.2016. Rohde-Liebenau, B., Whistleblowing – Beitrag der Mitarbeiter zur Risikokommunikation, Düsseldorf 2005. Schein, E. H., Organizational Culture and Leadership, 4. Aufl., San Francisco 2010. Schiwietz, M., Risikokultur: Ansätze zur Beur- RISIKOKULTUR ALS RESILIENZTREIBER 12 CONTROLLING – ZEITSCHRIFT FÜR ERFOLGSORIENTIERTE UNTERNEHMENSSTEUERUNG Von Prof. Dr. Werner Gleißner 3. Auflage. 2017. XXIV, 605 Seiten. Gebunden € 55,– ISBN 978-3-8006-4952-5 Portofrei geliefert: vahlen.de/14436818 Risikomanagement – jetzt richtig handeln Dieses besonders praxisorientierte Werk erläutert die wichtigen Methoden der ■ Risikoidentifikation, ■ quantitativen Bewertung von Risiken, ■ Risikoaggregation, ■ Risikobewältigung sowie die ■ organisatorischen Strukturen von Risikomanagementsystemen für eine kontinuierliche Überwachung. Der Hauptfokus liegt dabei auf der gesamten Risikolandschaft eines Unternehmens. Mit der beiliegenden CD erhalten Sie hilfreiche Anwendungen wie Risikorechner und zahlreiche Checklisten Erhältlich im Buchhandel oder bei: vahlen.de | Verlag Franz Vahlen GmbH 80791 München | bestellung@vahlen.de | Preise inkl. MwSt. | 166278 Der beste Schutz für Ihr Unternehmen. teilung und Förderung durch die Innenrevision, in: Revisionspraktiker, 2016, H. 08/09, S. 147– 162. Wong, E./Ross, P., Risk culture – the human factor in risk management, 2015, https://home.kpm g.com/KPMG/Risk-Culture-w-Model-FINA.pdf, Stand: 10.11.2016. Literaturtipps aus dem Online-Archiv http://elibrary.vahlen.de Thilo Knuppertz und Frank Ahlrichs, Prozessorientiertes Risikomanagement, Ausgabe 08–09/ 2007, S. 491–500. Andrea Kampmann, Interne Risikokommunikation, Ausgabe 12/2016, S. 751–754. Stichwörter # Prüfung # Resilienz # Risikokommunikation # Risikokultur # Unternehmenskultur Keywords # Audit # Corporate Culture # Resilience # Risk Communication # Risk Culture Summary For improving the assessment of corporate risk culture, its defining elements are identified and a definition as well as a model of risk culture are derived. Based on this model, the components operationalization, communication and audit of corporate risk culture are analyzed to make better use of its potential. SCHWERPUNKT 29. JAHRGANG 2017 · 3/2017 13