Risikomanagement: eine Herausforderung für New Work

Grundlage aller Risikomanagementsysteme ist die Erkenntnis, dass jede unternehmerische Tätigkeit auch gewisse Risiken für ein Unternehmen birgt. Dies gilt umso mehr in Zeiten tief greifender Veränderungen, wie sie Digitalisierung und Big Data mit sich bringen. Um mit diesen Entwicklungen Schritt zu halten, setzen Unternehmen zunehmend auf agile Projekte. Diese helfen ihnen, bestimmte Schlüsselthemen im Unternehmen voranzutreiben.

Basiswissen: Was ist Risikomanagement und warum ist es wichtig?

Jedes Projekt bringt gewisse Risiken mit sich. Das Risikomanagement oder auch Risk Management befasst sich mit der planmäßigen Analyse und Steuerung dieser Risiken. Ziel eines umsichtigen Risikomanagements und aller daraus folgenden Maßnahmen ist es, das Unternehmen oder ein Projekt vor möglichen Gefahren oder Krisen zu bewahren. Nur so gelingt die erfolgreiche Umsetzung. Es geht immer auch darum, erwartete Chancen und Risiken sorgfältig abzuwägen.

Modernes Risikomanagement wird heute immer professioneller und besser in andere Managementsysteme integriert. „Was in großen und internationalen Unternehmen begonnen hat, wird auch im Mittelstand immer stärker“, betont Dr. Margarete Schramböck, Bundesministerin für Digitalisierung im Österreichischen Jahrbuch für Risikomanagement 2019.

Wichtig für KMUs ist es, sich mit den eigenen unternehmerischen Risiken intensiv auseinanderzusetzen und diese möglichst umfassend zu analysieren. Nur so ist es möglich, entsprechende Maßnahmen zu entwickeln und zu implementieren. Ein gutes Beispiel für eine gelungene Risikoanalyse und das darauf aufbauende Risikomanagementsystem liefert das im Jahrbuch vorgestellte Austrian Centre for Industrial Biotechnology, kurz acib.

Die Herausforderung: Risikomanagement zwischen Open Innovation und Geheimhaltung

Das internationale Forschungszentrum für industrielle Biotechnologie beschäftigt über 200 Wissenschaftlerinnen und Wissenschaftler. Ihr gemeinsames Ziel: industrielle Prozesse umweltfreundlicher und ressourcenorientierter gestalten. „Im Geschäftsalltag bewegen sich acib-Projekte genau an der Schnittstelle zwischen akademischer Forschung und industrieller Entwicklung“, beschreibt acib-Geschäftsführer Dr. Mathias Drexler die besondere Herausforderung an die Unternehmensführung, die beim Aufbau des Risikomanagementsystems zu berücksichtigen war.

Eine Herausforderung mit einem risikobehafteten Gegensatz. Denn auf der einen Seite wollen und müssen Wissenschaftlerinnen und Wissenschaftler spannende und neue Forschungsergebnisse schnellstmöglich veröffentlichen, um erfolgreich zu sein. Die kooperierenden Unternehmen der chemischen, pharmazeutischen und biotechnologischen Industrie auf der anderen Seite wollen dagegen neue Methoden oder innovative Produkte möglichst lange geheim halten. Schließlich steigert Exklusivität den Wert von neu erprobten Methoden oder Verfahren.

„Daraus entsteht der für das Risikomanagement herausfordernde Widerspruch zwischen Geheimhaltungs- und Veröffentlichungsinteresse“, betonen Geschäftsführer Dr. Mathias Drexler und Informationssicherheitsberater Michael Krausz in ihrem gemeinsamen Artikel „Risikomanagement in anwendungsnaher Forschung“. Wie sie es geschafft haben, diesen Widerspruch erfolgreich zu managen, zeigen die unten folgenden vier Schritte der Risikoidentifikation, Risikobewertung, Risikostrategie und Risikosteuerung.

Risikomanagement für KMUs: die zentralen Schritte

„Ein allgemeingültiges Risikomanagementkonzept, das einfach übergestülpt werden kann, gibt es nicht“, heißt es im Österreichischen Jahrbuch. „Jedes Unternehmen muss seine eigenen Risiken identifizieren, analysieren und bewerten, um dann ein entsprechendes Maßnahmenkonzept zu entwickeln. Die Orientierung an einschlägigen Normen kann dabei unterstützen“.

Dennoch sind es vier zentrale Schritte, die jedes KMU und jedes New-Work-Projekt gehen sollte, um ein Risikomanagementsystem aufzusetzen und damit die Eintrittswahrscheinlichkeit für unangenehme Überraschungen zu minimieren.

Risikomanagement Schritt 1: Risiken identifizieren und erfassen

Im genannten Beispiel des Forschungszentrums acib besteht eine große Gefahr des Geschäftsalltags in dem gegensätzlichen Veröffentlichungsinteresse der Forscherinnen und Forscher auf der einen Seite und dem Geheimhaltungsinteresse der an der Forschung beteiligten Unternehmen auf der anderen Seite. Konkret geht es dabei um die Zusammenarbeit von mehr als 50 wissenschaftlichen Institutionen und mehr als 100 Firmenpartnern in über 200 bi- und multilateralen Forschungsprojekten. „Ein organisatorisch höchst komplexer Rahmen“, so Geschäftsführer Dr. Mathias Drexler. Produziert werden in diesem komplexen Rahmen vor allem wertvolle Mess- und Analysedaten sowie Informationen.

Risikomanagement Schritt 2: Risiken bewerten und analysieren

Neben dem unterschiedlichen Interesse an Daten und Informationen sowie dem daraus resultierenden unterschiedlichen Umgang mit Daten und dem Problem der Datenkontrolle gibt es darüber hinaus gesetzliche und technische Datenschutzregelungen, die eingehalten werden müssen. Im Fall von acib stellt sich nach einer ersten Risikoanalyse heraus, dass a) die Technik gut gerüstet ist und b) keine Datenverarbeitungen im System durchgeführt werden, die die Rechte natürlicher Personen gefährden könnten.

Risikomanagement Schritt 3: Risiken strategisch planen

Daher richtet sich das Risikomanagement auf organisatorische Maßnahmen, Schulungen und Trainings, um Bewusstsein (Awareness) und Sensibilität der Forscherinnen und Forscher für das Geheimhaltungsinteresse der beteiligten Unternehmen zu schaffen, zu heben und langfristig abzusichern.

Es wurde davon abgesehen, strikte Maßnahmen wie Zugangskontrollen oder Kontrollen von Informationsströmen zu planen, wie sie zum Beispiel Industriestandards vorschreiben, da sie einem kreativen akademischen Umfeld widersprechen und zu befürchten war, dass findige Forscherinnen und Forscher diese Kontrollen ohnehin umgehen könnten.

Risikomanagement Schritt 4: Risiken steuern und Maßnahmen implementieren

Neben regelmäßigen Schulungen und Trainings wird ein DPO/CISO-as-a-service eingerichtet. Das heißt: Die Aufgaben, die Datenschutzbeauftragte (Data Protection Officers) und IT-Sicherheitsverantwortliche (Chief Information Security Officers) wahrnehmen, werden extern eingekauft, sodass Interessenkonflikte gar nicht erst entstehen können.

Die Trainings aller Mitarbeiterinnen und Mitarbeiter, Wissenschaftlerinnen und Wissenschaftler steigern das Bewusstsein für einen sensiblen Umgang mit wertvollen Forschungsergebnissen und bewahren gleichzeitig den kreativen, akademischen Rahmen in einem komplexen System, den es braucht, um möglichst frei und innovativ zu arbeiten.

Sich einordnen: Jede Branche hat ihre eigenen Risiken

Natürlich spielt es eine wichtige Rolle, in welcher Branche ein Projekt angesiedelt ist. So muss sich die Unternehmensführung eines KMUs in der Finanzbranche auf andere Gefahren einstellen als zum Beispiel Verantwortliche für Projekte in der chemischen Industrie oder im Gesundheitswesen.

Neben den sogenannten branchenspezifischen Risiken gibt es weitere. Einige ausgewählte Beispiele zeigt die folgende Liste. Vorab soll noch darauf hingewiesen werden, dass das Managen von Risiken ein fortlaufender Prozess ist, der regelmäßig evaluiert und an den Projektverlauf angeglichen werden sollte.

Verschiedene Risiken in agilen Projekten:

• Competitive Risk (zum Beispiel Zuliefer-, Haftungs- oder Vertragsrisiken)
• Management Risk (zum Beispiel Planungs-, Koordinations-, Informations- oder Kommunikationsrisiken)
• Developement Risk (zum Beispiel technische Risiken, Qualitäts- oder Einführungsrisiken)
• Social Risk (zum Beispiel Motivations-, Frustrations- oder Überforderungsrisiken)

Eine neue Risikokultur in Projekten und im New Work

Die gute Nachricht ist: Einige Fehlermöglichkeiten werden in agilen Projekten implizit berücksichtigt. Erfolgreich verlaufende Projekte sind nämlich, genau wie gutes Risk Management, Teamwork. So arbeiten die meisten Projektteams heute möglichst transparent und flechten in ihren Projektablauf engmaschige Feedbackschleifen ein. Durch diese Methode wird die Eintrittswahrscheinlichkeit für Planungs- oder Koordinationsfehler deutlich geringer.

In New-Work-Projekten ist es häufig so, dass nicht allein die Projektleitung, sondern alle Teammitglieder die Verantwortung für Entscheidungen übernehmen, wodurch soziale Risiken sinken. Vertrauensvolle Zusammenarbeit schließlich führt häufig auch zu einer besseren Fehlerkultur. Mit anderen Worten: Die Angst davor, einen Fehler etwa in der Beurteilung der Qualität eines Produktes einzugestehen, sinkt und damit sinken auch die Risiken in der Entwicklung.

Das Beispiel acib zeigt, wie individuell Risikomanagementsysteme sein können. Wichtig für Verantwortliche in Projekten und KMUs ist vor allem die Erkenntnis, dass Risk Management heutzutage ein Muss ist, für das es viele – auch kreative – Lösungen gibt.