Drei Risikoberichte, vier Auffälligkeiten, ein Vorschlag

Wenn ein Autokonzern Stellen abbaut, steht die Erklärung meist schon in der Mitteilung: China, Zölle, schwache Nachfrage, teure Energie. Das sind alles äußere Faktoren: Politik, Wirtschaft, Gesellschaft, Technik. Der Fachterminus für eine solche Aufzählung ist PEST-Analyse.

Inhaltlich die aufgrführten Punkte korrekt. Das hilft aber niemandem weiter, denn an keinem dieser Punkte kann irgendjemand was drehen.

Die Frage ist: Wo hätte jemand handeln können?

Deshalb habe ich an einer anderen Stelle nachgesehen: im Risikomanagement. Das ist der Teil eines Unternehmens, der früh sehen soll, was auf die Firma zukommt. Gelesen habe ich, was die drei großen deutschen Hersteller dazu selbst veröffentlichen:

• Mercedes-Benz: den Risikobericht im Geschäftsbericht 2024 und die Risikoabschnitte der zehn Zwischenberichte aus 2022 bis 2025
• BMW: den Risikobericht im Konzernbericht 2025 und die Risikoübersichten der Berichte 2022 bis 2024
• Volkswagen: den Risikobericht im Geschäftsbericht 2024 und das Kapitel zum Entwicklungsrisiko in den Berichten 2020 bis 2023

Wichtig vorweg: Ich kenne nur, was veröffentlicht ist; über interne Abläufe sagt dieser Text nichts. Ich behaupte nicht, dass das Risikomanagement den Stellenabbau verursacht oder maßgeblich dazu beigetragen hat.

Mir sind Stellen aufgefallen, an denen sie mehr leisten könnten.

Was die drei Systeme richtig machen

#

• Alle drei trennen drei Aufgaben:
  1. wer Risiken steuert,
  2. wer sie überwacht,
  3. wer das Ganze unabhängig prüft.
• Alle drei bewerten Risiken nach Abzug der Gegenmaßnahmen und prüfen, ob das Unternehmen sie verjraftet. Mercedes und BMW halten die berechnete Risiko-Summe gegen das Eigenkapital.
• Die Berichtswege sind festgelegt. Bei Volkswagen gehen Risiken ab einer bestimmten Größe jedes Quartal an Vorstand und Prüfungsausschuss.
• Bei Mercedes sind unerwartete große Risiken sofort zu melden.
• Volkswagen hat einen eigenen Vorstandsausschuss für Risikomanagement, der sich eine offene Risikokultur ausdrücklich zum Ziel setzt, und 26 Kontrollkataloge, die auch Abläufe in Entwicklung und Produktion abdecken sollen.
• BMW verpflichtet alle Beschäftigten, Risiken zu melden, zeigt für jede Kategorie die Veränderung zum Vorjahr und schrieb 2022 offen, die Lage habe sich deutlich verschlechtert.
• Mercedes und Volkswagen schreiben selbst, dass kein System garantieren kann, alle Risiken vorab zu erkennen.

Gute Arbeit. Sie beantwortet eine Frage gut: Hält das Unternehmen aus, was es an Risiken kennt?

Vier Auffälligkeiten

#

1. „Vollständig" heißt: alles, was gemeldet wurde

#

• Mercedes nennt als Grundsatz die Vollständigkeit und erklärt ihn so: Alle erkannten Risiken gehen in den Prozess ein.
• Bei Volkswagen werden Ereignisse in den Bereichen und Gesellschaften erkannt und bewertet.
• Bei BMW melden die Beschäftigten.

In allen drei Fällen entsteht die Liste aus dem, was jemand meldet. Ein Risiko, das niemand meldet, erscheint darin nicht als Lücke. Es erscheint erst gar nicht. Die Liste kann nicht sagen, was ihr fehlt.

2. Was erwartet wird, steht nicht mehr im Risikobericht

#

Alle Konzerne schreiben es fast gleich: Was bereits in der Planung berücksichtigt ist, wird im Risikobericht nicht mehr geführt. Berichtet wird nur, was vom Plan abweichen könnte.

Das ist richtig, sonst würde dasselbe zweimal gezählt. Es hat aber eine nicht zu unterschätzende Nebenwirkung. Eine schleichende Verschlechterung, die erkannt und eingeplant wurde, ist ab diesem Moment kein Risiko mehr. Der Plan wandert mit. Jede einzelne Anpassung ist vernünftig. Ob die Summe der Anpassungen noch zum ursprünglichen Ziel passt, zeigt keiner der drei Berichte.

3. Die Zahl sinkt, weil das Jahr zu Ende geht

#

Mercedes bewertet Risiken in den Zwischenberichten für den Rest des Geschäftsjahres. Im Geschäftsbericht gilt die Einstufung für das folgende Jahr, im Bericht zum dritten Quartal nur noch für das vierte Quartal. Das Fenster wird also von Bericht zu Bericht kürzer: zwölf Monate, neun, sechs, drei.

Vergleichbar sind die Berichte damit nicht. Sinkt der Wert vom Sommer zum Herbst,

• kann die Lage besser geworden sein oder
• nur das Fenster kürzer geworden sein. Mercedes sagt offen, was davon zutrifft: In sechs der zehn Zwischenberichte, die ich gelesen habe, steht sinngemäß, wegen des kürzeren Betrachtungszeitraums sei die mögliche finanzielle Auswirkung der Risiken gesunken. (Hier haben sich mir die Resthaare zu Berge gestellt.)

Ein Beispiel ist der Bericht zum dritten Quartal 2024. Dort steht, die allgemeine Risikolage habe sich weiter verschärft und die möglich finanzielle Auswirkung sei insgesamt gesunken. Im selben Bericht liegt das Quartalsergebnis vor Zinsen und Steuern bei 2,5 Milliarden Euro, nach 4,8 Milliarden im Vorjahresquartal. (Bei so etas gehen bei mir die Alarmlampen an)

Ein Regelverstoß ist das nicht. Für den Halbjahresbericht verlangt das Gesetz als Mindestinhalt genau dieses Fenster: die wesentlichen Chancen und Risiken für die folgenden sechs Monate des Geschäftsjahres (§ 115 Abs. 4 WpHG). Die Zahl beantwortet auch eine berechtigte Frage: Kann die Prognose für dieses Jahr noch verfehlt werden?

Als Warnsignal taugt sie nicht. Eine Zahl, die jeden Herbst kleiner wird, zeigt keinen Verlauf. Wer wissen will, ob die Lage besser oder schlechter wird, braucht ein Fenster, das immer gleich lang ist. Das Gesetz nennt einen Mindestinhalt; eine zweite Zahl daneben verbietet es nicht. (So etwas in der Regeltechnik…. Ich würde nur noch manuell Auto fahren)

Für BMW und Volkswagen habe ich keine Zwischenberichte gelesen und kann dazu nichts sagen.

4. “Same procedure as every year:” Dieselbe Einstufung über Jahre

#

Volkswagen stuft das Risiko aus Forschung und Entwicklung in den Berichten für 2019 bis 2024 immer gleich ein: Eintrittswahrscheinlichkeit hoch, Schadenshöhe mittel.

„Hoch" steht in der Skala von Volkswagen für eine Wahrscheinlichkeit von mehr als 50 Prozent im Betrachtungszeitraum. Die Begründung lautet jedes Jahr fast wortgleich!

Man könne Produkte womöglich nicht nach Bedarf und Anforderung entwickeln, vor allem bei E-Mobilität und Digitalisierung.

Im Bericht 2024 zählt Volkswagen genau das zu den bedeutendsten Risiken des Konzerns.

In diese Jahre fällt ein Fall, der zur Einstufung passt. Die Konzernmarke Porsche schrieb 2022 in ihrem Börsenprospekt, der Produktionsstart des elektrischen Macan sei, zum Teil wegen Verzögerungen bei der Softwareplattform verschoben. Entwickelt von der Konzerntochter Cariad. Die Einstufung im Risikobericht war davor dieselbe wie danach.

Bei Mercedes steht das Entwicklungsrisiko für 2024 und 2025 auf „mittel", mit dem Hinweis auf Software in der Fahrzeugarchitektur. BMW führt Markt und Gesamtwirtschaft im Bericht 2025 als „sehr hoch", unverändert zum Vorjahr.

Alle Verfahren legen fest, wann ein Risiko berichtet wird. In den Abschnitten, die ich gelesen habe, steht bei keinem, wann ein dauerhaftes Risiko eine Entscheidung und eine Maßnahme verlangt. Das heißt nicht, dass es intern keine solche Regel gibt. Gefunden habe sie allerdings nicht.

Als Gegenmaßnahme zum Entwicklungsrisiko nennen Volkswagen und Mercedes fast wortgleich die fortlaufende, systematische Überwachung der Projekte. Ob die Überwachung wirkt, lässt sich von außen nicht prüfen: Eine Messgröße dazu habe ich in den Berichten nicht gefunden. Eines lässt sich aber anhand der Berichte ablesen.

Die Einstufung gilt nach Abzug der Gegenmaßnahmen. Wenn sie bei Volkswagen sechs Jahre lang auf demselben Wert steht, dann hat die Überwachung das Risiko in dieser Zeit nicht gesenkt, oder das Risiko ist im selben Maß gewachsen.
In der Technischen Risikoanalyse (FMEA) bleibt der Wert hoch, - Erst mit Nachweis, dass die Maßnahme gegriffen hat, sinkt der Wert.

Was die vier verbindet

#

Die Systeme sind für eine bestimmte Frage gebaut: ob ein Risiko den Fortbestand des Unternehmens gefährdet. Darauf prüft bei Volkswagen und BMW laut Bericht auch der Abschlussprüfer, und alle drei kommen zum selben Schluss: Es gibt kein solches Risiko. Für diese Frage sind Euro-Beträge und Jahreshorizont richtig gewählt.

Risiken sind aber nicht nur Geld.

• Mercedes und BMW stufen in Euro-Klassen ein
• Volkswagen bewertet daneben Ansehensverlust und Rechtsverstöße mit eigenen Punktwerten.

Eine langsame Verschiebung gefährdet den Fortbestand lange nicht. Das tut die Verschiebung erst - wenn Sie aus dem Rahmen raus gefallen ist. Erst kostet die Verschiebung Marktanteil und irgendwann Arbeitsplätze, und in einer Rechnung in Euro pro Jahr erscheint sie erst, wenn sie Geld geworden ist.

Der Vorschlag

#

Er richtet sich an den Prüfungsausschuss, der die Wirksamkeit des Risikomanagements überwacht, und an den Vorstand, der es betreibt. Die Schritte sind nach Aufwand geordnet. Der erste kostet ein Quartal und entscheidet, ob die übrigen nötig sind.

Schritt 1: Rückwärts prüfen.

1. Die fünf größten negativen Überraschungen der letzten fünf Jahre nehmen:

• Gewinnwarnungen
• Sonderabschreibungen
• gestoppte Programme.

2. Für jede nachsehen

• ob sie ein Jahr vorher im Risikoregister stand
• in welcher Höhe und
• ob eine Entscheidung dokumentiert ist.

Stand sie nicht im Register: nachsehen, ob sie weiter unten im Unternehmen bekannt war. Das trennt drei Fälle:

1. Niemand hat es gesehen (Auffälligkeit 1).
2. Jemand hat es gesehen, aber es kam oben nicht an (Meldeweg, siehe unten).
3. Es stand im Register, aber es folgte keine Entscheidung (Auffälligkeit 4).

Schritt 2: Dauer zählt.

Steht ein Risiko zwei Jahre in Folge auf der höchsten oder zweithöchsten Stufe, muss der Vorstand mit Frist entscheiden: hinnehmen und begründen, Struktur ändern oder aussteigen.

Schritt 3: Ein Betrachtungszeitraum, der nicht mit dem Kalender schrumpft.

Neben dem Schaden im Restjahr steht in jedem Bericht dieselbe Größe für ein gleichbleibendes Fenster, mindestens die folgenden zwölf Monate.

Erst dann lassen sich zwei Berichte vergleichen.
Zwölf Monate sind die Untergrenze, nicht das Ziel:
Das Fenster muss mindestens so lang sein, wie die langsamste Gegenmaßnahme braucht, bis sie wirkt (Frage 4 in Schritt 5).
In der Fahrzeugentwicklung sind das Jahre.
Dazu kommen zwei Angaben, die ganz ohne Fenster auskommen: wie groß der Abstand zur kritischen Grenze ist und wie groß der Abstand zur Grenze bei der heutigen Entwicklung noch ist.

Schritt 4: Planänderungen sichtbar machen.

Jede Anpassung des Plans wird mit Datum, Grund und Beschluss festgehalten. Daneben steht das Delta aller Anpassungen gegenüber dem ursprünglichen Plan. Geht das Delta zweimal hintereinander in dieselbe Richtung, ist das ein eigenes Thema für den Ausschuss.

Schritt 5: Die Liste umdrehen.

Gesammelt werden zuerst die Stellen, an denen das Unternehmen die Welt berührt und an denen seine Teile einander berühren: Kunden, Lieferanten, Kapital, Personal, Technik, die Übergaben zwischen Bereichen. Für jede Stelle werden fünf Dinge aufgeschrieben:

1. Wo ist die Grenze, an der es nicht mehr weitergeht?
2. Welche Schwankung verträgt das Ziel ohne an die Grenze zu stoßen?
3. Wer darf das Ziel ändern, und wie schnell lässt dich das Ziel ändern?
4. Wie lange braucht eine Gegenmaßnahme, bis sie wirkt?
5. Wie oft muss gemessen werden?

Klassische Regeltechnik.

Die Risikoliste ergibt sich dann von selbst. Trägt ein Kunde 40 Prozent des Umsatzes, muss niemand das Klumpenrisiko melden. Der Anteil kann bis null fallen, die Kostenstruktur verträgt nur eine kleine Schwankung, also steht der Wegfall auf der Liste. Und was noch nicht aufgeschrieben ist, wird als offen gezählt statt als „kein Risiko" gelesen.

Die Zielwerte legt der Ausschuss vor dem Start fest. Meine Zahlen sind ein Vorschlag.

Was das Obige nicht löst: Den Meldeweg

#

Jede Rechnung ist so gut wie ihre Eingaben. Wo es jemanden irgendetwas kostet, eine schlechte Nachricht zu melden, werden Eingaben geschönt, bevor irgendein Verfahren sie sieht.

Die Berichte beschreiben den Weg von unten nach oben. Bei Volkswagen bewerten die Bereiche und Gesellschaften selbst; die Risiken werden in einem Mehr-Augen-Verfahren freigegeben und zentral auf Plausibilität geprüft. Das ist als Qualitätssicherung gedacht und sinnvoll. Die Freigabestufen können aber beides: Fehler herausnehmen und Unbequemes glätten.

Ein Verfahren könnte hier dreierlei.

1. Es könnte ausweisen, ob ein Wert gemessen oder geschätzt ist.
2. Es könnte die Zusammenfassung rechnen, statt sie von jeder Ebene neu einfärben zu lassen: Wer das Ergebnis ändern will, muss dann eine Eingabe ändern, und das bleibt sichtbar.
3. Es könnte die schwächste Stelle zeigen anstatt den Durchschnitts.

Was ein Verfahren nicht kann: den Preis des Meldens senken. Ob jemand, der eine Lücke meldet, dafür ein Problem bekommt oder ein Stopp-Recht, entscheidet die Führung. Das ist ein zweites Thema und braucht eine eigene Antwort. Schritt 1 zeigt, ob es das dringendere ist. Eine bessere Liste auf einem geschönten Meldeweg ist vollständiger und trotzdem falsch.

Was den Vorschlag widerlegt

#

• Zeigt Schritt 1, dass die großen Überraschungen früh, in passender Höhe und mit Entscheidung im Register standen, liegt die Ursache woanders.
• Hat einer der drei Konzerne eine Regel, die aus der Dauer eines Risikos eine Entscheidung macht, ist Auffälligkeit 4 für ihn erledigt
• Berichtet Mercedes intern oder an anderer Stelle bereits eine Zahl mit gleichbleibendem Zeit-Fenster, ist Auffälligkeit 3 erledigt. Dann korrigiere ich.
• Die drei Unternehmen bestehen. Meine Belege zeigen, dass die vier Muster in den Berichten vorkommen. Sie zeigen nicht, dass sie schaden. Der Fall Macan passt zur Einstufung; einen Zusammenhang mit dem Register beweist er nicht.

Und wenn Sie keine 100.000 Beschäftigten haben

#

Die fünf Fragen aus Schritt 5 passen auf ein Blatt. Wer für seinen wichtigsten Kunden, seinen wichtigsten Lieferanten und seine Zahlungsfähigkeit nicht sagen kann, wie lange eine Gegenmaßnahme braucht, bis sie wirkt, weiß nicht, ob seine Reserve reicht. Das lässt sich an einem Nachmittag klären.

Wer nicht handelt

#

Die nächste langsame Verschiebung wird behandelt wie die letzte. Sie steht über Jahre auf derselben Stufe, wird jedes Jahr sauber berichtet und erreicht den Vorstand als Entscheidung erst, wenn sie Geld kostet.

Quellen

#

Die Angaben zu den drei Systemen stammen aus Berichten der Unternehmen selbst. Sie sind Selbstdarstellung, aber verbindlich und in weiten Teilen geprüft. Mercedes weist darauf hin, dass die Aussage zur Wirksamkeit des Risikomanagements nicht Gegenstand der Abschlussprüfung ist. Zwei Angaben kommen von außerhalb der Risikoberichte: der Gesetzestext zum Halbjahresbericht und der Börsenprospekt der Porsche AG von 2022.

Nachgewiesen ist, was unten mit Fundstelle steht. Meine Deutung ist, was ich daraus folgere: dass die vier Muster zusammengehören und dass die Schritte helfen.

Image by Grant Muller from Pixabay