64
qualitative Methoden zur Risikobewertung ein.
Als Instrument wird hier in erster Linie die Risi-
komatrix in Kombination mit einem Scoring-
Modell verwendet. Methoden mit einem quan-
titativen Fokus, wie etwa Szenario- und Sensi-
tivitätsanalysen oder statistische Ansätze,
konnten in keiner der untersuchten Organisa-
tionen beobachtet werden (vgl. Wolf/Runzhei-
mer 2009, Martin/Bär 2002). Was die Regel-
mäßigkeit der Anwendung von Instrumenten
der Risikobeurteilung betrifft, untersuchen zu-
mindest 4 (27%) der NPOs einzelne Risiken
regelmäßig, mit einem Schwerpunkt auf finan-
ziellen Kenngrößen, und in 5 (33%) der Orga-
nisationen erfolgt mindestens jährlich eine de-
taillierte Analyse aller wesentlichen Risiken.
Nachholbedarf bei Risikosteuerung
und -überwachung
Während sowohl die Risikoidentifikation als
auch die Risikobeurteilung in erster Linie den
„Risiko-Ist-Zustand“ dokumentieren, geht es
bei der Risikosteuerung darum, die gewonne-
nen Erkenntnisse zu nutzen, um die Risikoex-
position im Einklang mit den Zielen der Organi-
sation zu gestalten (vgl. Wolke 2008). Lediglich
5 (33%) der untersuchten NPOs leiten aus der
Risikoinventur Maßnahmen zum Umgang mit
den identifizierten Hauptrisiken der Organisati-
on ab. Diese Maßnahmen werden jedoch nur
selten konkret im Risikokatalog festgehalten
und systematisch dokumentiert. Aus techni-
scher Sicht dominierten in den meisten der be-
fragten NPOs zur Risikosteuerung Standard Of-
fice-Software-Tools und nur bei 3 (20%) der un-
tersuchten Organisationen wurden spezielle Ri-
sikomanagement-Softwaresysteme eingesetzt.
Den letzten Schritt des Risikomanagementpro-
zesses bildet die Risikoüberwachung, wozu
auch die kontinuierliche interne und externe
Berichterstattung über die Risikolage der Or-
ganisation gehört (vgl. Hoffmann 2012). Wie
schon bei den vorherigen Prozessschritten
war auf unterschiedlichen Ebenen ein breites
Spektrum der Kommunikation von Risiken zu
beobachten. Bei jeweils 7 (47%) der befragten
NPOs war entweder gar kein formales Risiko-
berichtswesen vorhanden oder es wurde nur
einmal jährlich über die Risiken, denen die Or-
ganisation ausgesetzt ist, berichtet. Demge-
NPOs verbindet die Ergebnisse der Inventur mit
der strategischen Planung. Primäres Hilfsmittel
zur Identifikation von Risiken sind dabei Mitar-
beiterbefragungen und Risikoworkshops mit
Experten zentraler Fachbereiche (vgl. Martin/
Bär 2002). Demgegenüber dominierte bei den
übrigen 8 (53%) Organisationen eine ad-hoc
beziehungsweise situationsspezifische Be-
schäftigung mit dem Risikophänomen.
Methoden mit quantitativem Fokus
werden nicht angewandt
Dem Schritt der Risikoidentifikation schließt
sich die Risikobeurteilung und -aggregation von
Einzelrisiken an. Hier interessierte in den Inter-
views vor allem, mit Hilfe welcher Methoden
und Instrumente Risiken quantifiziert und in ih-
rer Bedeutung gewichtet werden. Insgesamt
konnte festgestellt werden, dass bei der Risiko-
beurteilung der untersuchten NPOs zwei Vorge-
hensweisen dominieren. Als Konsequenz der li-
mitierten Risikoidentifikation ist dies einerseits
die pauschale Abbildung von Risiken in der
Buchhaltung durch die Bildung von Rückstel-
lungen für Eventualverluste, was bei 7 (47%)
der befragten Organisationen zutrifft. Die übri-
gen 8 (53%) der NPOs setzten dagegen auch
der Umsetzung von Methoden des Risikoma-
nagements.
Die Umsetzung des Risikomanagements
ist sehr inhomogen
Im Gesamtergebnis konnte beobachtet wer-
den, dass die Umsetzung des Risikomanage-
ments in den untersuchten deutschen NPOs
sehr inhomogen ist und weitgehend unter-
schiedliche Umsetzungsvarianten existieren.
Dabei reichte das Spektrum von einer sehr li-
mitierten Beschäftigung mit dem Thema Risiko
und der Nichtexistenz eines systematischen
Umgangs mit Risiken bis hin zur Implementie-
rung von Konzepten und „Best Practices“ aus
dem privatwirtschaftlichen Bereich. Auch
konnte in den Gesprächen ein teilweise sehr
eingeschränktes Verständnis des Risikobe-
griffs und der Aufgabe des Risikomanage-
ments festgestellt werden (vgl. Middendorf
2005). Dies zeigte sich etwa bei dem initialen
Schritt der Risikoidentifikation und der damit
verbundenen Definition und Abgrenzung der
Risikoexposition der Organisation. So führen
nur 7 (47%) der befragten Organisationen eine
systematische Risikoinventur mindestens ein-
mal jährlich durch und nur eine der befragten
Autoren
Prof. Dr. Andreas Hoffjan
ist Inhaber des Lehrstuhls Unternehmensrechnung und
Controlling an der TU Dortmund.
E-Mail:
Dr. Tobias Broweleit
ist Wissenschaftlicher Leiter Finanzmanagement und
Performance Measurement an der Internationalen
Hochschule Bad Honnef-Bonn.
E-Mail:
Prof. Dr. Michael Brandau
ist Professor für Betriebswirtschaftslehre, insb. Rechnungs-
wesen und Controlling an der FH Bielefeld.
E-Mail:
Risikomanagement in Nonprofit-Organisationen
