Die Berufssphäre eines Personalverantwortlichen ist »gepflastert« mit Risiken unterschiedlichster Art. Angefangen mit dem Personalplanungsrisiko über die Personalbeschaffung bis zur Sozialauswahl bei Entlassungen. Sollen derartige Risiken singulär oder in Summe in ein Risikomanagementsystem einfließen?

In diesem Beitrag erfahren Sie:

• wie unternehmerisches Risikomanagement und die Personalfunktion miteinander verbunden sind,
• wie aktuelle Risikomanagementsysteme sachlich strukturiert und personell organisiert sind,
• wie sich Personalrisiken quantitativ abbilden und in eine gesamtwirtschaftliche Risikobetrachtung einfließen lassen.

Warum überhaupt Risikomanagement für das Personalwesen?

Personalverantwortliche haben in ihrem Umfeld mit unterschiedlichsten Risiken zu tun. Diese reichen zum Beispiel von der Frage, ob mittel- und langfristig die passend qualifizierten Mitarbeiter an Bord sind, über das Thema Personalbeschaffung von wichtigen Know-how-Trägern für sensible Bereiche zum Beispiel Grundlagenforschung oder Kundenfront bis hin zur Problematik, ob sich die Sozialauswahl für eine Entlassungsaktion so umsetzen lässt, dass sie einer arbeitsgerichtlichen Überprüfung standhält.

Vor diesem Hintergrund stellt sich die Frage, ob derartige Risiken singulär zu behandeln sind oder in Summe in ein Risikomanagement-System gemäß dem Gesetz zur Kontrolle und Transparenz im Unternehmensbereich KonTraG einfließen sollen. Von welchen Entscheidungsfaktoren könnte die Beantwortung dieser Frage abhängen?

Tatsache ist, dass beim Erfahrungsaustausch zwischen Risikomanagement-Verantwortlichen aus deutschen Großunternehmen Human-Resource-Aspekte nur sehr selten thematisiert werden. Anders ist es im Kreis von Revisionsverantwortlichen, dort zeigt sich ein wachsendes Interesse an der Personalproblematik. Hieraus lässt sich möglicherweise ableiten, dass zwar die Risikobehaftung von einzeln oder summarisch auftretenden Personalthemen deutlich erkannt ist, es jedoch Schwierigkeiten bereitet, sie in ein System zu »pressen«.

Tatsache ist, dass anlässlich von Erfahrungsaustauschtreffen zwischen Risikomanagement-Verantwortlichen aus deutschen Großunternehmen Human-Resource-Aspekte nur sehr selten thematisiert werden. Anders ist es im Kreis von Revisions-Verantwortlichen; dort zeigt sich ein wachsendes Interesse an der Personalproblematik.

Hieraus lässt sich möglicherweise ableiten, dass zwar die Risikobehaftung von einzeln oder summarisch auftretenden Personalthemen deutlich erkannt ist, es jedoch Schwierigkeiten bereitet, sie in ein System zu »pressen«.

Folgende Fragen zur Charakteristik von Personalrisiken stellen sich hierzu:

• Sind Personal-Risiken normalerweise zu stark verästelt, als dass sie in Form eines einheitlich definierbaren, großen »Risikoblocks« erkennbar werden?

• Sind sie, wenn sie eine große Dimension erlangen zum Beispiel bei der Planung und Umsetzung massiver Entlassungsaktionen ohnehin derart im Rampenlicht der Unternehmensleitung, dass sie nicht noch zusätzlich im Risikobericht erscheinen müssen?

• Haftet diesen Risiken im personellen Bereich möglicherweise etwas »Intimes/Hochsensibles« an zum Beispiel auch in Verbindung mit Mitbestimmungsfragen, dass sie dieserhalb eher selten Eingang in die Berichterstattung finden?

• Ist es vielleicht die tatsächlich nur äußerst schwierig erzielbare Quantifizierung, die von einer systematischen Erfassung und Darstellung zurückschrecken lässt?

Vorgehensweise und Zielsetzung des Beitrags

Zunächst also mehr Fragen als Antworten. Daher ist es im Hinblick auf eine gesamthafte Betrachtung möglicherweise zielführend, sich zunächst mit dem Ausgangspunkt der Thematik zu befassen: der gesetzlichen Grundlage. Anschließend wird es um die Kriterien für ein funktionierendes Risikomanagementsystem gehen und um die Analyse, wie Personalrisiken in diese Systematik integrierbar sind.

Es soll in diesem Beitrag allerdings nicht darum gehen, alle nur erdenklichen Personalrisiken inklusive des Umgangs damit aufzuzeigen, sondern eher anhand einiger typischer Beispiele die Integration in ein Risikomanagements-System nachvollziehbar darzustellen. Jedes Unternehmen hat seine spezifischen Risikothemen, die dann idealerweise im Zusammenspiel zwischen Personal- und Risikomanagementsystem-Verantwortlichen passend aufbereitet eingebracht werden.

Wichtig für den Personaler ist es dabei, sich im Vorfeld bewusst zu machen, ob es sich jeweils um ein Risiko handelt, das allein in seinen Verantwortungsbereich fällt oder in dem er eine wie auch immer geteilte Verantwortung zusammen mit anderen Funktionsbereichen im Unternehmen trägt.

Grundlagen des Risikomanagements

Gesetzliche Grundlagen

Risikomanagement ist für sich genommen nichts Neues. In den 90er Jahren aufgetretene Schieflagen bei Banken und Industrieunternehmen ließen jedoch daran zweifeln, ob Risikomanagement, so wie es der Gesetzgeber von jedem ordentlichen Geschäftsleiter fordert, ernsthaft betrieben wird. Zu den prominentesten Fällen der jüngeren Vergangenheit gehören der italienische Lebensmittelkonzern Parmalat und der amerikanische Energiehändler Enron. Enron fiel Ende 2001 in Insolvenz. Handelspartner von Enron, die selbst nicht über ein adäquates Risikomanagement verfügten und somit ihre Risiken nicht oder nicht rechtzeitig erkannt hatten, mussten herbe Verluste tragen.

KonTraG

Nachdem zunächst Risikomanagement und Risikocontrolling als Steuerungs- und Überwachungsinstrumente für das Handelsgeschäft von Banken aufsichtsbehördlich vorgeschrieben waren, nahm sich der Gesetzgeber 1998 mit dem Gesetz zur Kontrolle und Transparenz im Unternehmensbereich KonTraG Unternehmen in der Rechtsform einer Aktiengesellschaft an. Durch die Erweiterung des § 91 AktG um einen Abs. 2 wird vor allem die Gewährleistung der Existenz eines Risikofrüherkennungssystems gefordert, um den Bestand gefährdende Risiken frühzeitig zu erkennen. Zu den bestandsgefährdenden Risiken gehören nach der Gesetzesbegründung [1] insbesondere solche Risiken, welche sich wesentlich auf die Finanz-, Vermögens- und Ertragslage des Unternehmens auswirken.

Verantwortung des Vorstands

Risikofrüherkennung ist Teil des Risikomanagements, das schon immer zu den Leitungsaufgaben eines Vorstands gehört. Allerdings ergibt sich durch die besondere gesetzliche Hervorhebung dieser Verpflichtung rechtlich eine Beweislastumkehr bezüglich Haftung des Vorstands. Dieser hat den Entlastungsbeweis zu führen, dass er seiner gesetzlichen Verpflichtung im erforderlichen Rahmen nachgekommen ist. Der Vorstand haftet gesamthaft, unabhängig von der internen Geschäftsverteilung.

Ausweitung auf alle großen Unternehmen

Schon bald bestand außerdem Klarheit darüber, dass die gesetzlichen Vorschriften über die Einrichtung eines Risikofrüherkennungssystems Einrichtungspflicht nicht nur für Aktiengesellschaften gelten, sondern analog für große Unternehmen anderer Rechtsformen anzuwenden sind [2]. Lediglich die Prüfung des Risikomanagementsystems durch den Wirtschaftsprüfer Prüfungspflicht ist gem. § 317 Abs. 4 HGB in Verbindung mit dem Transparenz- und Publizitätsgesetz [3] auf börsennotierte Aktiengesellschaften beschränkt. Innerhalb von Konzernen besteht entsprechend den gesetzlichen Vorschriften über die einheitliche Konzernleitung [4] die Einrichtungs- und Prüfungspflicht auch für alle Konzernunternehmen, die bei isolierter Betrachtung sonst kein Risikofrüherkennungssystem einrichten müssten.

Best-Practice-Regelungen

Der Gesetzgeber ließ durch seine offene Gesetzesformulierung Unternehmen und Wirtschaftsprüfer hinsichtlich der Ausgestaltung dieses Systems allerdings weitgehend im Unklaren. Weder sind die Begriffe Risiko und Risikomanagement definiert, noch bestehen Regelungen zum organisatorischen Aufbau eines Risikomanagementsystems und zu den zu etablierenden Prozessen. Zwischenzeitlich haben sich jedoch durch die vom Institut der Wirtschaftsprüfer aufgestellten Prüfungsstandards [5], den Deutschen Rechnungslegungsstandards 5 und 15 zur Lageberichterstattung und die intensive Diskussion der Thematik in der Literatur [6] »best practice-Regelungen« herausgebildet.

Weitere Entwicklung

Die Diskussion über das unternehmensinterne Risikomanagement sind allerdings damit noch nicht beendet. In Abbildung 1 sind die aktuellen und heute bekannte künftige rechtlichen Vorschriften für das Risikomanagement dargestellt. Neben den bereits skizzierten geltenden Rechtsnormen wurden neue Anforderungen begründet. So ist die Eigenkapitalvereinbarung von Basel, so genanntes Basel II [7], unter anderem durch die Novelle des Kreditwesengesetzes zum 1.1.2007 umgesetzt worden. Für kapitalmarktorientierte Unternehmen, die nach internationalen Rechnungslegungsstandards berichten, ist für Geschäftsjahre, die nach dem 1.1.2007 beginnen, der neue IFRS 7 in Kraft getreten. Dieser begründet erweiterte Berichtspflichten im Anhang.

Zum 1.1.2009 steht die Umsetzung des Bilanzrechtsmodernisierungsgesetzes BilMoG [8] an, welches für Geschäftsjahre anzuwenden ist, die nach dem 1.1.2009 beginnen. Neben der tiefgreifenden Modernisierung HGB-rechtlicher Vorschriften sind auch Neuerungen vorgesehen, die das Risikomanagement betreffen. Nach dem Gesetzesentwurf steht das interne Risikomanagement nun gleichwertig neben dem internen Kontrollsystem. Künftig ist die Berichterstattung der wesentlichen Merkmale des internen Risikomanagements im Hinblick auf den Rechnungslegungsprozess zwingend. Weiterer Kernpunkt ist, dass in Zukunft die Wirksamkeit der internen Risikomanagementsysteme in die Überwachungsaufgaben des Aufsichtsorgans fallen. Mit dieser expliziten Aufgabenzuweisung an den Aufsichtsrat wird die überarbeitete 8. EU-Richtlinie [9] in nationales Recht transformiert.