Risikoquantifizierung

Die Risikoquantifizierung (englisch risk quantification) ist im Rahmen des Risikomanagements die Quantifizierung der durch Risikoanalyse ermittelten Risiken eines Unternehmens.

Allgemeines

Das entscheidende Problem jeder Unternehmensplanung ist die Unsicherheit über die Zukunft, weshalb Handlungsergebnisse als Zufallsvariablen anzusehen sind. Die daraus erwachsende Möglichkeit einer Planabweichung ist definiert als Risiko.

Die vollständige Risikowahrnehmung ist die Voraussetzung dafür, dass Risiken überhaupt erkannt und entdeckt werden können. Hierbei ergibt sich bereits das Problem, dass verschiedene Risikoträger dasselbe Risiko unterschiedlich oder gar nicht wahrnehmen. Erfolgt die Risikowahrnehmung fehlerhaft als selektive Wahrnehmung, so werden nur bestimmte Risiken wahrgenommen, andere vorhandene jedoch ausgeblendet. Eine mangelhafte Risikowahrnehmung wirkt sich negativ auf die nachfolgenden Phasen des Risikomanagements aus.

Die Risikoquantifizierung ermöglicht die Priorisierung von Risiken und deren Vergleich mit anderen Risiken eines Unternehmens.

Prozessablauf

Der Risikoquantifizierung vorausgegangen ist die Risikoanalyse. Bei der Risikoquantifizierung werden die Anzahl und die Höhe der vorhandenen und analysierten Risiken gemessen. Während die Anzahl die vorgefundenen Risikoarten und deren Wahrscheinlichkeitsverteilungen wiedergibt, wird die Risikohöhe durch das jeweilige Risikomaß bestimmt. Zunächst werden die identifizierten Risiken quantitativ durch geeignete Verteilungsfunktionen (Wahrscheinlichkeitsverteilung) beschrieben. Anschließend wird ein Risikomaß benutzt, um der Verteilung die Höhe des Risikos zu entnehmen. Die Anwendung von Risikomaßen auf (Verlust-)Verteilungsfunktionen erfordert eine Beschreibung mittels einer geeigneten Dichte- oder Verteilungsfunktion (oder historischen Daten) über die Wirkung des Risikos und die Zuordnung von Risikomaßen: Ein solches Risikomaß ist im Bankwesen der Value at Risk, mit dem wirtschaftliche Risikopositionen gemessen werden. Ein weiteres Risikomaß ist der von einer technischen Anlage ausgegangene Schaden.

Für die Ermittlung einer geeigneten Dichtefunktion gibt es mehrere alternative Varianten:

• Durch zwei Verteilungsfunktionen: Eine zur Darstellung der Schadenshäufigkeit in einer Periode (beispielsweise mit Hilfe der Poisson-Verteilung) und eine weitere zur Darstellung der Schadenshöhe je Schadensfall (beispielsweise mit Hilfe der Normalverteilung).
• Durch eine verbundene Verteilungsfunktion, mit der die Risikowirkung in einer Periode dargestellt wird.

Ein Risikomaß (wie die Standardabweichung oder der Value at Risk) ist eine Zuordnung, welche einer Dichte- oder Verteilungsfunktion einen reellen Wert zuordnet. Dieser Wert soll das zugehörige Risiko darstellen. Hiermit wird ein Vergleich von Risiken ermöglicht, die durch unterschiedliche Verteilungsfunktionen beschrieben werden. Welche Eigenschaften eine solche Zuordnung erfüllen muss, um ein Risikomaß darzustellen, wird in der Literatur uneinheitlich beurteilt.

Die Risikomaße können sich auf Einzelrisiken (zum Beispiel Schäden an Sachanlagen), aber auch auf den Gesamtrisikoumfang (etwa bezogen auf den Gewinn) eines Unternehmens beziehen. Die quantitative Bewertung einer Gesamtrisikoposition erfordert eine Aggregation der Einzelrisiken. Diese ist beispielsweise mittels Monte-Carlo-Simulation möglich, bei der die Wirkungen aller Einzelrisiken in ihrer Abhängigkeit im Kontext der Planung betrachtet werden.

Bankwesen

Im Bankwesen und in der Projektfinanzierung wird zwischen statischer und dynamischer Risikoquantifizierung unterschieden. Die statische Risikoquantifizierung beruht auf der Überlegung, dass der Schuldendienst im Kreditgeschäft durch die Cashflows bei den Kreditnehmern gedeckt werden muss. Die dynamische Risikoquantifizierung untersucht anhand der Sensitivitätsanalyse und deren Unterform der Szenariotechnik die genaueren Risikoursachen wie sie sich aus den Schwachstellen des Cashflow ergeben können.

Erfassung von Risiken in Relevanzklassen

Im Prozess der Risikoidentifikation wird durch die gewählte Systematik eine möglichst vollständige Erfassung aller relevanten Risiken sichergestellt. Hier kann durch eine fokussierte und hierarchische Vorgehensweise bereits die Konzentration auf potenziell besonders risikoträchtige Bereiche sichergestellt werden.

An der Schnittstelle von Risikoidentifikation zu Risikoquantifizierung können die so aufgedeckten Risiken in Relevanzklassen erfasst werden. Dies kann beispielsweise anhand folgender fünfgeteilter Skala erfolgen:

• Relevanz 1: unbedeutendes Risiko, das kaum spürbare Abweichungen vom Betriebsergebnis verursacht.
• Relevanz 2: mittleres Risiko, das eine spürbare positive oder negative Beeinträchtigung des Betriebsergebnisses bewirkt.
• Relevanz 3: bedeutendes Risiko, welches das Betriebsergebnis stark positiv oder negativ beeinflusst.
• Relevanz 4: schwerwiegendes Risiko, das im positiven Fall das Betriebsergebnis mehr als verdoppeln, im negativen Fall jedoch erheblich reduzieren und zu einem Jahresfehlbetrag führen kann.
• Relevanz 5: Risiko, das mit einer wesentlichen Wahrscheinlichkeit das Betriebsergebnis mehr als vervierfachen, im negativen Fall jedoch den Fortbestand des Unternehmens gefährden kann.

Die Relevanz dient als weiterer Filter für die Priorisierung der Risiken und gibt die Gesamtbedeutung eines Risikos für das Unternehmen wieder.

Risiko-Neustrukturierung

Risiken werden zumeist als Einzelrisiken erfasst, tatsächlich jedoch existieren „komplexe Risiken“, d. h., es bestehen Überschneidungen oder andere stochastische Abhängigkeiten. Vor der Risikoquantifizierung ist aus diesem Grund eine Neustrukturierung der Risiken erforderlich. Dies erfordert ein Verständnis der Ursachen und Wirkungen aller Risiken. Ein erster Ansatz ist die Zusammenfassung von Einzelrisiken. Hierfür stellt Werner Gleißner drei heuristische Regeln auf:

1. Ursachenaggregation: Risiken mit gleicher Ursache werden zusammengefasst und ihre Wirkung aggregiert.
2. Wirkungsaggregation: Bei Risiken mit gleicher Auswirkung werden die Wahrscheinlichkeiten der Ursachen aggregiert.
3. Ausschlussregel: Risiken, welche nicht zusammen eintreten können, werden bei der Risikoquantifizierung nicht gleichzeitig zugelassen.

Bei der anschließenden Risikoaggregation ist es bedeutsam, die tatsächlichen stochastischen Abhängigkeiten auf der Ursachen- und Wirkungsebene verschiedener Einzelrisiken adäquat zu berücksichtigen.

Übersicht über mögliche Verteilungen

Der zentrale Aspekt der Risikoquantifizierung ist die Beschreibung eines Risikos durch eine geeignete mathematische Verteilungsfunktion. Sehr oft werden Risiken durch die Parameter Eintrittswahrscheinlichkeit und Schadenshöhe beschrieben. Das entspricht einer Binomialverteilung. Manche Risiken hingegen, die mit unterschiedlicher Wahrscheinlichkeit verschiedene Höhen erreichen können, werden durch andere Verteilungsfunktionen quantifiziert. Die wichtigsten Verteilungsfunktionen im Rahmen des praktischen Risikomanagements werden nachfolgend vorgestellt. Dabei ist zu beachten, dass flexible Möglichkeiten existieren, um ein Risiko durch eine adäquate Wahrscheinlichkeitsverteilung zu charakterisieren, weshalb von einer vorherigen, strikten Festlegung auf einen Wahrscheinlichkeitstyp abzuraten ist.

Binomialverteilung

Die Binomialverteilung beschreibt die Anzahl der Erfolge in einer Serie von gleichartigen und unabhängigen Versuchen, die jeweils genau zwei mögliche Ergebnisse haben („Erfolg“ oder „Misserfolg“), welche mit den Wahrscheinlichkeiten $p$ bzw. $1-p$ eintreten. Bei der Quantifizierung eines Risikos sind die beiden möglichen Ereignisse das Eintreten des Risikos (innerhalb einer vorgegebenen Periode) mit einer gegebenen Schadenshöhe und der Eintrittswahrscheinlichkeit $p$ und das Nicht-Eintreten des Risikos – was einer Schadenshöhe von Null entspricht – mit der Wahrscheinlichkeit $1-p$.

Normalverteilung

Die Normalverteilung kommt in der Praxis häufig vor. Gemäß dem zentralen Grenzwertsatz kann das Gesamtrisiko mit einer Normalverteilung abgeschätzt werden, wenn sich ein Risiko aus vielen kleinen, voneinander unabhängigen Einzelrisiken zusammensetzt. Ob der Symmetrie der Normalverteilung sind positive Abweichungen vom Erwartungswert ebenso wahrscheinlich wie negative. Die Parameter Erwartungswert (μ) und Standardabweichung (σ) charakterisieren die Verteilung. Die Anwendung der Normalverteilung ist günstig für Fälle, in denen der Erwartungsbereich in keine Richtung eingeschränkt werden kann, die Schwankungswahrscheinlichkeit in beide Richtungen gleich ist und die Wahrscheinlichkeit mit steigendem Abstand zum Modus schneller fällt.

Logarithmische Normalverteilung

Die logarithmische Normalverteilung ist eine kontinuierliche Wahrscheinlichkeitsverteilung über der Menge der positiven reellen Zahlen. Ist $Y$ normalverteilt, dann folgt $X$ einer logarithmischen Normalverteilung, wenn $Y=logX$ gilt. Während die Normalverteilung mit der additiven Überlagerung einer großen Anzahl voneinander unabhängiger zufälliger Ereignisse in Zusammenhang gebracht werden kann, ist es bei der logarithmischen Normalverteilung das multiplikative Zusammenwirken vieler zufälliger Einflüsse. Diese Verteilung wird durch die Parameter Erwartungswert (μ) und Standardabweichung (σ) beschrieben.

Die logarithmische Normalverteilung wird häufig angewendet, wenn der Erwartungsbereich in keine Richtung eingeschränkt werden kann und – im Gegensatz zur Normalverteilung – die Abweichung vom wahrscheinlichsten Wert in eine bestimmte Richtung wahrscheinlicher ist. Zum Einsatz kommt die Verteilung daher bei Lebensdaueranalysen von ökonomischen, technischen und biologischen Vorgängen.

Dreiecksverteilung

Die Dreiecksverteilung erlaubt die quantitative Beschreibung eines Risikos. Es müssen lediglich drei Werte für die risikobehaftete Variable angegeben werden: der Minimalwert, der Maximalwert und der wahrscheinlichste Wert. Der Anwender muss bei der Verwendung der Dreiecksverteilung keine Wahrscheinlichkeit abschätzen, sodass sich diese Verteilung auch ohne tiefgehende statistische Vorkenntnisse leicht nutzen lässt. Die Dreiecksverteilung weist ebenfalls die Eigenschaften Erwartungswert (μ) und Standardabweichung (σ) auf. Die Dreiecksverteilung empfiehlt sich für Anwendungsfälle, in welchen der Erwartungsbereich konkret eingeschränkt werden kann und bei welchen die Wahrscheinlichkeit mit steigendem Abstand zum wahrscheinlichsten Wert gleichmäßig in die jeweilige Richtung abfällt.

Stetige Gleichverteilung

Die stetige Gleichverteilung hat auf einem Intervall eine konstante Wahrscheinlichkeitsdichte. Alle Werte innerhalb dieses Bereichs werden als gleich wahrscheinlich angenommen, sodass lediglich die Angabe der Bandbreite benötigt wird, innerhalb derer die Werte der Zufallsvariable liegen können. Wie bei der Dreiecksverteilung ist bei der Quantifizierung keine Wahrscheinlichkeitsangabe notwendig.

Die Gleichverteilung ist dann anzusetzen, wenn keinerlei Wahrscheinlichkeit bekannt ist, denn diese Verteilung ist mit Sicherheit bekannt und garantiert die Berücksichtigung von Risiken auch im Fall schlechten Datenmaterials. → siehe Risikoquantifizierung bei schlechter Datenlage

Pareto-Verteilung

Die Pareto-Verteilung ist eine stetige Wahrscheinlichkeitsverteilung auf einem rechtsseitig unendlichen Intervall. Wiederum charakterisieren diese Verteilung die Parameter Erwartungswert (μ) und Standardabweichung (σ). Die Pareto-Verteilung hat einen schwereren Rand als die Normalverteilung, weshalb sie insbesondere für die quantitative Beschreibung von Extremereignissen zum Einsatz kommt.

Weitere Möglichkeiten der mathematischen Beschreibung

Anstatt ein Risiko unmittelbar durch die Auswirkungen innerhalb einer Planperiode zu beschreiben, kann auch eine Charakterisierung durch zwei Verteilungen erfolgen, welche zunächst aggregiert werden müssen. Insbesondere bei versicherbaren Risiken ist diese Praxis üblich, wobei eine Wahrscheinlichkeitsverteilung für die Häufigkeit eines Schadens und eine zweite für die unsichere Schadenshöhe je Schadensfall benutzt wird. Das Verwenden mehrerer Wahrscheinlichkeitsverteilungen kann auch zur Darstellung komplexer Problemstellungen genutzt werden. Durch die Kombination von zwei Verteilungen wird man diesen häufig besser gerecht als mit der Beschreibung durch eine einzelne Verteilung.

Beispielsweise kann das Risiko bei einem Haftpflichtprozess durch eine Kombination der Binomialverteilung mit der Dreiecksverteilung dargestellt werden. Die Wahrscheinlichkeit, mit welcher der Prozess verloren wird, folgt dabei der Binomialverteilung, und die mögliche Schadenssumme wird durch die Angabe von Mindestwert, wahrscheinlichstem Wert und Maximalwert näher bestimmt (Dreiecksverteilung).

Zeitlicher Bezug

Bei der Risikoquantifizierung ist es sinnvoll, auf Daten bezüglich in der Vergangenheit eingetretener Risikowirkungen, Benchmark-Werte vergleichbarer Risiken oder selbst erstellten Schadensszenarien zurückzugreifen. Bei der Untersuchung möglicher quantitativer Konsequenzen auf das Unternehmensergebnis sind die Auswirkungen auf die Umsatz- und die Kostenentwicklung zu beleuchten. Die dargestellten Wahrscheinlichkeitsverteilungen charakterisieren die Risikowirkung zu einem Zeitpunkt oder in einer Periode. In der Praxis hingegen können Risiken durchaus mittel- und langfristige, zeitlich nicht fest einzuordnende Konsequenzen aufweisen. Die Abhängigkeiten der Risikoauswirkung von Periode zu Periode sowie die zeitliche Entwicklung unsicherer Plangrößen und exogener Risikofaktoren müssen dabei berücksichtigt werden, wozu stochastische Prozesse benutzt werden.

Zuordnung von Risikomaßen

Im Anschluss an die quantitative Beschreibung der relevanten, identifizierten Risiken durch geeignete Verteilungsfunktionen, wird ein Risikomaß benutzt, um der Verteilung die Höhe des Risikos zu entnehmen. Ein Risikomaß (z. B. Standardabweichung oder Value at Risk) ordnet der Dichte- oder Verteilungsfunktion einen reellen Wert zu und ermöglicht so den Vergleich unterschiedlich dargestellter Risiken.

Der Risikoquantifizierung folgt im Prozessablauf die Risikoaggregation.

Umsetzung in der Praxis

Mögliche Anwendungen

Die Risikoquantifizierung ermöglicht es Unternehmen, die Güte ihrer Entscheidungen durch ein systematisches, standardisiertes Abwägen der erwarteten Erträge im Verhältnis zu den eingegangenen Risiken zu verbessern. Das Kontroll- und Transparenzgesetz (KonTraG) hat in Deutschland den Anstoß zu einer umfassenden Auseinandersetzung mit Risiken in der Unternehmenspraxis gegeben. Insbesondere der daraufhin entwickelte IDW Prüfungsstandard 340 macht die Bedeutung der Quantifizierung und anschließenden Aggregation wesentlicher Unternehmensrisiken deutlich.

Nachfolgende Darstellungen geben Aufschluss über die Notwendigkeit einer Risikoquantifizierung in Unternehmen:

• Fast alle unternehmerischen Entscheidungen (z. B. Investitionen) erfordern die Quantifizierung von und ein Rechnen mit Risiken, um Entscheidungen unter Unsicherheit treffen zu können.
• Die Bewertung eines Unternehmens oder einer Investition mit dem Kapitalwertkriterium (Barwert) bedarf der Erfassung des quantifizierten Risikoumfangs im Kapitalkostensatz (Diskontierungszinssatz). Das bedeutet, der Risikoumfang muss in einen risikogerechten Kapitalkostensatz umgerechnet werden.
• Zum Vergleich des Risikoumfangs mehrerer Geschäftsfelder müssen die jeweiligen Risiken zusammenfassend beurteilt werden (unter Berücksichtigung von Diversifikationseffekten).
• Die Beurteilung der Bestandsgefährdung eines Unternehmens und die Ableitung eines Ratings erfordern einen Vergleich des aggregierten Gesamtrisikoumfangs mit der Risikotragfähigkeit (Eigenkapital und Liquiditätsreserve).
• Bei der Optimierung der Risikobewältigungsstrategie eines Unternehmens ist ein Abwägen von den Veränderungen der erwarteten Rendite gegen Veränderungen des Risikoumfangs erforderlich.

Nicht-Berücksichtigung von Risiken

Dem Wissen um die Notwendigkeit der Risikoquantifizierung zum Trotz werden viele Risiken in der Unternehmenspraxis nicht quantifiziert, als nicht quantifizierbar bezeichnet, die Einzelrisiken nicht aggregiert oder quantifizierte Risiken nicht im Hinblick auf ihre Konsequenzen bezüglich der Kapitalkostensätze bewertet. Die Ursachen sind einerseits Kenntnisdefizite hinsichtlich der Methodik und des Umfangs von Risikoquantifizierung und die Abneigung der Menschen, mit mathematischen Ansätzen umzugehen.

Andererseits wird oft auf die Quantifizierung von Risiken verzichtet, weil die Unternehmen meinen, es gäbe über die quantitativen Auswirkungen und die Eintrittswahrscheinlichkeit eines Risikos kein adäquates Datenmaterial. Anstatt derartige Risiken mit den oben beschriebenen Methoden zu quantifizieren, werden sie in der Praxis häufig nicht berücksichtigt und lediglich als „Merkpositionen“ im Risikomanagement geführt. Sie haben damit keinen Einfluss auf die nachgelagerte Risikoaggregation, wodurch insgesamt eine unvollständige und verzerrte Beurteilung der Risikosituation erwächst. Dies hat negative Auswirkungen auf die Beurteilung der Bestandsgefährdung des Unternehmens, die Berechnung des Eigenkapitalbedarfs und die Ableitung risikogerechter Kapitalkostensätze für die Unternehmenssteuerung.

Risikoquantifizierung bei schlechter Datenlage

Eine „schlechte Datenlage“ ist ein Anzeichen für hohes Risiko, weshalb die Risikoquantifizierung gerade in diesem Fall wichtig ist und nicht wie in der Praxis üblich eine Nicht-Quantifizierung stattfinden sollte. Der Begriff „Nicht-Quantifizierung“ ist ein Euphemismus, schließlich wird ein Risiko auch bei einer vermeintlichen Nicht-Quantifizierung bewertet, und zwar mit dem Wert Null. Da dies in den meisten Fällen eine schlechte Abschätzung des Risikos ist, sollte die Quantifizierung mit den besten zur Verfügung stehenden Informationen durchgeführt werden.

Liegen weder historische Daten, Benchmarkwerte noch andere Informationen vor, kann auf subjektive Schätzungen der quantitativen Höhe des Risikos durch Experten des Unternehmens zurückgegriffen werden. Befragt man mehrere Experten und liegen den Schätzungen nachvollziehbare Herleitungen zugrunde, können mit dieser Methode akzeptable Informationen gewonnen werden. Die subjektiv geschätzten Risiken können genau so weiterverarbeitet werden wie (vermeintlich) objektiv quantifizierte. Die Heterogenität der Expertenmeinungen verrät dabei viel über den Umfang eines Risikos. Ist keinerlei Wahrscheinlichkeit bekannt und eine subjektive Schätzung nicht möglich, so kann eine Gleichverteilung unterstellt werden.

Parameterunsicherheiten im Umgang mit Risiken

Auch Unternehmen, die ihre Risiken umfassend quantifizieren, stoßen im Risikomanagement auf Probleme mit den zur Verfügung stehenden Unternehmensdaten. Die Risikoquantifizierung beruht idealerweise auf einer Vielzahl von Daten. In der Realität liegen hingegen häufig nur wenige Vergangenheitsdaten vor, diese lassen sich – aufgrund von adaptiven Erwartungen und Lernverhalten von Individuen („Verhaltensrisiko“) – nur bedingt als repräsentativ für die Zukunft ansehen, und zum Teil gibt es gar keine verfügbaren Informationen. Dabei sind die Abgrenzung und der Umgang mit den auszuwertenden Daten eine subjektive Entscheidung, die besser von verschiedenen Experten durchgeführt wird. Bei ungünstigen und unzureichenden Datengrundlagen oder der Verwendung subjektiver Schätzungen sollte die Risikoquantifizierung selbst als unsicher eingeschätzt werden. Diese Unsicherheit über die Eintrittswahrscheinlichkeit selbst nennt man Parameterunsicherheit oder Metarisiko.

Des Weiteren liegen teilweise Einzelereignisse außerhalb des üblichen Bereichs der Erwartung („Stresssituationen“), da sie eines Vergleichs in der Vergangenheit entbehren. Solche extremen Ereignisse sind oft das Resultat von Verstärkungseffekten, also dem Schließen von Vergangenheitsdaten auf die Zukunft (vgl.: Schwarzer Schwan.) Die daraus entstehenden Risiken müssen ebenso quantifiziert werden und in die Risikoaggregation einfließen.

Literatur

• Werner Gleißner: Grundlagen des Risikomanagements im Unternehmen. Controlling, Unternehmensstrategie und wertorientiertes Management. Vahlen-Verlag, München 2011, ISBN 978-3-8006-3767-6.
• Werner Gleißner: Identifikation, Messung und Aggregation von Risiken. In: G. Meier (Hrsg.): Wertorientiertes Risiko-Management für Industrie und Handel. Gabler Verlag, Wiesbaden 2001, ISBN 3-409-11699-0, S. 111–137.
• Werner Gleißner (2006), Serie: „Risikomaße und Bewertung“, S. 1–11, http://www.risknet.de/typo3conf/ext/bx_elibrary/elibrarydownload.php?&downloaddata=215
• Werner Gleißner: Risikomaße und Bewertung – Grundlagen, Downside-Maße und Kapitalmarktmodelle. In: R. F. Erben (Hrsg.): Risikomanager Jahrbuch 2008. Bank-Verlag, Köln 2008, ISBN 978-3-86556-195-4, S. 107–126.
• Detlef Keitsch: Risikomanagement. Schäffer-Poeschel Verlag, Stuttgart 2004, ISBN 3-7910-2295-4.
• Thomas Wolke: Risikomanagement. Oldenbourg Verlag, München 2008, ISBN 978-3-486-58714-2.
• Markus Zeder: Extreme Value Theory im Risikomanagement. Versus-Verlag, Zürich 2007, ISBN 978-3-03909-037-2.