Risikomanagement

Idealerweise umfasst das Risikomanagement-System alle Produkte und Dienstleistungen, die das Unternehmen einkauft und verkauft. Ebenso sollten alle relevanten Lieferanten, Kunden und Partner miteinbezogen werden. Auf diese Weise entsteht ein vollständiger Überblick über potenzielle Störungen und Auswirkungen. Je nach Status des aktuellen Systems ist dieses Vorgehen nicht in einem Schritt möglich. Dann müssen Prioritäten gesetzt und Kriterien für die Auswahl herangezogen werden. 

Die Abbildung des gesamten Netzwerks, das „Network Mapping“, ist der Ausgangspunkt, um sogenannte Risiko-Objekte zu erkennen. Das können Niederlassungen, Büros, Fabriken und Distributionszentren sein, aber auch Autobahnen, Häfen, Kanäle und Flughäfen.  

Besondere Aufmerksamkeit sollte beim Network Mapping auf das Lieferanten-Netzwerk gelegt werden. Es sollte sich nicht nur auf Tier-1 Lieferanten beschränken, weil die Hälfte der Störungen unterhalb des Tier-1-Levels auftritt. Beschaffung und Auswertung der notwendigen Informationen können dabei sehr aufwendig sein. Maschinelle Ansätze helfen heute aber dabei, die Informationen zu finden, zu analysieren und aufzubereiten. 

Durch die Schaffung von Risikokategorien und gegebenenfalls Unterkategorien wird ersichtlich, inwieweit diese Kategorien auf die einzelnen Risiko-Objekte zutreffen. Häufig verwendete Kategorien sind zum Beispiel finanzielle Risiken, operationelle Risiken, Risiken in Bezug auf Markt, Reputation, Naturkatastrophen, menschliches Versagen, Logistik oder Cybersicherheit. Wichtig ist es in diesem Zusammenhang, vor allem die Gefahren zu berücksichtigen, die eine unmittelbare Relevanz für das Supply Chain Network haben. 

Die Beurteilung der Risiken erfolgt anhand von zwei Faktoren: Wahrscheinlichkeit und Auswirkungen. Während die Wahrscheinlichkeit bestimmter Risiken häufig anhand historischer Daten bestimmt werden kann, ist es aufwändig, die Auswirkungen abzuschätzen. Eine „one-fits-all“ Lösung existiert nicht. In den meisten Fällen kann jedoch eine kleine Anzahl von Parametern einen guten Überblick geben. Das können sein: 

• die Gesamtzeit bis zur Wiederherstellung
• die Substituierbarkeit / der Zeitbedarf zur Verlagerung 
• die Verfügbarkeit qualifizierter Alternativen 
• die Anzahl der betroffenen Kunden / Märkte 
• die Auswirkungen auf Umsatz / Marge / Ergebnis 
• einmalige und laufende Kosten für korrigierende Maßnahmen
• Auswirkungen auf das Unternehmensimage 

Um festzustellen, ob das Netzwerk gefährdet ist, werden aktuelle und genaue Informationen benötigt, im Idealfall end-to-end über das gesamte Netzwerk. Die Transparenz ergibt sich aus (Echtzeit-)Informationen über den Zustand des Netzwerks, einschließlich der Personen, Geräte, Einrichtungen, Informationssysteme, Bestellungen, Bestände etc. Ohne einen strukturierten Ansatz zum Sammeln, Analysieren und Kommunizieren von Informationen, was im Netzwerk passiert, lässt sich ein sinnvolles Risk Management nur sehr schwer umsetzen. In der Wechselwirkung mit dem Schritt der Risikoidentifikation ist daher immer auch zu bedenken, mit welchen Mitteln und Tools eine Überwachung stattfinden kann. 

Durch die Überwachung und Bewertung von Risiken wird die notwendige Transparenz geschaffen, um Aktionspläne zu entwickeln. Aktionspläne basieren in der Regel auf präventiven oder reaktiven Maßnahmen. Ein Präventionsplan zielt darauf ab, Ereignisse zu verhindern. Risikominderung ist der Schlüssel, um beim Risikomanagement proaktiv tätig zu werden. Reaktive Pläne sorgen dagegen für eine schnelle Intervention im Falle des Eintretens eines Risikoereignisses. Jeder Aktionsplan sollte dabei die Verfahren beschreiben, die jeweils beim Eintritt eines bestimmten Ereignisses anzuwenden sind. 

Compliance ist einer der wesentlichen Bestandteile des Risikomanagements, dessen Nachweispflichten nicht zu unterschätzen sind. So muss ein Unternehmen zum Beispiel ein vollständiges Bild seines Netzwerks haben, einschließlich aller Materialien, die gekauft werden. Es muss wissen, woher diese Materialien stammen und wie sie verwendet werden. Darüber hinaus muss sichergestellt werden, dass die aktuellen und künftigen Vorschriften in jedem Markt bekannt sind und wie diese für alle Produkte im Supply Chain Network gelten. Diese Prozesse sind laufend zu dokumentieren und die Ergebnisse festzuhalten. Das führt zu ständig steigenden Anforderungen im Unternehmen, zumal auch die Standards für die Berichterstattungen sehr unterschiedlich sein können. Hier kann eine gewisse Automatisierung des Compliance-Reportings den Zeit- und Arbeitsaufwand reduzieren und Synergien schaffen. 

In vielen Unternehmen löst das Wort Risiko negative Assoziationen aus. Das Erreichen von Resilienz im Netzwerk erfordert daher eine risikobewusste Kultur. Sie hilft, effiziente Entscheidungen gegen unbekannte Risiken aufzubauen und aufrechtzuerhalten und ermöglicht außerdem, bei einer schweren Krise oder einer operativen Bedrohung schneller zu reagieren. Eine wesentliche Aufgabe für Führungskräfte besteht dabei darin, die Risikotoleranz einer Organisation klar zu definieren und zu kommunizieren. Management und Mitarbeitende müssen sich befähigt fühlen, auch schlechte Nachrichten weiterzugeben aber auch die Informationen zu teilen, wo und wie Risiken erfolgreich und proaktiv begegnet werden konnte.