Risikomanagement

Das Unternehmensrisiko findet zunächst in der Volatilität des Ergebnisses (Gewinn oder Verlust) seinen Niederschlag, die durch statistische Analysen oder zukunftsorientiert mittels Risikoaggregation bestimmbar ist. Gemeint ist die durch Unvorhersehbarkeit der Zukunft bestehende Möglichkeit von betrieblichen Zielen abzuweichen. Die extreme Ausprägung des Unternehmensrisikos wird Insolvenzrisiko genannt und drückt die Wahrscheinlichkeit aus, dass das Unternehmen wegen Zahlungsunfähigkeit und/oder Überschuldung seinen Verpflichtungen nicht oder nicht in voller Höhe nachkommen kann. Die vom aggregierten Risikoumfang, aber auch der Risikotragfähigkeit (Eigenkapital) und der Ertragskraft, abhängige Insolvenzwahrscheinlichkeit wird durch das Rating ausgedrückt (siehe auch Ratingprognose und Insolvenzprognoseverfahren).

Eine Insolvenz kann auf verschiedene Faktoren zurückgeführt werden, wobei allgemein zwischen internen und externen Insolvenzursachen differenziert wird.[15] Interne Ursachen betreffen die Aktivitäten, die unmittelbar vom Unternehmen selbst ausgehen und schließlich zur Insolvenz führen. Hierbei kann es sich beispielsweise um Fehlplanungen oder Fehleinschätzungen des Managements handeln. Externe Insolvenzursachen betreffen Faktoren, die von außen auf das Unternehmen einwirken, beispielsweise strukturelle und konjunkturelle Veränderungen des Unternehmensumfelds sowie Markteintritte von neuen Wettbewerbern.

Aktiengesellschaften müssen nach dem Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (§ 91 Abs. 2 AktG) zur frühzeitigen Erkennung von Risiken ein Überwachungssystem einrichten, um den Fortbestand der Gesellschaft gegen gefährliche Entwicklungen zu sichern. Der Vorstand der AG steht dabei in der obersten Verantwortung. Eine Verpflichtung des Vorstandes zur Einrichtung eines Überwachungssystems bestand nach dem § 76 AktG bereits vor Inkrafttreten des KonTraG.

Kreditinstitute

Für Kreditinstitute unterteilt man das betriebswirtschaftliche Gesamtrisiko in ein operationelles Risiko (z. B. durch Ausfälle in der IT), das Kreditrisiko (d. h. den Ausfall von Kreditnehmern), das Kontrahentenrisiko (d. h. den Ausfall von Kontrahenten bei Handelsgeschäften) als besonderen Teil des Kreditrisikos, das Liquiditätsrisiko (fällige Gelder können nicht aus den flüssigen Mitteln bedient werden), Marktliquiditätsrisiko (Geschäfte können auf Grund mangelnder Marktliquidität nicht zu den erwarteten Bedingungen abgeschlossen werden) und das Marktrisiko (z. B. Wechselkursrisiko, Zinsänderungsrisiko). In der Praxis wird oftmals das Reputationsrisiko (Risiko des Ansehensverlustes durch geschäftspolitische Entscheidungen o. Ä.) separat vom operationellen Risiko betrachtet. Die Häufung von risikobehafteten Engagements, die (z. B. aufgrund von Branchenrisiken oder Länderrisiken) in engem Zusammenhang stehen, bezeichnet man in der Kreditwirtschaft auch als Klumpenrisiko.

Dabei tragen die Kreditinstitute Liquiditätsrisiken, als Finanzintermediäre übernehmen sie außerdem die Fristen-, Losgrößen- und Transformationsrisiken.

Die Mindestanforderungen an das Risikomanagement (BA) für die Kreditinstitute und Finanzdienstleistungsinstitute in Deutschland geben einen Rahmen für ein angemessenes und wirksames Risikomanagement vor.[16][17][18] Er soll dazu dienen, Missständen im Kredit- und Finanzdienstleistungswesen entgegenzuwirken. Die Prozesse des Risikomanagements betreffen:

• Identifizierung,
• Beurteilung,
• Steuerung sowie
• Überwachung und Kommunikation der wesentlichen Risiken.

Das Institut hat geeignete Indikatoren für die frühzeitige Identifizierung von Risiken abzuleiten, die die Einrichtung und Weiterentwicklung eines Systems von Risikokennzahlen und eines Risikofrüherkennungs- und Risikoklassifizierungsverfahrens ermöglichen.

Zur Anwendung der Risikoquantifizierung wird festgestellt:[18] Da jegliche Methoden und Verfahren zur Risikoquantifizierung die Realität nicht vollständig abzubilden vermögen, ist dem Umstand, dass die Risikowerte Ungenauigkeiten aufweisen oder das Risiko unterschätzen könnten, bei der Beurteilung der Risikotragfähigkeit hinreichend Rechnung zu tragen.

In diesem Zusammenhang steht auch die Forderung: Bedeutende Schadensfälle sind unverzüglich hinsichtlich ihrer Ursachen zu analysieren. Es dient dazu, Systemschwachstellen und Unzulänglichkeiten in den Risikomodellen zu erkennen sowie der statistischen Ermittlung von Schadenshäufigkeiten (Erfahrungsrückfluss).

Die Mindestanforderungen an das Risikomanagement für die Kreditinstitute geben einen Rahmen für die Einhaltung der Treuepflicht bei der Verfügung fremden Vermögens vor. Im Fall der Verletzung der Treuepflicht (Missbrauch) kommt die Strafbarkeit der Untreue gemäß § 266 StGB zur Anwendung.

Versicherungswirtschaft

Für Versicherungsunternehmen zählt die Übernahme von Risiken zum eigentlichen Geschäftsmodell. Versicherungen begrenzen die Wahrscheinlichkeit einer überdurchschnittlichen Belastung durch Schadensfälle durch die Größe des Versicherungskollektivs, darüber hinaus in erster Linie durch Rückversicherung, mit deren Hilfe sie Großschäden und Kumulrisiken begrenzen.

Versicherungstechnische Risiken spielen im Versicherungsmarkt als Vorstufe zur Versicherung eine zentrale Rolle. Bevor ein Risiko richtig versichert werden kann, muss es erkannt, bewertet und der Umgang mit dem Risiko festgelegt werden.

Die europäische Richtlinie Solvabilität II stellt umfangreiche Anforderungen an das Risikomanagement in Versicherungsunternehmen.

Zu den politischen Risiken zählen z. B. kriegerische Ereignisse, Umstürze, Embargos und Handelssanktionen, Terroranschläge, Korruption, Staatsbankrotte, durch politische Ereignisse bedingte Wechselkursschwankungen.

Finanzkrisen sind größere Verwerfungen im Finanzsystem, die durch einen Rückgang der Vermögenswerte und die Zahlungsunfähigkeit zahlreicher Unternehmen der Finanzwirtschaft und anderer Branchen gekennzeichnet sind und die die ökonomische Aktivität in einem oder mehreren Ländern beeinträchtigen. Sie manifestieren damit das Risikopotential des Finanzsystems, wie auch das Versagen des nationalen bzw. internationalen Risikomanagements und seiner Kontrollorgane. Nationale und internationale Regelwerke, wie Mindestanforderungen an das Risikomanagement (BA), Basel II und Basel III werden zur Risikokontrolle erstellt und – wie die Erfahrung zeigt – mit jeder neuen Krise fortgeschrieben.

Nach Kondratjew durchläuft die Weltwirtschaft immer wiederkehrende Zyklen, die jeweils durch schwere wirtschaftliche Turbulenzen beendet werden. Die Mechanismen für diese Konjunkturzyklen sind immer gleich.

Die grundlegenden Mechanismen für das Kollabieren komplexer Systeme, sei es nun in der Finanzwirtschaft oder einer komplexen Industrieanlage wie einem Chemiewerk oder Kernkraftwerk, sind immer dieselben. Charakteristisch für diese Systeme ist, dass sie aus einer praktisch nicht mehr überschaubaren Anzahl von Komponenten bzw. Funktionseinheiten bestehen und über vielschichtige Wirkungsstrukturen das gemeinsame Systemergebnis erzielen. Aus der Anwendererfahrung wird das System ständig verbessert, so dass es nach einer Erprobungszeit als stabil und ausgereift gilt. Wegen der großen Risiken, die mit einem Scheitern der System verbunden sind, unterliegen diese Systeme vielfältigen Kontrollmechanismen. Je länger ein System ohne großen Schaden betrieben wird, desto mehr wird es von seinen Betreibern und Kontrolleuren als sicher empfunden. In diesem Zustand beginnt das Sicherheitsnetz des Systems an Wirksamkeit zu verlieren. Kompromisse zu Gunsten des Unternehmenserfolges gegenüber der Sicherheitsvorsorge sind leichter durchsetzbar, mit der Folge, dass sich im System zunehmend unerkannte Fehler festsetzen (vgl. Charles Perrow, Normal Accidents, 1984[19]). In der Finanzwirtschaft erklärt es – je nach Stand im laufenden Zyklus – den Ruf nach mehr bzw. weniger Regeln auf dem Finanzmarkt.

Umweltrisiken sind aus Unternehmenssicht wirtschaftliche Risiken, die dadurch entstehen, dass durch Umweltschäden (Bodenkontamination, Schadstoffemission, Verseuchung von Gebäuden, Gesundheitsschäden des Personals, Produktmängel) Wirtschaftsgüter ganz oder teilweise der Wertminderung unterliegen, kostenintensiv entsorgt werden müssen oder nur mit hohen Kosten wiederhergestellt werden können.[20] Arbeitnehmer können durch mangelnden Arbeitsschutz und mangelnde Arbeitssicherheit erkranken und dadurch das Risiko von Fehlzeiten erhöhen.

Das Umweltrisikomanagement befasst sich mit der Handhabung dieses Umweltrisikos und stellt in Unternehmen einen Teilbereich des betrieblichen Umweltmanagements und des Risikomanagements dar. Es werden interne und externe Umweltrisiken unterschieden, wobei externe Umweltrisiken wie Sturm oder Hochwasser auftreten können. Die internen Umweltrisiken liegen im Unternehmen begründet und können technische, technologische oder organisatorische Schäden sein wie etwa die Betriebsstörung.

Es werden drei Arten von Umweltrisiken unterschieden:

• finanzielle Risiken für ein Unternehmen, die durch Veränderungen des Umweltzustandes oder des Umweltbewusstseins der Gesellschaft entstehen
• Risiken der Umwelthaftung des Unternehmens für umweltrelevante Aktivitäten und
• Risiken für die menschliche Gesundheit und für das Ökosystem.

Im Bereich des Hochwasserschutzes wurde von staatlicher Seite die Hochwasserrisikomanagement-Richtlinie 2007/60/EG eingeführt. Im Bereich des Brandschutzes werden Brandschutzbedarfspläne für Feuerwehren mit standardisierten Schutzzielen sowie lokalen Besonderheiten erstellt. Weiträumige Risiken werden in einem Gefahrenzonenplan dargestellt.

Sicherheitsmanagement[21] (SM) ist synonym zu Risikomanagement und wird definiert: „SM: Führt, lenkt und koordiniert eine Organisation in Bezug auf alle Sicherheitsaktivitäten.“ Die Verwendung des Begriffs „Sicherheitsmanagement“ in der Technik (im deutschen Sprachraum) erklärt sich aus der allgemeinen Verwendung des Begriffs „Sicherheit“ in der Technik.

Sicherheitsmanagementsysteme (SMS) kommen heute in allen Industriebereichen mit Gefährdungspotentialen zur Anwendung. Die Notwendigkeit der Einführung und Anwendung der SMS ergaben sich praktisch in allen Industriebereichen aus der Unfallerfahrung, wonach über die Fehlermöglichkeiten der Technik und des Personals hinaus sich gravierende Mängel in der Organisation als wesentliche Unfallursachen herausstellten.

In der Luftfahrt wird die Notwendigkeit der Einführung von Sicherheitsmanagementsystemen (SMS) wie folgt begründet:[22]

„Sicherheits-Management (safety management) basiert auf der Prämisse, dass es immer Sicherheitsrisiken und menschliche Fehler (safety hazards and human errors) gibt. Das SMS lässt Prozesse entstehen, die die Kommunikation über diese Risiken und die Maßnahmen zu deren Verringerung verbessern. Das Sicherheitsniveau und die Sicherheitskultur einer Organisation werden damit nachhaltig verbessert.“

Risikomanagement in Projekten beschäftigt sich mit allen Tätigkeiten, welche zur Verhinderung von oder zum Umgang mit ungeplanten Ereignissen beitragen, welche den Projektverlauf gefährden.

Im Projektmanagement sind fehlerhafte Zeitpläne, Inflation von Anforderungen, Mitarbeiterfluktuation, Spezifikationskollaps, geringe Produktivität und Gruppendruck/„group think“ typische Projektrisiken.

Unter Produktrisiken versteht man Gefährdungen, die zu Lasten des Kunden (Ausfall, Versagen, Tod, Zerstörung) und damit auch zu Lasten des Herstellers (Haftung, Imageverlust, Wartungsaufwand) fallen können. Mithilfe eines systematischen Risikomanagementprozesses soll sichergestellt werden, dass Produktrisiken bereits bei der Entwicklung identifiziert, bewertet, kontrolliert und überwacht werden [siehe auch Produktsicherheitsgesetz (Deutschland)].

Bei der Entwicklung und Herstellung von Medizinprodukten müssen unter anderem die Methoden des Risikomanagements gemäß den Vorgaben der Norm EN ISO 14971[7] eingesetzt werden, um der zunehmenden Komplexität und der damit verbundenen Fehleranfälligkeit effektiv und sicher zu begegnen. Aspekte des Risikomanagements sollten über den gesamten System-Lebenszyklus, also beginnend mit dem Konzept, über die Entwicklung, Fertigung, Nutzung und in Verwendung mit anderen Medizinprodukten und während des Betriebes bis hin zur Entsorgung eines Medizinproduktes berücksichtigt werden.

Bei der Entwicklung und Implementierung von Informationssystemen werden zunehmend Methoden des Risikomanagements eingesetzt, um der Komplexität und der damit verbundenen Fehleranfälligkeit von Software-Produkten zu begegnen (siehe Softwaretechnik). Aspekte des Risikomanagements sollten über den gesamten System-Lebenszyklus, also beginnend mit dem Konzept, über die Entwicklung oder Programmierung, Implementierung und Konfiguration und während des Betriebes bis hin zur Stilllegung des Systems berücksichtigt werden.

Das Supply-Risk-Management ist ein Teilbereich des Risikomanagements, das sich mit der Identifikation, Analyse und Kontrolle von auftretenden Gefahren im Beschaffungsumfeld eines Unternehmens beschäftigt.[23]

Die Risiken bestehen in Störungen und Verzögerungen der Flüsse innerhalb des Güter-, Informations- und Finanznetzes sowie des sozialen und institutionellen Netzes (Absatzketten, Lieferketten).[24]

Aufgrund von Abhängigkeiten von Zulieferern können sich unvorteilhafte Zielabweichungen ergeben. Geeignete Gegenmaßnahmen können sein: Vertragliche Bindung von Lieferanten, Lieferantenrating, Rückwärtsintegration oder Just-in-time-Vertrag. Daneben existiert ein Beschaffungspreisrisiko, das durch vertragliche Preisfixierung, Preisgleitklauseln in Verträgen mit Kunden oder Termingeschäfte auf Rohstoffmärkten gesteuert werden kann. Während der Lagerdauer besteht ein Lagerrisiko.

„Ein Reifegradmodell beschreibt die Reife eines Betrachtungsfeldes hinsichtlich einer bestimmten Methode oder eines Handlungs- bzw. Führungsmodells.“[25] Für die Erreichung eines Reifegrades müssen gewisse Anforderungen erfüllt werden sowie alle vorhergehenden Stufen erreicht sein. Reife wird nach Rosemann und De Bruin definiert als „a measure to evaluate the capabilities of an organisation“[26] – ein Maß, um die Fähigkeiten einer Organisation zu bewerten.

Reifegradmodelle des Risikomanagements dienen der Bewertung des Risikomanagementsystems im Unternehmen und ermöglichen einen Vergleich mit anderen Unternehmen (Benchmarking). Sie bestehen aus Reifegradstufen, Dimensionen und Bewertungsinstrumenten. Eine Entwicklung kann top-down oder bottom-up erfolgen. Bei top-down gibt es feste Reifegradstufen, die mit weiteren Eigenschaften präzisiert werden. Beim bottom-up werden zuerst Eigenschaften und Bewertungselemente definiert und später in Reifegrade gruppiert. Dafür werden zum Beispiel Kreativitätstechniken, Delphi-Methode oder Fokusgruppenbefragung verwendet.[27]

In diesem Modell gibt es 6 Entwicklungsstufen:[28][29][30]

Stufe 1 – kein Risikomanagement

Die Unternehmensführung hat ein unzureichendes Risikobewusstsein und somit kein systematisches Vorgehen im Umgang mit Risiken. Unternehmerische Entscheidungen, als Reaktion auf Gefahren, finden nur sporadisch statt.

Stufe 2 – Schadensmanagement

Die Existenz bestimmter Risiken ist bekannt. Es werden bewusst Maßnahmen eingeleitet, die Gefahren verhindern sollen. Regelungen, wie Umweltschutz und Arbeitsschutz, finden dabei auch Berücksichtigung. Bei selteneren und größeren Risiken werden Versicherungen abgeschlossen, um Schäden zu minimieren. Zur Gefahrenbeurteilung wird kein spezifisches Instrument eingesetzt und Risikomaßnahmenpläne werden in „Silos“ (abgeschotteten Teams) bearbeitet.

Stufe 3 – Regulatorisches Risikomanagement („KonTraG-Risikomanagement“)

Das Unternehmen besitzt ein kontinuierliches Risikomanagementsystem. Risiken werden ständig überwacht und bewertet. Die Gesamtheit der Risiken bilden das sog. Risikoinventar. Informationen wie Umfang, Verantwortlichkeit und Turnus werden gemäß dem KonTraG schriftlich fixiert. Für die wichtigen Risiken werden Risikobewältigungsstrategien entwickelt, dafür werden die Risiken hinsichtlich der Schadenshöhe und Eintrittswahrscheinlichkeit quantifiziert und bewertet. Am Ende erfolgt eine einfache Risikoaggregation.

Stufe 4 – Ökonomisches, entscheidungsorientiertes Risikomanagement

Als Risiken werden sowohl Gefahren (negative Abweichungen) als auch Chancen (positive Abw.) betrachtet. Es existiert ein umfassendes, Software gestütztes Risikomanagementsystem im Unternehmen, basierend auf einem starken Risikobewusstsein der Unternehmensführung. Durch Aggregation der Einzelrisiken wird ein Gesamtrisikoumfang berechnet. Mittels der Monte-Carlo-Simulation können „bestandsbedrohende Entwicklungen“ nach Kombination von Einzelrisiken deutlich gemacht werden. Ziel ist es ein flexibles und bewegliches Risikomanagement zu schaffen, welches mit der Strategieentwicklung eng verknüpft ist. Im Idealfall soll es sich an unvorhergesehene Entwicklungen anpassen. Risiken sollten so eingeschätzt werden, dass ein Unternehmen auch bei Marktschwankungen liquide bleibt und sein Rating beibehalten kann. Dies kann durch Abwägen von möglichen Risiken und Erträgen mittels Kapitalmarktmodellen (z. B. CAPM) erfolgen. Nicht nur in Hinsicht auf die Kostenreduzierung sollte das Unternehmen überlegen, ob es Unternehmensaktivitäten auslagert, sondern auch in Bezug auf die damit verbundene Risikosenkung. Diese Risikosenkung erfolgt auch bei einer breiten Diversifikation des Portfolios und einer Verlust- und Haftungsbeschränkung.

Stufe 5 – Integriertes wertorientiertes Risikomanagement

Der Risikomanagement-Prozess ist mit der operativen Ebene des Unternehmens eng verknüpft. Alle Planungen können Risiken zugeordnet werden (stochastische Planung), sodass sich daraus eine Planungssicherheit ermitteln lässt. Daraus kann das Unternehmen den Wertbeitrag berechnen, „was eine am Unternehmenswert orientierte Optimierung der Risikobewältigung“[28] ermöglicht und womit strategische Züge in Bezug auf Risiken bewertet werden können. Die Hypothese eines vollkommenen Kapitalmarktes wird verworfen und durch die realitätsnahe Betrachtung eines unvollkommenen Kapitalmarktes ersetzt. Alle Risiken, die bewertungsrelevant sind, werden berücksichtigt („Risikodeckungssatz“). Zum Bewerten und zur Portfoliooptimierung werden Risikomaße, wie Eigenkapitalbedarf, Ausfallwahrscheinlichkeit und Value-at-Risk verwendet.[29]

Stufe 6 – Embedded Risikomanagement (holistisch)

Die Bewertung des risikogerechten Ertragswertes oder des Risikonutzens spiegelt die Risikopräferenz des Eigentümers wider und bildet die Grundlage für strategische und operative Entscheidungen. Die Risikoanalyse beinhaltet die ex ante Integration unternehmerischer Reaktionsmöglichkeiten auf die Entwicklung von Zielgrößen und exogenen Risikofaktoren. Metarisiken, d. h. Unsicherheiten und Reaktionen von Wettbewerbern, sowie andere „Verhaltensrisiken“ und „Managementrisiken“ werden ebenfalls in die Bewertung mit einbezogen. Das Risikomanagement ist fest in der Unternehmenskultur und im unternehmerischen Denken integriert, sodass jede Form von Management im Unternehmen als Risikomanagement angesehen wird.

Ein gutes Risikomanagement ist ein Erfolgsfaktor für jedes Unternehmen. Es sollten möglichst viele Mitarbeiter integriert werden um der Unternehmensführung die Möglichkeit zu geben Risiken richtig zu erfassen, die Erträge und Risiken richtig bewerten und in die Praxis umzusetzen. Das wird allerdings erst in der 4. Stufe erreicht. Die Geschäftsführung muss „Oberster Risikomanager“ sein, weil sie maßgebliche Entscheidungen über den Risikoumfang trifft. Hierbei sollten Strategien und feste organisatorische Muster und Methoden angewandt werden, um sicherzustellen, dass mögliche „bestandsbedrohende Entwicklungen“ bereits früh erkannt werden.[28][31][30]

Bei der subjektiven Einschätzung, wie relevant und wahrscheinlich ein Risiko ist, spielen die psychologischen Aspekte eine bedeutende Rolle. Die Risikowahrnehmung ist u. a. abhängig von persönlichen Erfahrungen, Erziehung, Moralvorstellung oder dem Bildungshintergrund. Die intuitive Risikowahrnehmung ist gleichzusetzen mit dem wahrgenommenen Risiko.[32]

Die Risikowahrnehmung ist beeinflusst durch qualitative Risikomerkmale. Die Eigenschaften der Risikoquelle beachten das Ausmaß der Folgen sowie die Gewöhnung an diese Quelle. Die Eigenschaften der Risikosituation behandeln die persönliche Kontrollmöglichkeit und die Eindeutigkeit der Gefahreninformation.[33] Der Mensch strebt nach Sicherheit und vollkommener Kontrolle. Es fällt ihm schwer, eine Risikoeinschätzung rein rational und objektiv vorzunehmen. Zu unterscheiden ist in das intuitive sowie rationale Denken.[34]

Das intuitive Denken erfolgt schnell und häufig unterbewusst, es wird nicht willentlich gesteuert. Die zu behandelnden Probleme sind bekannt und können deshalb spontan und mit dem vorhandenen Wissen gelöst werden. Entscheidungen kosten wenig Anstrengung. Aus mangelnder Erfahrung benötigt das rationale Denken mehr Zeit und erzeugt eine bewusste, kognitive Anstrengung. Um eine Fragestellung lösen zu können, ist gezielte Konzentration notwendig. Ursachen von Fehlhandlungen und subjektive Bewertungen von Risiken können mit Hilfe der Strukturlegetechnik abgebildet und kommunikativ evaluiert werden.[35]

Die Entscheidungstheorie geht davon aus, dass Entscheidungen rational getroffen und Informationen in unbegrenzter Größe aufgenommen und verarbeitet werden können. Emotionale, zufällige Entscheidungen werden außen vor gelassen. Es geht somit verstärkt darum vorzugeben, wie eine Entscheidung getroffen werden soll, nicht wie die Umsetzung in der Realität aussieht. Der Homo oeconomicus gilt im Modell als idealer Entscheider. Er entscheidet sich anhand seiner persönlichen Präferenzen und vorliegender Restriktionen.[36]

Abweichend von der Theorie des Homo oeconomicus agiert der wirtschaftlich handelnde Mensch nicht vollständig rational und ist nicht vollständig informiert. Seine Präferenzen verändern sich mit der Zeit und damit auch seine Handlungen. Die persönlichen Ziele sind nur schwer messbar, ihre Entstehung und Veränderung wird nicht erklärt.

Problemlösungen werden durch heuristische Strategien bewältigt. Hierbei geht es um die Befriedigung der Ansprüche, nicht um die Erreichung des Optimums. Die meisten Entscheidungen werden intuitiv gefällt, um Komplexität zu reduzieren.[37] Die Prospect Theory beschreibt das risikoscheue Verhalten bei Gewinnchancen sowie ein risikofreudiges Verhalten bei möglichen Verlusten. Bei kognitiven Heuristiken werden gut zugängliche, vorhandene Informationen genutzt, um einen Sachverhalt unter geringem Aufwand einzuschätzen. Sogenannte Biases bezeichnen Fehlurteile, die auf Basis dieser Faustregeln getroffen werden.[38]

Die Beurteilung von Wahrscheinlichkeiten und die Vorhersage von Werten unterscheiden Kahneman und Tversky drei Heuristiken:

• Repräsentativitätsheuristik: Es wird die Übereinstimmung einer Kategorie bzw. Klasse mit einer Stichprobe überprüft. Die Wahrscheinlichkeit der Zugehörigkeit steigt mit der Anzahl der zutreffenden Eigenschaften des speziellen Sachverhaltes mit dem klassischen Fall. Basisraten werden zu Gunsten von konkreten Informationen zum Einzelfall vernachlässigt, was zu Fehlentscheidungen führen kann.
• Verfügbarkeitsheuristik: Je einfacher Informationen zugänglich und abrufbar sind, desto wahrscheinlicher ist eine Entscheidungsfindung anhand der bekannten Beispiele. Ein Ereignis, das leicht im Kopf aufrufbar ist, scheint besonders häufig einzutreten. Die Beurteilung anhand von Erfahrungen kann durch mediale oder persönliche Einflüsse verfälscht werden.
• Ankerheuristik/Anpassungsheuristik: Als Ausgangswert für eine Entscheidung dient ein Anker, der im weiteren Verlauf durch Umgebungseinflüsse verändert und angepasst wird. Es handelt sich um eine Urteilsheuristik, bei der das Ergebnis eine Verzerrung in Richtung des Startwertes enthält.

Die persönliche Einschätzung eines Risikos variiert stark, weshalb keine Standardisierung des Umfangs möglich ist. Um eine Einschätzung vornehmen zu können, müssen Risiken erfasst und Konsequenzen gesammelt werden, um abschließend die Eintrittswahrscheinlichkeiten abzuschätzen. Das menschliche Unterbewusstsein wird dabei durch Erfahrungen bei der Entscheidungsfindung beeinflusst. Je leichter verfügbar Informationen bezüglich eines Risikos sind, desto wahrscheinlicher erscheinen sie. Risiken, die stärker thematisiert werden, werden somit mit einer höheren Wahrscheinlichkeit eingeschätzt, obwohl die Fakten dagegen sprechen.

Wenn ein Risiko beurteilt werden soll, erfolgt häufig ein Vergleich mit ähnlichen Risiken und ihren Wahrscheinlichkeiten. Das zu treffende Ergebnis wird durch bekannte Skalen beeinflusst.

Stereotype führen dazu, dass die Basisrate ausgeblendet wird und wahrgenommene Faktoren die Beurteilung des Risikos verzerren. Aus der risikoaversen Einstellung heraus ignorieren Menschen Risiken und wägen sich in Sicherheit. Eintretende Konsequenzen werden stärker fokussiert als Eintrittswahrscheinlichkeiten. Bei potentiell höheren Gewinnmöglichkeiten werden die Wahrscheinlichkeiten für deren Eintritt eher ausgeblendet, ebenso wie das Schadensausmaß wichtiger als die Wahrscheinlichkeit ist. Um ein Nullrisiko zu erreichen, werden durch Unternehmen große Investitionen getätigt. Um ein Risiko möglichst genau abzuschätzen, vertraut man auf Urteile durch Experten und Autoritäten. Expertenkompetenzen werden gern überschätzt. Hierbei wird oft vernachlässigt zu prüfen, ob die Informationen verlässlich, relevant für die Risikobewertung sind und auf einer stabilen Regelmäßigkeit beruhen. Eine andere Verfälschungs- und Vereinfachungstechnik beruht darauf, dass komplexe Fragestellungen zu einfach beantwortet und potentielle Risiken übersehen werden. Heuristiken werden genutzt, um die begrenzten kognitiven Ressourcen bestmöglich zu nutzen.[34]

Generell ist im Umgang mit Risiken in folgende Strategien zu unterscheiden:[39]

• Vermeidung von Risiken
• Risikoreduktion
• Risikooptimierung
• Risikotransfer
• Festhalten an Risikostruktur.

Übertragen aus dem Bereich der Anlegertypologie gibt es bei risikobehafteten Entscheidungen drei Typen:[40]

• Bauchmensch: Das intuitive Handeln lässt sich auf Basis einer risikofreudigen Risikoeinstellung erklären. Innerhalb kurzer Zeit können Entscheidungen getroffen werden.
• Herzmensch: Die menschlichen Emotionen prägen sein Handeln stark. Vor allem positive Gefühle werden verstärkt zum Ausdruck gebracht, negative hingegen versucht zu unterdrücken. Er versucht zu vermeiden, Entscheidungen alleine treffen zu müssen und zu viel Verantwortung zu tragen.
• Kopfmensch: Ein breites Wissen soll dabei helfen, Gefahren unter Kontrolle zu behalten. Ursache, Wirkung und deren Zusammenhang besitzen Vorrang bei der Entscheidungsfindung, um das Risiko bestmöglich kontrollieren zu können.