Prolog

Woran denken Sie spontan, wenn Sie das Wort »Risiko« hören?

1. An ein Brettspiel, bei dem es gilt, die Welt zu erobern;
2. mit nur fünf Prozent Akkuleistung aus dem Haus zu gehen, obwohl man weiß, dass man heute noch den Weg zurückfinden muss - denn Kartenlesen ist ein Abenteuer für Fortgeschrittene.
3. an die Taylor-Approximation zweiter Ordnung, die unter der Normalverteilungsannahme für die Risikofaktoren eine Verteilung hat wie die Summe einer Linearkombination von mehreren, unabhängigen, nicht zentral Chi-quadratverteilten und einer unabhängigen normalverteilten Zufallsvariablen;
4. an eine der letzten Banken- und Finanzkrisen, beispielsweise die Weltfinanzkrise 2007/2008, die Weltwirtschaft rund acht Billionen Euro gekostet hat. Das sind pro Erdenbürger rund 1 111 Euro.
5. an die vielfältigen Gefahren und Bedrohungen, die tagtäglich Einfluss auf den Fortbestand Ihres Unternehmens haben;
6. in einer fremden Stadt die Spezialität bestellen, ohne zu wissen, was »Haggis«, »Surströmming« oder »Tausendjährige Eier« eigentlich bedeuten;
7. den »Allen antworten«-Knopf versehentlich zu drücken, wenn man gerade dabei ist, seinen Kollegen humorvoll zu erklären, warum man die letzte E-Mail absolut unnötig fand.
8. an nichts von alledem.

Sollten Sie a), b) oder c), f) oder g) angekreuzt haben, ist es vielleicht besser, wenn Sie dieses Buch wieder ins Regal zurückstellen. Brettspiele gibt es nebenan im Spielwarenladen. Und Ratgeber über kulinarische Spezialitäten in fernen Ländern und das Buch »Strg+Alt+Was?! - Computereinführung für hoffnungslose Fälle« gibt es im gut sortierten Buchhandel. Um Ihren Bedarf an Informationen über Fernsehserien der siebziger Jahre oder hochkomplizierte mathematische Methoden zur Risikoanalyse zu stillen, wurden in den letzten Jahren genügend dicke Wälzer veröffentlicht, in denen Sie sämtliche Aspekte dieser Themen bis ins allerletzte Detail nachlesen können. Wenn Sie h) angekreuzt haben, könnte es sich vielleicht lohnen, einen etwas intensiveren Blick in dieses Buch zu werfen. Absolut richtig sind Sie hier aber, wenn Ihr erster Gedanke zum Thema Risiko in etwa der Antwort d) oder e) entspricht.

Doch ganz egal, wie Sie sich auch entschieden haben: Wir wagen die Prognose, dass der Begriff Risiko bei Ihnen wohl eher negative Assoziationen geweckt hat. Zunächst einmal ist Risiko ja auch etwas Gefährliches. Es bedroht uns. Wir haben Angst davor. Risiko macht häufig keinen Spaß. Und deshalb wollen wir uns auch nicht wirklich mit ihm beschäftigen. Leider müssen wir es aber.

Aber warum eigentlich »leider«? Wie langweilig wäre ein Leben ohne jegliches Risiko? Suchen wir nicht bewusst beim »Bungeejumping«, beim Speedboot-Fahren, beim Mountain-Bike-Downhill, beim Fallschirmspringen oder auch im Spielkasino den »Thrill«, das Kribbeln, das uns nur das Risiko bieten kann?

Extremsportler suchen dieses Erlebnis auf 8ooo Meter hohen Bergen. Oder sie finden ihre Grenzerfahrungen in der extremen Trockenheit, glühenden Hitze und klirrenden Kälte der Wüste. Menschen wie Sie und ich steigen dagegen ins Auto, schalten das Fernlicht und den linken Blinker an und brettern mit 190 Sachen über die deutschen Autobahnen. Und das, obwohl wir wissen, dass jedes Jahr weltweit rund 1,3 Millionen und in Deutschland rund 3000 Menschen im Straßenverkehr sterben und weltweit rund 40 Millionen und in Deutschland rund 370 000 verletzt werden. Eine US-Studie schätzt, dass weltweit etwa 8 % aller Verkehrsunfälle passieren, weil jemand während der Fahrt sein Handy nutzt. Acht Prozent - das sind nicht bloß Zahlen, das ist fast jede zwölfte Kollision, die vermeidbar wäre, wenn die Fahrer ihre Finger vom Smartphone ließen. Laut Weltgesundheitsorganisation (WHO) sind Fahrer, die ihr Handy während der Fahrt benutzen, sogar viermal häufiger in Unfälle verwickelt. Das ist ungefähr so, als würde man versuchen, jonglierend auf einem Einrad durch ein Minenfeld zu fahren und dabei noch Kaffee zu trinken - spannend, aber keine besonders clevere Idee. Hier gilt auch für den Normalbürger: No risk, no fun! Risiko als Last und Lust, um aus dem Alltag auszubrechen!

Und in der Regel sind die so genannten Extremsportler auch exzellente Risikomanager. Der deutsche Profibergsteiger und Extremkletterer Alexander Huber weist in Interviews immer wieder darauf hin, dass zum Risikomanagement vor allem auch dazu gehört, etwas sein zu lassen. Wer jedes Risiko in Kauf nimmt, ist kein guter Risikomanager. Alexander Huber: »Als Bergsteiger sind wir von Risiken umgeben, und riskant ist mein Leben in dem Sinne, dass ich ständig damit konfrontiert werde. Ich bin aber ein risikobewusster Mensch, sonst wäre ich auch schon lange nicht mehr da. Draufgänger sind beim Bergsteigen noch nie weit gekommen.« Der italienische Extrembergsteiger Reinhold Andreas Messner drückt es ähnlich aus: »Die Kunst des Bergsteigens ist es, die Grenzen zwischen Feigheit und Wahnsinn zu erkennen. Mit anderen Worten - den größtmöglichen Schwierigkeiten mit größtmöglicher Vorsicht zu begegnen.«

Selbst wenn wir die vielfältigen Gefahren des Alltags nicht explizit in unsere Analysen einbeziehen, dann beschäftigen wir uns bei jeder Entscheidung - zumindest implizit - mit Risiken. Der Nobelpreisträger Daniel Kahneman unterscheidet zwischen zwei Arten des Denkens: dem schnellen Gehirn (»System 1«) und dem langsamen Gehirn (»System 2«). Das schnelle Gehirn ist intuitiv, spontan und trifft blitzschnelle Entscheidungen, ohne lange darüber nachzudenken. Jeden Tag wägen wir intuitiv Risiken ab, ohne umfangreiche Analysen durchzuführen. Beim Überqueren einer Straße, beim spontanen Griff nach einer heißen Kaffeetasse oder beim Abschätzen, ob wir noch rechtzeitig die Bahn erwischen - ständig entscheidet unser schnelles Gehirn im Hintergrund, ob etwas sicher oder gefährlich erscheint. Diese intuitiven Risikoeinschätzungen sparen uns viel Zeit und Energie. Allerdings liegen wir damit nicht immer richtig, denn unsere spontanen Einschätzungen können täuschen - gerade dann, wenn komplexe Zusammenhänge im Spiel sind. Denn: Was wir tun, ist riskant! Was wir nicht tun aber auch!

Vom Kapitän eines Schiffes oder Flugzeuges erwarten wir zu Recht, dass er seine Risiken kennt und alles tut, um sie so weit wie nur irgend möglich zu minimieren - schließlich hängen von seinen Entscheidungen das Leben und die Gesundheit anderer Menschen ab. Dementsprechend existieren für diese Bereiche auch detaillierte gesetzliche Vorschriften, die peinlich genau vorschreiben, wie mit den entsprechenden Risiken umzugehen ist. Aber auch für diejenigen unter uns, die »nur« Kapitän eines Unternehmens sind und damit »nur« wirtschaftlichen Schaden anrichten können, hat der Gesetzgeber eine Fülle von Regelungen geschaffen.

Einer der Autoren war jahrelang Risikomanager eines »Global Players« und hatte sich bereits vor vielen Jahren einmal die Mühe gemacht, alle regulatorischen und gesetzlichen Anforderungen zur Analyse und Steuerung von Risiken zusammenzutragen. Als die Liste mit Verordnungen, Gesetzen, Richtlinien, Selbstverpflichtungen und so weiter die Zahl 1000 überschritten hatte, war er sich sicher, eine neue - schnell wachsende - Risikokategorie entdeckt zu haben. Deutlich wurde bei der Ansammlung an Regularien und Vorschriften aber auch vor allem, dass eine hundertprozentige Regelkonformität - heute gerne als Compliance bezeichnet - in einem globalen Kontext überhaupt nicht möglich ist, da sich Regularien widersprechen und Rechtssysteme (Civil Law bzw. Römisch-germanischer Rechtskreis, Common Law bzw. anglo-amerikanischer Rechtskreis sowie chinesischer und islamischer Rechtskreis) nur schwer vergleichbar sind.

Beispielhaft für die zahlreichen Vorschriften, die allein im deutschsprachigen Raum in letzter Zeit wirksam geworden sind oder die bald in Kraft treten werden, soll an dieser Stelle nur die folgende kleine Auswahl genannt werden: Gesetz über den Stabilisierungs- und Restrukturierungsrahmen (Unternehmensstabilisierungs- und -restrukturierungsgesetz, StaRUG) 2021, Gesetz zur Stärkung der Finanzmarktintegrität (FISG) 2021, Lieferkettensorgfaltspflichtengesetz (LkSG) 2021, NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) 2025, Corporate Sustainability Due Diligence Directive (CSDDD) der EU 2024, Basel II 2007, III 2010 und IV 2017, Capital Requirements Directive VI (CRD VI), Eigenmittelverordnung (Capital Requirements Regulation III - CRR III) 2025, Eigenmittelrichtlinie (Capital Requirements Directive V - CRD V) 2026, Sanierungs- und Abwicklungsrichtlinie (Bank Recovery and Resolution Directive - BRRD), Sanierungs- und Abwicklungsgesetz (SAG) 2025, Kreditzweitmarktgesetz (KrZwMG) 2023, Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor, Solvency II 2016, Hinweisgeberschutzgesetz (HinSchG) 2023, Corporate Sustainability Reporting Directive (CSRD) 2023, Sustainable Finance Disclosure...