Enterprise Risk Management: das ERM-Framework aufbauen

Im August 2003 meldete Lego einen Verlust von 1,4 Mrd. DKK bei einem Umsatz von 6,7 Mrd. DKK, also rund 230 Mio. Dollar Verlust für ein Unternehmen, das der weltweit bewundertste Spielzeughersteller gewesen war. Das dänische Familienunternehmen verbrannte 1 Mio. DKK Cash *pro Tag*. Dreiundzwanzig Jahre später ist Lego das profitabelste Spielzeugunternehmen der Welt, mit einem Umsatz von 74,3 Mrd. DKK im Jahr 2024 und einer operativen Marge von über 25 %. Der Turnaround hatte viele Väter, aber den, den die meisten CFOs ignorieren, ist der radikale Neuaufbau der Enterprise-Risk-Management-Funktion von Lego unter CFO Jesper Ovesen und seinem Nachfolger Knudstorp. Sie haben ERM nicht an die Strategie angeschraubt. Sie haben beides *verschmolzen*. Das ist die Lektion dieses Moduls.

Die meisten Unternehmen, die „COSO ERM implementieren“, produzieren eine Heat MapMapEinsatz von Software, um wiederkehrende Marketingaufgaben und Kampagnen zu automatisieren und Personalisierung in großem Maßstab über Kanäle wie E-Mail, Web und Social zu ermöglichen.Vollständige Definition ansehen → mit 47 Tabs, ein Quartals-Risikokomitee, das sie abnickt, und ein Internal-Audit-Team, das das Häkchen setzt. Das Framework wird zu bürokratischem Theater. Gleichzeitig erscheinen die Risiken, die Unternehmen tatsächlich umbringen, strategische Obsoleszenz, geopolitische Schocks, Fragilität der Supply Chain, KI-getriebene Disruption von Geschäftsmodellen, nie auf der Heat Map, bis sie in der Rückstellungsnote für Rechtsstreitigkeiten im 10-KKDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen → stehen.

Diese Lektion zeigt Ihnen, wie Sie ERM aufbauen, das Capital Allocation steuert und nicht Compliance-Berichte.

Warum die meisten ERM-Programme scheitern (und was COSO wirklich sagt)

Das COSO-ERM-Framework, 2017 aktualisiert und 2023 für die ESGESGRahmen zur Bewertung eines Unternehmens nach ökologischen, sozialen und Governance-Kriterien, genutzt von Investoren, Regulierern und Käufern.Vollständige Definition ansehen →-Integration überarbeitet, basiert auf fünf miteinander verbundenen Komponenten: Governance & Culture, Strategy & Objective-Setting, Performance, Review & Revision sowie Information, Communication & Reporting. Das kann jeder herunterbeten. **Was wertschaffendes ERM von Compliance-ERM unterscheidet, ist *wo Sie die Funktion in der Entscheidungskette platzieren***.

In einem Unternehmen im Compliance-Modus arbeitet ERM stromabwärts der Strategie. CEO und CFO legen den Plan fest; die Risk Officer katalogisieren dann, was schiefgehen könnte. Die Heat Map wird dem Audit Committee präsentiert. Nichts ändert sich.

In einem Unternehmen im Value-Modus arbeitet ERM *stromaufwärts* und *innerhalb* der Strategie. Risk-Appetite-Statements steuern die Schwellen der Capital Allocation. Szenarioanalysen gehen der M&A-Freigabe voraus. Risk-adjusted Return on Capital (RAROC) wird für jede Business Unit berechnet und in der Vergütung verwendet.

Die empirische Evidenz ist brutal. Eine McKinsey-Umfrage von 2024 unter 1.200 Large-Cap-Unternehmen ergab, dass Firmen mit einem von McKinsey als „strategisch integriertes ERM“ klassifizierten Ansatz die Peers im Compliance-Modus über die vorangegangene Dekade um 380 Basispunkte ROIC übertrafen. Die Lücke weitete sich während der Supply-Chain-Krise 2020-2022, Firmen mit integriertem ERM erholten sich bei der Marge im Schnitt 14 Monate schneller.

Das Three Lines Model, aktualisiert

Das „Three Lines Model“ des Institute of Internal Auditors (Überarbeitung 2020) bleibt das operative Rückgrat:

• Erste Linie: Das operative Management besitzt und steuert das Risiko
• Zweite Linie: Risk- und Compliance-Funktionen liefern Oversight und Challenge
• Dritte Linie: Internal Audit liefert unabhängige Assurance

Was sich 2026 geändert hat: Die zweite Linie umfasst nun typischerweise eine dedizierte Szenarioanalyse-Funktion, die gemeinsam an CFO und CROCROConversion Rate Optimization (CRO) ist die systematische Praxis, den Anteil der Nutzer zu erhöhen, die eine gewünschte Aktion abschließen, auf Basis von Daten, Tests und User Research.Vollständige Definition ansehen → berichtet. Das ist eine direkte Reaktion auf die verpflichtenden doppelten Materialitätsanalysen der CSRDCSRDEU-Richtlinie, die große Unternehmen verpflichtet, standardisierte, geprüfte Nachhaltigkeitsdaten neben den Finanzergebnissen offenzulegen.Vollständige Definition ansehen → und die Klimaberichtsregeln der SEC (nach der gerichtlichen Klärung 2024). Auch die Pillar-Two-Compliance hat Risikofunktionen gezwungen, Steuersatz-Szenarien über Jurisdiktionen hinweg zu modellieren, ein Problem, das ERM-Teams vor fünf Jahren nicht hatten.

Der Lego-Fall: ERM als strategisches Betriebssystem

Als Jørgen Vig Knudstorp im Oktober 2004 CEO wurde (ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → war 35, früherer McKinsey-Berater und der erste CEO der Firmengeschichte, der nicht zur Familie gehörte), hatte Lego kein funktionierendes ERM. Es hatte etwas Schlimmeres: eine Kultur des „kreativen Risikonehmens“, die Themenparks, Videospiele, Markenbekleidung und eine Produktlinie zum Thema Darwin hervorgebracht hatte, die kein Kind wollte. Das Portfolio war auf 12.900 einzelne Bauteile angeschwollen, jedes ein Working-Capital-Grab.

Knudstorp und CFO Jesper Ovesen bauten das Risikomanagement um drei Prinzipien herum neu auf, die jeder CFO am Montagmorgen anwenden kann.

Prinzip 1: Risk Appetite muss quantitativ und an Kapital gebunden sein

Lego etablierte eine harte Regel: Kein Produkt, Projekt oder Zukauf durfte Kapital binden, das in einem 1-zu-20-Downside-Szenario eine bestimmte Liquiditätsschwelle verletzen würde. Das war kein vages Statement über „moderaten Risk Appetite“, es war eine DKK-Zahl, quartalsweise aktualisiert, die jeder Business-Unit-Leiter kannte.

Als Lego 2010 die Partnerschaft für den Lego-Film mit Warner Bros. prüfte, erzwang das Risk-Appetite-Framework eine explizite Trade-off-Analyse. Das Downside-Szenario (Film floppt, Markenverwässerung) wurde gegen Base- und Upside-Cases modelliert. Der Deal wurde so strukturiert, dass Legos Downside auf das Marketing-Co-Investment begrenzt war. Der Film spielte über 468 Mio. Dollar an den Kinokassen ein und brachte über drei Jahre geschätzte 3 Mrd. DKK zusätzlichen Umsatz.

Vergleichen Sie das mit Mattels Periode 2014-2017, in der das Fehlen disziplinierter risikoadjustierter Capital Allocation zu Line Extensions bei Barbie und Fisher-Price beitrug, die rund 1,3 Mrd. Dollar Shareholder Value zerstörten, bevor aktivistische Investoren einen Reset erzwangen.

Prinzip 2: Szenarioplanung schlägt Wahrscheinlichkeitsschätzung

Das mit Abstand häufigste ERM-Versagen sind Punktschätzungen von Wahrscheinlichkeiten. „Es gibt eine Wahrscheinlichkeit von 15 % für eine größere Lieferunterbrechung.“ Das ist bedeutungslos. Was zählt, ist: *Welche Größenordnung hat es und wie resilient sind wir unter spezifischen, benannten Szenarien?*

Lego war Pionier dessen, was sie „Extremszenario-Stresstests“ für ihre Top-10-Strategierisiken nennen. Jedes Szenario ist narrativ konstruiert, keine Zahl, sondern eine Geschichte: „China führt ein inländisch bevorzugendes Spielzeugsicherheitsregime ein, das 18 Monate Rezertifizierung erfordert.“ Das Finance-Team modelliert dann Cash Flow, Working Capital und Covenant-Auswirkungen unter diesem Szenario. Mitigationsoptionen werden vorab aufgesetzt.

Dieser Ansatz entspricht übrigens dem, was die Europäische Zentralbank inzwischen im Rahmen ihres Klima-Stresstests 2025 für Banken verlangt, narrative Szenarien statt Wahrscheinlichkeiten. Die OECD hat ihn faktisch auch für das Steuerrisikomanagement unter Pillar TwoPillar TwoVon der OECD getragene Regeln, die für große multinationale Konzerne einen effektiven Mindeststeuersatz von 15% pro Land vorschreiben.Vollständige Definition ansehen → befürwortet.

Prinzip 3: Das Risikokomitee braucht echte Autorität

In den meisten Unternehmen ist das Risikokomitee beratend. Bei Lego hat das Executive Risk Committee (Vorsitz CFO, dazu COO, CHRO, General Counsel und Group CRO) Vetorecht über jede Investition über 100 Mio. DKK und jeden neuen Markteintritt. Das ist unüblich, und es ist der Grund, warum es funktioniert.

Als Lego 2022 erwog, den Aufbau der Produktionsstätte in Vietnam zu beschleunigen (letztlich eine Investition von 1 Mrd. Dollar, Eröffnung 2024), erzwang das Risikokomitee eine geopolitische Szenarioanalyse zu Eventualitäten in der Taiwanstraße, ASEAN-Handelsfragmentierung und Vietnam-spezifischen Arbeitsmarktrisiken. Das Ergebnis war nicht, das Projekt zu stoppen, sondern den CapexCapexCapital Expenditure (CapEx) sind Ausgaben für den Erwerb, die Modernisierung oder die Erweiterung langlebiger Vermögenswerte wie Anlagen, Immobilien oder Software, die über mehrere Jahre Nutzen bringen.Vollständige Definition ansehen → über 36 statt 24 Monate zu staffeln und damit Optionalität zu erhalten. Diese Entscheidung sparte schätzungsweise 1,8 Mrd. DKK an gebundenem Kapital, als sich das makroökonomische Umfeld 2023 anspannte.

Ihr ERM-Framework aufbauen: das Operating Playbook eines CFOs

Sie werden Ihre ERM-Funktion nicht in einem Quartal neu aufbauen. Sie können aber innerhalb von 90 Tagen strukturelle Änderungen vornehmen, die sie vom Compliance- in den Value-Modus bringen.

Schritt 1: Führen Sie ein brutal ehrliches Maturity Assessment durch

Nutzen Sie das COSO-Reifegradmodell, aber stresstesten Sie es mit einer Frage: *Wurde in den letzten 24 Monaten irgendeine strategische Entscheidung aufgrund von Input der Risikofunktion geändert?* Wenn die Antwort nein ist, ist Ihr ERM Dekoration.

Der Global Risk Survey 2025 von PwC ergab, dass 67 % der CFOs einräumten, ihre Risikofunktion habe in den vorangegangenen zwei Jahren keine größere strategische Entscheidung beeinflusst. Diese Zahl sollte Ihr Benchmark für Peinlichkeit sein.

Schritt 2: Schreiben Sie das Risk-Appetite-Statement in Euro und Tagen neu

Vage Aussagen wie „wir haben einen moderaten Appetit auf operationelle Risiken“ sind nutzlos. Überführen Sie jede Risikokategorie in entweder:

• Eine Betragsschwelle: „Wir akzeptieren kein Kreditexposure gegenüber einer einzelnen Gegenpartei von mehr als 2 % des materiellen Eigenkapitals“
• Eine Zeitschwelle: „Wir akzeptieren keine Supply-Chain-Konfigurationen, bei denen eine Tier-1-Unterbrechung mehr als 45 Tage zur Behebung braucht“
• Eine Kennzahlenschwelle: „Wir akzeptieren keine Geschäftsaktivität, die in einem 1-zu-25-Stressszenario einen Net Leverage von 3,5x überschreiten würde“

Als Microsofts CFO Amy Hood und ihr Team 2022-2023 ihr Risiko-Framework um die Activision-Akquisition herum neu aufbauten, war jedes regulatorische Szenario mit einem konkreten Cash- und Ergebniseffekt verknüpft. Als die britische CMA den Deal zunächst blockierte, hatte Microsoft die strukturellen Remedies bereits vormodelliert und konnte in Tagen umschwenken, nicht in Monaten. Der 69-Mrd.-Dollar-Deal wurde im Oktober 2023 abgeschlossen.

Schritt 3: Integrieren Sie ERM in die Capital-Allocation-Gates

Jeder Kapitalantrag über Ihrer Materialitätsschwelle sollte Folgendes erfordern:

1. Einen Base Case, Upside Case und einen 1-zu-20-Downside-Cash-Flow
2. Einen benannten Szenariostress (geopolitisch, regulatorisch, Technologie-Disruption)
3. Einen risikoadjustierten IRR, nicht nur den nominalen IRR
4. Einen vorab aufgesetzten Mitigationsplan mit benannten Verantwortlichkeiten

Maersks CFO Patrick Jany hat öffentlich beschrieben, wie der Supply-Chain-Schwenk des Unternehmens 2023-2024 (Entkopplung bestimmter Asien-Europa-Routen nach den Störungen im Roten Meer) in rund 11 Tagen umgesetzt wurde, weil Szenario-Plays vorab aufgesetzt waren. Das Unternehmen hielt seine operativen Margen, während Wettbewerber über 400 Mio. Dollar an ungeplanten Umleitungskosten verbrannten.

Schritt 4: Verbinden Sie ERM mit der Vergütung

Hier zucken die meisten CFOs zurück. Wenn risikoadjustierte Renditen nicht in die LTI-Berechnung für Business-Unit-Leiter eingehen, ist Ihr ERM weiter Dekoration. Banken machen das seit 20 Jahren über RAROC. Industrieunternehmen folgen jetzt, Siemens führte 2023 risikoadjustierte Kapitalkosten in die Divisions-P&Ls ein, was CFO Ralf Thomas mit der Margenausweitung von 110 Basispunkten bei Smart Infrastructure im GJ24 in Verbindung brachte.

Schritt 5: Bauen Sie das Emerging-Risk-Radar

ERM-Funktionen im obersten Quartil führen heute ein separates „Emerging Risk“-Register, getrennt von der operativen Heat Map. Dieses Register adressiert:

• KI-Modellrisiko: Halluzinationen, IP-Kontamination, regulatorisches Exposure unter dem EU AI Act (in Kraft ab August 2026)
• Klimatransitionsrisiko: CSRD-Berichtspflichten, Volatilität der CO2-Bepreisung unter CBAM
• Geopolitische Fragmentierung: Sanktionskaskaden, Exportkontroll-Exposure
• Steuerregime-Risiko: Unterschiede in der Pillar-Two-Umsetzung in über 140 unterzeichnenden Jurisdiktionen
• Cyber- und operationelle Resilienz: DORA-Compliance für Finanzunternehmen in der EU

Das Emerging-Risk-Register sollte mindestens quartalsweise vom Risikokomitee des Boards geprüft werden. Es sollte nie mehr als 12 Punkte umfassen, alles darüber und Sie sind zur Heat Map zurückgekehrt.

Die Action-Checkliste des CFOs

1. Innerhalb von 30 Tagen: Führen Sie das „Strategic Influence Audit“ durch. Nehmen Sie die letzten acht Entscheidungen auf Board-Ebene. Dokumentieren Sie, bei welchen formaler Input der Risikofunktion einfloss, der das Ergebnis *geändert* hat. Wenn es weniger als drei sind, haben Sie ein strukturelles Problem, kein Prozessproblem.

1. Innerhalb von 60 Tagen: Schreiben Sie Ihr Risk-Appetite-Statement so um, dass jede Kategorie eine numerische Schwelle hat (Beträge, Tage oder Kennzahlen