Enterprise Risk Management: das ERM-Framework aufbauen

# Enterprise Risk Management: das ERM-Framework aufbauen

Im August 2003 meldete Lego einen Verlust von 1,4 Mrd. DKK bei einem Umsatz von 6,7 Mrd. DKK, rund 230 Mio. Dollar Miese für ein Unternehmen, das der meistbewunderte Spielzeughersteller der Welt gewesen war. Das dänische Familienunternehmen verbrannte 1 Mio. DKK Cash *pro Tag*. Dreiundzwanzig Jahre später ist Lego der profitabelste Spielzeugkonzern der Welt, mit einem Umsatz von 74,3 Mrd. DKK im Jahr 2024 und einer operativen Marge von über 25 %. Der Turnaround hatte viele Väter, aber den einen, den die meisten CFOs übersehen, ist der radikale Umbau der Enterprise-Risk-Management-Funktion von Lego unter CFO Jesper Ovesen und seinem Nachfolger Knudstorp. Sie haben ERM nicht an die Strategie angeschraubt. Sie haben beides *verschmolzen*. Darum geht es in diesem Modul.

Die meisten Unternehmen, die „COSO ERM implementieren“, produzieren eine Heat MapMapUsing software to automate repetitive marketing tasks and campaigns, enabling personalisation at scale across channels like email, web, and social.Vollständige Definition ansehen → mit 47 Tabs, ein Quartals-Risikokomitee, das sie abnickt, und ein Internal-Audit-Team, das den Haken setzt. Das Framework wird zum bürokratischen Theater. Währenddessen tauchen die Risiken, die Unternehmen tatsächlich umbringen, strategische Obsoleszenz, geopolitische Schocks, fragile Lieferketten, KI-getriebene Disruption des Geschäftsmodells, erst dann in der Heat MapMapUsing software to automate repetitive marketing tasks and campaigns, enabling personalisation at scale across channels like email, web, and social.Vollständige Definition ansehen → auf, wenn sie in der Rückstellungsnote für Rechtsstreitigkeiten im 10-KKThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen → stehen.

Diese Lektion zeigt Ihnen, wie Sie ERM aufbauen, das die Kapitalallokation steuert, nicht Compliance-Reports.

Warum die meisten ERM-Programme scheitern (und was COSO tatsächlich sagt)

Das COSO-ERM-Framework, 2017 aktualisiert und 2023 für die ESG-Integration überarbeitet, ruht auf fünf miteinander verbundenen Komponenten: Governance & Culture, Strategy & Objective-Setting, Performance, Review & Revision sowie Information, Communication & Reporting. Das kann jeder aufsagen. Was wertschaffendes ERM von Compliance-ERM unterscheidet, ist *die Position der Funktion in der Entscheidungskette*.

In einem Unternehmen im Compliance-Modus arbeitet ERM stromabwärts der Strategie. CEO und CFO setzen den Plan; anschließend katalogisieren die Risk Officer, was schiefgehen kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnte. Die Heat MapMapUsing software to automate repetitive marketing tasks and campaigns, enabling personalisation at scale across channels like email, web, and social.Vollständige Definition ansehen → wird dem Prüfungsausschuss präsentiert. Nichts ändert sich.

In einem Unternehmen im Wertmodus arbeitet ERM *stromaufwärts* und *innerhalb* der Strategie. Risk-Appetite-Statements bestimmen die Schwellen der Kapitalallokation. Szenarioanalysen gehen der M&A-Freigabe voraus. Der Risk-adjusted Return on Capital (RAROC) wird für jede Business Unit berechnet und in der Vergütung verwendet.

Die empirische Evidenz ist brutal. Eine McKinsey-Umfrage von 2024 unter 1.200 Large-Cap-Unternehmen ergab, dass Firmen mit einem als „strategisch integriert“ klassifizierten ERM ihre Peers im Compliance-Modus über das vorangegangene Jahrzehnt um 380 Basispunkte ROIC übertrafen. Der Abstand vergrößerte sich während der Lieferkettenkrise 2020-2022, Unternehmen mit integriertem ERM erholten sich bei der Marge im Schnitt 14 Monate schneller.

Das Three-Lines-Modell, aktualisiert

Das „Three Lines Model“ des Institute of Internal Auditors (überarbeitet 2020) bleibt das operative Rückgrat:

• Erste Linie: Das operative Management besitzt und steuert das Risiko
• Zweite Linie: Risk- und Compliance-Funktionen liefern Oversight und Challenge
• Dritte Linie: Internal Audit liefert unabhängige Assurance

Neu ist 2026, dass die zweite Linie inzwischen typischerweise eine eigene Szenarioanalyse-Funktion umfasst, die gemeinsam an CFO und CROCROConversion Rate Optimization (CRO) is the systematic practice of increasing the percentage of users who complete a desired action, using data, testing, and user research.Vollständige Definition ansehen → berichtet. Das ist eine direkte Reaktion auf die verpflichtenden Doppelwesentlichkeitsanalysen der CSRD und die Klimaoffenlegungsregeln der SEC (nach der Gerichtsentscheidung von 2024). Auch die Pillar-Two-Compliance hat Risikofunktionen gezwungen, Steuersatzszenarien über Jurisdiktionen hinweg zu modellieren, ein Thema, das ERM-Teams vor fünf Jahren nicht verantwortet haben.

Der Lego-Fall: ERM als strategisches Betriebssystem

Als Jørgen Vig Knudstorp im Oktober 2004 CEO wurde (ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → war 35, ehemaliger McKinsey-Berater und der erste CEO außerhalb der Familie in der Unternehmensgeschichte), hatte Lego kein funktionierendes ERM. Es hatte etwas Schlimmeres: eine Kultur des „kreativen Risikonehmens“, die Themenparks, Videospiele, Bekleidungslinien und eine Darwin-Produktlinie hervorgebracht hatte, die kein Kind wollte. Das Portfolio war auf 12.900 unterschiedliche Bauteile angewachsen, jedes davon ein Working-Capital-Grab.

Knudstorp und CFO Jesper Ovesen bauten das Risikomanagement um drei Prinzipien herum neu auf, die jeder CFO am Montagmorgen anwenden kann.

Prinzip 1: Risikoappetit muss quantitativ und an Kapital gebunden sein

Lego etablierte eine harte Regel: Kein Produkt, Projekt oder Zukauf durfte Kapital binden, das in einem 1-zu-20-Downside-Szenario eine bestimmte Liquiditätsschwelle verletzen würde. Das war kein vages Statement über „moderaten Risikoappetit“, es war eine DKK-Zahl, quartalsweise aktualisiert, die jeder Business-Unit-Leiter kannte.

Als Lego 2010 die Lego-Movie-Partnerschaft mit Warner Bros. prüfte, erzwang das Risk-Appetite-Framework eine explizite Trade-off-Analyse. Das Downside-Szenario (Film floppt, Markenverwässerung) wurde gegen Base und Upside Case modelliert. Der Deal war so strukturiert, dass Legos Downside auf die Marketing-Co-Investition begrenzt war. Der Film spielte über 468 Mio. Dollar an den Kinokassen ein und brachte über drei Jahre geschätzte 3 Mrd. DKK zusätzlichen Umsatz.

Vergleichen Sie das mit Mattel im Zeitraum 2014-2017, wo das Fehlen einer disziplinierten risikoadjustierten Kapitalallokation zu Barbie- und Fisher-Price-Linienerweiterungen beitrug, die rund 1,3 Mrd. Dollar Shareholder Value vernichteten, bevor aktivistische Investoren einen Reset erzwangen.

Prinzip 2: Szenarioplanung schlägt Wahrscheinlichkeitsschätzung

Der mit Abstand häufigste ERM-Fehler sind Punktschätzungen von Wahrscheinlichkeiten. „Es besteht eine Wahrscheinlichkeit von 15 % für eine größere Lieferunterbrechung.“ Das ist bedeutungslos. Worauf es ankommt: *Welche Größenordnung hat es und wie widerstandsfähig sind wir unter konkreten, benannten Szenarien?*

Lego entwickelte als Erster, was das Unternehmen „Extreme Scenario Stress Tests“ für seine zehn größten strategischen Risiken nennt. Jedes Szenario ist narrativ konstruiert, keine Zahl, sondern eine Geschichte: „China führt ein inländisch bevorzugendes Spielzeugsicherheitsregime ein, das 18 Monate Rezertifizierung erfordert.“ Das Finance-Team modelliert dann Cash Flow, Working CapitalWorking CapitalWorking capital is the difference between a company's current assets and current liabilities, measuring short-term liquidity and the funds available to run daily operations.Vollständige Definition ansehen → und Covenant-Auswirkungen unter diesem Szenario. Mitigationsoptionen liegen vorbereitet bereit.

Dieser Ansatz spiegelt übrigens wider, was die Europäische Zentralbank inzwischen im Rahmen ihres Klima-Stresstests 2025 für Banken verlangt, narrative Szenarien statt Wahrscheinlichkeiten. Die OECD hat ihn für das Steuerrisikomanagement unter Pillar Two faktisch ebenfalls befürwortet.

Prinzip 3: Das Risikokomitee braucht echte Befugnisse

In den meisten Unternehmen ist das Risikokomitee beratend. Bei Lego hat das Executive Risk Committee (geleitet vom CFO, mit COO, CHRO, General Counsel und Group CROCROConversion Rate Optimization (CRO) is the systematic practice of increasing the percentage of users who complete a desired action, using data, testing, and user research.Vollständige Definition ansehen →) ein Vetorecht über jede Investition oberhalb von 100 Mio. DKK und jeden neuen Markteintritt. Das ist ungewöhnlich, und genau deshalb funktioniert es.

Als Lego 2022 erwog, den Aufbau seiner Fertigung in Vietnam zu beschleunigen (am Ende eine Investition von 1 Mrd. Dollar, ErErThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen →öffnung 2024), erzwang das Risikokomitee eine geopolitische Szenarioanalyse zu Eventualitäten in der Taiwanstraße, ASEAN-Handelsfragmentierung und vietnamspezifischen Arbeitsmarktrisiken. Das Ergebnis war nicht, das Projekt zu kippen, sondern den CapexCapexCapital Expenditure (CapEx) is money spent to acquire, upgrade, or extend long-lived assets like equipment, property, or software that deliver value over multiple years.Vollständige Definition ansehen → über 36 statt 24 Monate zu staffeln und damit Optionalität zu bewahren. Diese Entscheidung sparte geschätzte 1,8 Mrd. DKK an gebundenem Kapital, als sich das makroökonomische Umfeld 2023 verschärfte.

Ihr ERM-Framework aufbauen: ein Operating Playbook für CFOs

Sie werden Ihre ERM-Funktion nicht in einem Quartal neu aufbauen. Sie kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen aber innerhalb von 90 Tagen strukturelle Änderungen vornehmen, die sie vom Compliance- in den Wertmodus bringen.

Schritt 1: eine brutal ehrliche Reifegrad-Analyse durchführen

Nutzen Sie das COSO-Reifegradmodell, aber stresstesten Sie es mit einer Frage: *Wurde in den letzten 24 Monaten irgendeine strategische Entscheidung aufgrund des Inputs der Risikofunktion geändert?* Wenn die Antwort nein lautet, ist Ihr ERM Dekoration.

PwCs Global Risk Survey 2025 ergab, dass 67 % der CFOs einräumten, ihre Risikofunktion habe in den vorangegangenen zwei Jahren keine wesentliche strategische Entscheidung beeinflusst. Diese Zahl sollte Ihr Benchmark für Peinlichkeit sein.

Schritt 2: das Risk-Appetite-Statement in Dollar und Tagen neu schreiben

Vage Aussagen wie „wir haben einen moderaten Appetit auf operationelle Risiken“ sind nutzlos. Übersetzen Sie jede Risikokategorie entweder in:

• Eine Dollar-Schwelle: „Wir akzeptieren kein Kreditexposure gegenüber einer einzelnen Gegenpartei, das 2 % des materiellen Eigenkapitals übersteigt“
• Eine Zeit-Schwelle: „Wir akzeptieren keine Lieferkettenkonfigurationen, bei denen eine Tier-1-Störung mehr als 45 Tage zur Behebung benötigt“
• Eine Ratio-Schwelle: „Wir akzeptieren keine Geschäftsaktivität, die in einem 1-zu-25-Stressszenario einen Net Leverage von 3,5x überschreiten würde“

Als Microsofts CFO Amy Hood und ihr Team 2022-2023 ihr Risiko-Framework rund um die Activision-Übernahme neu aufbauten, war jedes regulatorische Szenario mit einer konkreten Cash- und Ergebniswirkung verknüpft. Als die britische CMA den Deal zunächst blockierte, hatte Microsoft die strukturellen Remedies bereits vormodelliert und konnte in Tagen umsteuern, nicht in Monaten. Der 69-Mrd.-Dollar-Deal wurde im Oktober 2023 abgeschlossen.

Schritt 3: ERM in die Kapitalallokations-Gates integrieren

Jeder Kapitalantrag oberhalb Ihrer Wesentlichkeitsschwelle sollte Folgendes erfordern:

1. Einen Base Case, einen Upside Case und einen 1-zu-20-Downside-Cash-Flow

2. Einen benannten Szenario-Stress (geopolitisch, regulatorisch, technologische Disruption)

3. Einen risikoadjustierten IRRIRRThe Internal Rate of Return is the discount rate that makes a project's net present value equal zero. It expresses an investment's expected annualized return.Vollständige Definition ansehen →, nicht nur den nominalen IRRIRRThe Internal Rate of Return is the discount rate that makes a project's net present value equal zero. It expresses an investment's expected annualized return.Vollständige Definition ansehen →

4. Einen vorbereiteten Mitigationsplan mit benannten Verantwortlichkeiten

Maersks CFO Patrick Jany hat öffentlich beschrieben, wie der Lieferketten-Schwenk des Unternehmens 2023-2024 (Entkopplung bestimmter Asien-Europa-Routen nach den Störungen im Roten Meer) in rund 11 Tagen umgesetzt wurde, weil die Szenario-Playbooks vorbereitet waren. Das Unternehmen hielt seine operativen Margen, während Wettbewerber über 400 Mio. Dollar an ungeplanten Umleitungskosten verbrannten.

Schritt 4: ERM mit der Vergütung verbinden

Hier zucken die meisten CFOs zurück. Wenn risikoadjustierte Renditen nicht in die LTI-Berechnung für Business-Unit-Leiter eingehen, ist Ihr ERM weiterhin Dekoration. Banken machen das seit 20 Jahren über RAROC. Industrieunternehmen ziehen jetzt nach, Siemens führte 2023 risikoadjustierte Kapitalkosten in die Divisions-P&Ls ein, was CFO Ralf Thomas mit der Margenausweitung von 110 Basispunkten bei Smart Infrastructure im GJ24 in Verbindung brachte.

Schritt 5: das Emerging-Risk-Radar aufbauen

ERM-Funktionen im obersten Quartil führen heute ein separates Register für „Emerging Risks“, getrennt von der operativen Heat MapMapUsing software to automate repetitive marketing tasks and campaigns, enabling personalisation at scale across channels like email, web, and social.Vollständige Definition ansehen →. Dieses Register behandelt:

• KI-Modellrisiko: Halluzinationen, IP-Kontamination, regulatorisches Exposure unter dem EU AI Act (in Kraft ab August 2026)
• Klimatransitionsrisiko: CSRD-Berichtspflichten, Volatilität der CO2-Bepreisung unter CBAM
• Geopolitische Fragmentierung: Sanktionskaskaden, Exportkontroll-Exposure
• Steuerregime-Risiko: Abweichungen bei der Pillar-Two-Umsetzung über 140+ Unterzeichnerstaaten hinweg
• Cyber und operationale Resilienz: DORA-Compliance für Finanzunternehmen in der EU

Das Emerging-Risk-Register sollte mindestens quartalsweise vom Risikoausschuss des Boards geprüft werden. Es sollte nie mehr als 12 Punkte umfassen, alles darüber und Sie sind zurück bei einer Heat MapMapUsing software to automate repetitive marketing tasks and campaigns, enabling personalisation at scale across channels like email, web, and social.Vollständige Definition ansehen →.

Die Action-Checkliste für den CFO

1. Innerhalb von 30 Tagen: Führen Sie das „Strategic Influence Audit“ durch. Nehmen Sie die letzten acht Entscheidungen auf Board-Ebene. Dokumentieren Sie, bei welchen formaler Input der Risikofunktion das Ergebnis *verändert* hat. Wenn es weniger als drei sind, haben Sie ein strukturelles Problem, kein Prozessproblem.

2. Innerhalb von 60 Tagen: Schreiben Sie Ihr Risk-Appetite-Statement so um, dass jede Kategorie eine numerische Schwelle hat (Dollar, Tage oder Ratios