Als Volkswagen Ende Juli seine Halbjahreszahlen für 2026 vorlegte, wurde sichtbar, wie wenig sich unternehmerische Unsicherheit noch in einzelne, sauber voneinander getrennte Risikokategorien zerlegen lässt. Der Konzern meldete für das erste Halbjahr einen Rückgang des operativen Ergebnisses um 11,6 Prozent auf 5,9 Milliarden Euro und passte seine Umsatzerwartung für das Gesamtjahr von zuvor 0 bis plus 3 Prozent auf minus 3 bis 0 Prozent an. Gleichzeitig verwies das Unternehmen auf geopolitische Krisen, Handelskonflikte, regulatorische Anforderungen, volatile Märkte und verschärften Wettbewerb – während der chinesische Markt schwach blieb und chinesische Hersteller ihren Exportdruck erhöhten. Das ist kein Lehrbuchfall für ein Bündel miteinander verbundener Unsicherheiten, die Investitionen, Produktportfolio, Kostenstruktur und strategische Entscheidungen gleichzeitig beeinflussen.
Genau hier setzt die aktuelle Debatte um Enterprise Risk Management an: Wie wird aus einer Sammlung von Risiken eine belastbare Grundlage für Entscheidungen unter Unsicherheit?
COSO will ERM vom Berichtswesen lösen
Mit "From Guidance to Action: Exploring Practical Enterprise Risk Management" hat COSO im Mai 2026 eine neue Handreichung veröffentlicht. Entscheidend für die Einordnung: Nach Auffassung der RMA Risk Management & Rating Association e.V. handelt es sich nicht um ein neues Rahmenwerk, sondern um eine praxisorientierte Konkretisierung des COSO-ERM-Frameworks aus dem Jahr 2017. COSO versteht das Framework dabei ausdrücklich als Werkzeugkasten. Die neue Veröffentlichung soll deshalb weniger zusätzliche Theorie liefern als vorhandene Prinzipien in konkretes Führungs- und Entscheidungsverhalten übersetzen.
Die Stoßrichtung ist bemerkenswert, weil sie einen verbreiteten Schwachpunkt klassischer Risikomanagementsysteme adressiert. In vielen Organisationen entstehen Risikoinventare, Heatmaps, Reports und Maßnahmenlisten – doch der eigentliche Test wird zu selten gestellt: Hat die Information eine Entscheidung verändert? Genau diese Frage rückt COSO nun in den Mittelpunkt. Enterprise Risk Management soll nicht als zusätzlicher Verwaltungskreislauf neben Planung und Steuerung laufen, sondern frühzeitig in strategische und operative Entscheidungen eingebaut werden.
Die RMA begrüßt den Richtungswechsel
Als Interessenvertretung der Risikomanager, Ratinganalysten und Krisenmanager teilt die RMA diesen Grundgedanken ausdrücklich. In ihrer Stellungnahme spricht sie von einem "entscheidungsorientierten Risikomanagement" und hebt mehrere Elemente hervor, die in der Praxis tatsächlich einen Unterschied machen können. An erster Stelle steht der Vorrang der Entscheidung vor der Dokumentation. Ein Risikobericht ist demnach kein Selbstzweck. Sein Wert bemisst sich daran, ob er Handlungsalternativen, Prioritäten oder Eskalationen besser begründet.
Ebenso positiv bewertet die RMA die stärkere Verbindung von Risiko und Strategie. Jede strategische Option erzeugt eine eigene Risikoposition – und eröffnet zugleich Chancen. Damit verschiebt sich der Blick weg vom reinen Verhindern möglicher Schäden hin zu einer Abwägung von Chancen und Risiken. Das ist vor allem dort relevant, wo Unternehmen unter hoher Unsicherheit investieren: in neue Technologien, Märkte, Produktionskapazitäten oder Geschäftsmodelle.
Hinzu kommt ein Governance-Verständnis, das Risikomanagement nicht auf einen periodischen "Risikokalender" reduziert. COSO betont klare Entscheidungsrechte, Eskalationswege, Ownership im Business und die konsequente Nachverfolgung von Maßnahmen. Für die RMA passt das zu einem Zusammenspiel von operativer Steuerung und unabhängiger Prüfung im Sinne der Three Lines (of Defence). Auch die Betonung einer offenen Risikokultur und psychologischer Sicherheit trifft einen wichtigen Punkt: Ohne die Möglichkeit, Annahmen und Fehlentwicklungen früh zu benennen, helfen selbst gute Methoden wenig.
Der blinde Fleck: Vom Einzelrisiko zum Gesamtrisiko
Der zentrale Vorbehalt der RMA beginnt dort, wo aus gutem Führungsverhalten eine belastbare quantitative Entscheidungsgrundlage werden soll. Schwere Unternehmenskrisen entstehen selten durch ein einziges Risiko. Problematisch wird es, wenn mehrere Belastungen gleichzeitig auftreten oder sich gegenseitig verstärken. Genau das zeigt auch das Volkswagen-Beispiel: Handelskonflikte, Wettbewerb, Regulierung, Technologieumbau, Kosten und Marktentwicklung wirken nicht unabhängig voneinander auf Ergebnis und Liquidität.
COSO empfiehlt Szenarien und Bandbreiten, bleibt aus Sicht der RMA bei der methodischen Risikoaggregation jedoch unverbindlich. Die RMA fordert deshalb den nächsten Schritt: Risiken sollen nicht nur einzeln beschrieben, sondern in die Unternehmensplanung übersetzt und simulationsbasiert aggregiert werden. Mit Monte-Carlo-Simulationen lässt sich beispielsweise untersuchen, welche Ergebnis-, Cashflow- oder Liquiditätsbandbreiten aus vielen unsicheren Einflussgrößen gemeinsam entstehen können.
Der Unterschied ist mehr als technisch. Ein Unternehmen kann zehn Einzelrisiken jeweils als "beherrschbar" einstufen und trotzdem in eine kritische Gesamtsituation geraten, wenn mehrere davon gleichzeitig schlagend werden. Erst der Blick auf den Gesamtrisikoumfang zeigt, wie viel Risikokapital tatsächlich benötigt wird und wann eine Kombination von Entwicklungen die finanzielle Stabilität gefährden könnte. Wissenschaftliche Untersuchungen zur Krisen- und Insolvenzforschung zeigen, dass existenzbedrohende Unternehmenskrisen in der Regel nicht durch ein einzelnes Risiko ausgelöst werden, sondern durch das kumulative Zusammenwirken mehrerer Risiken. Gerade diese Risikoaggregation kann dazu führen, dass für sich genommen beherrschbare Einzelrisiken in ihrer Kombination die Risikotragfähigkeit eines Unternehmens übersteigen und damit eine bestandsgefährdende Entwicklung auslösen.
Risikoappetit braucht finanzielle Bodenhaftung
COSO macht den Risikoappetit über Schwellenwerte, Trigger und Eskalationen greifbarer. Auch das bewertet die RMA positiv – hält es aber für unzureichend, Risikolimits allein aus qualitativen Kategorien oder isolierten Kennzahlen abzuleiten. Ein Risikoappetit wird erst dann steuerungsrelevant, wenn er mit der finanziellen Tragfähigkeit des Unternehmens verbunden ist.
Dazu gehören nach Auffassung der RMA neben dem aggregierten Gesamtrisikoumfang auch Frühwarnindikatoren wie Insolvenzwahrscheinlichkeit, Rating, Covenants, Liquiditätsreserven sowie Eigenkapital- und Finanzierungsspielräume. Die Logik dahinter ist einfach: Ein identisches Risiko kann für zwei Unternehmen völlig unterschiedliche Konsequenzen haben. Entscheidend ist nicht nur die mögliche Schadenshöhe, sondern ob das Unternehmen sie in seiner konkreten Finanzierungs- und Ergebnissituation verkraften kann.
Risk Maps reichen für fundierte Entscheidungen nicht
Besonders deutlich wird der methodische Unterschied bei klassischen Risk Maps. COSO kritisiert selbst die verbreitete Praxis, Risiken auf Eintrittswahrscheinlichkeit und Auswirkung zu reduzieren und daraus einen einzelnen Score zu bilden. Die RMA will diese Kritik konsequent zu Ende denken. Statt scheinbar präziser Ampelfelder oder Punktwerte sollen, wo es sinnvoll ist, echte Wahrscheinlichkeitsverteilungen und geeignete Risikomaße eingesetzt werden.
Genannt werden unter anderem Value-at-Risk und Expected Shortfall. Entscheidend ist dabei weniger die Fachterminologie als die Perspektive: Managemententscheidungen benötigen Informationen darüber, wie groß ungünstige Abweichungen tatsächlich werden können und wie sich extreme, aber plausible Verläufe auf das Unternehmen auswirken. Wo Daten fehlen, plädiert die RMA für strukturierte Expertenschätzungen, Bayes-Updates oder andere transparente Verfahren – statt qualitativer Scheingenauigkeit.
Risikomanagement gehört an den Steuerungstisch
Aus dieser Sicht folgt auch eine organisatorische Konsequenz. Entscheidungsorientiertes ERM gehört dorthin, wo Budgets beschlossen, Investitionen bewertet, Finanzierungen geplant und operative Prioritäten gesetzt werden. Die RMA fordert deshalb eine stärkere Verzahnung mit Controlling, Unternehmensplanung, Treasury und Performance Management.
Das ist mehr als eine Zuständigkeitsfrage. Wenn Risikomanagement erst nach Abschluss der Planung prüft, ob die darin enthaltenen Annahmen riskant sind, kommt es zu spät. Wirksam wird es, wenn Unsicherheit bereits beim Vergleich von Strategie- und Investitionsalternativen berücksichtigt wird. Hier sieht die RMA eine weitere Lücke der COSO-Veröffentlichung: Die Verbindung zwischen aggregiertem Risiko, risikogerechten Kapitalkosten und Unternehmenswert bleibt aus ihrer Sicht zu abstrakt.
AI als Assistent – nicht als Blackbox
Ein eigenes Kapitel widmet die RMA der künstlichen Intelligenz (KI). Auch hier fällt die Bewertung grundsätzlich offen aus. KI kann bei der Risikoidentifikation, der Aufbereitung großer Datenmengen, der Szenarienbildung und der Kommunikation erhebliche Vorteile bieten. Gerade unstrukturierte Informationen – Nachrichten, interne Berichte, Marktinformationen oder Frühwarnsignale – lassen sich schneller verdichten und auf mögliche Risikomuster untersuchen.
Die Grenze zieht die RMA bei den methodischen Kernschritten. Planungsbasierte Risikoaggregation, Bewertung und Steuerungslogik sollen nachvollziehbar, reproduzierbar und prüfbar bleiben. Die präferierte Lösung ist deshalb hybrid: KI unterstützt Fachleute und Modelle, ersetzt sie aber nicht. Das ist auch eine Governance-Frage. Je stärker ein Ergebnis Managemententscheidungen beeinflusst, desto wichtiger wird die Nachvollziehbarkeit seiner Entstehung.
COSO liefert das Betriebssystem – die Methodik muss folgen
In der Summe fällt die RMA-Würdigung bewusst ausgewogen aus. COSO 2026 verbessert die Entscheidungsnähe des Enterprise Risk Managements: durch Strategieanbindung, klare Trigger, Ownership, Einbettung in bestehende Führungsrhythmen und eine ernst genommene Risikokultur. Als Verhaltens- und Umsetzungsleitfaden ist die Veröffentlichung aus Sicht der RMA wertvoll.
Die entscheidende Ergänzung liegt jedoch in der quantitativen, planungsbasierten Kette: Risiken als Verteilungen beschreiben, in die Unternehmensplanung einbauen, zu einem Gesamtrisikoumfang aggregieren, den Risikoappetit mit der Risikotragfähigkeit verbinden und die Konsequenzen in Kapitalkosten und Unternehmenswert übersetzen. Die RMA sieht COSO und entscheidungsorientiertes Risikomanagement deshalb nicht als Gegensätze. Das eine liefert Verhaltensdisziplin und organisatorische Anschlussfähigkeit, das andere die Mess- und Bewertungsmethodik.
Fazit und Ausblick
Zurück nach Wolfsburg: Die aktuellen Zahlen von Volkswagen zeigen exemplarisch das Entscheidungsproblem, für das moderne ERM-Systeme gebaut sein sollten. Wenn Handelskonflikte, Marktschwäche, technologische Transformation, Regulierung und Kosten gleichzeitig wirken, reicht es nicht, fünf Risiken in einer Matrix nebeneinanderzustellen. Management und Aufsicht müssen wissen, welche Kombinationen plausibel sind, wie stark Ergebnis, Cashflow und Finanzierungsspielraum dann belastet werden und welche strategische Option unter diesen Bedingungen noch tragfähig ist.
Genau hier treffen sich die neue COSO-Veröffentlichung und die RMA-Stellungnahme. COSO fordert, Risikomanagement endlich näher an reale Entscheidungen zu bringen. Die RMA unterstützt diesen Schritt, verlangt aber, ihn methodisch zu vollenden. Für Unternehmen wäre das die eigentliche Konsequenz aus "From Guidance to Action": weniger Energie in die Perfektion des Risikoregisters – und mehr in die Frage, wie Unsicherheit messbar in Planung, Investition und Strategieentscheidung eingeht.
Der nächste Entwicklungsschritt des ERM dürfte deshalb nicht in noch mehr Dokumentation liegen. Er liegt in einer integrierten Steuerungslogik, die Daten, Szenarien, Simulation, finanzielle Tragfähigkeit und menschliches Urteil zusammenführt. Gerade in einem Umfeld, das von geopolitischen Verschiebungen, technologischen Sprüngen und volatilen Märkten geprägt ist, wird Risikomanagement damit vom Berichtsinstrument zur Managementkompetenz.
Quellenverzeichnis
- COSO (2026): New ERM Guidance – COSO Unveils New ERM Guidance to Help Organizations Improve Decision Confidence. Internet: https://www.coso.org/new-erm-guidance
- RMA Risk Management & Rating Association e.V. (2026): Praxisnah und entscheidungsorientiert, aber methodisch noch unvollständig. Stellungnahme zur COSO-Veröffentlichung "From Guidance to Action: Exploring Practical Enterprise Risk Management" (2026), Internet: https://rma-ev.org/fileadmin/user_upload/RMA_Stellungnahme_COSO2026_final.pdf
