Risiko vs. Resilienz

In der Psychologie ist der Begriff der Resilienz schon sehr lange bekannt. Darunter wird die Fähigkeit verstanden, dass eine Person in der Lage ist, sich bei Problemen und Veränderungen anzupassen. Angesichts der Vielzahl von Krisen wird der Begriff mittlerweile auch für Unternehmen und Organisationen oder ganze Gesellschaften verwendet. Jeremy Rifkin spricht gar vom "Zeitalter der Resilienz". Handelt es sich ähnlich wie beim Nachhaltigkeitsbegriff um das nächste Schlagwort? Wie grenzt sich der Begriff eigentlich von der Risikodefinition ab? Ist eine Abgrenzung überhaupt sinnvoll? 

Es gibt die Vertreter, die Risiko und Resilienz als zwei getrennte Konzepte verstehen: Die Bewertung und das Management von Risiken sollten sich auf die Verhinderung oder Entschärfung von Bedrohungen konzentrieren, bevor sie eintreten. Resilienz fokussiert sich hingegen auf die Erholung und Anpassung des Systems nach einer Bedrohung. Es lohnt sich diese beiden Konzepte unter die Lupe zu nehmen, und zwar aus der Perspektive des alltäglichen Gebrauchs, der gängigen Berufspraxis und den aktuellen wissenschaftlichen Erkenntnissen.

Die Abb. 01 zeigt vier Kombinationen von Risiko- und Resilienz-Zuständen in Bezug auf das Eintreten eines unerwünschten Ereignisses. Anhand der beiden Dimensionen "kritische Funktionalität" und "Zeit" veranschaulicht die linke obere Ecke eine Situation mit geringem Risiko, wobei die Differenz zwischen a und b das Risiko darstellt. Es ist hier gering ausgeprägt. Die Resilienz ist gleichzeitig hoch, da die Zeit bis zur Rückkehr zum normalen Niveau a relativ kurz ist.

Abb. 01: Verschiedene Zustände von Risiko und Resilienz [Quelle: Nach Linkov, entnommen Aven (2022, S. 2063)]

So eingängig diese Darstellung ist, offenbart sie doch einige Defizite. Risiko wird hier Risiko als eine Veränderung der kritischen Systemfunktionalität infolge eines einzelnen Ereignisses (Störung, Gefahr, Bedrohung, Unfall) betrachtet. Die Wiederherstellung nach einem solchen Ereignis ist nicht Gegenstand der Risikobetrachtung. 

Was die in Abb. 01 genannten Risikobeurteilungen ausdrücken, sind beobachtete oder erwartete Auswirkungen (Veränderungen der kritischen Funktionalität) für ein bestimmtes Ereignis. Dies als Risiko zu bezeichnen, führt zu sprachlichen und konzeptionellen Problemen. Es lässt sich besser als bedingtes Risiko oder Verwundbarkeit (beobachtet oder erwartet) für den Fall des Eintretens eines Ereignisses A beschreiben. In ähnlicher Weise kann die Widerstandsfähigkeit nicht sinnvoll anhand einer einzigen Realisierung beurteilt werden.

Vielmehr ist eine Änderung der Terminologie im Vergleich zur gängigen Praxis erforderlich, da Unsicherheit nicht als ein Aspekt des Risikos einbezogen wird. Unsicherheit ist der Zustand unvollkommener Information, in dem Handlungskonsequenzen nicht so genau vorhergesagt werden können, so dass nur ein Ergebnis die Folge ist. 

Die Abb. 02 zeigt dieses Risikoverständnis. Eine Aktivität (α) wird durch einen Verzweigungsbaum dargestellt wird und über einen Zeithorizont τ beobachtet. Das Risiko ist die Kombination aus Folgen (C), die sich aus Ereignissen (A) ergeben, und den damit verbundenen Unsicherheiten (U). Direkte und indirekte Folgen werden ab dem Zeitpunkt η nach einem Ereignis berücksichtigt.

Abb. 02: Generelles Risikokonzept [Quelle: Logan et al. (2021, S. 1961)]

Da Unsicherheit ein Aspekt des Risikos ist, muss es um den Punkt des Eintretens oder Nichteintretens eines Ereignisses gehen. Wenn die Resilienz auf die Absorptions- und Erholungsphasen beschränkt wird, ist das Resilienzkonzept vom Ereignis abhängig. Die Unsicherheit darüber, welches Ereignis eintreten könnte, wird bei der tradierten Resilienzsicht dann nicht erfasst.

Terje Aven zeigt, dass Risiko und Resilienz keine disjunkten Konzepte sind, die zu grundsätzlich getrennten Risikomanagement- und Resilienzmanagementaktivitäten führen. Eine allgemeine Risikodefinition in Bezug auf eine einzelne Aktivität würde voraussetzen, dass die Reaktionen darauf und die Erholung von Ereignissen (Störungen, Veränderungen) berücksichtigt werden. Die Risikoanalyse eignet sich aber nicht nur für die Betrachtung der unmittelbaren Folgen eines Ereignisses. Eine solche Einschränkung würde die Risikoanalyse für viele Herausforderungen ungerechtfertigt einschränken. Somit umfasst das Risiko wesentliche Aspekte der Resilienz. 

Terje Aven empfiehlt daher, von "Risiko- und Resilienzmanagement" oder "Risiko-, Anfälligkeits- und Resilienzmanagement" zu sprechen. Eine Schlüsselbotschaft ist, dass Resilienzbewertung und -management ohne die Berücksichtigung von Risiken nicht richtig durchgeführt werden können.  

Es geht nicht um die Quantifizierung und Kalkulierbarkeit von Risiken. Vielmehr wird für umfassende Beurteilungen plädiert. Es kommt auf die Prozesse, die potenziellen Ereignisse, ihre Folgen und die damit verbundenen Unsicherheiten an. Die Wiederherstellung eines Systems ist ein wichtiger Aspekt des Risikos, nicht nur der Resilienz, denn es kann die Folgen eines Ereignisses erheblich beeinflussen. 

Oder wie es McKinsey formuliert: "Resilienz ist eine Führungsaufgabe, bei der es darum geht, in der Krise Entscheidungen zu treffen, die das Unternehmen in der Erholungsphase auf Wachstum vorbereiten. Das Risiko muss nun zu einer Funktion werden, die zu den Resilienzbemühungen [des Unternehmens] beiträgt, wenn nicht sogar anführt." (S. 4)