Wer vor zweitausend Jahren wissen wollte, ob eine Schlacht, eine Reise oder ein politisches Vorhaben gut ausgehen würde, hatte eine erstaunliche Auswahl an Beratungsleistungen. Man konnte den Flug von Vögeln beobachten und daraus die Zukunft ableiten, in den Eingeweiden geopferter Tiere lesen, Träume interpretieren oder gleich ein Orakel aufsuchen. Besonders komfortabel war das Orakel von Delphi: Man stellte eine Frage, bekam eine hinreichend mehrdeutige Antwort und konnte anschließend praktisch jedes Ergebnis als Bestätigung interpretieren. Ein Geschäftsmodell mit bemerkenswert robuster Prognosequalität.
Die Methoden haben sich geändert, der Wunsch dahinter weniger. Auch heute möchte der Vorstand gern wissen: Wird der Cyberangriff kommen? Wann fällt der wichtigste Lieferant aus? Wie hoch wird der Schaden sein? Wann beginnt die nächste Krise? Und gelegentlich schwingt in solchen Fragen die Hoffnung mit, der Risikomanager möge doch bitte kurz seine Kristallkugel polieren und anschließend eine Zahl mit zwei Nachkommastellen liefern. Die korrekte Antwort lautet allerdings: "Ich weiß es nicht!"
Und genau das ist keine Schwäche professionellen Risikomanagements, sondern sein Ausgangspunkt. Ein Risikomanager kennt keine verborgenen kosmischen Zusammenhänge und weiß auch nicht intuitiv, dass am kommenden Dienstag um 14:37 Uhr das ERP-System ausfallen wird. Seine Aufgabe ist eine andere: Er beschäftigt sich systematisch damit, was passieren könnte. Welche plausiblen Szenarien existieren? Welche Ursachen können sie auslösen? Welche Abhängigkeiten verstärken ihre Wirkung? Welche Bandbreiten sind möglich? Und vor allem: Was können wir heute tun, damit uns ein ungünstiges Szenario morgen weniger weh tut?
Damit unterscheidet sich Szenarioanalyse fundamental von Wahrsagerei. Der Wahrsager sagt: "Ich sehe einen Sturm." Der Risikomanager sagt: "Wir kennen mehrere mögliche Entwicklungen. In einigen bleibt es trocken, in anderen fällt die Produktion drei Tage aus und in einem kritischen Szenario verlieren wir zusätzlich einen Hauptkunden. Lassen Sie uns überlegen, wie wir mit diesen Möglichkeiten umgehen." Das klingt weniger spektakulär. Dafür lässt es sich anschließend in Maßnahmen übersetzen.
Quantitative Verfahren treiben diesen Gedanken weiter. Eine stochastische Simulation versucht nicht, die eine Zukunft zu errechnen. Sie erzeugt Tausende oder Hunderttausende mögliche Zukünfte auf Basis unserer Annahmen und zeigt, welche Ergebnisse häufig, welche selten und welche besonders schmerzhaft sind. Statt einer Kristallkugel bekommen wir eine Verteilung. Das ist optisch weniger mystisch, aber für Entscheidungen deutlich hilfreicher. Der entscheidende Satz lautet nicht: "So wird es kommen." Sondern: "Das könnte auf uns zukommen – und so groß kann die Bandbreite sein."
Natürlich lösen auch Simulationen das Grundproblem nicht. Modelle können falsch sein, Annahmen können sich ändern und echte Überraschungen zeichnen sich häufig gerade dadurch aus, dass sie in der ursprünglichen Szenarioliste nicht vorkamen. Deshalb braucht zukunftsorientiertes Risikomanagement neben Daten und Statistik auch Kreativität: Szenariotechnik, Strategic Foresight, Predictive Analytics, Pre-Mortems, Stress Tests, Business Gaming, Red Teaming oder einfach die unbequeme Frage: "Was müsste passieren, damit unser heutiges Weltbild plötzlich falsch ist?"
Vielleicht ist das die wichtigste Leistung guten Risikomanagements: Es reduziert nicht die Unsicherheit der Welt. Es reduziert die Überraschung, wenn diese Unsicherheit Realität wird. Wer mögliche Szenarien vorab durchdenkt, Maßnahmen vorbereitet und Belastungsgrenzen kennt, wird im Ernstfall nicht allwissend – aber deutlich weniger überrascht.
Die alten Griechen hatten dafür das Orakel. Wir haben Daten, Szenarien, Wahrscheinlichkeitsverteilungen und Simulationen. Eine Kristallkugel besitzen wir trotzdem nicht.
Zum Glück. Denn wer glaubt, die Zukunft bereits zu kennen, hat meist aufgehört, über Alternativen nachzudenken.
