Szenario Risikomanagement 2025: Big Data unlimited

Big Data Konzepte sind auf dem Weg von der „Fiction of Science“ zu der „Reality of Life“. Softwareentwickler schauen sich die filmischen Szenarien an und lesen die epischen Szenarien dazu.

Technisch ist alles bereits jetzt, 2015, machbar.

Ethisch-juristisch begründet wird jetzt, 2015, noch nicht alles was machbar ist gemacht.

Es ist ein „Naturgesetz“ dass der Mensch alles macht, was machbar ist.

Geringe Widerstände gegen das Machbare, was noch nicht gemacht wird, kommen von einigen organisierten Betroffenen, die an der Integrität der individuellen Persönlichkeit des einzelnen Menschen festhalten und Grenzen setzen, was dieser Einzelne über sich bei der Arbeit preis gibt. Das Sammeln von Informationen und die Erhebung von Daten finden noch schwachen Widerstand in legislativen Verordnungen zur Wahrung der Integrität der Individualität von Personen.

Risikomanagement beruht auf Informationen, die mögliche und zukünftige Ereignisse mit Schadenswirkung  und Wahrscheinlichkeit prognostizieren.

2015: Small Data

Kennzahlen zur Bemessung von Risiken werden ermittelt und nach Kriterien von Objektivität und Transparenz. Es werden Daten von starken Signalen gesammelt. Es sind Informationen, die explizit berichtet werden. Die Ermittlung geschieht über Schätzen, Zählen, Messen und Simulieren. Die Datenmenge ist sehr klein.

2025: Big Data

Es werden Daten von schwachen Signalen gesammelt. Es sind Informationen, die implizit vorhanden sind. Die Ermittlung geschieht über Messungen. Die Datenmenge ist sehr groß.

Es werden Vitalsignale der Organisation ermittelt: Beispielsweise über ihre Kommunikation. Mit Hilfe der IT an den Schnittstellen von Mensch und Maschine. Der Betriebszustand der Organisation wird gemessen.

Es werden Vitalsignale der Mitarbeiter ermittelt. Beispielsweise über ihr Verhalten bei der Arbeit. Mit Hilfe der IT und Sensoren an einer Smartwatch oder an Smartglasses. Der Betriebszustand der Mitarbeiter wird gemessen.

Aussagen

Big Data enthält viel Information über Zustände und Veränderungen der Organisation und Mitarbeiter.

Quantitative und qualitative Merkmale formeller und informeller Art werden in Strukturen und Dynamiken eingedatet. Daten werden nach Korrelationen und Mustern analysiert, deren Existenz und Ausprägung Hinweise auf mögliche und zukünftige Ereignisse geben kann. 

Ein Big Data Risikomanagement analysiert große Datenmengen verschiedener Arten jenseits von Kennzahlen auf Muster, die Risiko anzeigen.

Der Trend geht weg von der begrenzten Objektivität von möglichst präzisen primären Kennzahlen zu einer erweiterten Transparenz durch statistische sekundäre Kennzahlen.

Risikomatrix - in der Praxis immer unsymmetrisch

Beim Anblick der Ergebnisse der google-Bildsuche nach dem Stichwort "riskmatrix" oder "Risikomatrix" drängt sich der falsche Eindruck auf, Risikomatrizen seien symmetrisch zur Diagonalen. In der Praxis sind Risikomatrizen unsymmetrisch zur Diagonalen. "Links" von der Diagonalen stehen Risiken, die anders bewertet sind, als Risiken, die "rechts" von der Diagonalen stehen. 

Diese falsch verstandene Symmetrie folgt aus dem falschen Verständnis von Kennzahlen für Risiko. Werden für das Merkmal "Ausmaß" und für das Merkmal "Wahrscheinlichkeit" z. B. in vier Stufen die Kennzahlen 1, 2, 3, 4 für jeweils einen Wert vergeben, so sind dies ordinale Zahlen. Zwischen denen ist als Verknüpfung nur der Vergleich "größer als" ( > ) und "kleiner als" ( < ) definiert. Die naheliegende Multiplikation der Kennzahlen für das "Ausmaß" mit der Kennzahl für die "Wahrscheinlichkeit" zu einem Produkt als Kennzahl für Risiko als wahrscheinlichkeitsskaliertes Ausmaß ist zwar sehr anschaulich und führt zu einer symmetrischen Matrix, ist aber nicht definiert. Es sei denn, die Kennzahlen für die beiden Achsen der Matrix sind als rationale Zahlen definiert, innerhalb derer weitere arithmetische Verknüpfungen, wie Multiplikation und Division definiert sind. 

Im Bildbeispiel gibt es innerhalb der Matrix in den Dimensionen "Ausmaß" und "Wahrscheinlichkeit" mit jeweils 4 ordinalen Kennzahlen 16 Felder mit 16 weiteren ordinalen Kennzahlen von 1 bis 16. Sie stammen nicht aus einer Arithmetik, sondern aus einer Bewertung entsprechend der "Priorität" des Risikos. Die unumstößliche Annahme ist, dass die höchste Priorität 1 hier rechts oben und die geringste Priorität 16 hier links unten steht. Alle anderen Zuordnungen sind das Ergebnis eines Bewertungsprozesses, der individuell ist. Diese 4*4 Matrix kann für eine andere Organisation eine andere Bewertungsfolge zwischen 1 und 16 erhalten. Die weiße dicke Linie trennt in diesem Beispiel die rote no-go-zone vom Rest.

Achtung: Ein Risikofeld mit der Kennzahl 16 für die Priorität enthält nicht Risiken, die 1/16 so groß sind, wie Risiken in dem Risikofeld mit der Kennzahl 1 für die Priorität. Diese Arithmetik ist bei ordinalen Zahlen nicht definiert. Genau so wenig wie die Kennzahlen für den "Platz" als Ergebnis eines Formel I Rennens.

   

   

  

Was ist Risiko? Welche Definition ist nützlich?

Die Frage "Was ist Risiko?" wird immer wieder mit neuer Semantik beantwortet.

Zwei verschiedene Definitionen, die für viele stehen:

(1) Risiko: 
Die Möglichkeit der negativen Entwicklung der Fähigkeit eines Unternehmens zukünftig Überschüsse zu erwirtschaften.    

(2) Risiko:
Der zukünftige und mögliche Wertverlust für ein Unternehmen aus der Wirkung einer Gefahr auf Werte durch Abweichung zwischen erreichtem Ergebnis und geplantem Ziel.

(1) Stammt aus dem Umfeld von Wirtschaftsprüfern und bezieht sich prosaisch auf die Lage des Unternehmens.

(2) Ist sowohl ursachen- ("Gefahr") und wirkungsbezogen ("Wertverlust") auf ein Unternehmen.

Beide Definitionen sind durchaus verträglich miteinander. Eine zielbezogene Definition (wie in dem Standard ISO 31000) ist vergleichbar mit der Definition 2. Eine ergebnisbezogene Definition (wie in den Risikoberichten einiger großer AGs) ist ebenfalls vergleichbar mit der Definition 2.

Scheinbar exotischere Formulierungen, wie die Rückführung von Risiko auf Volatilität ergebnisrelevanter Faktoren oder Komplexität der Organisation lassen sich problemlos mit der Definition 2 vereinbaren.

Die Frage "Welche Definition ist nützlich?" ist wichtig.

(1) Definition 1 hat beschreibenden Charakter und nutzt entsprechend Worte.

(2) Definition 2 hat ebenfalls beschreibenden Charakter mit Worten, die sich recht direkt mit der Praxis, Risiko mit den zwei Größen Wahrscheinlichkeit ("möglich") eines Ereignisses und Folge ("Wirkung") eines Ereignisses all Messgrößen und Kennzahlen für Risiko vereinbaren lassen.

Everything goes!

Risikomanagement / Balanced Scorecard / Kaplan & Norton

In ihrem genialen Buch von 1996 "The Balanced Scorecard" / Robert S. Kaplan & David P. Norton / Harvard Business School Press Boston (1996) findet Risikomanagement in Part One / Chapter 3 Financial Perspektive auf Seiten 50 und 60 knappe Erwähnung. 

Zitat Seite 50: " … but business should balance expected returns with the management of risk."

Zitat Seite 51: " … in general risk management is an overlay, an additional adjective that should complement whatever expected return strategy the business unit has chosen."

Zitat Seite 60: "When it is strategically important, these organizations will want to incorporate explicit risk management objectives into their financial perspectives."

Dieses Verständnis von Kaplan & Norton zu Risiko und Risikomanagement ist nicht mehr aktuell. Es ist bzw. war nur fokussiert auf die finanzielle Perspektive. Es ist bzw. war fokussiert auf komplementäre Ziele zu Zielen, die mit Risiko verbunden sind. 

Die klassische Balanced Scorecard, BSC nach Kaplan & Norton enthält aber vorgezeichnet einen Risikobegriff und damit ein Objekt für Risikomanagement in alle vier Dimensionen, die "balanced" / ausgewogen sind. Das aktuelle Verständnis ist:

• In jeder Dimension der BSC werden Werte der Organisation geschaffen.
• In jeder Dimension der BSC werden Ziele geplant und Ergebnisse erreicht.
• In jeder Dimension der BSC gibt es damit einen Wertschöpfungsprozess.
• Die vier Dimensionen der BSC stehen in Beziehungen zueinander.
• Die Ziele in den vier Dimensionen der BSC sind zueinander "balanced" / ausgewogen.
• Ganz gleich, ob man Risiken an Werten fest macht (P. Meier, Steinbeis), an Zielen (Standard ISO 31000) oder an Ergebnissen (mehrere DAX- und andere Aktiengesellschaften in ihren Risikoberichten) definiert, in allen vier Dimensionen der BSC gibt es Risiken und in allen vier Dimensionen der BSC wird damit ein Risikomanagement begründet, welches die jeweilige Wertschöpfung implizit und explizit begleitet.
• Damit übernimmt die Balanced Scorecard die Funktion, Risikomanagement in die strategischen und operativen Aktivitäten organisationsweit zu integrieren.
• Das ist alles nicht neu, sondern das ist nur das Konzept der Balanced Scorecard und das Konzept von Risikomanagement konsequent weitergedacht.
• Ein solches Risikomanagement kann sich an die Form und die Inhalte des Konzepts des Standards ISO 31000 halten.
• Risikomanagement nach anderen Standards ist leicht in die BSC zu integrieren.  

So isch no au wieder.

Übrigens: Es tun sich viele mit der Übersetzung des Begriffs "Balanced Score Card" schwer. Ich halte "ausgewogene Zielkarte" für schlecht. Ich benutze "ausgewogene Ergebnis Tabelle". "to score" wird übersetzt mit "erzielen" im Sinne von "erreichen". 

Die Filmempfehlung für Risikomanager

Einem geneigten Leser verdanke ich diese Filmempfehlung für Risikomanager / Risikoanalysten:

"... und dann kam Polly" / "... along came Polly" - mit Jennifer Aniston und Ben Stiller (Universal Studios, Universal City, 2004)

Bringt die treffenden Analysen über das extrem gefährliche Leben: Z. B. "Jede siebte Erdnuss an einer Bar weist Spuren von Urin auf."

Eine Empfehlung zur Fort- und Weiterbildung während der besinnlichen Jahreszeit bezüglich des Lebens - ganz ohne Testat und Zertifikat / ganz ohne ISO-Normen nur mit den ungeschriebenen Gesetzen des Lebens. Legendär die Kennzahlen zur Optionsbeurteilung von Polly und Lena mit einer Risikoanalysesoftware.

ρ: Wahrscheinlichkeit und φ: Häufigkeit

Zusammenhang von Wahrscheinlichkeit und Häufigkeit am Beispiel des Würfelspiels

Beim Würfelspiel liegt eine Gleichverteilung der 6 Ereignisse "1", "2", "3", "4", "5", "6" vor. Das klassische Spiel mit dem Würfel, um das Ereignis "6" (eine "6" zu würfeln) zeigt, wie Wahrscheinlichkeit und Häufigkeit zusammenhängen:
Die mittlere statistische Wahrscheinlichkeit ρ des Ereignisses "6" ist:

 ρ = 1/6 ~ 0,1667 = 16,67 %.

Die Wahrscheinlichkeit ρ bedeutet, dass der nächste Wurf mit der Wahrscheinlichkeit 1/6 zum Ereignis "6" führt. Die Wahrscheinlichkeit ρ ist eine systeminvariante und spielinvariante Größe des Würfels. Das Ergebnis gilt für jeden (idealen und nicht manupulierten) Würfel und für jedes Spiel.

Es ist damit nichts darüber ausgesagt, wie oft das Ereignis "6" in einer Minute oder in einer Stunde oder an einem Tag vorkommt. Es hat nichts damit zu tun, ob schnell (viele Ereignisse pro Zeiteinheit) oder langsam gespielt wird (wenige Ereignisse pro Zeiteinheit).

Die mittlere zeitliche Häufigkeit φ kann mit einer zusätzlichen Information berechnet werden. Die Zusatzinformation ist zum Beispiel, dass in 60 Minuten = 1 Stunde 120 Ereignisse (Es wird 120 mal gewürfelt.) stattfinden. Die mittlere zeitliche Häufigkeit φ des Ereignisses "6" ist in diesem Beispiel:

 φ = 120 * ρ = 20.

Die Häufigkeit φ bedeutet, dass das Ereignis "6" mit der Häufigkeit 20 Mal pro 60 Minuten = 20 Mal in der Stunde eintritt. Die Häufigkeit φ ist eine spielvariante Größe.
Das Ergebnis ist nur gültig für eine bestimmte Anzahl von Ereignissen pro Zeiteinheit und damit von der Geschwindigkeit des Spiels abhängig.

Diese Betrachtungen gelten nur für eine "große Anzahl" von Ereignissen entsprechend des statistischen Gesetzes der großen Zahlen.

Wahrscheinlichkeit ρ und Häufigkeit φ sind Kennzahlen des Spiels.

Carl Friedrich Gauss randomly visiting Monte Carlo running Excel normal distribution II

oder: Was geschieht, wenn zwei Risiken zusammenkommen?

Problem: Risikoaggregation - Wie groß ist das Gesamtrisiko, wenn zwei Einzelrisiken zusammenkommen?
Das aller-einfachste Beispiel: Zwei Risiken aggregieren - Risiko des Verkaufspreises; Risiko des Einkaufspreises;
Sachverhalt grundsätzlicher Art: Einkauf (en gros) und (Wieder-)Verkauf (en detail) sind jeweils mit Preisrisiken verknüpft.
Annahmen: Der Einkaufspreis einer Ware EK sei um den Mittelwert m=15 € mit einer Standardabweichung von s=3 € "normal" verteilt. Der Verkaufspreis der Ware VK sei um den Mittelwert m=20 € mit einer Standardabweichung von s=7 € "normal" verteilt.
Frage: Wie ist der Gewinn P/L=VK-EK verteilt?
Lösung: Monte Carlo Modellrechnung für P/L mit 10.000 Szenarien von "normal" verteilten Zufallsvariablen (Excel).
Ergebnis: Grafiken der EK-Verteilung, VK-Verteilung, P/L-Verteilung
Diskussion: Die Eigenschaften des Ergebnisses der Modellsimulation sind zu untersuchen und zu verstehen. Das sei dem Leser überlassen!
Bezug zu Normen: Die Norm IEC/ISO 31010:2009 Abschnitt B.25 führt Monte Carlo als eine Technik der Risikobeurteilung an.

Gauß Verteilung / Gauss'sche Normalverteilung I

Die Normalverteilung kann als ein Maßstab für die Messung einer zufälligen Größe genutzt werden. Die Messung dieser Größe (es bedarf mehrerer / vieler Messungen mehrerer / vieler Ereignisse) liefert den Mittelwert m und die Standardabweichung s dieser zufälligen Größe. Die Standardabweichung s ist eine Kennzahl für Ungewissheit.

Risikokennzahlen für Anfänger

Kennzahlen bemessen einen Sachverhalt mit Zahlen. Zu einer Kennzahl gehören eine Definition und ein Messverfahren. Risikokennzahlen sind Kennzahlen für Risiko und bemessen Risiko als virtueller, möglicher Sachverhalt in der Zukunft.

Es gibt -zig Kennzahlen für Risiko, für ein Einzelrisiko oder für ein Ensemble / Portfolio von Risiken, über die bereits Enzyklopädien geschrieben sind.

Eine Kennzahl für ein Risiko einen Fehler betreffend, ist die Risikoprioritätenzahl RPZ aus der FMEA-Methodik (ISO 31010:2009 B13). Hier steht Risikomanagement im Dienst von Qualitätsmanagement.

Zwei Kennzahlen, bzw. ein Kennzahlenpaar für ein Risiko sind die beiden Koordinaten, welche die klassische zweidimensionale Risikomatrix (ISO 31010:2009 B29) aufspannen, die Auswirkung (ISO 31000:2009 2.18) als Kennzahl für den Schaden/Verlust und die Wahrscheinlichkeit als Kennzahl für die Unsicherheit/Ungewissheit (ISO 31000:2009 2.19) korreliert.

Der Auswirkung (ISO 31000:2009 2.18) kommt als Kennzahl für den Bruttoschaden ("worst case scenario") eine besondere Bedeutung bei und proviziert den Gedanken, was geschieht, wenn dieser Bruttoschaden morgen eintritt.

Anstelle der Wahrscheinlichkeit (ISO 31000:2009 2.19) wird häufig die Häufigkeit als Kennzahl für die Unsicherheit genommen (sh. Post vom 25.06.2011).

Gefragt sind oft Kennzahlen für die Gesamtheit mehrerer relevanten Risikopositionen. Diese sind nur in trivialen Fällen eine arithmetische Summe der Einzelrisiken. In realen Fällen sind es statistische Summe, die aus eine Modellannahme der Wahrscheinlichkeitsverteilungen der Einzelrisiken und ihres Zusammenwirkens durch numerische Rechnungen vom Typ Monte Carlo (ISO 31010:2009 B.25) berechnet wird. Die Kennzahl Value-at-risk ist der prominente Vertreter dieser Kategorie. Ich warne davor, diese Kennzahl zu benutzen, ohne sie zu verstehen! (Testfrage: Wie groß ist das Gesamtrisiko bestehend aus einem "großem" Risiko eines Wissensverlusts und einem "kleinen" EUR/CHF-Währungsrisiko?)

Oft wichtiger als eine absolute Kennzahl für ein Einzel- oder ein Gesamtrisiko sind relative Kennzahlen, die es gestatten, Risiken miteinander zu vergleichen, und die es ermöglichen, Änderungen von Risiken zu verfolgen.