Kommunales Risikomanagement

​veröffentlicht am 1. April 2021

Nicht erst die aktuelle Pandemielage zeigt:

Die Kommunen in Deutschland haben ebenso mit Risiken zu kämpfen wie Unternehmen.

Haushaltsbelastungen durch Einbrüche bei der Gewerbesteuer, personelle Schwierigkeiten bei der Besetzung von Stellen zur Kontaktnachverfolgung, Reputationsschäden durch „Vordrängeln” von Amtsträgern beim Impfen…

Viele Kommunen wirken auf den ersten Blick nicht besonders gut vorbereitet auf die Risiken der heutigen Zeit. Außerhalb der Pandemie ist die kommunale Arbeit ebenfalls nicht frei von Risiken: Zu denken ist hier etwa an die bevorstehende Personalknappheit durch Pensionierung der Baby-Boomer-Generation, die Erfordernisse der Digitalisierung sowie die Risiken, die der Klimawandel für die Kommune mit sich bringt – und dann hat man sich noch nicht einmal mit den rein finanziellen Risiken oder den allgegenwärtigen IT-Security-Risiken beschäftigt!!

Ein Blick auf die gesetzlichen Rahmenbedingungen der Bundesländer offenbart, dass, anders als im privaten Sektor und bei öffentlichen Unternehmen, keine gesetzlichen Vorgaben zur Risikoüberwachung und –steuerung für öffentliche Körperschaften existieren. Zwar werden in den Kommunalen Haushaltsverordnungen der Länder zum Lagebericht/Rechenschaftsbericht regelmäßig Aussagen über Chancen und Risiken gefordert, in der Praxis beschränken sich die Aussagen dazu jedoch mangels systematischer Grundlage zumeist auf Allgemeinplätze und Offensichtliches, wie der Möglichkeit von Kostensteigerungen bei Bauprojekten und der Gefahr von Zinssteigerungen für Kommunalkredite.

Für Gemeinden, Städte und Landkreise ist im Gegensatz zu privatwirtschaftlichen Unternehmen eine Insolvenz per Gesetz ausgeschlossen – allerdings wäre es fatal, daraus zu schließen, dass sie deshalb nicht Risiken ausgesetzt wären, die es wert sind, systematisch betrachtet zu werden.

Wie sind „Chancen” und „Risiken” definiert?

Als „Risiko” wird der Eintritt von Ereignissen, die zu negativen Abweichungen von einem festgelegten Ziel führen, bezeichnet – kommt man durch das eingetretene Ereignis näher an sein Ziel heran als erwartet, spricht man von „Chance”. Folglich sind „Risiken” und „Chancen” nicht auf die finanzielle Seite einer Kommune beschränkt. Vielmehr sind daneben auch etwa Reputationsrisiken, IT-Risiken, Politikrisiken und Personalrisiken zu verstehen.

Das unvorbereitete Eintreten dieser und weiterer Risiken systematisch zu verhindern, ist die Hauptaufgabe des Risikomanagements.

Damit ein Risikomanagement funktionieren kann, bedarf es in der Kommune einer RISIKOKULTUR, die in einem Leitbild der Kommune beschrieben werden sollte. Aus der Beschreibung der Risikokultur muss hervorgehen, dass das Thema „Risikomanagement” für die Führungskräfte der Kommune von elementarer Wichtigkeit ist; der Verwaltungsvorstand der Kommune spricht nicht nur über Risikomanagement sondern er fördert den Prozess und ist Bestandteil dessen.

Die Führungskräfte und Mitarbeiter bezieht er ein, indem er auf den verschiedene Ebenen Fachwissen aufbaut und Verantwortung auf die operative Ebene überträgt. Risiken auf der finanziellen Seite können bei Kommunen zu einem zunehmenden Verlust an kommunaler Selbstverwaltung führen. Ist eine Kommune über mehrere Haushaltsjahre nicht in der Lage, ihren Haushalt ausgeglichen zu gestalten, drohen ihr aufsichtsbehördliche Maßnahmen von der Verpflichtung zur Aufstellung eines Haushaltssicherungskonzepts bis hin zur (selten verhängten) Zwangsverwaltung durch die übergeordnete Stelle. Das Eintreten von Reputationsrisiken dagegen kann subtilere, aber nicht weniger nachhaltige Folgen für die Kommune haben:

In einem nächsten Schritt ist das jeweilige identifizierte Risiko näher zu beschreiben und einer ersten groben Bewertung zu unterziehen – es wird beurteilt, ob das Risiko im betrachteten Zeitraum überhaupt von Relevanz ist oder ob es derzeit zu vernachlässigen ist. Hierbei ist es entscheidend, im Blick zu haben, dass die Aufwendungen für die Bekämpfung von Risiken immer in einem gesunden Verhältnis zu den Folgen bei Risikoeintritt stehen müssen.

Implementierung eines kommunalen Risikomanagements

Nachdem sich die Gemeindeführung auf ein Risikoleitbild geeinigt hat, beginnt der operative Teil der Implementierung des Risikomanagementsystems mit der Risikoinventur. Zweck der Risikoinventur ist es, mögliche Gefahren, Trends und Entwicklungen systematisch zu erkennen, die das Erreichen der kommunalen Ziele gefährden können. Es bietet sich hierfür an, auf vorhandene Systematiken innerhalb der Kommune wie die Organisationsgliederung in Dezernate und Fachbereiche oder die Ämterebene zurückzugreifen. Durch diese Identifizierung der Risiken nach der Organisationsstruktur wird eine klare Adressierung des Risikos zu einem Ressort und zu dessen Leitungspersonal als „Risk-Owner” unterstützt.

Abb. 1: Risikoinventur 

In einem nächsten Schritt ist das jeweilige identifizierte Risiko näher zu beschreiben und einer ersten groben Bewertung zu unterziehen – es wird beurteilt, ob das Risiko im betrachteten Zeitraum überhaupt von Relevanz ist oder ob es derzeit zu vernachlässigen ist. Hierbei ist es entscheidend, im Blick zu haben, dass die Aufwendungen für die Bekämpfung von Risiken immer in einem gesunden Verhältnis zu den Folgen bei Risikoeintritt stehen müssen.

Abb. 2: Erste Risikobewertung

Der Grobbewertung der Risiken muss eine detaillierte Bewertung der relevanten Risiken folgen; in der Kommune muss herausgearbeitet und dokumentiert werden, welcher Gefahr sich die Kommune ohne gegensteuernde Maßnahmen aussetzt. In diesem Schritt werden die Eintrittswahrscheinlichkeit und das Schadenspotenzial pro identifiziertem Risiko bestimmt.

Das Risikomanagement kann allerdings nur wirksam sein, wenn auf das Bestehen von Risiken reagiert wird: Die Verantwortlichen, sowohl Führungskräfte im Verwaltungsvorstand als auch Risk-Owner, müssen Maßnahmen identifizieren, die in der Verwaltung bereits installiert wurden, um mit Risiken umzugehen.

Dort, wo Lücken bestehen, sollten neue Maßnahmen etabliert werden.

 Abb. 4: Maßnahmen 1

Es empfiehlt sich, die Maßnahmen in solche zu unterteilen, die helfen, ein Risiko von vornherein zu vermeiden (präventive Maßnahmen) und solche, die zur Aufdeckung bereits realisierter Risikosituationen (detektive Maßnahmen) beitragen. Vielfach wird es erforderlich sein, zusätzlich zu den bereits umgesetzten Maßnahmen weitere zu etablieren, die helfen, mit Risiken umzugehen. Schließlich hat eine Bewertung der Risiken nach Einsatz von Maßnahmen zu erfolgen:

Die Kategorisierung der Risiken und direkte Verknüpfung mit Maßnahmen und Verantwortlichkeiten gewährleistet, dass Risiken systematisch vermieden bzw. minimiert werden. Ein Risikomanagementsystem ist kein starres Konstrukt. Es bedarf einer laufenden Überwachung, durch die die Wirksamkeit der bestehenden Überwachungsverfahren regelmäßig sowohl intern als auch extern (Interne Revision) evaluiert wird. Die Überwachung sollte grundsätzlich einen im Vorfeld eingeplanten Teil des  Risikomanagementprozesses abbilden.

Muss das Rad neu erfunden werden?

Eine praktische Implementierung der genannten Prozesse eines Risikomanagementsystems in den Arbeitsalltag der Kommunen ist nur mit erheblichem Arbeitsaufwand zu verwirklichen. Dabei müssen die Verantwortlichen jederzeit im Blick haben, dass der Umgang mit Risiken durch die Mitarbeiter der Kommune zu bewältigen sein muss.

Allerdings muss „das Rad auch nicht neu erfunden werden”.

In allen Kommunen ist eine Vielzahl von Dienstanweisungen und Prinzipien, wie das teilweise auf 16 oder mehr Augen gewachsene „4-Augen-Prinzip” etabliert.

Meist fehlt es an Systematik und Dokumentation!

Die derzeitige Pandemie deckt es auf:

Unvorbereitet in eine Krise zu geraten, führt zwangsläufig zu vermeidbaren Fehlern und Ineffizienzen im Umgang mit der Situation.

Gerne helfen wir Ihnen bei der Etablierung eines Risikomanagementsystems in Ihrer Kommune; dabei werden wir besonderen Wert darauf legen, dass „die Kirche im Dorf bleibt“, d. h. dass das einzurichtende System für die Größe und Risikoklasse Ihrer Kommune angemessen ist.

Während bei größeren Kommunen der Einsatz von IT-gestützten Systemen erforderlich ist, reicht es bei kleineren Kommunen vielfach, die vorhandenen Maßnahmen zu inventarisieren, systematisieren und im Bedarfsfall zu ergänzen.