10.03.2025
Wer im Wettbewerb langfristig erfolgreich sein will, muss das Thema Unternehmensresilienz in den Fokus rücken. International operierende Konzerne sind etwa auf krisensichere Liefer- und Vertriebsketten angewiesen. Für andere Unternehmen stellen der Klimawandel oder die steigende Cyberkriminalität grössere Bedrohungen dar. Bei all den Unterschieden gibt es aber auch Gemeinsamkeiten. Wir haben die Expertin Prof. Dr. iur. Mirjam Gruber-Durrer gefragt, wie Unternehmen resilienter werden können.
Möchten Sie mehr darüber erfahren, wie Sie Ihr Unternehmen zukunftssicherer machen? Abonnieren Sie unseren Business-Newsletter.
Für die Steigerung der Unternehmensresilienz sind sowohl Risiken als auch Krisen zu berücksichtigen. Mit der richtigen Strategie können Krisen allerdings auch neue Chancen darstellen. Die Abteilung Risk Control von PostFinance unterscheidet zwischen finanziellen, strategischen und operationellen Risiken:
Sich der bestehenden Risiken bewusst zu werden und die konkreten Gefahren für das eigene Unternehmen zu analysieren, ist ein erster wichtiger Schritt. Insbesondere das Thema Cyberkriminalität wird noch zu oft unterschätzt: Nach Angaben von PwC findet alle elf Sekunden ein Ransomware-Angriff auf ein Schweizer Unternehmen statt. Mehr Informationen hierzu auf Der Link öffnet sich in einem neuen Fenster pwc.ch.
Im folgenden Experteninterview erfahren Sie mehr darüber, wie Sie die Resilienz in Ihrem Unternehmen verbessern können – von der Cyberresilienz bis zur resilienten Lieferkette.
Wie sich mehr Resilienz in Unternehmen umsetzen lässt, haben wir Prof. Dr. iur. Mirjam Gruber-Durrer gefragt. Im Interview betont die Board-Management-Expertin auch die rechtlichen Verpflichtungen, die die Unternehmensführung in Bezug auf Resilienz und integrales Risikomanagement hat.
Prof. Dr. iur. Mirjam Gruber-Durrer ist Rechtsanwältin und Dozentin für normatives Board Management an der Hochschule Luzern – Wirtschaft.
Zunächst ist festzuhalten, dass auch in einem KMU der Verwaltungsrat (oder generell das oberste Führungsorgan) für die Ausgestaltung, Implementierung und Überwachung des integralen Risikomanagements verantwortlich ist. Diese Rechtspflicht gilt unabhängig von der Branche und der Rechtsform und ist somit auch für die öffentliche Hand relevant.
Im Rahmen der Risikoidentifikation muss der Verwaltungsrat die zentrale Frage des Risikomanagements stellen: Was kann schlimmstenfalls in unserem Unternehmen passieren?
In der Praxis fehlt es oft an der Vorstellungskraft, um diese Frage zu beantworten, und dem Risikomanagement wird noch immer eine untergeordnete Bedeutung beigemessen. Zudem arbeiten viele Unternehmen weiterhin mit statischen Einzelrisiken. Da die Realität jedoch dynamischer und komplexer ist, reicht diese Methode nicht aus, um Entwicklungen wie Cyberangriffe, Lieferkettenunterbrüche oder geopolitische Spannungen adäquat zu erfassen. Unternehmen sollten daher ganze Szenarien entwickeln, auch um «emerging Risiken» zu identifizieren.
Um die Resilienz des Unternehmens zu erhöhen, hat der Verwaltungsrat gemäss unserem Luzerner Board-Management-Modell vier Handlungsfelder zu bewirtschaften:
Damit der Verwaltungsrat diese vier Handlungsfelder sorgfältig bewirtschaften und die Resilienz des Unternehmens steigern kann, benötigt er nicht nur ein integrales Risikomanagement, sondern auch ein unternehmensweites Chancenmanagement. Dies ist eine der Kernkompetenzen jedes Verwaltungsrats, wenn es darum geht, ein Unternehmen zukunftsfähig zu gestalten und zu halten.
Der Verwaltungsrat hat stets das finanzielle Gleichgewicht des Unternehmens zu überwachen. Stellt er fest, dass das Unternehmen in finanzielle Schwierigkeiten kommt, muss er umgehend Massnahmen ergreifen. Hier kann das integrale Risikomanagement, das auch das interne Kontrollsystem, das Krisenmanagement und das Business Continuity Management umfasst, einen wertvollen Beitrag leisten: Sind Massnahmen zur Krisenbewältigung bereits planerisch vorbereitet und – bestenfalls – eingeübt, kann der Verwaltungsrat schnell in den aktiven Krisenbewältigungsmodus übergehen. Wichtig ist auch, dass der Verwaltungsrat die Prioritäten in der (Weiter-)Entwicklung des strategischen Portfolios regelmässig richtig setzt. Dabei dient ihm der normative Rahmen als wertebasierter Kompass für das Unternehmen als wertvolle Orientierungshilfe.
Unsere Umfrage bei rund 400 Verwaltungsrät:innen hat gezeigt, dass die Bedeutung des Themas Cyberresilienz in den vergangenen Jahren zugenommen hat. Die meisten der befragten Unternehmen sind sich der Cybergefahren bewusst, denn Cyberangriffe können erhebliche Schäden anrichten. Mit der zunehmenden Digitalisierung nehmen auch die Cyberrisiken zu. Entscheidend ist, dass sich Verwaltungsrät:innen kontinuierlich mit dem Thema auseinandersetzen und ein klares Verständnis ihrer Rolle und Aufgaben haben. Zudem sind eine transparente und regelmässige Kommunikation zwischen Geschäftsleitung und Verwaltungsrat essenziell.
In der praktischen Umsetzung ist es zudem zentral, dass Cyberrisiken als Teil des integralen Risikomanagements behandelt und im Risikomanagementprozess konsistent beurteilt und bewältigt werden. Die Durchführung von Krisenmanagementübungen für den Fall eines Cyberangriffs ist empfehlenswert.
Wichtig ist, dass Risiken im Zusammenhang mit der Lieferkette im Risikomanagementprozess systematisch identifiziert, analysiert und bewertet werden. Im Sinne des integralen Ansatzes sollten sowohl präventive Massnahmen (z. B. Diversifizierung der Lieferantenbasis) als auch reaktive Massnahmen (z. B. Ausarbeitung eines Kommunikationskonzepts für alle Anspruchsgruppen) definiert werden, um für den Ernstfall vorbereitet zu sein.
Zentral ist, dass sich der Verwaltungsrat stets überlegt, welche Auswirkungen etwa der Ausfall des Hauptlieferanten auf die vier Handlungsfelder Governance, Run the Business, Change the Business und Ressourcen des Luzerner Board-Management-Modells hat.
Im Schweizer Recht stellt der Verwaltungsrat die erste «Resilienzlinie» des Unternehmens dar. Er trägt somit die Verantwortung für die Risikokultur, mit der er das Denken und Handeln aller Mitarbeitenden im Hinblick auf das integrale Risikomanagement prägt. Die Risikokultur leitet sich aus der Unternehmenskultur ab und ist ein zentraler Erfolgsfaktor für ein gut funktionierendes Risikomanagement.
Damit das Risikomanagement die Resilienz eines Unternehmens stärkt, braucht es ein entsprechendes Risikobewusstsein bei den Mitarbeitenden. Um dieses zu etablieren, sollten der Verwaltungsrat und die Geschäftsleitung eine Vorbildfunktion einnehmen und über Risiken offen diskutieren. Zudem ist empfehlenswert, gemeinsam mit den Mitarbeitenden den Ernstfall regelmässig zu üben und entsprechende Learnings abzuleiten.
Es gibt leider keine Patentlösung, die perfekt für jedes Unternehmen funktioniert. Dennoch möchten wir Ihnen im Folgenden einige Anhaltspunkte geben, wie Sie das Thema Unternehmensresilienz strukturiert und möglichst wirksam angehen können.
Am Anfang sollte eine umfassende Analyse stehen. Hierbei kann gefragt werden, wie resilient das Unternehmen bereits in verschiedenen Bereichen aufgestellt ist: Markt, Lieferkette, IT, Finanzen sowie Mitarbeitende. Teil einer solchen Analyse kann auch die Simulation einer Krisensituation sein, die zeigt, wie schnell wichtige Informationen die relevanten Entscheidungsträger:innen erreichen, wie strukturiert die Krise beantwortet wird und wie gut Krisenpläne funktionieren. Hierzu gehören gezielte Tests, beispielsweise im Bereich der IT-Sicherheit, aber auch die im Interview genannten komplexen Szenarien. Insbesondere dort, wo solche Analysen eine Schwachstelle aufzeigen, sollten Sie mit Massnahmen für mehr Unternehmensresilienz beginnen.
Grundsätzlich hängt es vom Bedarf jedes einzelnen Unternehmens ab, in welchen Bereichen Massnahmen für mehr Resilienz zuerst umgesetzt werden sollten. Darüber hinaus ist Unternehmensresilienz ein stetiger Prozess, der immer wieder neue Anpassungen erfordert. Unabhängig davon lassen sich die Massnahmen aber auch in gewissen Grenzen selbst nach Dringlichkeit sortieren.
Fundamental für die Belastbarkeit eines Unternehmens in wirtschaftlich unsicheren Zeiten ist eine fortgeschrittene Digitalisierung. Diese sorgt idealerweise für mehr Effizienz und eine höhere Informationsgeschwindigkeit. Ausserdem lassen sich Innovationen in einem digitalen Umfeld einfacher testen und umsetzen. Darüber hinaus zählt die Digitalisierung als Makrotrend selbst zu den grossen, aktuellen Herausforderungen, die Unternehmen zu meistern haben. In diesem Zusammenhang ist aber auch digitale Resilienz wichtig – von geeigneten Cybersicherheits- und Datenschutzmassnahmen bis hin zu Cybersicherheits-Schulungen für Mitarbeitende.
Möglichst zeitgleich zur Digitalisierung sollten Führung und Management des Unternehmens danach streben, eine innovative, resiliente Unternehmenskultur mit transparenter Kommunikation umzusetzen. Auch diese schafft ein Umfeld, das für weitere Massnahmen rund um die Unternehmensresilienz förderlich ist. Je nach Unternehmensgrösse können Anpassungen der Unternehmenskultur, die sowohl die Führung als auch alle Mitarbeitenden erreichen sollen, eine anspruchsvolle Aufgabe sein. Deshalb sollten Sie auf erprobte Methoden des Change Management zurückgreifen. Auch die resiliente Finanzplanung sollten Sie nicht auf die lange Bank schieben. Niemand weiss, wann die nächste Krise auftaucht. Deshalb muss krisensichere Liquidität eine hohe Priorität haben. Im Zusammenhang mit Wachstumsstrategien, die sich an Innovation und Diversifizierung orientieren, ist dies allerdings eine langfristig angelegte Massnahme. Das Gleiche gilt für die Supply Chain. Kurzfristig lassen sich hier, etwa mithilfe des FM Resilience Index, schnell potenzielle Risiken identifizieren. Auf Der Link öffnet sich in einem neuen Fenster fm.com finden Sie den FM Resilience Index 2024. Langfristig ist es aber unter Umständen auch sinnvoll, alternative Pläne für den Krisenfall zu haben. Auch hier sind Stresstests ein guter Weg, die bestehende Resilienz zu prüfen und Verbesserungspotenzial zu erkennen.
Liquiditätsmanagement, Zahlungsverkehr und digitale Rechnungen stärken die finanzielle Resilienz, indem sie eine stabile Finanzlage sichern und die Digitalisierung fördern. Entdecken Sie Produkte und Lösungen rund um Zahlungsverkehr, Liquiditätsmanagement und digitale Rechnungen.
Oder lassen Sie sich von unseren Expert:innen persönlich beraten, um die für Ihr Unternehmen passenden Lösungen zu finden.
Unternehmensresilienz beschreibt die Fähigkeit eines Unternehmens, Krisen zu bewältigen und sich schnell an veränderte Rahmenbedingungen anzupassen.
Die ISO-Norm 22316 «Sicherheit und Resilienz – Resilienz von Organisationen – Grundsätze und Attribute» beschreibt folgende Merkmale resilienter Unternehmen:
Am Beispiel von Pflanzen lässt sich bildhaft zeigen, wie Resilienz für Unternehmen aussehen kann. Viele Pflanzen entwickeln sich aus widrigen Bedingungen heraus, strecken sich aus dem Schatten anderer Pflanzen ins Licht oder überstehen lange Trockenperioden. Die Voraussetzungen dafür finden sich aber in ihrer Struktur: Nur durch besonders tiefe Wurzeln, die Grundwasser in mehr als 30 Metern Tiefe erreichen, konnte beispielsweise der berühmte «Arbre du Ténéré» hunderte Kilometer entfernt von anderen Bäumen tief in der nigerianischen Wüste in Nordafrika weiter gedeihen – während alle anderen Bäume um ihn herum langsam verschwanden.
