Die meisten Risikoanalysen schauen zurück. Sie erfassen, was in der Vergangenheit schiefgegangen ist, und leiten daraus ab, was man in Zukunft vermeid

Die meisten Risikoanalysen schauen zurück. Sie erfassen, was in der Vergangenheit schiefgegangen ist, und leiten daraus ab, was man in Zukunft vermeiden sollte. Das ist nicht falsch. Es reicht nur nicht mehr. Die Risiken, die ein Unternehmen in den nächsten drei bis fünf Jahren ernsthaft gefährden können, tauchen in keiner historischen Ausfallstatistik auf. Nicht weil sie unvorhersehbar wären, sondern weil sie noch nicht eingetreten sind. Sie entstehen gerade: in regulatorischen Verschiebungen, in physischen Veränderungen von Lieferketten und Standorten, in technologischen Sprüngen, die bestehende Geschäftsmodelle nicht verbessern, sondern ablösen. Emerging Risks nennt die institutionelle Kapitalanlage diese Kategorie – und sie hat gelernt, dass wer Kapital für mehrere Jahre bindet, sich nicht leisten kann, nur auf aktuelle Zahlen zu schauen. Für KMU gilt genau dasselbe Prinzip, nur selten wird es so klar benannt. Ein Maschinenbauer, dessen wichtigster Zulieferer in einer Region produziert, die zunehmend von Extremwetterereignissen betroffen ist, hat ein physisches Risiko in seiner Lieferkette – ob er es erfasst oder nicht. Ein Handwerksbetrieb, dessen Kalkulationsgrundlage auf stabilen Energiepreisen beruht, trägt ein Preisrisiko in jedem laufenden Festpreisauftrag. Ein Dienstleister, dessen Geschäftsmodell auf standardisierter Wissensarbeit basiert, schaut gerade dabei zu, wie KI-Systeme genau diese Arbeit zunehmend selbst erledigen. Keines dieser Risiken erscheint in einer klassischen Risikolandkarte, die aus vergangenen Schäden destilliert wurde. Das eigentliche Problem ist nicht, dass Unternehmen diese Risiken nicht kennen. Das Problem ist, dass sie systematisch aus dem regulären Risikomanagement herausgehalten werden – entweder weil sie sich schwer quantifizieren lassen, oder weil sie als zu abstrakt, zu weit in der Zukunft liegend oder zu politisch gelten. Und genau so enden sie in einer Schublade neben dem eigentlichen Risikomanagement, statt darin. Was die institutionelle Kapitalanlage dabei richtig gemacht hat: Sie hat aufgehört, auf vollständige Datenpakete zu warten. Drei bis fünf belastbare, vergleichbare Kennzahlen zu einem Emerging Risk sind wertvoller als achtzig Datenpunkte, bei denen die Hälfte fehlt oder geschätzt ist. Dasselbe gilt für KMU. Eine ehrliche Einschätzung der drei oder vier Risiken, die das eigene Geschäftsmodell in den nächsten Jahren strukturell herausfordern könnten, ist aussagekräftiger als eine umfangreiche Risikoliste, die niemand wirklich steuert. Emerging Risks gehören nicht neben die reguläre Risikoanalyse. Sie gehören in sie hinein – mit klaren Verantwortlichkeiten, regelmäßiger Überprüfung und der Konsequenz, daraus tatsächlich Entscheidungen abzuleiten. Nicht als Absicherungsübung für den Krisenfall, sondern als normaler Teil davon, wie ein Unternehmen heute geführt wird.