Dabei geht es im ersten Schritt gar nicht darum, nur firmenspezifische Gefahren zu erkennen, sondern einen Überblick über alle potenziellen Gefährdungen zusammenzutragen. "Die Bewertung und die Relevanz für das jeweiligen Unternehmen erfolgt im zweiten Schritt", so Burkhardt Müller. Hierbei geht es dann darum, festzustellen, wie groß die Wahrscheinlichkeit ist, dass ein Risiko eintritt und wie viel Schaden dabei für die Firma entstehen kann. Viele Berater empfehlen hier die so genannte "Value-at-risk-Methode". Sie definiert den Verlustbetrag, der innerhalb einer bestimmten Zeit, etwa eines Jahres, mit einer vorgegeben Wahrscheinlichkeit, beispielsweise 99 Prozent eintritt. Bezogen auf das Eigenkapital liefert der Value-at-Risk-Ansatz eine Bonitätsbestimmung. Das Unternehmen weiß damit ziemlich genau, wann das Eigenkapital aufgebraucht sein würde.
Wer die Risiken kennt und bewertet hat, kann sie auch steuern. "Jedes Unternehmen sollte hier seine individuelle Risikostrategie festlegen", rät DHPG-Wirtschaftsprüfer Burkhardt Müller. Je nach Branche und Firmenalter unterscheiden sich die einzelnen Risikomanagementmaßnahmen deutlich. Junge, innovative Biotech- oder Internetfirmen werden eher bereit sein müssen, größere Risiken einzugehen, als der traditionelle Automobilzulieferer. Faustformel: Je größere die Risiken, die die Firmen eingehen, umso höhere sollten die Renditeaussichten sein. Das Unternehmen muss nun für sich definieren, welche Risiken sie bewusst eingehen, welche sie überwälzen und was sie zur Minderung beziehungsweise zur Vermeidung der übrigen Risiken tun.
Als Ergebnis steht das Risiko für das gesamte Unternehmen. Mit anderen Worten: Wie hoch ist die Wahrscheinlichkeit eines Ausfalls. Nichts anderes misst auch ein Rating. Hier geht es den Banken darum, die Prozentzahl zu wissen, mit welcher Wahrscheinlichkeit, die Firma einen Kredit nicht zurückzahlen kann. Hierzu schätzt das Kreditinstitut die quantitativen und qualitativen Faktoren, die eine Aussagekraft über die firmenspezifische Kreditwürdigkeit haben.