Tobias Anton

285 Pages·2017·8.63 MB·German

Integration von Risiken in Geschäftsprozessmodelle
zur Gestaltung eines betrieblichen Informationssystems

DISSERTATION
zur Erlangung des akademischen Grades eines
Doktors der Wirtschaftswissenschaften
der
Fakultät Wirtschaftswissenschaften
der
Technischen Universität Dortmund

vorgelegt von
Diplom-Ökonom Tobias Thomas Anton
aus Bochum

Dortmund, August 2018
Danksagung
Die vorliegende Arbeit entstand im Rahmen meiner Tätigkeit als wissenschaftlicher Mitarbei-
ter am Lehrstuhl für Wirtschaftsinformatik der Wirtschaftswissenschaftlichen Fakultät der
Technischen Universität Dortmund.
Mein besonderer Dank gilt meinem Doktorvater Prof. Dr. Richard Lackes für die Betreuung
dieser Arbeit und die wertvollen wissenschaftlichen Diskussionen, die dieses Werk mitge-
prägt haben. Prof. Dr. Andreas Hoffjan danke ich sehr für die Übernahme des Zweitgutach-
tens und Prof. Dr. Johannes Weyer für die Mitarbeit in der Promotionskommission.
Meinen ehemaligen Kolleginnen und Kollegen des Lehrstuhls danke ich für das sehr kollegia-
le Verhältnis. Erik Frank danke ich für die spannenden und bereichernden Diskussionen rund
um Start-ups und Unternehmertum, die stets eine willkommene Ablenkung boten. Besonderer
Dank gilt Dr. Markus Siepermann für die häufig mehrstündigen wissenschaftlichen Diskussi-
onen, die fast immer zu einem Erkenntnisgewinn führten.
Mein größter Dank gilt meiner Familie. Meinen Eltern danke ich für ihre Unterstützung aller
meiner Vorhaben: Abitur, Unternehmensgründungen und Studium. Sie haben mit ihrem Bei-
trag den Grundstein für diese Arbeit gelegt. Meiner Frau Seena gebührt der allergrößte Dank,
da sie mir auf der langen Zielgeraden den Rücken freigehalten hat, damit ich dieses Projekt
abschließen konnte. Meinem Sohn Ajay danke ich dafür, dass er es mir anscheinend nicht
übel nimmt, dass ich die ersten Monate seines Lebens fast jede freie Minute in die Fertigstel-
lung der Dissertation investiert habe.

Bochum, im Sommer 2018 Tobias Anton

I
Inhaltsverzeichnis
Danksagung ................................................................................................................................ I
Inhaltsverzeichnis .................................................................................................................... II
Abbildungsverzeichnis ......................................................................................................... VII
Abkürzungsverzeichnis ........................................................................................................ VII
Symbolverzeichnis .................................................................................................................. XI
Teil I: Grundlagen des Risiko- und Prozessmanagements ................................................... 1
1. Einführung .................................................................................................................... 1
1.1. Motivation .......................................................................................................... 1
1.2. Ziel der Arbeit .................................................................................................... 3
1.3. Gang der Untersuchung ...................................................................................... 4
2. Das betriebswirtschaftliche Risiko .............................................................................. 5
2.1. Überblick ............................................................................................................ 5
2.2. Risikoauffassungen in der betriebswirtschaftlichen Literatur ............................ 5
2.3. Risikoverständnis in der vorliegenden Arbeit .................................................... 8
2.4. Risikokorrelationen und Risiko-Ursache-Wirkungsketten ............................... 10
2.5. Risikoarten ........................................................................................................ 11
3. Risikomanagement ..................................................................................................... 14
3.1. Ursprung und Entwicklung ............................................................................... 14
3.2. Gesetzliche und regulatorische Bedeutung ....................................................... 17
3.2.1. Gesetzliche und regulatorische Vorgaben ........................................... 17
3.2.2. Rahmenwerke des Risikomanagements .............................................. 21
3.2.2.1. Überblick .......................................................................................... 21
3.2.2.2. COSO ERM ....................................................................................... 25
3.2.2.3. ISO 31000 ......................................................................................... 29
3.2.2.4. Kritische Würdigung der Rahmenwerke ........................................... 34

II
3.3. Bedeutung und Status Quo ............................................................................... 36
3.3.1. Bedeutung und Status Quo in privatwirtschaftlichen Organisationen . 36
3.3.2. Bedeutung und Status Quo in öffentlichen Organisationen ................ 41
3.4. Organisatorische Einbettung ............................................................................. 43
4. Phasen des Risikomanagements ................................................................................ 45
4.1. Überblick .......................................................................................................... 45
4.2. Phase der Risikoanalyse – Risikoidentifizierung ............................................. 45
4.2.1. Zielsetzung der Risikoidentifizierung .................................................. 45
4.2.2. Methoden der Risikoidentifizierung .................................................... 47
4.3. Phase der Risikoanalyse – Risikoquantifizierung ............................................. 52
4.3.1. Zielsetzung der Risikoquantifizierung ................................................. 52
4.3.2. Methoden der Risikoquantifizierung ................................................... 52
4.3.2.1. Quantifizierung von Einzelrisiken .................................................... 52
4.3.2.2. Quantifizierung auf Basis nicht objektiv gegebener Daten .............. 56
4.3.2.3. Quantifizierung von Risikointerdependenzen ................................... 58
4.3.2.4. Quantifizierung des Gesamtrisikos (Risikoaggregation) ................. 59
4.4. Phase der Risikoanalyse – Risikobeurteilung ................................................... 63
4.4.1. Zielsetzung der Risikobeurteilung ....................................................... 63
4.4.2. Methoden der Risikobeurteilung ......................................................... 63
4.5. Phase der Risikosteuerung ................................................................................ 66
4.5.1. Zielsetzung der Risikosteuerung .......................................................... 66
4.5.2. Methoden der Risikosteuerung ............................................................ 66
4.6. Phase der Risikoüberwachung .......................................................................... 69
4.6.1. Zielsetzung der Risikoüberwachung .................................................... 69
4.6.2. Methoden der Risikoüberwachung ...................................................... 71
5. Geschäftsprozessmanagement ................................................................................... 72
5.1. Überblick .......................................................................................................... 72
5.2. Phasen des Geschäftsprozessmanagements ...................................................... 73

III
5.2.1. Phase des Prozessdesigns .................................................................... 74
5.2.2. Phase der Prozessimplementierung ..................................................... 76
5.2.3. Phasen der Prozessdurchführung und -überwachung .......................... 77
5.2.4. Phase der Prozessevaluation ................................................................ 78
5.3. Geschäftsprozessmodelle .................................................................................. 81
5.3.1. Überblick ............................................................................................. 81
5.3.2. Ereignisgesteuerte Prozessketten (EPK) .............................................. 81
5.3.3. Business Process Model and Notation (BPMN) .................................. 85
Teil II: Risikomodellierung in Geschäftsprozessmodellen ................................................. 91
6. Verbindung von Risiko- und Geschäftsprozessmanagement ................................. 91
6.1. Motivation ........................................................................................................ 91
6.2. Verbindung im Rahmen des Prozessdesigns .................................................... 93
6.3. Verbindung im Rahmen der Prozessimplementierung ..................................... 95
6.4. Verbindung im Rahmen der Prozessdurchführung und -überwachung ............ 97
6.5. Verbindung im Rahmen der Prozessevaluation ................................................ 98
7. Entwicklung einer risikoorientierten Prozessnotation .......................................... 101
7.1. Motivation ...................................................................................................... 101
7.2. Anforderungen aus Sicht eines risikoorientierten Prozessdesigns ................. 101
7.3. Anforderungen aus Sicht einer risikoorientierten Prozessimplementierung, -
durchführung, -überwachung und -evaluation ........................................................... 107
7.4. Bestehende Ansätze ........................................................................................ 108
7.5. Erweiterung der BPMN um eine Risikosicht ................................................. 123
7.5.1. Zielsetzung ......................................................................................... 123
7.5.2. Erweiterung ....................................................................................... 123
7.5.2.1. Domänenanalyse und Äquivalenzprüfung ...................................... 126
7.5.2.2. Modellierung der Domäne .............................................................. 128
7.5.2.3. Abstrakte Syntax ............................................................................. 136

IV
7.5.2.4. Konkrete Syntax .............................................................................. 140
7.5.3. Anwendungsbeispiel .......................................................................... 147
Teil III: IT-gestütztes Risikomanagement ......................................................................... 151
8. Risikomanagement-Informationssysteme .............................................................. 151
8.1. Überblick ........................................................................................................ 151
8.2. Anforderungen an Risikomanagement-Informationssysteme ........................ 152
8.2.1. Methodisch-inhaltliche Anforderungen ............................................. 152
8.2.1.1. Anforderungen zur Unterstützung der Risikoidentifizierung .......... 152
8.2.1.2. Anforderungen zur Unterstützung der Risikoquantifizierung ........ 155
8.2.1.3. Anforderungen zur Unterstützung der Risikobeurteilung .............. 157
8.2.1.4. Anforderungen zur Unterstützung der Risikosteuerung ................. 158
8.2.1.5. Anforderungen zur Unterstützung des Risikoreporting .................. 160
8.2.2. Organisatorische und organisationsrechtliche Anforderungen .......... 161
8.2.3. Technische Anforderungen ................................................................ 163
8.3. Arten von Risikomanagement-Informationssystemen ................................... 166
8.4. Status Quo des Angebots an Risikomanagement-Informationssystemen ...... 168
8.4.1. Marktstudie ........................................................................................ 168
8.4.2. Ergebnisse .......................................................................................... 171
8.4.3. Diskussion der Ergebnisse ................................................................. 178
8.4.4. Limitationen ....................................................................................... 181
9. Entwurf eines Risikomanagement-Informationssystems ..................................... 183
9.1. Überblick ........................................................................................................ 183
9.2. Aufbau des Informationssystems .................................................................... 183
9.2.1. Beschreibung der Systemarchitektur ................................................. 183
9.2.2. Detailsichten für die Grundfunktionen .............................................. 184
9.2.3. Detailsichten für die Risikoidentifizierung ........................................ 190
9.2.4. Detailsichten für die Risikoquantifizierung ....................................... 199
9.2.5. Detailsichten für die Risikobeurteilung ............................................. 209
9.2.6. Detailsichten für die Risikosteuerung ................................................ 212

V
9.2.7. Detailsichten für das Risikoreporting ................................................ 217
10. Fazit ........................................................................................................................... 220
10.1. Zusammenfassung .......................................................................................... 220
10.2. Limitationen und Ausblick ............................................................................. 222
Literaturverzeichnis ............................................................................................................. 223
Anhang .................................................................................................................................. 253

VI
Abbildungsverzeichnis
Abbildung 1: Systematik des Risikobegriffs .............................................................................. 7
Abbildung 2: Mögliche Kategorisierung von Risiken ............................................................. 13
Abbildung 3: Standards, Rahmenwerke und Richtlinien des Risikomanagements ................. 24
Abbildung 4: COSO IC und ERM-Würfel ............................................................................... 26
Abbildung 5: Risikomanagementprozess nach ISO 31000 ...................................................... 32
Abbildung 6: Methoden der Risikoidentifizierung .................................................................. 48
Abbildung 7: Beispiel für einen Fehlerbaum ohne Eintrittswahrscheinlichkeiten .................. 49
Abbildung 8: Phasen der Szenarioanalyse ............................................................................... 50
Abbildung 9: Value at Risk ...................................................................................................... 55
Abbildung 10: Beispielhafte Zuordnung verbaler und numerischer Wahrscheinlichkeiten .... 57
Abbildung 11: Beispiel einer Risikoaggregation mittels Monte Carlo Simulation ................. 62
Abbildung 12: Beispiel einer ordinal skalierten Risikomatrix ................................................. 64
Abbildung 13: Risikostrategien ................................................................................................ 67
Abbildung 14: Arten der Risikoüberwachung ......................................................................... 70
Abbildung 15: GPM-Phasen .................................................................................................... 73
Abbildung 16: Auswahl von Business Rule Typen ................................................................. 75
Abbildung 17: Arbeitsweise einer Process Engine .................................................................. 76
Abbildung 18: Logfileauszug eines Versicherungsprozesses .................................................. 79
Abbildung 19: Aus Logfile erzeugter Kontrollfluss des Process Mining Tools Disco ............ 80
Abbildung 20: Basiselemente der EPK .................................................................................... 82
Abbildung 21: Zulässige Verknüpfungsoperatoren ................................................................. 83
Abbildung 22: Beispiel einer EPK ........................................................................................... 84
Abbildung 23: Basiselemente der BPMN ................................................................................ 86
Abbildung 24: Beispiele für markierte Aufgaben und Aktivitäten. ......................................... 88
Abbildung 25: Beispiel der BPMN .......................................................................................... 89
Abbildung 26: Beispiel einer BPMN Kollaborationsbeziehung .............................................. 90
Abbildung 27: Verbindungspotentiale mit dem Prozessdesign ............................................... 95
Abbildung 28: Verbindungspotentiale mit der Prozessimplementierungsphase ...................... 96
Abbildung 29: Verbindungspotentiale mit Prozessdurchführung und -überwachung ............. 98
Abbildung 30: Verbindungspotentiale mit der Prozessevaluation ......................................... 100

VII
Abbildung 31: Anforderungen an ein risikoorientiertes Prozessdesign ................................. 106
Abbildung 32: Anforderungen an risikoorientierte Prozessimplementierung, -durchführung, -
überwachung und -evaluation ................................................................................................ 107
Abbildung 33: Bestehende Ansätze für risikoorientiertes Geschäftsprozessmanagement .... 110
Abbildung 34: Risikoorientiertes Prozessmodell nach Cope et al. ........................................ 112
Abbildung 35: Fuzzy Cognitive Map ..................................................................................... 114
Abbildung 36: Risk State Model ............................................................................................ 115
Abbildung 37: Risikoorientierte EPK .................................................................................... 116
Abbildung 38: Risikoszenariodiagramm ................................................................................ 118
Abbildung 39: Szenariosteuerungsdiagramm ........................................................................ 119
Abbildung 40: Vorgehensmodell zur Erweiterung der BPMN .............................................. 125
Abbildung 41: Ergebnis der Äquivalenzprüfung ................................................................... 127
Abbildung 42: Arten von Multiplizitäten ............................................................................... 128
Abbildung 43: Metamodell der BPMN Erweiterung (CDME) .............................................. 129
Abbildung 44: Darstellung einer konkret definierten Zielgröße ............................................ 130
Abbildung 45: Darstellung eines abstrakten Ziels ................................................................. 131
Abbildung 46: Darstellung eines Fakts Risikomaß ................................................................ 132
Abbildung 47: Darstellung eines Fakts Risikoindikator ........................................................ 132
Abbildung 48: Darstellung eines Fakts Risikoschwelle ......................................................... 133
Abbildung 49: Darstellung eines Fakts Maßnahmengröße .................................................... 134
Abbildung 50: BPMN+X Modell der BPMN Erweiterung ................................................... 140
Abbildung 51: Symbole der BPMN Erweiterung .................................................................. 141
Abbildung 52: Mögliche Pfeiltypen eines Risikoflusses ....................................................... 142
Abbildung 53: Ein Risiko löst ein weiteres Risiko aus. ......................................................... 142
Abbildung 54: Ein Risiko löst zwei weitere Risiken aus. ...................................................... 143
Abbildung 55: Zwei Risiken lösen zusammen ein drittes Risiko aus. ................................... 143
Abbildung 56: Ein Risiko löst entweder ein oder zwei weiteren Risiken aus. ...................... 143
Abbildung 57: Ein Risiko allein oder zwei zusammen lösen ein drittes Risiko aus. ............. 144
Abbildung 58: Ein Risiko löst entweder das eine oder das andere Risiko aus. ..................... 144
Abbildung 59: Entweder das eine oder das andere Risiko lösen ein drittes Risiko aus. ........ 144
Abbildung 60: Bezug eines Risikos zu Prozessflusselementen ............................................. 145

VIII
Abbildung 61: Prozessflusselement Aufgabe verursacht Risiko ........................................... 145
Abbildung 62: Mögliche Typen einer Risikokorrelation ....................................................... 145
Abbildung 63: Darstellung von Risikokorrelationen ............................................................. 146
Abbildung 64: Darstellung einer Risiko-Ursache-Wirkungsbeziehung über Risikolink ....... 146
Abbildung 65: Risikosteuerungsmaßnahme senkt Eintrittswahrscheinlichkeit. .................... 147
Abbildung 66: Risikosteuerungsmaßnahme senkt das Schadensausmaß. ............................. 147
Abbildung 67: Risikosteuerungsmaßnahme löst neues Risiko aus. ....................................... 147
Abbildung 68: Prozess- und Risikosicht von Wareneingang und Fertigung ......................... 148
Abbildung 69: Anforderungen zur Unterstützung der Risikoidentifizierung ........................ 154
Abbildung 70: Anforderungen zur Unterstützung der Risikoquantifizierung ....................... 156
Abbildung 71: Anforderungen zur Unterstützung der Risikobeurteilung .............................. 158
Abbildung 72: Anforderungen zur Unterstützung der Risikosteuerung und -kontrolle ......... 159
Abbildung 73: Anforderungen zur Unterstützung des Risikoreporting ................................. 160
Abbildung 74: Organisatorische / organisationsrechtliche Anforderungen an ein RMIS ..... 162
Abbildung 75: Technische Anforderungen an ein RMIS ....................................................... 165
Abbildung 76: Kategorisierung von RMIS ............................................................................ 167
Abbildung 77: Kategorienverteilung der untersuchten RMIS ............................................... 170
Abbildung 78: Unterstützung der Risikoidentifizierung und -erfassung ............................... 171
Abbildung 79: Unterstützung der Risikoquantifizierung ....................................................... 172
Abbildung 80: Unterstützung der Risikobeurteilung ............................................................. 174
Abbildung 81: Unterstützung der Risikosteuerung und -kontrolle ........................................ 175
Abbildung 82: Erfüllung organisatorischer und organisationsrechtlicher Anforderungen .... 176
Abbildung 83: Erfüllung technischer Anforderungen ............................................................ 177
Abbildung 84: Funktionsbaum Grundfunktionen und Organisation ...................................... 185
Abbildung 85: Datenmodell Rechteverwaltung ..................................................................... 186
Abbildung 86: Datenmodell Aufbauorganisation .................................................................. 187
Abbildung 87: SERM Plangrößenerfassung .......................................................................... 188
Abbildung 88: Datenmodell BPMN Soll-Prozess .................................................................. 189
Abbildung 89: Funktionsbaum Risikoidentifizierung ............................................................ 191
Abbildung 90: Datenmodell Risikomodell und Risiko-Prozessbezüge ................................. 193
Abbildung 91: SERM Checkliste ........................................................................................... 195

IX