In den letzten Wochen hat ein LP Sie nach Ihrer Risikomanagementrichtlinie gefragt. Sie haben zugesagt, sie zu schicken. Sie haben keine.
So beginnt es meistens. Falls Sie deshalb hier sind, geht es Ihnen wie vielen anderen. Die meisten Fonds mit einem Volumen unter einigen Hundert Millionen haben keine schriftliche Risikorichtlinie, bis jemand außerhalb der Firma danach fragt.
Die Anfrage kommt fast immer während der operativen Due Diligence und hat gewöhnlich nichts mit Ihnen persönlich zu tun. Institutionelle Investoren fragen alle danach. Fragebögen nach dem Due-Diligence-Rahmenwerk von ILPA verlangen zunehmend mehr Nachweise von Fonds.
Was Sie erstellen müssen, ist also kürzer und weniger einschüchternd, als Sie sich vorstellen. Die Vorlage, die Sie bei einer Suche finden, führt Sie dagegen regelrecht in die Irre. Das ist das ärgerlichere Problem und der Hauptgrund für diesen Leitfaden.
Was eine Risikorichtlinie eigentlich ist
Ohne die Fachsprache der Rahmenwerke beantwortet das Dokument vier Fragen.
Was kann hier schiefgehen? Welche dieser Risiken sind wir bereit zu tragen? Wer entscheidet, und wer handelt? Und was passiert, wenn eines dieser Risiken tatsächlich eintritt?
Das ist alles. Meistens acht bis fünfzehn Seiten. Wenn Ihr Dokument auf mehr als dreißig Seiten zusteuert, verwechseln Sie es vermutlich mit etwas anderem.
Weil es häufig zu Verwechslungen kommt: Drei Dinge ist eine solche Richtlinie nicht.
Sie ist kein Risikoregister. Das Register ist eine fortlaufend aktualisierte Liste konkreter Risiken mit Zuständigkeiten und Statusangaben. Die Richtlinie legt fest, wie dieses Register geführt wird. Auf Dauer brauchen Sie beides, die Richtlinie zuerst.
Sie ist kein Compliance-Handbuch. Compliance betrifft Regeln, die Ihnen von außen vorgegeben werden. Risikomanagement betrifft Risiken, die Sie bewusst eingehen. Eine andere Aufgabe erfordert einen anderen Aufbau.
Und sie ist kein Dokument, das jemanden beeindrucken soll. Das würde ich gern unterstreichen. Die besten Risikorichtlinien, die ich gelesen habe, sind trocken, konkret und stellenweise etwas sperrig. Denn jemand hat versucht zu beschreiben, was die Firma tatsächlich tun würde und nicht, was sich in einer Besprechung gut rechtfertigen ließe.
Warum Sie die Richtlinie schreiben – und warum das wichtiger ist, als es klingt
Es lohnt sich, kurz über den Anlass nachzudenken. Er prägt den Inhalt des Dokuments.
Fonds kommen meist auf vier Wegen an diesen Punkt. Ein LP hat während der operativen Due Diligence (ODD) danach gefragt – mit Abstand der häufigste Fall. Eine Bank oder ein Fondsadministrator verlangt die Richtlinie, bevor es weitergeht. Oder eine Aufsichtsbehörde, falls Sie der Regulierung unterliegen. Die meisten VC- und Kryptofonds tun das nicht; darauf komme ich zurück. Oder etwas ist schiefgegangen, und nun gibt es eine Richtlinie.
Der letzte Anlass ist der schlechteste und leider nicht selten. Richtlinien, die nach einem Vorfall entstehen, sind fast immer zu stark auf das gerade Geschehene zugeschnitten. Was noch nicht passiert ist, übersehen sie. Wenn Sie nach einem schlechten Quartal schreiben, hilft eine bewusste Vorgabe: Verbringen Sie mehr Zeit mit den Risiken, die nicht eingetreten sind, als mit dem eingetretenen.
Das Problem mit jeder Vorlage, die Sie finden werden
Dieser Abschnitt spart Ihnen zwei Wochen.
Suchen Sie nach einer Vorlage für eine Risikomanagementrichtlinie, finden Sie jede Menge. ISO 31000. COSO. Was auch immer Ihr bevorzugter GRC-Anbieter diesen Monat kostenlos anbietet. Fairerweise sind das solide Dokumente, deren Verfasser ihr Handwerk verstanden.
Sie beruhen allerdings alle auf derselben Annahme. Und die trifft auf Sie nicht zu.
Sie gehen davon aus, dass Ihre Risiken innerhalb Ihrer eigenen Organisation liegen.
Das ist durchaus sinnvoll, denn sie wurden für Unternehmen geschrieben. Die Risiken eines Herstellers liegen in seiner Lieferkette, seinen Anlagen, seinen Beschäftigten und seinen Daten. Dinge, die er besitzt und steuert. Die Rahmenwerke unterteilen sie in operative, finanzielle, strategische, Compliance- und Reputationsrisiken. Für ein Unternehmen mit dreitausend Beschäftigten ist das eine sinnvolle Aufteilung.
Sehen Sie sich nun Ihre eigene Firma an.
Angenommen, Sie sind elf Personen. Sie haben zweihundert Millionen in achtunddreißig Portfoliounternehmen investiert. Ihre internen operativen Risiken sind real, aber überschaubar: ein kleines Team, einige Systeme, ein paar Überweisungen und eine Handvoll Interessenkonflikte.
Ihr eigentliches Risiko liegt in achtunddreißig Unternehmen, die Sie weder kontrollieren noch steuern können. Meist erhalten Sie auch nur Einblick, wenn Sie jemanden darum bitten.
Wenn Sie eine Standardvorlage ausfüllen, erhalten Sie ein sorgfältiges, gut strukturiertes Dokument, das vielleicht fünfzehn Prozent Ihrer Risiken beschreibt. Und es wirkt vollständig. Genau das ist gefährlich.
| Innerhalb der Firma | Außerhalb der Firma | |
| Beispiele | Cyberrisiken. Schlüsselpersonen. Bewertungsfehler. Überweisungsbetrug. Fehlverhalten von Beschäftigten. Interessenkonflikte. | Ausfall eines Portfoliounternehmens. Fehlverhalten von Gründern. Sanktionsrisiken. Ausfall eines Geschäftspartners. Identitätsmissbrauch. Regulatorische Neueinstufung. |
| Wer die Kontrolle hat | Sie. | Sie nicht. |
| Übliche Abdeckung durch Richtlinien | Umfassend. | Fast keine. |
| Anteil am tatsächlichen Risiko | Gering. | Der größte Teil. |
Den internen Teil schreiben
Kommen wir zum unspektakulären Teil, den Sie dennoch erledigen müssen. Diesen Abschnitt wird ein LP besonders aufmerksam lesen. Der Aufwand lohnt sich also.
Schlüsselpersonen. Was passiert, wenn ein GP ausscheidet, stirbt oder abberufen wird? Institutionelle Investoren fragen ständig danach, und fast niemand hat es aufgeschrieben. Zwei Absätze reichen: Wer übernimmt, was gilt nach dem LPA als Schlüsselpersonenereignis, und was tut der Fonds in der Zwischenzeit?
Überweisungsbetrug und Zahlungskontrollen. Dieser Punkt bekommt deutlich mehr Raum als die übrigen. Er ist mit Abstand die wahrscheinlichste Ursache dafür, dass ein Fonds Ihrer Größe tatsächlich Geld verliert.
Der Angriff ist banal und funktioniert. Jemand übernimmt ein E-Mail-Konto oder fälscht den Absender – etwa einen Gründer, einen Anwalt oder gelegentlich Sie selbst. Dann schickt er geänderte Zahlungsanweisungen für eine ohnehin erwartete Überweisung. Die Angaben wirken richtig. Der Kontext stimmt. Der Zeitpunkt ist plausibel, weil der Angreifer den E-Mail-Verlauf mitgelesen hat. Das Geld fließt ab, und zwar schnell.
Business Email Compromise gehört in der jährlichen Internetkriminalitätsstatistik des FBI regelmäßig zu den Kategorien mit den höchsten gemeldeten Schäden. Das typische Opfer ist keine Bank. Es ist eine Organisation ungefähr Ihrer Größe, mit ungefähr Ihren Kontrollen, an einem Freitagnachmittag.
Ihre Richtlinie braucht hier drei Vorgaben, und keine davon kostet etwas. Eine Freigabe nach dem Vieraugenprinzip oberhalb eines von Ihnen gewählten Schwellenwerts. Die Bestätigung jeder Änderung von Zahlungsanweisungen über einen unabhängigen Kanal: Sie rufen eine bereits bekannte Nummer an, nicht die aus der E-Mail. Und eine schriftliche Regel, dass Dringlichkeit niemals rechtfertigt, eine dieser Vorgaben zu überspringen.
Die dritte Vorgabe ist wichtiger als die beiden anderen. Denn der gesamte Angriff beruht auf Dringlichkeit.
Cyberrisiken und Daten. Angemessen für Ihre Größe. Ein Fonds mit elf Personen braucht keine Informationssicherheitsrichtlinie wie eine Bank. Schreiben Sie trotzdem eine, entsteht ein Dokument, an das sich niemand hält. Überall MFA, Endgeräteschutz, ein Passwortmanager und klare Vorgaben dazu, wo Fondsdaten gespeichert werden und wer darauf zugreifen kann.
Bewertung. Wer bewertet die Positionen, auf welcher Grundlage, und wer prüft die Bewertungen? Wenn Sie in der Frühphase investieren und zur Bewertung der letzten Finanzierungsrunde bilanzieren, schreiben Sie das klar hin, ohne es aufzuhübschen.
Interessenkonflikte. Persönliche Investitionen, Verwaltungs- oder Aufsichtsratsmandate, die Zuteilung zwischen Fonds und etwaigen Co-Investment-Vehikeln. Mühsam aufzuschreiben. Und genau der Abschnitt, den ein LP Zeile für Zeile durchgehen wird.
Wesentliche nicht öffentliche Informationen. Wenn Mitglieder Ihres Teams in Unternehmensgremien sitzen, erhalten sie Einblicke. Legen Sie fest, wie mit diesen Informationen umgegangen wird.
Den externen Teil schreiben, den Vorlagen vollständig auslassen
Nun zu dem Abschnitt, der den größten Teil Ihres tatsächlichen Risikos beschreibt und in keinem der Standarddokumente vorkommt.
Für jede Kategorie externer Risiken muss die Richtlinie vier Dinge festhalten. Was wir beobachten. Wie oft. Wer handelt. Und was eine Eskalation auslöst.
Beim zweiten Punkt möchte ich deutlich werden. Denn daran scheitern die meisten dieser Dokumente.
Fast jede Risikorichtlinie eines Fonds, die ich gelesen habe, enthält eine Formulierung wie „laufendes Monitoring der Portfoliounternehmen“. In der Praxis bedeutet das: „Wir sehen uns die Sache an, wenn etwas auftaucht.“ Alle im Raum wissen das. Niemand spricht es aus.
Wenn Ihre Richtlinie eine vierteljährliche Prüfung vorsieht, akzeptieren Sie eine durchschnittliche Erkennungsverzögerung von etwa fünfundvierzig Tagen und im schlimmsten Fall neunzig Tagen. Wird ein Unternehmen in der zweiten Quartalswoche auf eine Sanktionsliste gesetzt, bleibt das elf Wochen lang ungelesen.
Für Ihre Strategie und Ihr Portfolio kann dieses Risiko vollkommen vertretbar sein. Es sollte aber eine Entscheidung sein und kein Zufall. Schreiben Sie die Zahl auf. Eine Richtlinie, die „laufend“ sagt und „gelegentlich“ meint, liest sich hervorragend – bis jemand einen Nachweis verlangt.
Diese Kategorien sollten Sie mindestens abdecken:
Sanktionen und Watchlists. Listungen von Portfoliounternehmen, ihren Geschäftsführern, ihren Geschäftspartnern oder ihren Rechtsräumen. OFAC und vergleichbare Stellen veröffentlichen fortlaufend, nicht nach Ihrem Zeitplan.
Negative Medienberichte (Adverse Media). Rechtsstreitigkeiten, aufsichtsrechtliche Maßnahmen, investigative Berichterstattung. Denken Sie daran: Ein erheblicher Teil der relevanten Informationen erscheint zuerst in der Regionalpresse, in Sprachen, die Ihr Team nicht liest.
Änderungen in Unternehmensregistern. Sitzverlegungen, Wechsel von Organmitgliedern, Anteilsübertragungen, neue Tochtergesellschaften. Im Kryptobereich ist das Alltag. Acht Monate nach Ihrer Überweisung kann ein Unternehmen wesentlich anders aussehen.
Hintergrund von Gründern und Geschäftsführern. Neue Rechtsstreitigkeiten, nicht offengelegte Funktionen, frühere Unternehmungen, die wieder auftauchen und für Sie relevant werden.
Risiken durch Geschäftspartner. Die Börse, der Verwahrer oder der Bankpartner, von dem Ihr Portfoliounternehmen abhängt. Deren Ausfall wird zu Ihrem Problem, und meist erfahren Sie erst spät davon.
Identitätsmissbrauch und Angriffe auf die Marke. Gefälschte Telegram-Kanäle, kopierte Social-Media-Konten, vorgetäuschte Supportstellen. All das tritt erst nach dem Abschluss auf und bleibt damit jedem Onboarding-Prozess zwangsläufig verborgen. Inzwischen ist es so verbreitet, dass es in die Richtlinie gehört und nicht nur auf die gedankliche Sorgenliste eines Teammitglieds.
Warum dieser gesamte Teil des Risikobilds bei der Due Diligence im Onboarding strukturell unsichtbar bleibt, haben wir ausführlich beschrieben, falls Sie die ausführliche Erklärung lesen möchten.
Risikobereitschaft in verständlicher Sprache
Die meisten Einsteigerleitfäden machen dieses Konzept unnötig nebulös. Ich versuche, es klar zu halten.
Risikobereitschaft heißt schlicht: Was würden wir tatsächlich tun?
Würden wir in ein Unternehmen investieren, gegen dessen Gründer bereits eine aufsichtsrechtliche Maßnahme ergangen ist? Unter welchen Bedingungen, und wer genehmigt das?
Würden wir an einer Beteiligung festhalten, wenn der wichtigste Geschäftspartner des Unternehmens sanktioniert wird? Wie lange? Was löst den Ausstieg aus?
Ab welcher Konzentration in einem einzelnen Rechtsraum wird uns unwohl?
Schreiben Sie die Antworten auf, bevor Sie in diese Situation geraten. Genau dafür gibt es diesen Abschnitt, und die meisten Leitfäden sagen es meiner Ansicht nach nicht deutlich genug. Unter Druck, mit bereits investiertem Kapital und einem Gründer am Telefon, antworten Sie anders als an einem ruhigen Dienstag, an dem nichts auf dem Spiel steht.
Sie schreiben dieses Dokument, um Ihrem künftigen Ich Grenzen zu setzen. Es wird optimistischer sein als Sie heute – und erheblich müder.
Eskalation und Reaktion
Halten Sie diesen Abschnitt kurz und konkret.
Schweregrade, wie auch immer Sie diese nennen möchten. Für jeden eine klar benannte Funktion als Zuständigkeit statt „das Team“. Für jeden eine Reaktionsfrist. Und eine klare Aussage dazu, wann an das Investmentkomitee (IC) oder die Partner eskaliert wird.
Ein Alarm an eine Gruppe ist ein Alarm an niemanden. Auch darüber haben wir an anderer Stelle geschrieben, ausführlicher, als es unbedingt nötig wäre.
Legen Sie einen Überprüfungstermin für die Richtlinie fest
Mindestens jährlich. Außerdem nach jedem wesentlichen Vorfall und nach jeder wesentlichen Änderung der Strategie oder Risikoposition.
Hier gibt es eine echte Gefahr, die benannt werden sollte. Eine einmal geschriebene und nie wieder überprüfte Risikorichtlinie ist womöglich schlechter als gar keine. Denn sie erweckt schriftlich den Eindruck einer Kontrolle, die tatsächlich nicht stattfindet.
Später fragt ein LP oder Prüfer, wie Sie Ihre Portfoliounternehmen überwachen. Ihre Richtlinie sagt „vierteljährlich“, die letzte Prüfung liegt aber vierzehn Monate zurück. Nun müssen Sie die Lücke zwischen dem beschriebenen und dem tatsächlichen Prozess erklären. Dieses Gespräch ist erheblich unangenehmer, als wenn Sie nie eine Richtlinie geschrieben hätten.
Verpflichten Sie sich deshalb zu nichts, was Sie nicht umsetzen wollen. Schreiben Sie die Zusagen auf, die Sie tatsächlich einhalten werden, auch wenn sie weniger beeindruckend klingen.
Wie das fertige Dokument aussieht
Ungefähr zwölf Seiten. Konkret. Trocken. Niemand wird es gern lesen, und das ist in Ordnung.
Mein Test wäre: Kann jemand, der am Montag angefangen hat, das Dokument öffnen und wissen, was zu tun ist, wenn am Donnerstag ein Sanktionsalarm zu einem Portfoliounternehmen eingeht?
Wenn ja, funktioniert es.
Lautet die ehrliche Antwort „Die Person würde jemanden fragen“, dann haben Sie ein Dokument darüber, dass Sie eine Richtlinie haben.
Häufig gestellte Fragen
Ein Dokument, das vier Fragen beantwortet: Was kann schiefgehen, wie viel davon sind Sie bereit zu akzeptieren, wer entscheidet und was passiert im Ernstfall? Alles Weitere in den Standardrahmenwerken führt diese vier Punkte näher aus.
Stärker, als viele erwarten. Eine Richtlinie auf Anfrage eines LP während der Due Diligence liest sich anders als eine nach einem Vorfall. Wieder anders fällt sie aus, wenn der Fonds für informelle Einschätzungen zu groß geworden ist. Wenn Sie den Anlass ehrlich benennen, vermeiden Sie ein austauschbares Dokument.
Vorlagen decken den internen Teil kompetent ab: operative und finanzielle Risiken, Schlüsselpersonen und Cyberrisiken. Den externen Teil lassen sie fast vollständig aus. Dort liegt jedoch der größte Teil des tatsächlichen Fondsrisikos: in wen Sie investieren, mit wem Sie Geschäfte machen und was nach der Überweisung mit diesen Beteiligten geschieht.
Was Sie vor einer Kapitalzusage prüfen und danach weiter prüfen. Welche Quellen Sie nutzen, wie oft Sie prüfen, wer die Ergebnisse bewertet und was eine Eskalation auslöst. So klar formuliert, dass neue Beschäftigte den Vorgaben folgen können, ohne jemanden fragen zu müssen.
Sagen Sie, was Sie akzeptieren, was nicht und wo die Grenze liegt. Verwenden Sie Formulierungen, nach denen jemand handeln kann. „Wir haben eine moderate Risikobereitschaft“ ist vage. „Wir investieren nicht, wenn ein wirtschaftlich Berechtigter auf einer Sanktionsliste steht. Negative Medienberichte über Betrug werden den Partnern vor der nächsten Sitzung des Investmentkomitees vorgelegt.“ Das ist eine Richtlinie.
Etwa zwölf Seiten, konkret und trocken. Niemand wird sie gern lesen, und das ist in Ordnung. Eine Überprüfung muss mindestens jährlich stattfinden. Zusätzlich nach jedem wesentlichen Vorfall und jeder wesentlichen Änderung der Strategie oder Risikoposition. Der Überprüfungstermin gehört in das Dokument selbst, sonst wird es unbemerkt zur Fiktion.
Den internen Teil nicht. Diese unspektakuläre Arbeit können nur Sie erledigen. Wer etwas anderes behauptet, verdient eine gewisse Skepsis. Den externen Teil kann ein Tool ausführen, sobald er schriftlich festgelegt ist: die Prüfungen, die erneuten Prüfungen und die dazugehörige Nachweisdokumentation.
Fazit
Der größte Teil einer Risikorichtlinie ist unspektakuläre Arbeit, die Ihnen kein Anbieter abnehmen kann. Wer etwas anderes behauptet, verdient aus meiner Sicht eine gewisse Skepsis. Die internen Abschnitte liegen bei Ihnen. Die Aussagen zur Risikobereitschaft liegen bei Ihnen. Die Beurteilung liegt vollständig bei Ihnen.
Doch eine einzige Zeile im gesamten Dokument entscheidet darüber, ob der externe Teil tatsächlich gelebt wird oder nur auf dem Papier steht: die zugesagte Prüfhäufigkeit. Wenn Sie ehrlich nur „vierteljährlich“ schreiben können, beschreibt die Richtlinie ein Portfolio, das Sie viermal im Jahr betrachten.
Wir ermöglichen Ihnen, diese Zeile anders zu formulieren. Beady AI überwacht Portfoliounternehmen, Gründer und Geschäftspartner kontinuierlich auf Sanktionen, negative Medienberichte, Änderungen in Unternehmensregistern und Identitätsmissbrauch. Jedes Signal lässt sich bis zu seiner Quelle zurückverfolgen. Buchen Sie einen Termin, und wir prüfen Ihre tatsächlichen Beteiligungen. So finden Sie zugleich effizient heraus, ob Sie die Richtlinie, die Sie gerade schreiben wollen, tatsächlich einhalten können.
