Eine Zahl zum Einstieg, die jeden GP aufhorchen lassen sollte: Häufen sich bei den Portfoliounternehmen eines Fonds ökologische und soziale Vorfälle, sinken seine Chancen auf einen Nachfolgefonds deutlich. Eine Studie von HEC Paris, World Bank und Singapore Management University zeigt: Rund 40 % der Gesellschaften mit überdurchschnittlich vielen Vorfällen konnten keinen Nachfolgefonds auflegen. Als Maßstab diente der Median der Vorfallzahlen. Normalerweise waren es etwa 25 %. Überraschend war, wo sich die Folgen zeigten. Die Performance blieb weitgehend stabil, doch die Kapitalaufnahme litt. Es ging um Reputation, nicht um Renditen.
Nun das Szenario hinter der Zahl. Ein Fonds führt monatelang Due Diligence durch, erhält die Zustimmung des Investmentkomitees, überweist das Kapital und widmet sich dem nächsten Deal. Zwei Jahre später steht das Unternehmen wegen Korruptionsermittlungen oder eines Betrugsvorwurfs in der Presse. In jedem Bericht fällt auch der Name des Fonds. Bestehende LPs werden nervös. Das nächste Closing, vermeintlich Routine, verzögert sich um zwei Quartale.
Besonders bitter ist dabei: In derselben Gesellschaft unterzieht das operative Team die Reisekostensoftware einer formellen Lieferantenrisikoprüfung, einschließlich Fragebogen und jährlicher Neubewertung. Das Unternehmen, an dem der Fonds ein Drittel hält und das die Schlagzeilen verursacht, liefert dagegen eine vierteljährliche Präsentation für das Aufsichtsgremium und ein Statusgespräch.
Das Risiko, das einen Fonds tatsächlich zu Fall bringen kann, wird weniger sorgfältig überwacht als die pro Nutzer lizenzierten Softwaretools. Dieser Beitrag schließt diese Lücke. Die gute Nachricht: Die Lösung ist nichts Ungewöhnliches. Die dafür nötige Systematik wenden Sie an anderer Stelle Ihrer Organisation bereits an.
Ein Portfoliounternehmen ist eine Drittpartei. Das ist der Ausgangspunkt.
Drittparteienrisiko lässt sich einfach definieren. Es ist das Risiko, das Sie durch eine Partei eingehen, deren Verhalten Ihnen schaden kann, die Sie aber nicht vollständig kontrollieren. Dazu gehören Ihr Cloudanbieter, Ihre externe Lohnbuchhaltung und Ihre Anwaltskanzlei. Sie führen deren Geschäfte nicht, doch deren Fehler werden zu Ihrem Problem. Deshalb prüfen Sie diese Parteien, ordnen sie Risikostufen zu und behalten sie im Blick.
Lesen Sie diese Definition noch einmal mit Blick auf ein Portfoliounternehmen. Sie stellen Kapital bereit. Vielleicht haben Sie einen Sitz im Aufsichtsgremium und bestimmte Informationsrechte. Was Sie fast nie haben, ist die operative Kontrolle. Eine Minderheitsbeteiligung verschafft sie Ihnen eindeutig nicht. Selbst eine Mehrheitsbeteiligung bedeutet selten, dass Sie die täglichen Entscheidungen treffen, aus denen Risiken entstehen. Der Gründer stellt weiterhin Personal ein. Die Führungskräfte unterzeichnen weiterhin Verträge, wählen Geschäftspartner aus und sprechen mit der Presse. Sie tragen das Risiko. Jemand anderes hat das Steuer in der Hand.
Das ist Drittparteienrisiko in seiner reinsten Form. Wir übersehen es häufig, weil wir eine Art „Eigentümerausnahme“ unterstellen. Dahinter steckt die unausgesprochene Annahme, eine Kapitalbeteiligung befreie von der Sorgfalt, die man bei jeder anderen externen Partei verlangen würde. Das tut sie nicht. Tatsächlich sind Portfoliorisiken oft weit gefährlicher als Lieferantenrisiken, weil Ihr Kapital und Ihre Reputation unmittelbar auf dem Spiel stehen.
Die Vorgehensweise kennen Sie bereits
Diese Lücke ist nicht nur bedauerlich, sondern frustrierend: Die Systematik für den Umgang mit genau dieser Art von Risiko existiert bereits. Sie ist ausgereift, und Ihre Gesellschaft wendet vermutlich eine Variante davon an.
Drittparteien-Risikomanagement ist keine neue Idee. Bankenaufsichtsbehörden arbeiten seit Jahren daran, es zu formalisieren. Die gemeinsamen Leitlinien von Federal Reserve, FDIC und OCC aus dem Jahr 2023 beschreiben bewährte Verfahren für das Management von Drittparteienbeziehungen über deren gesamten Lebenszyklus. Sie beruhen auf einem Grundsatz, der weit über Banken hinaus gilt: Sie prüfen eine Partei, bevor Sie eine Beziehung eingehen. Und Sie prüfen sie weiter, solange Sie dem Risiko ausgesetzt sind.
Einen Teil davon tun Fonds bereits ganz selbstverständlich. Die Due Diligence vor einer Investition ist im Kern eine Drittparteien-Due-Diligence auf sehr hohem Niveau. Aufgrund der Erwartungen von Investoren und Vorschriften wie dem EU-Regelwerk zu nachhaltigkeitsbezogenen Offenlegungen erfassen die meisten Fonds bereits ESG-Faktoren ihrer Portfoliounternehmen und berichten darüber. Die nötigen Fähigkeiten sind vorhanden. Der Due-Diligence-Fragebogen der ILPA, den Investoren versenden, enthält ganze Abschnitte dazu, wie ein Manager Risiken über seine Beteiligungen hinweg überwacht. Die Frage war also nie, ob Fonds strukturiert überwachen können. Sie lautet vielmehr: Warum endet diese Überwachung so oft mit dem Abschluss der Transaktion? Und warum deckt sie, wenn sie fortgesetzt wird, nur einen so kleinen Teil der Risiken ab?
Der Lebenszyklus lässt sich fast vollständig übertragen
Das Praktische am Drittparteien-Risikomanagement: Seine Struktur passt bereits zur Arbeitsweise eines Fonds. Der Lebenszyklus durchläuft klare Phasen, und jede davon hat eine Entsprechung im Investmentprozess.
Planung und Risikobewertung entsprechen Ihrer Investmentthese und der Suche nach Investitionsmöglichkeiten. Due Diligence und Auswahl entsprechen Ihrer Arbeit vor der Investition, einer Phase, die Fonds hervorragend beherrschen. Der Vertragsabschluss umfasst Term Sheet und Gesellschaftervereinbarung. Hier legen Sie Informationsrechte, Einsichtsrechte und Berichtspflichten fest. Das laufende Monitoring entspricht Ihrer Überwachung nach Transaktionsabschluss. Die Beendigung entspricht Ihrem Exit.
Stellt man beide Abläufe gegenüber, wird die Schwachstelle offensichtlich. Fonds investieren erhebliche Ressourcen in die Due Diligence und behandeln das laufende Monitoring als Nebensache. Meist beschränkt es sich auf einen Gremiensitz und einen Quartalsbericht. In einem konsequenten Drittparteienprogramm steht dagegen das Monitoring im Mittelpunkt. Die Due Diligence zeigt Ihnen, was am Tag der Unterzeichnung gilt. Das Monitoring zeigt Ihnen, was an jedem Tag danach gilt. Genau dort liegen die meisten relevanten Risiken, denn bei der Unterzeichnung sind sie noch gar nicht eingetreten.
Der Blick auf den Lebenszyklus zeigt auch, wann Sie Einfluss nehmen können: früher, als Fonds es meist tun. Die Informationen und das Monitoring, die Sie später benötigen, sollten Sie bereits im Term Sheet absichern, nicht erst nach dem Auftreten eines Problems. Belastbare Berichtsrechte und Zugang für Prüfungen im Voraus zu vereinbaren, gehört beim Drittparteien-Risikomanagement zur Routine. Sobald Sie investiert haben und bereits etwas schiefgegangen ist, wird das deutlich schwieriger.
Ordnen Sie Ihr Portfolio wie ein Risikoinventar ein
Ein weiterer direkt übertragbarer Grundsatz: Nicht jede Drittpartei erfordert dieselbe Prüftiefe. Wer dennoch alle gleich behandelt, verschwendet Ressourcen für risikoarme Beziehungen und vernachlässigt die risikoreichen. Drittparteienprogramme lösen das, indem sie Parteien nach ihrer Kritikalität einstufen und die Überwachung daran ausrichten.
Portfolios brauchen denselben Ansatz. Eine Seed-Beteiligung an einem inländischen Anbieter von Produktivitätssoftware mit einem bekannten, unbelasteten Gründerteam hat ein anderes Risikoprofil als ein grenzüberschreitend tätiges Fintech. Das gilt besonders, wenn es in einem schwach regulierten Markt operiert und seine Gründer enge Verbindungen zu politisch exponierten Personen haben. Behandeln Sie beide gleich, überwachen Sie entweder das erste Unternehmen zu intensiv oder, weit gefährlicher, das zweite zu wenig.
Richten Sie die Einstufung nach dem tatsächlichen Risiko aus. Berücksichtigen Sie die Branche und ihre Regulierungsdichte. Das Land mit seinem rechtsstaatlichen Umfeld und Sanktionsprofil. Die Konzentration auf bestimmte Kunden und Geschäftspartner. Die Abhängigkeit von Schlüsselpersonen. Passen Sie die Intensität des Monitorings daran an: kontinuierliche Abdeckung für die höchste Risikostufe und weniger intensive, regelmäßige Prüfungen für die übrigen. Ziel ist keine gleichmäßige Überwachung aller Beteiligungen. Der Prüfaufwand soll sich danach richten, wie groß der mögliche Schaden ist.
Die Risiken, die erst nach der Auszahlung auftreten
Wonach sucht das laufende Monitoring konkret, wenn Sie es konsequent einsetzen? Nach Signalen, die eine Due Diligence grundsätzlich nicht erfassen kann, weil sie erst nach Ihrer Investition entstehen.
Negative Medienberichte (Adverse Media) über einen Gründer oder eine neu eingestellte Führungskraft. Eine Änderung des Sanktionsstatus einer Person oder ihres Status als politisch exponierte Person. Neue Rechtsstreitigkeiten, an denen das Unternehmen beteiligt ist. Eine behördliche Maßnahme oder Untersuchung. Eine Veränderung bei den wirtschaftlich Berechtigten, durch die sich unbemerkt ändert, mit wem Sie tatsächlich Geschäfte machen. Probleme bei einem wichtigen Kunden oder Lieferanten, die auf Umsatz oder Reputation Ihres Unternehmens durchschlagen. Nichts davon liegt bei der Unterzeichnung im Datenraum. All das lässt sich nahezu in Echtzeit erkennen. Voraussetzung ist, dass jemand die richtigen öffentlichen Quellen beobachtet, statt auf die Quartalspräsentation oder den Anruf eines Journalisten zu warten.
Hier wird auch die eingangs beschriebene Übertragung von Reputationsschäden konkret. Der Skandal, der auf einen Fonds abfärbt, kommt fast nie aus dem Nichts. Er zeichnet sich zuerst öffentlich ab: in eingereichten Unterlagen, in der Lokalpresse, auf Watchlists und in Gerichtsakten. Meist geschieht das lange vor dem überregionalen Bericht, der den Namen des Fonds in die Schlagzeile bringt. Ob Sie das Risiko steuern oder davon überrascht werden, hängt schlicht davon ab, ob in dieser Zwischenzeit jemand hingesehen hat.
Konzentrationsrisiken und Risiken durch Viertparteien
Zwei weitere Konzepte lohnen sich zur Übernahme. Fonds erfassen beide selten systematisch, und beide können Schaden anrichten.
Beginnen wir mit dem Konzentrationsrisiko. Ein fundiertes Drittparteienprogramm achtet darauf, nicht zu stark von einem einzigen Anbieter abhängig zu sein. Im Portfolio entspricht dem ein korreliertes Risiko: Mehrere Unternehmen gehören derselben Branche an, sind im selben Land tätig oder hängen von denselben wenigen Geschäftspartnern ab. Ein einziger Schock trifft dann mehrere Beteiligungen gleichzeitig. Wenn Sie Ihr Portfolio bisher nur als Liste einzelner Investments betrachtet haben, fehlt Ihnen möglicherweise der Überblick über gemeinsame Risiken. Diese Lücke sollten Sie schließen.
Hinzu kommen Viertparteienrisiken, also Risiken durch die Drittparteien Ihrer Drittparteien. Der Subunternehmer Ihres Dienstleisters ist Ihre Viertpartei, und ein gutes Programm verfolgt diese Verbindung weiter. Jedes Portfoliounternehmen verfügt über ein eigenes Netz aus Lieferanten, Kunden und Partnern. Ein sanktionierter Geschäftspartner oder ein Lieferant, der zwei Glieder weiter in der Kette von einem Sicherheitsvorfall betroffen ist, kann auch Sie treffen. Jeden einzelnen Knotenpunkt zu erfassen, ist unrealistisch. Bei Unternehmen der höchsten Risikostufe gehört es aber zur Bewertung Ihres eigenen Risikos, deren Abhängigkeiten zu kennen.
Eine Compliance-Frage auf Fondsebene, keine optionale Ergänzung
All das ließe sich leicht als solide Betriebsführung einordnen. Doch das greift zu kurz. Es geht um Risiken für die wirtschaftliche Existenz der Fondsgesellschaft und um treuhänderische Pflichten. Auch externe Akteure betrachten es zunehmend so.
Aufsichtsbehörden haben gezeigt, dass sie bereit sind, die Verantwortungskette nach oben zu verfolgen. Bei Rechtsverstößen eines Portfoliounternehmens haben Aufsichts- und Strafverfolgungsbehörden auch den Sponsor in die Verantwortung genommen, statt beim Unternehmen haltzumachen. Investoren fragen ihrerseits immer gezielter danach, wie Sie Ihre Beteiligungen überwachen. Ihre Due-Diligence-Fragebögen sprechen das Portfoliorisikomanagement inzwischen ausdrücklich an. Die Forschung zur Übertragung von Risiken zeigt zudem: Der Markt berücksichtigt diese Zusammenhänge, unabhängig davon, ob Sie es tun. Der Reputationsschaden eines Zusammenbruchs im Portfolio beeinträchtigt Ihre Fähigkeit, den nächsten Fonds aufzulegen. Damit trifft er die wirtschaftliche Grundlage Ihrer Gesellschaft.
Die Systematik des Drittparteien-Risikomanagements auf Ihr Portfolio zu übertragen, ist keine Vorsicht um ihrer selbst willen. Sie schützt die beiden Grundlagen eines Fonds: Rendite und Reputation. Zugleich können Sie einem Investor oder einer Aufsichtsbehörde zeigen, dass Sie die Entwicklung im Blick hatten.
So übertragen Sie die Systematik in die Praxis
In der Praxis lässt sich Drittparteien-Risikomanagement mit wenigen Maßnahmen auf ein Portfolio übertragen.
- Ordnen Sie jedes Portfoliounternehmen nach seinem tatsächlichen Risiko ein, unabhängig von der Investitionssumme oder Ihrer Sympathie für die Gründer.
- Richten Sie die Häufigkeit des Monitorings nach der Risikostufe aus: kontinuierliche Abdeckung für risikoreiche Beteiligungen und weniger intensive, regelmäßige Prüfungen für die übrigen.
- Verhandeln Sie Informations-, Berichts- und Prüfungsrechte bereits im Term Sheet, solange Sie noch Verhandlungsmacht haben.
- Prüfen Sie Gründer, Führungskräfte und wichtige Geschäftspartner laufend auf negative Medienberichte, Sanktionen, Rechtsstreitigkeiten und behördliche Maßnahmen, statt nur einmal während der Due Diligence.
- Erfassen Sie Konzentrationsrisiken im gesamten Portfolio sowie Viertparteienrisiken bei Ihren Unternehmen mit dem höchsten Risiko.
- Dokumentieren Sie nachvollziehbar und mit Quellenverweisen, was Sie wann festgestellt haben. So hält die Dokumentation einer Investorenprüfung oder einer Nachfrage der Aufsicht stand.
- Legen Sie Eskalationswege fest. Definieren Sie, wo das Risiko es erfordert, welche Umstände ein kritisches Gespräch oder einen vorzeitigen Exit auslösen würden.
Diese Systematik verwandelt eine Investmentgesellschaft nicht in eine starre Compliance-Bürokratie. Die Prüftiefe wächst mit dem tatsächlichen Risiko. So begrenzen Sie Verluste, ohne Wachstum zu bremsen.
Wenden Sie die Systematik auf Ihr eigenes Portfolio an
Sie gehen mit dieser Art von Risiko bereits sorgfältig um. Nur hier noch nicht. Ein Portfoliounternehmen ist eine Drittpartei, an der Sie beteiligt sind. Die vermeintliche Eigentümerausnahme besteht nur so lange, wie Ihre Beteiligung diesen Umstand verdeckt. Sobald Sie diese Vorstellung ablegen, ist der nächste Schritt klar: Wenden Sie Ihre bewährte Systematik für Parteien außerhalb Ihrer Kontrolle auf jene Unternehmen an, deren Probleme mit Ihrem Namen verbunden werden. Für dieses Modell haben wir in Über das Onboarding hinaus argumentiert.
Beady setzt dieses Modell um. Die Plattform überwacht Unternehmen und die mit ihnen verbundenen Personen anhand von mehr als 100.000 öffentlichen Quellen. Sie erkennt negative Medienberichte, Änderungen beim Sanktions- und PEP-Status, Rechtsstreitigkeiten und behördliche Maßnahmen, sobald sie auftreten. PEP steht für politisch exponierte Person. Die Überwachung ist nach Risikostufen gestaffelt, sodass der Aufwand dem Risiko entspricht. Jedes Signal verweist auf seine Originalquelle. Dadurch können Sie einen Befund überprüfen und einem Investor oder einer Aufsichtsbehörde vorlegen, statt einer Kennzahl ungeprüft zu vertrauen. Über das gesamte Portfolio hinweg wird aus einer Quartalspräsentation ein laufend aktuelles Lagebild.
Wenn Sie sehen möchten, was diese Überwachung bei Ihren eigenen Beteiligungen aufdecken würde, buchen Sie eine Demo. Wir führen die Prüfung dann für Ihre Beteiligungen durch.
