Das Group Risk-Team verwendet konzernweit eine durchgängige Risikomanagementmethodik. Sie wird durch eine Risiko- und Kontrollsoftware systemtechnisch unterstützt, die die sprachliche Eindeutigkeit und Transparenz der Risiken, Kontrollen und Maßnahmen sowie Verantwortlichkeiten und Zuständigkeiten abbildet. Im Rahmen des operativen Tagesgeschäfts der Geschäftsbereiche und Funktionen werden Risiken kontinuierlich identifiziert, beurteilt und bewältigt. Darüber hinaus werden die Risiken mindestens quartalsweise auf verschiedenen Konzernebenen zusammengeführt, berichtet und überprüft.

Risikoidentifizierung: Die jeweiligen Linienmanagements identifizieren die Risiken, die für die Verfolgung der Strategie des Geschäftsbereichs relevant sind. Dabei werden die folgenden vier Risikotypen zugrunde gelegt:

• längerfristige strategische Gefahren sowie neu auftretende Gefahren,
• mittelfristige Herausforderungen im Zusammenhang mit Business Change-Programmen,
• kurzfristige Risiken, die durch Veränderungen des externen und regulatorischen Umfelds ausgelöst werden, und
• kurzfristige Risiken im Hinblick auf interne Tätigkeiten und Kontrollen.

Jedes Risiko wird einem so genannten Risikoverantwortlichen (Risk Owner) zugeordnet, der die Verantwortung und Kompetenz für ein angemessenes Management der Risiken hat.

Risikobeschreibungen: Im Einklang mit besten Praktiken werden bei der Beschreibung der Art der Risiken die aus dem jeweiligen Risiko resultierenden grundlegenden Bedenken erläutert und die möglichen Faktoren benannt, die zum Eintreten des Risikos führen können. Darüber hinaus werden die möglichen Auswirkungen beschrieben, die sich aus dem Eintreten des Risikos ergeben können. Dies ermöglicht es den Geschäftsbereichen, Funktionen und dem Konzern, das Zusammenwirken von Risiken und potenziellen auslösenden Ereignissen und / oder aggregierten Auswirkungen einzuschätzen, um dann geeignete Strategien zur Minimierung der Ursachen und / oder Auswirkungen zu entwickeln.

Risikobewertung: Zunächst wird das Bruttorisiko eingeschätzt, das im Wesentlichen dem negativen Szenario entspricht. Es ergibt sich aus den Auswirkungen eines Risikos in Kombination mit der Eintrittswahrscheinlichkeit des Risikos für den Fall, dass es keine Kontrollen gäbe, um das Risiko zu steuern, zu mindern oder zu überwachen. Das Bruttorisiko zeigt eine potenzielle Risikohöhe auf, die entstünde, falls die Kontrollen komplett ausfallen würden oder nicht eingerichtet worden wären. Die Beurteilung der Auswirkungen und der Eintrittswahrscheinlichkeit erfolgt jeweils auf Basis einer Skala von 1 bis 5 anhand der rechts aufgeführten Kriterien.

Die Hauptrisiken des Konzerns werden als „aktiv“ bzw. „überwacht“ eingestuft.

Aktive Hauptrisiken sind Risiken, die wir aktiv steuern müssen, damit sie im Einklang mit unserer Risikobereitschaft stehen. Wir haben Maßnahmenpläne initiiert, um die Kontrollsicherheit für jedes dieser Risiken zu erhöhen und somit das aktuelle Nettorisiko auf den in der nachstehenden Grafik ausgewiesenen Zielwert zu reduzieren.

Überwachte Hauptrisiken sind generelle, der Tourismusbranche immanente Risiken, die alle Gesellschaften in der Branche betreffen. Für diese Risiken haben wir systematische Kontrollen, Prozesse und Verfahren eingeführt, die jedes dieser Risiken reduzieren, um die Eintrittswahrscheinlichkeit und / oder die Auswirkungen eines etwaigen Eintritts zu minimieren. Diese Risiken werden weiterhin in unserem Risikoradar dargestellt und wir überwachen regelmäßig das Risiko, die Kontrollen und das Risikoumfeld, um sicherzustellen, dass die Risikoeinstufung in jedem Einzelfall stabil bleibt und weiterhin unserer Risikotoleranz entspricht.

Aufgrund der formalen Auslösung von Artikel 50 des EU-Vertrags von Lissabon durch die britische Regierung am 29. März 2017 bleibt der Ausstieg Großbritanniens aus der EU („Brexit“) ein aktives Hauptrisiko. Der Brexit wirkt sich auf bestehende Hauptrisiken aus (z. B. Kundennachfrage, Inputkostenvolatilität, insbesondere in Großbritannien, aufgrund der mit dem EU-Ausstieg verbundenen größeren Unsicherheit in Bezug auf die Aussichten für künftige Wachstumsraten der britischen Wirtschaft und des Rückgangs des Wechselkurses des Britischen Pfund seit dem Referendum im Jahr 2016) und bildet zugleich aufgrund der direkten Auswirkungen, die er potenziell auf bestimmte Bereiche unseres Geschäftsmodells haben könnte, eine eigene Hauptrisiko-­Kategorie.

Die wichtigste Frage im Zusammenhang mit dem möglichen Ausstieg Großbritanniens aus der EU im Jahr 2020 bleibt für uns, ob unsere Airlines weiterhin Zugang zum EU-Luftraum haben werden. Wir werden weiterhin die zuständigen Entscheidungsträger Großbritanniens und der EU auf die Bedeutung einer umfassenden Sondervereinbarung für den Luftverkehr nach einem möglichen Brexit hinweisen, um die Flug­­angebote für Verbraucher in beiden Regionen zu schützen, und tauschen uns regelmäßig mit den zuständigen aufsichtsrechtlichen Behörden aus. Wir entwickeln weiterhin Szenarien und Minimierungsstrategien für verschiedene Konstellationen, inklusive eines „harten Brexit“ – je nach Ausgang der politischen Verhandlungen. Unser Schwerpunkt liegt darauf, mögliche Auswirkungen des Brexits auf den Konzern zu verringern.

Die geschätzten Kosten für die Boeing 737 Max-Flugzeuge, die bis Anfang 2020 und möglicherweise auch im weiteren Verlauf des Geschäftsjahres am Boden bleiben, spiegeln sich in unserer Pro­gnose für das bereinigte EBITA für das Geschäftsjahr 2020 wider. Wir überwachen weiterhin das Risiko eines möglichen Flugverbots über diesen Zeitraum hinaus. Mit Blick auf die Hauptrisiken überwachen wir dieses Risiko als Teil des Lieferkettenrisikos.

Der Konzern fokussiert sich weiterhin darauf sicherzustellen, dass wir die richtigen Mitarbeiter für die Realisierung unserer Strategie haben. Daher hat der Vorstand zugestimmt, im Geschäftsjahr 2019 die Talent- & Führungskräfteentwicklung als eines der überwachten Hauptrisiken aufzunehmen. Nähere Einzelheiten zu dem Risiko und den bestehenden Kontrollen finden sich in nachstehender Tabelle.

Sofern sich aus der Risikobezeichnung nichts anderes ergibt, betreffen die in den nachfolgenden Tabellen dargestellten Risiken alle Segmente des Konzerns. Die aufgeführten Risiken sind die Hauptrisiken, denen wir ausgesetzt sind. Die Auflistung ist nicht abschließend. Die Risiken werden sich zwangsläufig im Laufe der Zeit aufgrund der Dynamik unseres Geschäfts entwickeln.

• Hauptrisiken Übersicht (PDF)

Gemäß der Vorschrift 31 des 2018 revidierten UK Corporate ­Governance Code beurteilt der Vorstand die Zukunftsaussichten der Gesellschaft über einen sich über mehr als die gemäß der Going Concern-Prämisse geforderten zwölf Monate erstreckenden Zeitraum. Der Vorstand betrachtet jährlich und rollierend auf Basis einer dreijährigen strategischen Planung die Geschäftsentwicklung. Die aktuelle Dreijahresplanung wurde im Dezember 2019 verabschiedet und erstreckt sich über den Zeitraum bis zum 30. September 2022. Ein Dreijahreshorizont wird für ein schnelllebiges Wettbewerbsumfeld, wie der Tourismus es ist, als angemessen betrachtet.

Es wird auch darauf hingewiesen, dass die aktuelle revolvierende Kreditlinie des Konzerns über 1.535,0 Mio. €, die eine Laufzeit bis Juli 2022 hat, rechtzeitig geprüft und genutzt wird, um die Liquidität des Konzerns aufgrund der Saisonalität der Zahlungsflüsse zu steuern. Die Dreijahresplanung berücksichtigt die Cash Flows sowie die Einhaltung der in der Kreditfazilität festgelegten Finanzkennzahlen.

Wesentliche Annahmen, auf denen die Dreijahresplanung und die damit verbundene Cash Flow-Prognose basieren, sind, dass die Flugzeug- und Kreuzfahrtschifffinanzierung weiterhin gesichert ist und dass die Bedingungen für den Austritt Großbritanniens aus der EU dergestalt sind, dass sämtliche unserer Airlines weiterhin Zugang zum EU-Luftraum haben werden.

Der Vorstand hat eine fundierte Bewertung der Hauptrisiken des Unternehmens unter Einbeziehung zukünftiger Ereignisse, die das Geschäftsmodell, die künftigen Ergebnisse, die Solvenz oder die Liquidität gefährden würden, durchgeführt. Im Rahmen einer Sensitivitätsanalyse werden die möglichen Auswirkungen der Hauptrisiken, wobei sie einzeln oder gemeinsam auftreten können, ermittelt. Das umfasst die Modellierung der Auswirkungen von erheblichen Störungen infolge des Ausfalls wichtiger Services durch einen Hauptlieferanten auf den Cash Flow.

Unter Berücksichtigung der aktuellen Lage der Gesellschaft, der Hauptrisiken und der oben genannten Sensitivitätsanalyse hat der Vorstand die begründete Erwartung, dass das Unternehmen in der Lage sein wird, den Geschäftsbetrieb fortzuführen und die innerhalb des dreijährigen Betrachtungszeitraums auftretenden Verpflichtungen zu erfüllen.

1. Begriffsbestimmungen und Elemente des ­internen Kontroll- und des Risikomanagementsystems im TUI Konzern
Das interne Kontrollsystem der TUI Group umfasst alle Grundsätze, Verfahren und Maßnahmen zur Sicherung der Wirksamkeit, Wirtschaftlichkeit und Ordnungsmäßigkeit der Rechnungslegung sowie zur Sicherung der Einhaltung der maßgeblichen rechtlichen Vorschriften.

Das international anerkannte Rahmenwerk COSO (Committee of Sponsoring Organizations of the Treadway Commission) bildet die konzeptionelle Grundlage für das interne Kontrollsystem der TUI Group, das aus dem internen Steuerungs- und dem internen Überwachungssystem besteht. Der Vorstand der TUI AG hat im Rahmen seiner Organfunktion zur Führung der Geschäfte spezifische Konzernfunktionen als Verantwortliche des internen Steuerungssystems im TUI Konzern benannt.

Prozessintegrierte und prozessunabhängige Überwachungsmaßnahmen bilden die Elemente des internen Überwachungssystems im TUI Konzern. Neben manuellen Prozesskontrollen – wie beispielsweise dem 4-Augen-Prinzip – sind auch die automatisierten IT-­Prozess-Kontrollen ein wesentlicher Teil der prozessintegrierten Maßnahmen. Weiterhin werden durch Gremien, wie z. B. durch den Risikoüberwachungsausschuss der TUI AG (ROC), sowie durch spezifische Konzernfunktionen prozessintegrierte Überwachungen sichergestellt.

Der Aufsichtsrat der TUI AG, hier insbesondere der Prüfungsausschuss, und die Konzernrevision der TUI AG sind mit prozessunabhängigen Prüfungstätigkeiten in das interne Überwachungssystem im TUI Konzern eingebunden. Auf Grundlage des § 107 Abs. 3 AktG befasst sich der Prüfungsausschuss der TUI AG vor allem mit der Abschlussprüfung, der Überwachung des Rechnungslegungsprozesses und der Wirksamkeit des internen Kontroll- und des Risikomanagementsystems. Im Bericht des Prüfungsausschusses der TUI AG werden die Aussagefähigkeit der Finanzberichterstattung und die Überwachung des Rechnungslegungsprozesses sowie die Wirksamkeit des internen Kontroll- und Risikomanagementsystems erläutert.

Der Konzernabschlussprüfer gewinnt Einblick in das Kontrollumfeld des TUI Konzerns. Insbesondere die Prüfung der Konzernabschlüsse durch den Konzernabschlussprüfer bzw. die Prüfung der einbezogenen Einzelabschlüsse der Konzerngesellschaften bilden eine wesentliche prozessunabhängige Überwachungsmaßnahme im Hinblick auf den Konzernrechnungslegungsprozess.

Das Risikomanagementsystem, das als Enterprise Risk Management-­System (ERM-System) als Bestandteil des internen Kontrollsystems eingeführt wurde, ist mit Bezug auf die Konzernrechnungslegung auch auf das Risiko der Falschaussage in der Konzernbuchführung sowie in der externen Berichterstattung ausgerichtet. Im TUI Konzern umfasst das Risikomanagementsystem neben dem operativen Risikomanagement, das auch den Risikotransfer auf Versicherungsgesellschaften durch die Absicherung von Schadens- oder Haftungsrisiken sowie den Abschluss geeigneter Sicherungsgeschäfte zur Begrenzung von Fremdwährungs- und Rohstoffpreisrisiken beinhaltet, konzernweit auch die systematische Risikofrüherkennung, -steuerung und -überwachung. Weitere Erläuterungen zum Risikomanagementsystem werden im Abschnitt „Risiko-Governance“ dieses Risikoberichts erteilt.

2. Einsatz von IT-Systemen
Die Erfassung buchhalterischer Vorgänge erfolgt in den Einzelabschlüssen der TUI AG und der Tochterunternehmen der TUI AG im Wesentlichen durch lokale Buchhaltungssysteme der Hersteller SAP und Oracle. Zur Aufstellung des Konzernabschlusses der TUI AG werden durch die Tochterunternehmen die jeweiligen Einzelabschlüsse durch weitere Informationen zu standardisierten Berichtspaketen ergänzt, die dann durch sämtliche Konzernunternehmen in das Berichtssystem Oracle Hyperion Financial Management 11.1.2.4 (HFM) eingestellt werden. HFM wird dabei konzernweit als einheitliches Berichts- und Konsolidierungssystem eingesetzt, sodass keine weiteren Schnittstellen zur Erstellung des Konzernabschlusses vorhanden sind.

In HFM werden sämtliche Konsolidierungsvorgänge zur Erstellung des Konzernabschlusses der TUI AG, wie z. B. die Kapitalkonsolidierung, die Vermögens- und Schuldenkonsolidierung oder die Aufwands- und Ertragskonsolidierung einschließlich der Equity-­Bewertung, generiert und vollständig dokumentiert. Nahezu alle Bestandteile des Konzernabschlusses der TUI AG einschließlich der Anhangangaben werden aus dem Konsolidierungssystem HFM entwickelt und validiert. HFM stellt auch diverse Module für Auswertungszwecke zur Verfügung, um ergänzende Informationen zur Erläuterung des Konzernabschlusses der TUI AG aufzubereiten.

Der in das Berichts- und Konsolidierungssystem HFM integrierte Workflow-Prozess stellt sicher, dass nach der Erfassung der Datenpakete durch die Berichtsgesellschaften das System gesperrt wird, um weitere Änderungen zu verhindern. Dies sichert die Datenintegrität innerhalb des Systems und erleichtert die Identifizierung etwaiger weiterer notwendiger Änderungen der Berichtspakete. Dieser Workflow-Prozess wurde von der Konzernrevision seit Einführung des Systems mehrfach überprüft und validiert.

Durch den Konzernabschlussprüfer der TUI AG werden aus den im Berichts- und Konsolidierungssystem HFM durch die Konzerngesellschaften erfassten Formularabschlüssen nach eigenem Ermessen bestimmte Formularabschlüsse ausgewählt, die dann für Zwecke der Konzernabschlussprüfung geprüft werden.

3. Spezifische (konzern-)rechnungslegungs­bezogene Risiken
Spezifische (konzern-)rechnungslegungsbezogene Risiken können z. B. aus ungewöhnlichen oder komplexen Geschäften, insbesondere zeitkritisch zum Ende des Geschäftsjahres, entstehen. Weiterhin sind Geschäftsvorfälle, die nicht routinemäßig verarbeitet werden, mit einem besonderen Risiko behaftet. Aus den Mitarbeitern notwendigerweise eingeräumten Ermessensspielräumen bei Ansatz und Bewertung von Vermögensgegenständen und Schulden können weitere (konzern-)rechnungslegungsbezogene Risiken resultieren. Auch aus der Auslagerung und Übertragung von rechnungslegungsspezifischen Aufgaben auf Servicegesellschaften können sich spezifische Risiken ergeben. Rechnungslegungsbezogene Risiken aus derivativen Finanzinstrumenten werden im Anhang zum Konzernabschluss erläutert.

4. Wesentliche Regelungs- und Kontroll­aktivitäten zur Sicherstellung der Ordnungsmäßigkeit und Verlässlichkeit der (Konzern-)Rechnungslegung
Die auf die Ordnungsmäßigkeit und Verlässlichkeit der (Konzern-)rechnungslegung ausgerichteten Maßnahmen des internen Kontrollsystems stellen sicher, dass Geschäftsvorfälle in Übereinstimmung mit den gesetzlichen und satzungsmäßigen Vorschriften vollständig und zeitnah erfasst werden. Weiterhin ist gewährleistet, dass Vermögensgegenstände und Schulden im Jahres- und Konzernabschluss zutreffend angesetzt, bewertet und ausgewiesen werden. Die Regelungsaktivitäten stellen ebenfalls sicher, dass durch die Buchungsunterlagen verlässliche und nachvollziehbare Informationen zur Verfügung gestellt werden.

Die Kontrollaktivitäten zur Sicherstellung der Ordnungsmäßigkeit und Verlässlichkeit der Rechnungslegung umfassen beispielhaft die Analyse von Sachverhalten und Entwicklungen anhand spezifischer Kennzahlen. Die Trennung von Verwaltungs-, Ausführungs-, Abrechnungs- und Genehmigungsfunktionen und deren Wahrnehmung durch verschiedene Personen reduziert die Möglichkeit doloser Handlungen. Die organisatorischen Maßnahmen sind auch darauf ausgerichtet, unternehmens- oder konzernweite Umstrukturierungen oder Veränderungen in der Geschäftstätigkeit einzelner Geschäftsbereiche zeitnah und sachgerecht in der (Konzern-)rechnungslegung zu erfassen. Weiterhin ist beispielsweise sichergestellt, dass bei Veränderungen in den eingesetzten IT-Systemen der zugrunde liegenden Buchführungen in den Konzerngesellschaften eine periodengerechte und vollständige Erfassung buchhalterischer Vorgänge erfolgt. Das interne Kontrollsystem gewährleistet auch die Abbildung von Veränderungen im wirtschaftlichen oder rechtlichen Umfeld des TUI Konzerns und stellt die Anwendung neuer oder geänderter gesetzlicher Vorschriften zur (Konzern-)rechnungslegung sicher.

Die Bilanzierungsvorschriften im TUI Konzern regeln zusammen mit den Vorschriften zur Rechnungslegung nach den International Financial Reporting Standards (IFRS) die einheitlichen Bilanzierungs- und Bewertungsgrundsätze für die in den TUI Konzernabschluss einbezogenen inländischen und ausländischen Unternehmen. Sie beinhalten neben allgemeinen Bilanzierungsgrundsätzen und -methoden vor allem Regelungen zu Bilanz, Gewinn- und Verlustrechnung, Anhang, Lagebericht und Kapitalflussrechnung.

Die TUI Bilanzierungsvorschriften regeln auch konkrete formale Anforderungen an den Konzernabschluss. Neben der Festlegung des Konsolidierungskreises sind auch die durch die Konzerngesellschaften im Konzernberichtssystem HFM monatlich, quartalsweise oder jährlich zu berichtenden Inhalte im Detail festgelegt. Die TUI Bilanzierungsvorschriften enthalten weiterhin z. B. konkrete Vorgaben zur Abbildung, Abstimmung und Abwicklung von Transaktionen zwischen verbundenen Unternehmen und zur Ermittlung des beizulegenden Werts von Vermögenswerten, insbesondere Geschäfts- oder Firmenwerten. Auf Konzernebene umfassen die spezifischen Kontrollaktivitäten zur Sicherstellung der Ordnungsmäßigkeit und Verlässlichkeit der (Konzern-)rechnungslegung die Analyse und gegebenenfalls die Korrektur der durch die Konzerngesellschaften vorgelegten Einzel­abschlüsse unter Beachtung der von den Abschlussprüfern erstellten Berichte und der hierzu mit dem Abschlussprüfer und dem lokalen Management geführten Abschlussbesprechungen. Gegebenenfalls darüber hinausgehende notwendige inhaltliche Anpassungen können, systemseitig abgegrenzt, von einer der nachgelagerten Instanzen vorgenommen werden. Durch die bereits systemtechnisch im Berichts- und Konsolidierungssystem HFM festgelegten Kontrollmechanismen wird das Risiko der Verarbeitung formal fehlerhafter Abschlüsse reduziert. Bestimmte Parameter werden zentral auf Konzernebene festgelegt und müssen von den Tochtergesellschaften angewendet werden. Dies betrifft u. a. auch die zentrale Festlegung der Parameter für die Bewertung von Pensions- oder sonstigen Rückstellungen sowie die Zinssätze für die Bewertung bestimmter Vermögenswerte im Rahmen von Cash Flow-Modellen. Mit der zentralen Durchführung von Werthaltigkeitstests für Geschäfts- oder Firmenwerte wird die Anwendung einheitlicher und standardisierter Bewertungskriterien im Konzernabschluss sichergestellt.

5. Einschränkende Hinweise
Das interne Kontroll- und Risikomanagementsystem ermöglicht durch die im TUI Konzern festgelegten Organisations-, Kontroll- und Überwachungsstrukturen die vollständige Erfassung, Aufbereitung und Würdigung von unternehmensbezogenen Sachverhalten sowie deren sachgerechte Darstellung in der (Konzern-)rechnungslegung.

Insbesondere persönliche Ermessensentscheidungen, fehlerbehaftete Kontrollen, kriminelle Handlungen oder sonstige Umstände können allerdings der Natur der Sache nach nicht ausgeschlossen werden und führen dann zur eingeschränkten Wirksamkeit und Verlässlichkeit des eingesetzten internen Kontroll- und des Risikomanagementsystems, sodass auch die konzernweite Anwendung der eingesetzten Systeme nicht die absolute Sicherheit hinsichtlich der richtigen, vollständigen und zeitnahen Erfassung von Sachverhalten in der (Konzern-)rechnungslegung gewährleisten kann.

Die getroffenen Aussagen beziehen sich nur auf die TUI AG und die nach IFRS 10 in den Konzernabschluss der TUI AG einbezogenen Tochterunternehmen.