Aktives Risikomanagement, wie es im voestalpine-Konzern verstanden und regelmäßig angewandt wird, dient der langfristigen Sicherung des Unternehmensbestands wie auch der Wertsteigerung und stellt somit einen wesentlichen Erfolgsfaktor dar. Vorgaben zum Risikomanagement sind in Form einer konzernweit gültigen Verfahrensanweisung verankert, das Risikomanagementsystem wird laufend aktualisiert bzw. weiterentwickelt. Um Unternehmensziele bestmöglich zu erreichen, unterstützt der systematische Risikomanagementprozess das Management dabei, Risiken frühzeitig zu erkennen und geeignete Vorsorgemaßnahmen zur Abwendung oder Vermeidung von Gefahren einzuleiten. Im Sinne einer nachhaltigen, verantwortungsbewussten und wertorientierten Unternehmensführung ist Risikomanagement integraler Bestandteil von Entscheidungs- und Geschäftsprozessen aller Unternehmensbereiche sowie Hierarchiestufen und umfasst auch einen verantwortungsvollen Umgang mit den Ressourcen und der Umwelt sowie die Beachtung regulatorischer Anforderungen. Risikomanagement erstreckt sich über die strategische wie auch die operative Ebene. Risikomanagement ist maßgebliches Element für einen nachhaltigen Unternehmenserfolg und leistet einen wesentlichen Beitrag zur erfolgreichen Umsetzung der Unternehmensstrategie und der daraus abgeleiteten Zielsetzungen.

Das strategische Risikomanagement dient der Evaluierung und Absicherung der strategischen Zukunftsplanungen. Die Strategie wird auf Konformität mit dem Zielsystem überprüft, um wertsteigerndes Wachstum durch bestmögliche Ressourcenallokation sicherzustellen. Im Risikomanagementprozess aufgezeigte Chancen werden aufgegriffen und im Strategieprozess berücksichtigt und weiterverfolgt. Das operative Risikomanagement, im Zuge dessen auch auf entsprechende Strategiekonformität geachtet wird, basiert auf einem mehrfach jährlich und konzernweit einheitlich zu durchlaufenden Prozess („identifizieren und analysieren, bewerten, bewältigen, dokumentieren und überwachen“).

In den operativen Einheiten sind Risikomanager:innen nominiert, die in Abstimmung mit dem jeweiligen Management den Risikomanagementprozess in deren Einheiten aktiv vorantreiben und auch dezentral verantworten. Erkenntnisse des Risikomanagementprozesses sind auch Bestandteil der regelmäßigen divisionalen bzw. konzernalen Controllinggespräche, in denen wesentliche Veränderungen in der Risikolandschaft auf Ebene der Business Units bzw. auf Divisionsebene berichtet werden. Weiters erfolgt auf Divisions- und Konzernebene eine regelmäßige und enge Abstimmung mit dem Nachhaltigkeitsmanagement. Dem Vorstand der voestalpine AG wird standardisiert halbjährlich sowie bei Bedarf ad hoc zum Risikomanagement berichtet. Die Gesamtverantwortung zum Risikomanagement liegt beim Vorstand der voestalpine AG.

Der Prüfungsausschuss der voestalpine AG befasst sich unter anderem kontinuierlich auch mit Fragen zum Risikomanagement und zum Internen Kontrollsystem bzw. zu dessen Überwachung. Risikomanagement wie auch Internes Kontrollsystem sind im voestalpine-Konzern integrale Bestandteile bestehender Managementsysteme. Die Interne Revision prüft wesentliche Betriebs- und Geschäftsabläufe und die damit verbundenen Risiken inkl. zugehöriger Kontrollen sowie das Interne Kontrollsystem (IKS) und agiert in der Berichterstattung wie auch bei der Wertung der Prüfungsergebnisse als unabhängiger und weisungsfreier unternehmensinterner Bereich. Die Funktionsfähigkeit des eingerichteten Risikomanagementsystems wird wiederum jährlich durch eine:n externe:n Auditor:in überprüft und beurteilt (Regel 83 ÖCGK). Dem Prüfungsausschuss wird halbjährlich zum Risikomanagement und auch zum Internen Kontrollsystem berichtet.

Die im Vorjahresgeschäftsbericht dargestellten wesentlichen Risikofelder und deren Vorsorgemaßnahmen haben nach wie vor Gültigkeit:

Auch das abgelaufene Geschäftsjahr war weiterhin von geopolitischen Konflikten und Spannungen geprägt. Geopolitische Entwicklungen stehen weiterhin im Fokus kontinuierlicher Beobachtungen, um auch künftig etwaige Auswirkungen auf den voestalpine-Konzern frühzeitig zu erkennen und mit einer robusten und nachhaltigen Organisation in einem sich ständig wandelnden geopolitischen Umfeld möglichen Risiken proaktiv und bestmöglich entgegenzuwirken. So haben zum Beispiel die zu Beginn des Ukraine-Kriegs initiierten bzw. abgeleiteten Aktivitäten zur Aufrechterhaltung bzw. Sicherung der Versorgung mit relevanten Rohstoffen bzw. zur Gasversorgung weiterhin ihre Gültigkeit, diese sind im Kapitel „Rohstoffverfügbarkeit, Energieversorgung“ angeführt.

Neben geopolitischen Konflikten können auch handelspolitische Maßnahmen – etwa in Form von Zöllen und Gegenzöllen – das Wirtschaftswachstum hemmen. Bezugnehmend auf die Unsicherheiten der US-Zollpolitik ist voestalpine direkt von den US-Zöllen betroffen und bezahlte schon bisher Zölle im Rahmen der Quotenregelung der Sec 232. Indirekte Nachteile könnten sich zusätzlich aus den deutlich gestiegenen Unsicherheiten ergeben (gehemmtes Wirtschaftswachstum, Reduktion der Nachfrage, negative Auswirkungen auf Lieferketten). Gegenmaßnahmen werden derzeit evaluiert bzw. sukzessive umgesetzt und umfassen unter anderem die Weitergabe gestiegener Preise an Kund:innen sowie die weitere Diversifikation des Kundenportfolios. Noch bestehende Ausnahmeregelungen werden bis zum Auslaufen genutzt. Trotz Gegenmaßnahmen können negative Effekte auf die Erreichung der geplanten Ergebnisse einzelner Geschäftsbereiche des Konzerns in den Folgejahren eintreten. In einem weiterhin herausfordernden konjunkturellen Umfeld werden potenzielle Folgen aus (Straf-)Zöllen, globalen (Handels-)Konflikten sowie veränderten geopolitischen Rahmenbedingungen laufend beobachtet. Dabei werden auch die durch die US-Zollpolitik bedingten Unsicherheiten bestmöglich berücksichtigt.

Die voestalpine bekennt sich zum Pariser Klimaabkommen und sieht in ihrer Nachhaltigkeitsstrategie vor, Net-Zero-Emissionen bis 2050 im Einklang mit dem Zielpfad des EU-Emissionshandels zu erreichen. Um der Herausforderung der Dekarbonisierung der Stahlerzeugung unter Wahrung der Wirtschaftlichkeit und Wettbewerbsfähigkeit zu begegnen, hat die voestalpine das Klimaschutzprogramm greentec steel als wesentliches Kernelement des konzernalen Klimaübergangsplans entwickelt, welches den schrittweisen Umstieg auf neue Technologien vorsieht.

Die technische Umstellung der bestehenden Produktionsverfahren auf emissionsfreie/-reduzierte Technologien stellt ein transitorisches Risiko für die voestalpine dar. Weitere Ausführungen dazu sind der nichtfinanziellen Erklärung im Lagebericht zu entnehmen (Kapitel „ESRS2 SBM-3-E1 Klimawandel“ und „ESRS E1 Klimawandel“).

Zur langfristigen Absicherung der Rohstoff- und Energieversorgung in den erforderlichen Qualitäten und Mengen verfolgt der voestalpine-Konzern seit vielen Jahren eine den erhöhten politischen und wirtschaftlichen Risiken dieses globalisierten Marktes entsprechende diversifizierte Beschaffungsstrategie. Diese wird auch aufgrund der unterschiedlichen Dekarbonisierungsaktivitäten sowie durch geopolitische Entwicklungen zusätzlich bekräftigt.

Im Bereich der Energieversorgung wird die Erschließung alternativer Energieressourcen weiterhin laufend untersucht und vorangetrieben. Hier stehen neben dem konsequenten Ausbau der eigenen Erneuerbaren-Kapazitäten und dem Bezug von erneuerbarer Energie aus langfristigen PPAs (Power Purchase Agreements) zahlreiche Forschungs- und Demonstrationsprojekte in den Bereichen Wasserstoff, Biogas und Biomasse sowie Vorhaben in alternativen Eisen- und Stahlherstellungstechnologien (wie beispielsweise „H2FUTURE“ [Wasserstoffpilotanlage], „HYFOR“ [Hydrogen-Based Fine-Ore Reduction] und Smelter sowie „SuSteel“ [Sustainable Steelmaking]) weiterhin im Fokus. Eine fortlaufende Optimierung der Energieeffizienz in Produktionsprozessen wird ebenfalls laufend untersucht und vorangetrieben. Forschungsaktivitäten im Bereich CO₂-Abscheidung und -Verwendung (CCUS) ergänzen das Gesamtbild.

Ergänzende Informationen zu einzelnen Teilaspekten sind der nichtfinanziellen Erklärung im Lagebericht zu entnehmen (Kapitel „ESRS2 SBM-3-E1 Klimawandel“ und „ESRS E1 Klimawandel“).

Ziele, Grundsätze, Zuständigkeiten und Verantwortlichkeiten sowie Methodik, Abläufe und Entscheidungsprozesse für den Umgang mit Rohstoff- und Energiepreisrisiken sind in einer internen Richtlinie festgelegt. Darauf aufbauend und unter Berücksichtigung individueller Besonderheiten des Geschäftsmodells der jeweiligen Konzerngesellschaft werden Preissicherungen in Form von kurzfristigen Lieferverträgen mit Fixpreisvereinbarung oder in Form von derivativen Finanzkontrakten vorgenommen. Zur teilweisen langfristigen Absicherung von Strompreisschwankungen werden PPAs (Power Purchase Agreements) angewendet. Je nach Geschäftsmodell der betroffenen Konzerngesellschaft können Änderungen der Energie- und Rohstoffpreise überwiegend bzw. zeitverzögert an Kund:innen weitergegeben werden. In diesem Fall ist es das Ziel des Risikomanagements, die kalkulierten Deckungsbeiträge der Verkaufsverträge abzusichern. Dem Rohstoffrisiko- und Energierisiko-Management unterliegen Eisenerz, Koks, Kokskohle, Zink, Nickel, CO₂, Kobalt und Energien (Strom, Erdgas). Ziel ist die Reduktion der Ergebnisschwankung aus der Volatilität der Rohstoff- und Energiepreise auf jene Größe, die im Einklang mit dem Grundsatz der konservativen Finanzpolitik im Sinne der Finanzverfassung des voestalpine-Konzerns steht. Auf das Thema der Versorgungssicherheit (Beschaffungsrisiko) wurde bereits unter „Rohstoffverfügbarkeit, Energieversorgung“ eingegangen. Die umfassenden Maßnahmen tragen dazu bei, finanzielle Stabilität zu gewährleisten und die Resilienz des Unternehmens gegenüber volatilen Märkten zu stärken und relevante Risiken mit der erforderlichen Flexibilität effektiv zu managen.

Generell können globale Lieferketten durch geopolitische Konflikte (wie z. B. den Ukraine-Krieg), Handelskonflikte (und z. B. damit verbundenen Produktionsverlagerungen) oder durch andere Ereignisse (wie z. B. eine Epidemie oder Pandemie) unterbrochen werden. Dabei kann es von Seiten der Lieferant:innen, von Seiten der Kund:innen, durch Störungen in den Transportwegen sowie durch etwaige Sanktionen bzw. Embargos sowie Handelsbarrieren zu Einschränkungen bzw. zu Umlenkungseffekten kommen. Die Fokussierung auf weniger anfällige Lieferketten und die gleichzeitige Verbreiterung der logistischen Optionen haben schon in der Vergangenheit bzw. auch aktuell die Ausfallsicherheit (z. B. bei Rohstofftransporten) sowie die Widerstandsfähigkeit unserer Logistik- und Lieferketten deutlich erhöht. Diversifizierte Beschaffungsstrategien und Lieferketten dienen dem bestmöglichen Schutz und der Resilienz vor unvorhergesehenen Ereignissen. Aktuelle Entwicklungen werden insbesondere auch auf Basis sich abzeichnender globaler Handelskonflikte ebenfalls laufend beobachtet und bewertet.

Zur Minimierung von Ausfallrisiken bei kritischen Anlagen wurden und werden einerseits erforderliche Modernisierungs- sowie Ersatzinvestitionen langfristig geplant und umgesetzt sowie andererseits gezielte und umfangreiche Investitionen in technische Optimierungen der sensiblen Aggregate getätigt. Um die Zuverlässigkeit und Leistungsfähigkeit der Anlagen laufend zu verbessern und das Ausfallrisiko weiter zu minimieren, sind weitere ergänzende Maßnahmen gesetzt, dies sind zum Beispiel eine konsequente und systematische sowie vorbeugende Instandhaltung, eine risikoorientierte Vorhaltung kritischer Reserveteile sowie entsprechende arbeitsplatzbezogene Schulungen betroffener Mitarbeiter:innen. Darüber hinaus sind für wesentliche Anlagen entsprechende Notfallpläne zur Minimierung etwaiger Risiken festgelegt.

Bezüglich einer plötzlichen ungeplanten Unterbrechung der Stromversorgung („Blackout“) sind an den wesentlichen Standorten kritische Anlagen und Prozesse mit Notstromaggregaten großteils abgesichert. Diese können für einen eingeschränkten Teilbetrieb, für Notfahrweisen bzw. im Extremfall für ein kontrolliertes Herunterfahren der Anlagen genutzt werden. Zusätzlich wird z. B. am Standort Linz ein eigenes Kraftwerk inkl. Schwarzstartfähigkeit betrieben. Dafür stehen interne Sondernetze (eigene, in sich geschlossene, abgeschottete Bereiche) zur Verfügung. Es erfolgen regelmäßige Übungen zu unterschiedlichen Szenarien (wie z. B. Test der Notstromaggregate, Test der Notfall- und Kommunikationspläne bei unterschiedlichen Ausfallszenarien), um im Ereignisfall bestmöglich vorbereitet zu sein. Etwaige Schäden an Anlagen, welche durch unterschiedliche Blackout-Szenarien verursacht werden können, werden regelmäßig analysiert sowie bewertet und entsprechende Vorsorgemaßnahmen werden getroffen bzw. bestehende Maßnahmen auf deren Wirksamkeit geprüft und gegebenenfalls angepasst.

Vorhandene Notfallpläne werden von den jeweiligen Expert:innen für unterschiedliche Szenarien regelmäßig bewertet und bei Bedarf an neue bzw. geänderte Gegebenheiten angepasst.

Serviceleistungen für Geschäfts- und Produktionsprozesse, die hauptsächlich auf komplexen IT-Systemen basieren, werden an den meisten Konzernstandorten durch zu 100 % im Besitz der voestalpine AG befindliche IT-Tochtergesellschaften erbracht. Dies sind die voestalpine group-IT GmbH in Österreich und deren Schwesterunternehmen in Deutschland, Brasilien und China. Aufgrund der hohen Bedeutung von IT-Sicherheit und IT-Verfügbarkeit bzw. zur weiteren Minimierung möglicher IT-Ausfalls- und IT-Sicherheitsrisiken sind sicherheitstechnische IT-Mindeststandards inkl. Vorgaben zum Business Continuity Management verfügbar, welche regelmäßig an neue Gegebenheiten angepasst werden und deren Einhaltung jährlich in Form von internen und externen Audits überprüft wird. Das hoch qualifizierte Security Operation Center (SOC) der voestalpine sorgt für die laufende Erkennung und Behebung von sicherheitsrelevanten Vorfällen und trägt so auch zur Prävention bei. Um das Risiko unberechtigter Zugriffe auf IT-Systeme und Anwendungen zu reduzieren, werden ergänzende Penetrationstests durchgeführt. Auch im abgeschlossenen Geschäftsjahr erfolgten wieder breit angelegte Onlinekampagnen zur weiteren Sensibilisierung und Bewusstseinsbildung der Mitarbeiter:innen hinsichtlich Sicherheitsthemen, insbesondere für die Gefahren durch Phishing-Angriffe. Des Weiteren ist eine IT Security Roadmap in der Umsetzung, bei der über technische Maßnahmen die Sicherheit kontinuierlich erhöht wird. Dazu gehört unter anderem die Weiterführung der Netzwerksegmentierung zwischen Produktion und Büro/Office IT. In einer internen Arbeitsgruppe werden Informationen über etwaige Cyber-Fraud-Angriffe regelmäßig gesammelt (wie z. B. Social Engineering, CEO-Fraud, Zahlungs- und/oder Lieferumleitung, Phishing) und Präventivmaßnahmen entwickelt bzw. bestehende Maßnahmen auf deren Wirksamkeit geprüft und gegebenenfalls angepasst. Zur Abwendung möglicher Cyber-Fraud-Angriffe werden auch zu diesen Themen entsprechende Onlinekampagnen durchgeführt (unter anderem simulierte Phishing-Awareness-Programme) und spezielle E-Learnings angeboten, die ebenfalls zur Sensibilisierung der Mitarbeiter:innen beitragen. Weiters unterliegt die Nutzung künstlicher Intelligenz konzernalen Nutzungs- und Sicherheitsvorgaben. Alle diese Maßnahmen zielen darauf ab, Ausfallrisiken und Ausfallzeiten von IT-Systemen aufgrund von z. B. Cyber-Angriffen, menschlichem Versagen, Manipulation, Hardwaredefekten und ähnlichen Ursachen bestmöglich zu reduzieren bzw. so gering wie möglich zu halten.

Im voestalpine-Konzern stellen Mitarbeiter:innen mit deren Kompetenz und Einsatz einen wesentlichen und maßgeblichen Erfolgsfaktor dar. Die Positionierung der voestalpine AG als attraktive Arbeitgeberin einerseits sowie vielfältige Maßnahmen zur Mitabeiter:innen-Bindung andererseits sollen die Verfügbarkeit von qualifizierten Fachkräften im erforderlichen Ausmaß sicherstellen. Laufende Aus- und Weiterbildung, faire Arbeitsbedingungen und -konditionen, eine moderne Arbeitsumgebung sowie vielfältige Entwicklungsmöglichkeiten sind einzelne diesbezügliche Aspekte. Einen weiteren Schwerpunkt stellt auch die interne Lehrlingsausbildung dar.

Zur nachhaltigen Sicherung des vorhandenen Wissens, insbesondere zur Absicherung vor Know-how-Verlust, sind anspruchsvolle Projekte initiiert, die konsequent angewandt und weiterentwickelt bzw. angepasst werden. Neben einer permanenten Dokumentation des vorhandenen Wissens werden neue Erkenntnisse aus wesentlichen Projekten, aber auch aus ungeplanten Vorfällen – im Sinne von „lessons learned“ – entsprechend umgesetzt. Detaillierte Prozessdokumentationen, vor allem auch im IT-gestützten Bereich, tragen ebenfalls zur Sicherung des vorhandenen Wissens bei.

Etwaigen Risiken aus Projekten (insbesondere aus Großprojekten, aus Investitionen) wird durch den Einsatz unterschiedlichster Projekt-Management-Tools sowie durch ein entsprechendes Projekt-Monitoring – und je nach Größe des Projektes auch durch regelmäßige Projektaufsichtssitzungen unter Einbindung des Top-Managements – entgegengewirkt. Dies betrifft insbesondere auch etwaige Hochlauf- bzw. Kostensteigerungsrisiken. Erkenntnisse aus früheren Aktivitäten werden im Sinne von „lessons learned“ gesammelt und bilden die Basis der kontinuierlichen Weiterentwicklung bestehender Werkzeuge zur konsequenten Anwendung auch bei künftigen Vorhaben.

Compliance-Verstöße (wie z. B. Kartell- und Korruptionsverstöße) stellen ein erhebliches Risiko dar und können zu nachteiligen Auswirkungen – sowohl in Bezug auf finanzielle Schäden als auch Reputationsschäden – führen. Durch ein konzernales Compliance Management System soll diesen Risiken und insbesondere etwaigen Kartell- und Korruptionsverstößen entgegengewirkt werden. Themenbezogene Präsenzschulungen wie auch E-Learnings sind Teil dieses Systems. Ergänzende Informationen sind der nichtfinanziellen Erklärung im Lagebericht zu entnehmen (Kapitel „ESRS2 SBM-3 Wesentliche Auswirkungen, Risiken und Chancen und ihr Zusammenspiel mit Strategie und Geschäftsmodell“ sowie „ESRS G1 Unternehmensführung“).

Eine Verletzung datenschutzrechtlicher Bestimmungen kann sich finanziell nachteilig auswirken und auch zu Reputationsschäden führen. Basierend auf den konzernweit gültigen Datenschutzrichtlinien ist eine Datenschutzorganisation eingerichtet, welche das Management der Konzerngesellschaften darin unterstützt, seine Verantwortung wahrzunehmen, gesetzliche und konzerninterne Datenschutzvorschriften einzuhalten. Ein themenbezogenes E-Learning stellt eine ergänzende Maßnahme dar.

Die mit dem Klimawandel in Zusammenhang stehenden kurz- und mittelfristigen physischen Risiken aus Elementarereignissen sind der nichtfinanziellen Erklärung im Lagebericht zu entnehmen (Kapitel „ESRS2 SBM-3-E1 Klimawandel“ und „ESRS E1 Klimawandel“). Zu den identifizierten Risiken werden im Zuge von regelmäßigen Übungen, dem Test bestehender Notfallpläne sowie durch Begehungen und „risk-surveys“ mit Versicherungsunternehmen vorhandene Vorsorgemaßnahmen auf Aktualität bzw. Vollständigkeit geprüft und bei Bedarf an neue Gegebenheiten angepasst bzw. erweitert. Der bestehende Versicherungsschutz zu Elementarereignissen und auch zu anderen Risiken wird gemeinsam mit unserem internen Versicherungsunternehmen (voestalpine Insurance Broker GmbH) regelmäßig auf Aktualität geprüft. Getroffene Maßnahmen werden regelmäßig auf Wirksamkeit geprüft, um Risiken zu managen und um dem Voranschreiten des Klimawandels bestmöglich entgegenzusteuern.

Mögliche weitere Nachhaltigkeitsrisiken und damit verbundene Themen wie Klima- und Umweltschutz, Sozial- und Arbeitnehmer:innen-Belange, Achtung der Menschenrechte und Bekämpfung von Korruption werden inklusive deren Auswirkungen auf allen Ebenen und im Einklang mit der konzernalen Nachhaltigkeitsstrategie berücksichtigt. Weitere Ausführungen sind der nichtfinanziellen Erklärung im Lagebericht zu entnehmen (Kapitel „ESRS2 SBM-3 Wesentliche Auswirkungen, Risiken und Chancen und ihr Zusammenspiel mit Strategie und Geschäftsmodell“ sowie in den themenspezifischen Kapiteln).

Erforderliche Aktivitäten zur Erfüllung des deutschen Lieferkettensorgfaltspflichtengesetzes wurden initiiert. Prozessvorgaben an betroffenen Standorten sind ausgerollt und werden laufend abgearbeitet. Zur Vorbereitung auf das europäische Lieferkettensorgfaltspflichtengesetz wurden erste Umsetzungsmaßnahmen gestartet, Entwicklungen zu weiteren gesetzlichen Anforderungen werden laufend beobachtet und bewertet.

Hohe Energie- und Lohnkosten, strenge Umweltanforderungen, bürokratische Hürden sowie regulatorische Unsicherheiten belasten den Standort Europa und können z. B. zu einer zunehmenden Abwanderung der Produktion und auch der Investitionen, zu einem Rückgang von Absatzmengen und Margen sowie zu einem weiteren Anstieg bei Insolvenzen und zu Wettbewerbsnachteilen infolge einseitiger Regulierungen führen.

Interessen sowie Positionen zu für den voestalpine-Konzern relevanten Themen (wie z. B. gegenüber Politik, Verwaltung, Institutionen, Interessenvertretungen und Zivilgesellschaft (NGOs), Stakeholdern) werden in enger Abstimmung mit dem Vorstand und internen Fachbereichen von einer Konzernfunktion extern vertreten, um erforderliche Rahmenbedingungen (z. B. für eine erfolgreiche Transformation) aktiv und konstruktiv mitzugestalten, um so das optimale Umfeld für den wirtschaftlichen Erfolg der voestalpine zu schaffen bzw. mitzugestalten.

Weitere Ausführungen zu einzelnen Teilaspekten sind der nichtfinanziellen Erklärung im Lagebericht zu entnehmen (Kapitel „ESRS2 SBM-3-E1 Klimawandel“ und „ESRS E1 Klimawandel").

Betreffend Richtlinienkompetenz, Strategiefestsetzung und Zieldefinition ist das finanzielle Risikomanagement zentral organisiert. Das bestehende Regelwerk beinhaltet Ziele, Grundsätze, Aufgaben und Kompetenzen sowohl für das Konzern-Treasury als auch für den Finanzbereich der einzelnen Konzerngesellschaften. Finanzielle Risiken werden ständig beobachtet und – wo sinnvoll – abgesichert. Die Strategie im Bereich des Fremdwährungsrisikomanagements zielt insbesondere auf die Erzielung von Natural Hedges und bei den anderen Risiken (Zinsen und Rohstoffe) auf eine Verminderung der Schwankungen der Cashflows und der Erträge sowie eine Absicherung der Deckungsbeiträge ab. Die Absicherung der Marktrisiken erfolgt zu einem hohen Anteil mit derivativen Finanzinstrumenten, die ausschließlich in Verbindung mit einem Grundgeschäft verwendet werden.

Im Einzelnen werden Finanzierungsrisiken durch folgende Maßnahmen abgesichert:

Liquiditätsrisiken bestehen im Allgemeinen darin, dass ein Unternehmen möglicherweise nicht in der Lage ist, den finanziellen Verpflichtungen nachzukommen. Die bestehenden Liquiditätsreserven versetzen die Gesellschaft in die Lage, auch in Krisenzeiten ihre Verpflichtungen fristgerecht zu erfüllen. Wesentliches Instrument zur Steuerung des Liquiditätsrisikos ist neben der Liquiditätsreserve eine exakte Liquiditätsplanung, die quartalsweise revolvierend erstellt wird. Anhand der konsolidierten Ergebnisse wird der Bedarf an Finanzierungen und Kreditlinien bei Banken durch das zentrale Konzern-Treasury ermittelt. Der geplante Liquiditätsbedarf der nächsten zwölf Monate setzt sich zusammen aus den planmäßigen Mittelabflüssen für Tilgung von Anleihen, Krediten und sonstigen Finanzierungsverbindlichkeiten, der Dividende, Investitionen sowie dem identifizierten Working Capital-Bedarf. Bei der Berücksichtigung der unkommittierten Working Capital Finanzierungsprogramme wird zwischen aktivseitig strukturierten Programmen (z. B. Factoring) und passivseitigen Programmen (z. B. Supplier Finance) differenziert. Während Letztere in Anbetracht ihrer Abhängigkeit von der Konzernbonität nahezu vollständig mit Liquiditätsreserven hinterlegt werden müssen, ist das Deckungserfordernis bei Factoring-Programmen geringer zu bemessen. Dies ergibt sich aus der breiten Risikostreuung über zahlreiche Debitoren, der besicherungsähnlichen Struktur sowie der Möglichkeit, die Programme auch unter Stressbedingungen fortzuführen. Die den Liquiditätsbedarfen gegenüberzustellende Liquiditätsreserve setzt sich aus kurzfristig verfügbaren Treasury-Cash-Beständen, ungenutzten kommittierten Kreditlinien mit Laufzeiten von mehr als einem Jahr, geplanten positiven Free Cash Flows, vertraglich fixierten Asset-Veräußerungen sowie gegebenenfalls hochliquiden Wertpapierpositionen zusammen. Die Liquiditätsreserven müssen die identifizierten Liquiditätsbedarfe der kommenden 12 Monate überdecken. Darüber hinaus wird in der Bankenpolitik auf eine breite Streuung der Finanzpartner:innen Wert gelegt, um Klumpenrisiken zu vermeiden. Es wird weiterhin hoher Wert auf die Steigerung der internen Finanzierungskraft gelegt.

Das Bonitätsrisiko bezeichnet Vermögensverluste, die aus der Nichterfüllung von Vertragsverpflichtungen einzelner Geschäftspartner:innen entstehen können. Das Bonitätsrisiko der Grundgeschäfte ist durch einen hohen Anteil an Kreditversicherungen und bankmäßigen Sicherheiten (Garantien, Akkreditive) weitestgehend abgesichert. Das Ausfallrisiko für das verbleibende Eigenrisiko wird durch definierte Prozesse der Bonitätsbeurteilung, Risikobewertung, Risikoklassifizierung und Bonitätsüberwachung gemanagt. Durch den aktuellen Ukraine-Krieg kam es in der Vergangenheit in den einzelnen Kundensegmenten zu keinen nennenswerten Kürzungen von Limits durch die Kreditversicherungen und zu keiner Häufung an Forderungsausfällen. Das Bonitätsrisiko der Geschäftspartner:innen von finanziellen Kontrakten wird durch ein tägliches Monitoring des Ratings und der Veränderung der CDS-Levels (Credit Default Swap) der Kontrahent:innen gesteuert. Darauf aufbauend werden Veranlagungslimite gewichtet nach der Ausfallwahrscheinlichkeit allokiert.

Vorrangiges Ziel des Fremdwährungsrisikomanagements ist es, durch Bündelung der Cashflows einen Natural Hedge (Cross Currency Netting) im Konzern zu erzielen. Eine Absicherung erfolgt dabei zentral durch den Abschluss von derivativen Sicherungsinstrumenten durch das Konzern-Treasury. Die voestalpine AG sichert die budgetierten Fremdwährungszahlungsströme (netto) mit einem Horizont von bis zu zwölf Monaten ab. Längerfristige Absicherungen werden nur bei kontrahierten Projektgeschäften durchgeführt. Die Sicherungsquote liegt zwischen 25 % und 100 % der budgetierten Zahlungsströme innerhalb der nächsten zwölf Monate, wobei die Höhe der Sicherungsquote vom Geschäftsmodell der jeweiligen betroffenen Konzerngesellschaft abhängt. Darüber hinaus nimmt die Sicherungsquote mit der Laufzeit generell ab.

Die Zinsrisikobeurteilung erfolgt für den gesamten Konzern zentral in der voestalpine AG. Hier wird insbesondere das Cashflow-Risiko (Risiko, dass sich der Zinsaufwand bzw. Zinsertrag zum Nachteil verändert) gemanagt. Mit Stichtag 31. März 2025 würde die Erhöhung des Zinsniveaus um einen Prozentpunkt zu einer Erhöhung des Nettozinsaufwands aus Bankdarlehen und Kapitalmarktverbindlichkeiten im nächsten Geschäftsjahr in Höhe von 0,4 Mio. EUR führen. Dies ist jedoch eine Stichtagsbetrachtung, die im Zeitverlauf zu Schwankungen führen kann.

Eine Preisrisikobeurteilung findet ebenfalls in der voestalpine AG statt, zur Quantifizierung des Zins- und Währungsrisikos werden insbesondere Szenario-Analysen eingesetzt.

Zur bestmöglichen Vermeidung von betrügerischen Handlungen ist im voestalpine-Konzern ein umfassendes internes Kontrollsystem (IKS) eingerichtet, das darauf abzielt, die mit Geschäftsprozessen in Zusammenhang stehenden Risiken auf ein Minimum zu reduzieren, etwaige Fehler zu vermeiden und den Konzern in der Zielerreichung bestmöglich zu unterstützen. Mit dem IKS sollen Vermögens- und Imageverluste, verursacht durch vermögensschädigende Handlungen (wie z. B. unrechtmäßige Bereicherung in Form von Diebstahl, Betrug, Untreue, Urkundenfälschung und Unterschlagung, Vorteilnahme, Begünstigung usw. zur Erlangung persönlicher oder sonstiger Vorteile), bestmöglich vermieden werden. Das interne Kontrollsystem beinhaltet vom Vorstand der voestalpine AG verabschiedete konzernweit verbindliche und von allen Konzerngesellschaften anzuwendende Richtlinien und Vorgaben sowie Schlüsselkontrollen. Weiters und der dezentralen Struktur des voestalpine-Konzerns folgend sind die lokalen Geschäftsführungen einer jeden Konzerngesellschaft zur Ausgestaltung eines ergänzenden und den Anforderungen des jeweiligen Unternehmens entsprechenden IKS, unter Einhaltung von Konzernvorgaben und etwaigen zwingend anzuwendenden externen Vorgaben, verpflichtet. Der IKS-Aufbau im voestalpine-Konzern erstreckt sich über alle Organisationseinheiten, über alle Hierarchiestufen und über alle Unternehmensbereiche und ist in alle Geschäftsabläufe integriert. Im voestalpine-Konzern ist das IKS von allen Mitarbeitenden und von allen Führungskräften gleichermaßen anzuwenden und einzuhalten. Umsetzung und Einhaltung werden wiederum von zentralen Funktionen (wie z. B. Konzernrevision) geprüft. Das interne Kontrollsystem im voestalpine-Konzern orientiert sich, so wie auch das Risikomanagement, an den international anerkannten Regelwerken von COSO (Committee of Sponsoring Organizations of the Treadway Commission).

Basierend auf Erkenntnissen aus Wirtschafts- und Finanzkrisen der Vergangenheit bzw. deren Auswirkungen auf den voestalpine-Konzern und insbesondere aus Krisen der jüngsten Vergangenheit (wie z. B. Ukraine-Krieg, Zins- und Inflationsentwicklungen, COVID-19-Pandemie) wurden in den vergangenen Jahren zusätzliche – vor allem unternehmerische – Maßnahmen zur Risikominimierung gesetzt, die auch im vergangenen Geschäftsjahr sowie den nächsten Jahren konsequent weiterverfolgt wurden und werden. Diese zielen insbesondere darauf ab,

Für die in der Vergangenheit im voestalpine-Konzern festgestellten Risiken wurden konkrete Absicherungsmaßnahmen erarbeitet und umgesetzt bzw. befinden sich diese in Umsetzung. Diese Maßnahmen zielen auf eine Senkung der potenziellen Schadenshöhe und/oder auf eine Verringerung der Eintrittswahrscheinlichkeit ab. Es ist festzuhalten, dass die Risiken des voestalpine-Konzerns – abgesehen von globalen Krisen und deren Auswirkungen – aus heutiger Sicht begrenzt und überschaubar sind und den Fortbestand des Unternehmens nicht gefährden. Risiken einer zukünftigen Bestandsgefährdung sind nicht erkennbar.

Gemäß § 243a Abs. 2 UGB sind im Lagebericht von österreichischen Gesellschaften, deren Aktien zum Handel auf einem geregelten Markt zugelassen sind, die wichtigsten Merkmale des internen Kontroll- und Risikomanagementsystems im Hinblick auf den Rechnungslegungsprozess zu beschreiben.

Die Einrichtung eines angemessenen internen Kontroll- und Risikomanagementsystems im Hinblick auf den Rechnungslegungsprozess liegt gemäß § 82 AktG in der Verantwortung des Vorstandes. Der Vorstand der voestalpine AG hat dazu konzernweit verbindlich anzuwendende Richtlinien verabschiedet. Der dezentralen Struktur des voestalpine-Konzerns folgend, ist die lokale Geschäftsführung jeder Konzerngesellschaft zur Einrichtung und Ausgestaltung eines den Anforderungen des jeweiligen Unternehmens entsprechenden internen Kontroll- und Risikomanagementsystems im Hinblick auf den Rechnungslegungsprozess sowie zur Einhaltung der in diesem Zusammenhang bestehenden konzernweiten Richtlinien und Vorschriften verpflichtet.

Der gesamte Prozess, von der Beschaffung bis zur Zahlung, unterliegt strengen konzerneinheitlichen Richtlinien, welche die mit den Geschäftsprozessen in Zusammenhang stehenden Risiken auf ein Minimum reduzieren sollen. In diesen Konzernrichtlinien sind Maßnahmen und Regeln zur Risikovermeidung festgehalten, wie etwa strikte Funktionstrennungen, Unterschriftenordnungen sowie insbesondere auch ausschließlich kollektive und auf wenige Personen eingeschränkte Zeichnungsberechtigungen für Zahlungen (Vieraugenprinzip). Kontrollmaßnahmen in Bezug auf die IT-Sicherheit stellen in diesem Zusammenhang einen Eckpfeiler des Internen Kontrollsystems dar. So wird die Trennung bzw. Segmentierung von sensiblen Tätigkeiten durch eine generell restriktive Vergabe von IT-Berechtigungen unterstützt. Für die Rechnungslegung in den einzelnen Konzernunternehmen wird im Wesentlichen die Software SAP verwendet. Die Ordnungsmäßigkeit dieser SAP-Systeme wird unter anderem auch durch direkt im System eingerichtete automatisierte Geschäftsprozesskontrollen gewährleistet. Berichte über kritische Berechtigungen und Berechtigungskonflikte werden in automatisierter Form generiert.

Im Rahmen der Erstellung des Konzernabschlusses werden bei vollkonsolidierten Gesellschaften deren Werte in das konzerneinheitliche Konsolidierungs- und Berichtssystem übernommen. Konzernweit einheitliche Bilanzierungs- und Bewertungsgrundsätze zur Erfassung, Buchung und Bilanzierung von Geschäftsfällen sind im voestalpine-Konzernbilanzierungshandbuch geregelt und verbindlich für alle Konzerngesellschaften. Zur weitestmöglichen Vermeidung von Fehldarstellungen sind einerseits automatische Kontrollen im Berichts- und Konsolidierungssystem, andererseits aber auch zahlreiche manuelle Prüfungen implementiert. Die Kontrollmaßnahmen reichen von der Durchsicht und Diskussion der Periodenergebnisse durch das Management bis hin zur spezifischen Überleitung von Konten. Die zusammenfassende Darstellung der Organisation des Berichtswesens im Hinblick auf den Rechnungslegungsprozess erfolgt im Controlling-Handbuch der voestalpine AG. Aus den Rechnungswesen- bzw. Controlling-Abteilungen der einzelnen Gesellschaften ergehen Monatsberichte mit Key Performance Indicators (KPIs) an ihre jeweiligen Geschäftsführer:innen und die Divisionsvorstände sowie nach Genehmigung an den Holdingbereich Corporate Accounting & Reporting zur Verdichtung, Konsolidierung und Berichtslegung an den Konzernvorstand. Im Rahmen der Quartalsberichterstattung wird eine Reihe von Zusatzinformationen wie detaillierte Soll-Ist-Vergleiche in ähnlichem Ablauf erstellt. Quartalsweise erfolgen ein Bericht an den jeweiligen Aufsichtsrat, das entsprechende Board oder den Beirat der Gesellschaften sowie ein konsolidierter Bericht an den Aufsichtsrat der voestalpine AG.

Neben den operativen Risiken unterliegt auch die Rechnungslegung dem konzernalen Risikomanagement. In diesem Zusammenhang werden regelmäßig mögliche Risiken in Bezug auf die Rechnungslegung erhoben und Maßnahmen zu deren Vermeidung getroffen. Der Fokus wird dabei auf jene Risiken gelegt, die unternehmenstypisch als wesentlich zu erachten sind. Die Überwachung der Einhaltung des Internen Kontrollsystems einschließlich der erforderlichen Qualitätsstandards erfolgt laufend im Rahmen von Revisionsprüfungen auf Ebene der Konzerngesellschaften. Die Interne Revision arbeitet dabei eng mit den verantwortlichen Vorständen und Geschäftsführer:innen zusammen. Sie ist direkt der:dem Vorstandsvorsitzenden unterstellt und berichtet periodisch an den Vorstand und in der Folge an den Prüfungsausschuss des Aufsichtsrates der voestalpine AG.