Darstellung anpassen
Alle Funktionen der Seite sind per Tastatur erreichbar. Mit der Tab-Taste wechseln Sie zwischen Bedienelementen; die aktuell fokussierte Eingabe wird zusätzlich hervorgehoben. Die gewählten Darstellungsoptionen werden nur lokal in diesem Browser gespeichert.
Risikobewertung
1. Was ist ein Risiko?
Ein Risiko ist ein zukünftiges, unsicheres Ereignis oder eine Entwicklung, die sich negativ auf Ziele, Prozesse, Vermögenswerte, Menschen, Compliance, Reputation oder die Geschäftstätigkeit auswirken kann.
- Wie wahrscheinlich ist es, dass etwas eintritt?
- Wie groß wären die Auswirkungen, wenn es eintritt?
Beispiele sind der Ausfall eines IT-Systems, der Verlust eines wichtigen Lieferanten, eine regulatorische Beanstandung, ein Datenschutzvorfall, ein Unfall, ein Projektverzug oder der Ausfall einer Schlüsselperson.
Wichtig ist die Abgrenzung: Ein bereits eingetretener Schaden ist kein Risiko mehr, sondern ein Ereignis oder Problem. Das daraus entstehende zukünftige Folgerisiko kann jedoch wiederum bewertet werden.
2. Warum werden Risiken bewertet?
Unternehmen können nicht jedes denkbare Risiko vollständig vermeiden. Risikobewertungen helfen, begrenzte Aufmerksamkeit, Zeit und Ressourcen dort einzusetzen, wo sie am meisten benötigt werden.
Eine Risikobewertung soll insbesondere helfen:
- Risiken frühzeitig sichtbar zu machen,
- unterschiedliche Risiken vergleichbar zu machen,
- Prioritäten zu setzen,
- geeignete Maßnahmen auszuwählen,
- Entscheidungen nachvollziehbar zu dokumentieren,
- Verantwortlichkeiten festzulegen und
- Veränderungen im Zeitverlauf zu erkennen.
3. Grundprinzipien einer guten Risikobewertung
3.1 Vorausschauend bewerten
Risiken werden ex ante bewertet – also aus Sicht des Bewertungszeitpunkts. Maßgeblich ist, was heute bekannt ist und welche Entwicklungen für die Zukunft plausibel sind.
3.2 Historie nutzen, aber nicht mit Zukunft verwechseln
Vergangene Erfahrungen sind wichtig, weil sie Daten und Hinweise liefern. Sie sind aber nicht automatisch ein Beweis dafür, dass die Zukunft genauso verlaufen wird.
Der Satz „Bisher ist nichts passiert, also ist das Risiko gering“ greift deshalb zu kurz. Entscheidend ist, ob die historischen Bedingungen mit der heutigen Situation vergleichbar sind und welche aktuellen Risikotreiber bestehen.
3.3 Wahrscheinlichkeit und Auswirkung getrennt betrachten
Ein seltenes Ereignis kann wegen sehr hoher Auswirkungen trotzdem ein relevantes Risiko sein. Umgekehrt kann ein häufiges Ereignis mit geringen Auswirkungen weniger kritisch sein.
3.4 Maßnahmen nur berücksichtigen, wenn sie tatsächlich wirken
Eine Richtlinie, Kontrolle oder Notfallmaßnahme darf nur risikomindernd angesetzt werden, wenn sie vorhanden, umgesetzt und plausibel wirksam ist.
3.5 Unsicherheit offen dokumentieren
Fehlende Informationen sollten nicht durch Scheingenauigkeit ersetzt werden. Wenn Daten fehlen oder Annahmen unsicher sind, gehört auch das in die Bewertung.
4. Risikobewertung Schritt für Schritt
| 1 | Risiko beschreiben Was kann künftig konkret passieren? Eine gute Risikobeschreibung benennt Ursache, Ereignis und mögliche Folge. |
| 2 | Bewertungszeitpunkt und Zeitraum festlegen Wann wird bewertet und für welchen Zukunftszeitraum? Zum Beispiel die nächsten 12 Monate oder die Dauer eines Projekts. |
| 3 | Risikotreiber ermitteln Welche Faktoren erhöhen oder senken das Risiko? Zum Beispiel Abhängigkeiten, Komplexität, Marktbedingungen, technische Schwachstellen oder regulatorische Entwicklungen. |
| 4 | Eintrittswahrscheinlichkeit einschätzen Wie wahrscheinlich ist der Eintritt aus heutiger Sicht? Historische Daten, Expertenwissen und aktuelle Entwicklungen können einfließen. |
| 5 | Schadensausmaß einschätzen Welche Auswirkungen wären realistisch? Finanzielle, operative, rechtliche, regulatorische, personelle und reputative Folgen berücksichtigen. |
| 6 | Bruttorisiko bestimmen Wie hoch ist das Risiko, wenn vorhandene Schutzmaßnahmen zunächst nicht berücksichtigt werden? |
| 7 | Bestehende Maßnahmen bewerten Welche Kontrollen verhindern den Eintritt oder reduzieren den Schaden? Wie wird ihre Wirksamkeit nachgewiesen? |
| 8 | Nettorisiko bestimmen Welches Risiko bleibt nach Berücksichtigung wirksamer Maßnahmen bestehen? |
| 9 | Weitere Maßnahmen ableiten Muss das Risiko reduziert, übertragen, vermieden oder bewusst akzeptiert werden? |
| 10 | Dokumentieren und später aktualisieren Annahmen, Daten, Bewertung und Maßnahmen festhalten. Bei wesentlichen Veränderungen wird neu bewertet. |
„Aufgrund von [Ursache / Risikotreiber] besteht das Risiko, dass [Ereignis] eintritt und dadurch [Auswirkung] entsteht.“
5. Einfache 5×5-Risikobewertung
Ein weit verbreitetes Modell kombiniert Eintrittswahrscheinlichkeit und Schadensausmaß. Beide Werte werden beispielsweise auf einer Skala von 1 bis 5 bewertet.
Eintrittswahrscheinlichkeit
| Wert | Einordnung |
|---|---|
| 1 | Sehr gering |
| 2 | Gering |
| 3 | Mittel |
| 4 | Hoch |
| 5 | Sehr hoch |
Schadensausmaß
| Wert | Einordnung |
|---|---|
| 1 | Unwesentlich |
| 2 | Gering |
| 3 | Erheblich |
| 4 | Schwerwiegend |
| 5 | Kritisch |
Beispielhafte Risikomatrix
| Wahrscheinlichkeit ↓ / Auswirkung → | 1 | 2 | 3 | 4 | 5 |
|---|---|---|---|---|---|
| 5 | 5 | 10 | 15 | 20 | 25 |
| 4 | 4 | 8 | 12 | 16 | 20 |
| 3 | 3 | 6 | 9 | 12 | 15 |
| 2 | 2 | 4 | 6 | 8 | 10 |
| 1 | 1 | 2 | 3 | 4 | 5 |
Beispielhafte Einordnung dieser Seite: 1–4 niedrig, 5–10 mittel, 11–16 hoch, 17–25 kritisch. Unternehmen können andere Schwellenwerte oder Bewertungsmethoden verwenden.
6. Typische Fehler bei Risikobewertungen
| Typischer Fehler | Warum problematisch? | Besser |
|---|---|---|
| „Bisher ist nichts passiert.“ | Vergangenheit wird automatisch auf die Zukunft übertragen. | Historie als einen Datenpunkt nutzen und aktuelle Risikotreiber separat bewerten. |
| Nur auf die Eintrittswahrscheinlichkeit schauen. | Seltene, aber sehr schwere Ereignisse werden unterschätzt. | Wahrscheinlichkeit und Auswirkung getrennt bewerten. |
| Maßnahmen pauschal als wirksam annehmen. | Das Nettorisiko wird künstlich zu niedrig dargestellt. | Wirksamkeit und tatsächliche Umsetzung prüfen. |
| Nach Eintritt sagen: „Es war offensichtlich.“ | Späteres Wissen wird rückwirkend in die frühere Situation hineingelesen. | Frühere Bewertung anhand des damaligen Informationsstands beurteilen. |
| Risiken zu allgemein formulieren. | Wahrscheinlichkeit, Auswirkung und Maßnahmen lassen sich kaum sinnvoll bewerten. | Konkrete Ursache, konkretes Ereignis und konkrete Folge benennen. |
| Scheingenauigkeit. | Unsichere Annahmen werden als exakte Tatsachen dargestellt. | Unsicherheiten transparent dokumentieren. |
7. Beispiele
Beispiel A: Kritischer IT-Dienstleister
Eintrittswahrscheinlichkeit: 3 – mittel
Schadensausmaß: 5 – kritisch
Bruttorisiko: 15 – hoch
Maßnahmen: Notfallplan, Backups, alternative Betriebswege, vertragliche Eskalationsmechanismen.
Nettorisiko: Nach nachgewiesen wirksamen Maßnahmen beispielsweise 10 – mittel.
Beispiel B: Projektverzug
Hier kann die historische Termintreue ähnlicher Projekte hilfreich sein. Sie ersetzt aber nicht die Bewertung der aktuellen Ressourcenlage, Abhängigkeiten und Projektkomplexität.
8. Eigene Risikobewertung durchführen
Der folgende Bewertungsbogen führt Schritt für Schritt durch die wichtigsten Punkte. Die Angaben bleiben lokal im Browser und werden nicht an einen Server übertragen. Die ausgefüllte Bewertung kann anschließend separat gedruckt oder über die Druckfunktion des Browsers als PDF gespeichert werden.
A. Risiko und Kontext
B. Bruttorisiko bewerten
C. Bestehende Maßnahmen bewerten
D. Nettorisiko bewerten
E. Entscheidung und weitere Maßnahmen
F. Qualitätscheck vor Abschluss
Diese Seite ist eine allgemeine methodische Arbeitshilfe. Interne Vorgaben, regulatorische Anforderungen oder spezielle Risikomodelle können zusätzliche Kriterien vorsehen.