So erstellen Sie einen Risikobeurteilungsprozess

So funktioniert es

1. Schreiben Sie Skalen und Risikoappetit auf

   Definieren Sie die Stufen für Eintrittswahrscheinlichkeit und Auswirkung in konkreten Größen — Geld, Ausfallzeit, Personenschaden, regulatorische Folgen — und benennen Sie die Schwelle, oberhalb derer ein Risiko behandelt statt akzeptiert werden muss. Kriterien, die nur in einer Richtlinie stehen, werden aus dem Gedächtnis geschätzt, und genau so kommen zwei Personen bei identischen Fakten zu unterschiedlichen Bewertungen.

2. Identifizieren Sie mit denen, die die Arbeit machen

   Führen Sie die Identifikation als Gruppenarbeit mit operativen Mitarbeitenden durch, ergänzt um Vorfall- und Audithistorie. Wer allein am Schreibtisch identifiziert, übersieht die Risiken, die nur Praktiker sehen — und keine noch so sorgfältige Bewertung gleicht ein Risiko aus, das nie aufgeschrieben wurde.

3. Erzwingen Sie das Format Ursache, Ereignis, Folge

   Formulieren Sie jeden Eintrag um zu „X kann Y auslösen, mit der Folge Z“. Die meisten Register schrumpfen dabei, weil sich mehrere Einträge als dasselbe Risiko aus verschiedenen Blickwinkeln erweisen — und die, die übrig bleiben, werden beurteilbar.

4. Bewerten Sie das Bruttorisiko, bevor Sie Maßnahmen anrechnen

   Halten Sie die beiden Bewertungen als getrennte Schritte. Beurteilen Sie danach Ausgestaltung und Wirksamkeit der Maßnahmen ebenfalls getrennt, denn eine gut gestaltete Maßnahme, die niemand durchführt, ist nichts wert — und ein Register, das etwas anderes unterstellt, ist auf eine Weise optimistisch, die man ihm nicht ansieht.

5. Legen Sie die Genehmigungsebene für die Akzeptanz fest

   Schreiben Sie auf, wer in welcher Bewertungsstufe ein Risiko akzeptieren darf, und verlangen Sie, dass die Akzeptanz namentlich dokumentiert wird. Diese eine Regel verhindert, dass sich ein Register mit Risiken füllt, die standardmäßig akzeptiert wurden, weil niemand Zeit zur Behandlung hatte.

6. Geben Sie jedem Eintrag einen Verantwortlichen und einen Überprüfungsanlass

   Ein namentlich benannter Risikoeigner — keine Abteilung — und ein Überprüfungstermin am Eintrag, dazu Ereignisauslöser: ein Vorfall, ein Lieferantenwechsel, ein neues System, eine Auditfeststellung. Ein Register, das nur jährlich überprüft wird, beschreibt das vergangene Jahr.

Häufig gestellte Fragen

Welche Schritte hat ein Risikobeurteilungsprozess?

Anwendungsbereich und Kriterien festlegen, Risiken identifizieren, jedes als Ursache, Ereignis und Folge beschreiben, Eintrittswahrscheinlichkeit und Auswirkung analysieren, das Restrisiko gegen den Risikoappetit bewerten, eine Behandlung wählen und einen Risikoeigner mit Überprüfungstermin benennen. Die ISO 31000 fasst Identifikation, Analyse und Bewertung als Risikobeurteilung zusammen, die Behandlung folgt danach. Die Reihenfolge macht die Ergebnisse vergleichbar: Kriterien vor der Bewertung, Beschreibung vor der Analyse, Bewertung bevor jemand Maßnahmen vorschlägt.

Was ist der Unterschied zwischen Brutto- und Restrisiko?

Das Bruttorisiko ist die Gefährdung, bevor bestehende Maßnahmen angerechnet werden; das Restrisiko ist das, was danach übrig bleibt. Beides zu bewerten macht die Maßnahmen sichtbar: Ein Risiko mit hohem Brutto- und niedrigem Restwert wird von etwas Konkretem in Schach gehalten — und wenn dieses Etwas eine manuelle Prüfung ist, die eine einzige Person durchführt, sollte man das wissen, bevor sie das Unternehmen verlässt. Register, die nur Restwerte führen, können nicht beantworten, welche Maßnahmen tragend sind.

Was sind die vier Optionen der Risikobehandlung?

Vermindern (Maßnahmen ergänzen oder stärken), übertragen (Versicherung, Vertragsgestaltung, Auslagerung), vermeiden (die Tätigkeit einstellen oder ändern) und akzeptieren (das Risiko bewusst tragen). Akzeptieren ist eine echte Option, die eine genehmigende Person braucht: Der Unterschied zwischen einem akzeptierten und einem ignorierten Risiko ist eine namentlich benannte Person mit Befugnis und ein Nachweis über ihre Entscheidung. Am stärksten überschätzt wird die Übertragung — eine Versicherung verschiebt die finanzielle Folge und selten die betriebliche oder die für die Reputation.

Wie oft sollten Risiken überprüft werden?

In einem Rhythmus, der sich aus der Bewertungsstufe ergibt, ergänzt um Ereignisauslöser. Jährlich ist für niedrig bewertete Risiken eine vernünftige Grundlinie, vierteljährlich für solche nahe der Appetitschwelle — wichtiger sind jedoch die Auslöser: ein neuer Lieferant, eine Systemänderung, ein Vorfall, eine Rechtsänderung oder eine Auditfeststellung sollten die betroffenen Einträge jeweils vorziehen. Wer ausschließlich nach Termin überprüft, hat ein Register, das am Tag seiner Entstehung stimmt und den Rest des Jahres abdriftet.