Risikoakzeptanz: Entscheidungsbaum für Restrisiken und Ausnahmen

So funktioniert es

1. Benennen Sie die Bahnen nach Ihren Entscheidungsbefugnissen

   Ersetzen Sie Risikoeigentümer, Risikomanager, Recht und Compliance sowie Genehmigende Instanz durch die Rollen, die es bei Ihnen wirklich gibt. Halten Sie den Risikoeigentümer vom Risikomanager getrennt: Der eine trägt die Folgen, der andere verantwortet die Methode und sollte nicht die zeichnende Person sein. Sind Geschäftsleitung und Risikoausschuss bei Ihnen dasselbe Gremium, führen Sie beide zu einer genehmigenden Instanz zusammen, statt eine Übergabe zu zeichnen, die nie stattfindet.

2. Schreiben Sie Ihre Schwelle an die Prüfung der Risikobereitschaft

   „Restrisiko innerhalb der Risikobereitschaft?“ ist der Angelpunkt des gesamten Diagramms. Hinterlegen Sie deshalb die Schwelle aus Ihrer Risikorichtlinie daneben — das Punktband oder die schlichte Aussage, was die Organisation an Geld, Ausfallzeit, Schaden oder Reputationsverlust zu tragen bereit ist und was nicht. Eine Risikobereitschaft, die nur im Richtliniendokument lebt, wird aus dem Gedächtnis geschätzt — und so landet dieselbe Gefährdung auf dem einen Schreibtisch innerhalb und auf dem anderen außerhalb.

3. Ordnen Sie den Bewertungsstufen benannte Akzeptanzbefugnisse zu

   Ersetzen Sie Niedrig/mittel und Hoch/kritisch durch Ihre eigenen Punktbereiche und benennen Sie, wer auf welcher Stufe zeichnen darf. Zwei Regeln halten den Zweig ehrlich: Niemand akzeptiert ein Risiko in eigener Sache, wenn die Akzeptanz das eigene Projekt entsperrt, und der Manager-Zweig prüft die delegierte Befugnis ausdrücklich, statt sie aus der Hierarchiestufe abzuleiten. Alles oberhalb der Grenze des Managers läuft zum Ausschuss — dafür ist „Manager hat delegierte Befugnis?“ da.

4. Definieren Sie, was als kompensierende Maßnahme zählt

   Auf dem Zweig außerhalb der Risikobereitschaft ist die kompensierende Maßnahme das Einzige, was zwischen der Ausnahme und einer Ablehnung steht — schreiben Sie deshalb die Prüfung auf. Sie muss bereits wirksam betrieben werden statt geplant zu sein, sie muss nachgewiesen statt behauptet sein, und sie muss dieselbe Gefährdung mindern und nicht eine benachbarte. Überwachung zählt nur, wenn jemand verpflichtet ist, auf das zu reagieren, was sie meldet.

5. Begrenzen Sie die Akzeptanzdauer und legen Sie fest, was beim Ablauf geschieht

   Setzen Sie eine Höchstdauer, statt sie dem Antragsteller zu überlassen — üblich ist nicht länger als bis zur nächsten planmäßigen Überprüfung, bei hoch bewerteten Risiken kürzer — und ergänzen Sie ereignisbezogene Auslöser wie einen Vorfall, eine Systemänderung, einen neuen Vertrag oder eine Änderung an der Maßnahme selbst. Halten Sie fest, dass die Akzeptanz mit Ablauf erlischt und das Risiko erneut in diesen Baum eintritt — denn eine Akzeptanz, die still weiterläuft, ist eine unbefristete mit einem Datum davor.

6. Dokumentieren Sie die Entscheidung im Register und halten Sie eine gültige Fassung

   Das Ergebnis des Baums ist ein Nachweis: wer akzeptiert hat, auf welcher Stufe und mit welcher delegierten Befugnis, die Auflagen und die kompensierende Maßnahme, Ablauf- und Überprüfungstermin sowie der Behandlungsvergleich, der die Akzeptanz statt der Behandlung begründet. Gehen Sie das fertige Diagramm mit dem Risikomanagement, der Rechtsabteilung und den Zeichnenden durch, korrigieren Sie es auf das, was diese tatsächlich tun, veröffentlichen Sie diese Fassung und bewahren Sie die älteren auf, damit später erkennbar ist, welche Version jemand vor sich hat.

Häufig gestellte Fragen

Was bedeutet Risikoakzeptanz?

Risikoakzeptanz ist die Entscheidung, ein Restrisiko wissentlich zu tragen, statt es zu mindern, zu übertragen oder zu vermeiden. ISO 31000 führt das Beibehalten des Risikos aufgrund einer informierten Entscheidung unter den Behandlungsoptionen auf, und der entscheidende Ausdruck ist „informierte Entscheidung“: Der Unterschied zwischen einem akzeptierten und einem ignorierten Risiko besteht aus einer namentlich benannten Person mit der Befugnis, es zu tragen, einem Nachweis darüber, was zum Zeitpunkt der Entscheidung bekannt war, und daran geknüpften Auflagen. Akzeptanz ist legitim, wenn die Behandlung kalkuliert und als unverhältnismäßig zur Gefährdung beurteilt wurde. Sie ist nicht legitim als das, was passiert, wenn niemand die Maßnahme finanziert — und genau deshalb prüfen die ersten beiden Entscheidungen dieses Diagramms die Behandlungsanalyse, bevor Akzeptanz überhaupt erwogen wird.

Wer sollte befugt sein, ein Risiko zu akzeptieren?

Wer für die Folgen verantwortlich ist, auf einer Ebene passend zur Bewertungsstufe. Die meisten Organisationen regeln das in einer Delegationsmatrix: Bereichs- oder Abteilungsleitung für niedrige und mittlere Bewertungen, ein Mitglied der Geschäftsleitung oder der Risikoausschuss für hohe und kritische. Zwei Sicherungen zählen mehr als die genaue Grenzziehung. Das Diagramm prüft die delegierte Befugnis ausdrücklich — „Manager hat delegierte Befugnis?“ —, statt sie aus der Hierarchiestufe abzuleiten, und alles oberhalb der Grenze eskaliert, statt lokal gezeichnet zu werden. Und die genehmigende Instanz sollte nicht die Person sein, für die die Akzeptanz bequem ist: Entsperrt die Akzeptanz jemandes Projekt oder Budget, gehört die Entscheidung eine Ebene höher.

Darf man ein Risiko akzeptieren, das gegen Gesetz, Regulierung oder Vertrag verstößt?

Nein. Eine Organisation kann nicht beschließen, nicht konform zu sein. Ein bekannter Verstoß gegen eine gesetzliche, regulatorische oder vertragliche Pflicht wird abgestellt statt akzeptiert, und in diesem Diagramm erreicht dieser Zweig nie einen Genehmigenden, sondern endet bei „Akzeptanz ablehnen und abstellen“. Befristen lässt sich legitim nur die Zwischenlage, solange die Abstellung läuft: ein Plan mit Verantwortlichem und Termin, eine Eskalation an alle, die es wissen müssen, und rechtliche Beratung zu Offenlegungs- oder Meldepflichten, wo diese greifen. Das stattdessen als akzeptiertes Risiko zu erfassen, ist die Variante, auf die Auditoren und Aufsichtsbehörden schlecht reagieren — denn sie dokumentiert die Entscheidung, einen Verstoß zu tragen.

Sollte eine Risikoakzeptanz ein Ablaufdatum haben?

Ja. Eine Akzeptanz ist eine Beurteilung von Gefährdung, Maßnahmen und Behandlungskosten, wie sie an einem Tag standen — und alle drei driften. Geben Sie jeder Akzeptanz eine Laufzeit und einen Überprüfungstermin, begrenzen Sie die Laufzeit in der Richtlinie statt sie dem Antragsteller zu überlassen, und machen Sie sie bei höheren Bewertungen kürzer. Halten Sie ausdrücklich fest, was beim Ablauf geschieht: Die Akzeptanz erlischt und das Risiko kehrt für eine frische Antwort in diesen Entscheidungsbaum zurück, statt stillschweigend weiterzulaufen. Ergänzen Sie neben dem Datum ereignisbezogene Auslöser — ein Vorfall, eine System- oder Lieferantenänderung, ein neuer Vertrag oder eine geänderte beziehungsweise entfernte kompensierende Maßnahme —, denn diese zeigen früher als der Kalender, dass die Beurteilung veraltet ist.

Worin unterscheidet sich das von einem Flussdiagramm zum Risikobewertungsprozess?

Beide beantworten unterschiedliche Fragen. Ein Flussdiagramm zum Risikobewertungsprozess ist eine bereichsübergreifende Prozesslandkarte: Es zeigt, was als Nächstes passiert und wer es tut — von der Identifikation über Bewertung, Wirksamkeit der Maßnahmen und Behandlung bis zum Überprüfungszyklus. Diese Seite ist ein Entscheidungsbaum für einen einzigen Moment innerhalb dieses Prozesses: den Punkt, an dem die Behandlung kalkuliert ist und jemand zwischen Behandeln und Akzeptieren wählen muss. Es gibt hier keine Aufgaben zu übergeben, nur Prüfungen, die aus Nachweisen beantwortet werden, und der Baum endet an fünf verschiedenen Ergebnissen statt an einem geschlossenen Vorgang. Wenn Sie das Verfahren dokumentieren, nehmen Sie die Vorlage für den Risikobewertungsprozess. Wenn Sie klären, wer was unter welchen Auflagen und bis wann akzeptieren darf, nehmen Sie diese.