Flussdiagramm Risikobeurteilung: bewerten und behandeln

So funktioniert es

1. Benennen Sie die Bahnen nach Ihrer Governance

   Ersetzen Sie Prozessverantwortlicher, Risikoeigner, Risikomanager, Fachexperten und Risikoausschuss durch die Rollen, die Sie haben. In kleineren Organisationen sind Risikomanager und Ausschuss dasselbe Gremium, und sie zusammenzuführen ist ehrlicher, als eine Bahn stehen zu lassen, die einmal im Jahr tagt. Halten Sie den Risikoeigner vom Risikomanager getrennt: Der eine trägt das Risiko, der andere führt den Prozess.

2. Schreiben Sie Skalen und Appetit auf den Kriterienschritt

   Tragen Sie die Definitionen für Eintrittswahrscheinlichkeit und Auswirkung ein, die Sie wirklich verwenden, einschließlich dessen, was jede Stufe in Geld, Zeit oder Schaden bedeutet, und nennen Sie die Schwelle, oberhalb derer ein Risiko behandelt und nicht akzeptiert werden muss. Kriterien, die in einer separaten Richtlinie leben, werden aus dem Gedächtnis genähert — genau so kommen zwei Beurteilende aus denselben Fakten zu verschiedenen Bewertungen.

3. Legen Sie Identifikationsmethode und Teilnehmerkreis fest

   Entscheiden Sie, wie Risiken zutage treten — Workshop, Interviews, Checkliste, Vorfall- und Audithistorie — und wer im Raum sein muss. Eine Identifikation, die eine Person am Schreibtisch erledigt, übersieht die Risiken, die nur die Menschen in der Ausführung sehen, und keine noch so sorgfältige Bewertung gleicht später ein Risiko aus, das niemand aufgeschrieben hat.

4. Bewerten Sie brutto, bevor Sie Maßnahmen gutschreiben

   Behalten Sie Brutto- und Restrisiko als getrennte Schritte, wie im Diagramm. Nur die Restposition zu bewerten verdeckt, wie viel Ihres Sicherheitsabstands an einer einzelnen Maßnahme hängt, und macht das Register in dem Moment nutzlos, in dem diese Maßnahme sich ändert. Bewerten Sie Ausgestaltung und Wirksamkeit getrennt: Eine gut gestaltete Maßnahme, die niemand durchführt, ist nichts wert.

5. Benennen Sie die Genehmigungsebene für die Akzeptanz

   Akzeptanz ist eine legitime Behandlung und zugleich die am meisten missbrauchte, weil sie auch das ist, was passiert, wenn niemand handelt. Schreiben Sie auf, wer ein Risiko in welchem Bewertungsband akzeptieren darf, und verlangen Sie, dass die Akzeptanz auf einen Namen dokumentiert wird. Genau diese eine Regel verhindert, dass sich das Register mit stillschweigend akzeptierten Risiken füllt.

6. Setzen Sie Überprüfungsauslöser und versionieren Sie die Karte

   Wählen Sie einen Überprüfungsrhythmus je Bewertungsband und ergänzen Sie Ereignisauslöser — ein Vorfall, ein Lieferantenwechsel, ein neues System, eine Auditfeststellung. Halten Sie den Termin am Registereintrag fest und nicht in irgendeinem Kalender. Halten Sie das Prozessdiagramm selbst unter Versionskontrolle und dokumentieren Sie seine Freigabe, damit Beurteilende und Prüfende nach derselben vereinbarten Methode arbeiten.

Häufig gestellte Fragen

Welche Schritte umfasst eine Risikobeurteilung?

Anwendungsbereich und Kriterien festlegen, Risiken identifizieren, jedes als Ursache, Ereignis und Folge beschreiben, Eintrittswahrscheinlichkeit und Auswirkung analysieren, die Restposition gegen den Risikoappetit bewerten, eine Behandlung wählen und einen Verantwortlichen sowie einen Überprüfungstermin setzen. ISO 31000 fasst die mittleren drei als Risikobeurteilung zusammen — Identifikation, Analyse, Bewertung — gefolgt von der Behandlung. Die Reihenfolge macht die Ergebnisse vergleichbar: Kriterien vor der Bewertung, Beschreibung vor der Analyse und Bewertung, bevor irgendjemand Maßnahmen vorschlägt.

Was ist der Unterschied zwischen Brutto- und Restrisiko?

Das Bruttorisiko ist die Exposition, bevor bestehende Maßnahmen gutgeschrieben werden; das Restrisiko ist das, was danach bleibt. Beides zu bewerten macht die Maßnahmen sichtbar — ein Risiko mit hohem Brutto- und niedrigem Restwert wird von etwas niedergehalten, und wenn dieses Etwas eine einzelne manuelle Prüfung durch eine einzelne Person ist, sollten Sie das wissen. Register, die nur Restwerte führen, sehen beruhigend aus und können Ihnen nicht sagen, welche Maßnahmen tragend sind.

Welche vier Optionen der Risikobehandlung gibt es?

Vermindern (Maßnahmen ergänzen oder verstärken), übertragen (Versicherung, vertragliche Regelungen, Auslagerung), vermeiden (die Tätigkeit einstellen oder ändern) und akzeptieren (das Risiko bewusst tragen). Akzeptieren ist eine echte Option und braucht einen Genehmigenden: Der Unterschied zwischen ein Risiko akzeptieren und ein Risiko ignorieren ist eine namentlich benannte Person mit der Befugnis, es zu tragen, und eine Aufzeichnung darüber. Das Übertragen wird am häufigsten überschätzt — eine Versicherung verschiebt die finanzielle Folge, selten die operative oder die für die Reputation.

Wie oft sollte eine Risikobeurteilung überprüft werden?

In einem Rhythmus, den die Bewertung vorgibt, plus Ereignisauslöser. Jährlich ist eine gängige Grundlinie für niedriger bewertete Risiken, quartalsweise oder häufiger für solche nahe der Appetitschwelle. Die Auslöser zählen mehr als der Kalender: Ein neuer Lieferant, eine Systemänderung, ein Vorfall, eine regulatorische Änderung oder eine Auditfeststellung sollten die betroffenen Einträge jeweils vorziehen. Ein Register, das nur nach Plan überprüft wird, ist am Tag seiner Erstellung zutreffend und driftet den Rest des Jahres unbemerkt ab.