Flussdiagramm Risikobeurteilung: bewerten und behandeln

Was ist flussdiagramm risikobeurteilung: bewerten und behandeln?

Die Risikobeurteilung geht an einer vorhersehbaren Stelle schief. Nicht bei der Bewertung, um die sich alle sorgen, sondern davor: Kriterien und Risikoappetit wurden nie abgestimmt, also bewerten zwei Personen dieselbe Exposition unterschiedlich, und das Register wird zu einer Sammlung von Meinungen statt zu einer geordneten Rangliste. Erst die vorab festgelegten Skalen und die Schwelle machen alles Nachgelagerte vergleichbar.

Der zweite Fehler ist, die Identifikation als Formalie zu behandeln. Ein Risiko, das als „Lieferantenausfall“ notiert wird, lässt sich nicht beurteilen, weil es weder die Ursache noch die Folge benennt, und die anschließende Beurteilung ist in Wahrheit ein Streit darüber, was der Begriff bedeuten sollte. Ursache, Ereignis und Folge sind das Minimum, das eine Risikobeschreibung beurteilbar macht, und deshalb trennt dieser Prozess das Beschreiben eines Risikos vom Bewerten.

Das Diagramm unten führt vom Auslöser bis zum überwachten Registereintrag, über fünf Bahnen und fünf Phasen. Es behält die beiden Strukturen, die die meisten Risikoverfahren stillschweigend voraussetzen: das Bruttorisiko getrennt vom Restrisiko bewertet, sodass der Beitrag der bestehenden Maßnahmen sichtbar wird statt unterstellt, und die Akzeptanz als Entscheidung mit einer Genehmigungsebene gezeichnet statt als das, was passiert, wenn niemand handelt.

Was dieses Flussdiagramm abdeckt

In dieser Vorlage

• Fünf Swimlanes (Prozessverantwortlicher, Risikoeigner, Risikomanager, Fachexperten, Risikoausschuss) über fünf Phasen: Anwendungsbereich und Kontext, Identifikation, Analyse und Bewertung, Risikobehandlung sowie Überwachung und Überprüfung
• Anwendungsbereich und Kriterien werden festgelegt, bevor irgendein Risiko bewertet wird: was im Umfang liegt, die Skalen für Eintrittswahrscheinlichkeit und Auswirkung sowie die Schwelle des Risikoappetits, oberhalb derer ein Risiko nicht einfach getragen werden darf
• Identifikation gemeinsam mit den Menschen, die die Arbeit tun, ein Eintrag im Risikoregister, eine Dublettenprüfung, die zusammenführt statt doppelt zu zählen, und die Beschreibung aus Ursache, Ereignis und Folge, bevor die Bewertung beginnt
• Bewertung des Bruttorisikos, danach eine ausdrückliche Beurteilung von Ausgestaltung und Wirksamkeit der bestehenden Maßnahmen und schließlich die Entscheidung „Restrisiko innerhalb des Risikoappetits?“, so werden die Maßnahmen nur für das gutgeschrieben, was sie tatsächlich leisten
• Die vierfache Entscheidung zur Risikobehandlung (vermindern, übertragen, vermeiden oder akzeptieren), bei der die Akzeptanz über eine Genehmigung auf der richtigen Ebene läuft statt als Standardergebnis übrig zu bleiben
• Die Abschlussschleife: eine erneute Bewertung nach der Behandlung, die zur Behandlungsentscheidung zurückführt, solange das Restrisiko zu hoch bleibt, danach ein benannter Risikoeigner und ein Überprüfungstermin, bevor der Eintrag in die Überwachung geht

Wann Sie diese Vorlage verwenden sollten

• Sie schreiben oder überarbeiten ein Risikomanagementverfahren und brauchen ein Bild davon, wer identifiziert, wer bewertet, wer behandelt und wer akzeptiert
• Risikobewertungen fallen unterschiedlich aus, je nachdem wer den Workshop geführt hat, und Sie wollen Kriterien und Appetitschwelle jedes Mal gleich angewendet sehen
• Ein Auditor oder eine Zertifizierungsstelle hat gefragt, wie Risiken identifiziert, beurteilt und behandelt werden, und Sie brauchen einen dokumentierten Prozess statt einer Tabelle mit Punktwerten
• In Ihrem Risikoregister stehen Einträge ohne Verantwortlichen und ohne Überprüfungstermin, und der Prozess soll genau in beidem enden
• Sie führen risikobasiertes Denken für ISO 9001, ISO 27001 oder ISO 31000 ein und wollen den Beurteilungszyklus abgestimmt haben, bevor das Register gefüllt wird

So funktioniert es

1. Benennen Sie die Bahnen nach Ihrer Governance

   Ersetzen Sie Prozessverantwortlicher, Risikoeigner, Risikomanager, Fachexperten und Risikoausschuss durch die Rollen, die Sie haben. In kleineren Organisationen sind Risikomanager und Ausschuss dasselbe Gremium, und sie zusammenzuführen ist ehrlicher, als eine Bahn stehen zu lassen, die einmal im Jahr tagt. Halten Sie den Risikoeigner vom Risikomanager getrennt: Der eine trägt das Risiko, der andere führt den Prozess.

2. Schreiben Sie Skalen und Appetit auf den Kriterienschritt

   Tragen Sie die Definitionen für Eintrittswahrscheinlichkeit und Auswirkung ein, die Sie wirklich verwenden, einschließlich dessen, was jede Stufe in Geld, Zeit oder Schaden bedeutet, und nennen Sie die Schwelle, oberhalb derer ein Risiko behandelt und nicht akzeptiert werden muss. Kriterien, die in einer separaten Richtlinie leben, werden aus dem Gedächtnis genähert. Genau so kommen zwei Beurteilende aus denselben Fakten zu verschiedenen Bewertungen.

3. Legen Sie Identifikationsmethode und Teilnehmerkreis fest

   Entscheiden Sie, wie Risiken zutage treten (Workshop, Interviews, Checkliste, Vorfall- und Audithistorie) und wer im Raum sein muss. Eine Identifikation, die eine Person am Schreibtisch erledigt, übersieht die Risiken, die nur die Menschen in der Ausführung sehen, und keine noch so sorgfältige Bewertung gleicht später ein Risiko aus, das niemand aufgeschrieben hat.

4. Bewerten Sie brutto, bevor Sie Maßnahmen gutschreiben

   Behalten Sie Brutto- und Restrisiko als getrennte Schritte, wie im Diagramm. Nur die Restposition zu bewerten verdeckt, wie viel Ihres Sicherheitsabstands an einer einzelnen Maßnahme hängt, und macht das Register in dem Moment nutzlos, in dem diese Maßnahme sich ändert. Bewerten Sie Ausgestaltung und Wirksamkeit getrennt: Eine gut gestaltete Maßnahme, die niemand durchführt, ist nichts wert.

5. Benennen Sie die Genehmigungsebene für die Akzeptanz

   Akzeptanz ist eine legitime Behandlung und zugleich die am meisten missbrauchte, weil sie auch das ist, was passiert, wenn niemand handelt. Schreiben Sie auf, wer ein Risiko in welchem Bewertungsband akzeptieren darf, und verlangen Sie, dass die Akzeptanz auf einen Namen dokumentiert wird. Genau diese eine Regel verhindert, dass sich das Register mit stillschweigend akzeptierten Risiken füllt.

6. Setzen Sie Überprüfungsauslöser und versionieren Sie die Karte

   Wählen Sie einen Überprüfungsrhythmus je Bewertungsband und ergänzen Sie Ereignisauslöser: ein Vorfall, ein Lieferantenwechsel, ein neues System, eine Auditfeststellung. Halten Sie den Termin am Registereintrag fest und nicht in irgendeinem Kalender. Halten Sie das Prozessdiagramm selbst unter Versionskontrolle und dokumentieren Sie seine Freigabe, damit Beurteilende und Prüfende nach derselben vereinbarten Methode arbeiten.

Häufig gestellte Fragen

Welche Schritte umfasst eine Risikobeurteilung?

Anwendungsbereich und Kriterien festlegen, Risiken identifizieren, jedes als Ursache, Ereignis und Folge beschreiben, Eintrittswahrscheinlichkeit und Auswirkung analysieren, die Restposition gegen den Risikoappetit bewerten, eine Behandlung wählen und einen Verantwortlichen sowie einen Überprüfungstermin setzen. ISO 31000 fasst die mittleren drei als Risikobeurteilung zusammen (Identifikation, Analyse, Bewertung), gefolgt von der Behandlung. Die Reihenfolge macht die Ergebnisse vergleichbar: Kriterien vor der Bewertung, Beschreibung vor der Analyse und Bewertung, bevor irgendjemand Maßnahmen vorschlägt.

Was ist der Unterschied zwischen Brutto- und Restrisiko?

Das Bruttorisiko ist die Exposition, bevor bestehende Maßnahmen gutgeschrieben werden; das Restrisiko ist das, was danach bleibt. Beides zu bewerten macht die Maßnahmen sichtbar: ein Risiko mit hohem Brutto- und niedrigem Restwert wird von etwas niedergehalten, und wenn dieses Etwas eine einzelne manuelle Prüfung durch eine einzelne Person ist, sollten Sie das wissen. Register, die nur Restwerte führen, sehen beruhigend aus und können Ihnen nicht sagen, welche Maßnahmen tragend sind.

Welche vier Optionen der Risikobehandlung gibt es?

Vermindern (Maßnahmen ergänzen oder verstärken), übertragen (Versicherung, vertragliche Regelungen, Auslagerung), vermeiden (die Tätigkeit einstellen oder ändern) und akzeptieren (das Risiko bewusst tragen). Akzeptieren ist eine echte Option und braucht einen Genehmigenden: Der Unterschied zwischen ein Risiko akzeptieren und ein Risiko ignorieren ist eine namentlich benannte Person mit der Befugnis, es zu tragen, und eine Aufzeichnung darüber. Das Übertragen wird am häufigsten überschätzt: eine Versicherung verschiebt die finanzielle Folge, selten die operative oder die für die Reputation.

Wie oft sollte eine Risikobeurteilung überprüft werden?

In einem Rhythmus, den die Bewertung vorgibt, plus Ereignisauslöser. Jährlich ist eine gängige Grundlinie für niedriger bewertete Risiken, quartalsweise oder häufiger für solche nahe der Appetitschwelle. Die Auslöser zählen mehr als der Kalender: Ein neuer Lieferant, eine Systemänderung, ein Vorfall, eine regulatorische Änderung oder eine Auditfeststellung sollten die betroffenen Einträge jeweils vorziehen. Ein Register, das nur nach Plan überprüft wird, ist am Tag seiner Erstellung zutreffend und driftet den Rest des Jahres unbemerkt ab.