RisikomanagementRisikomatrix erstellen zur Gefährdungsbeurteilung

Wozu erstellt man eine Risikomatrix?

Die Risikomatrix wird auch bezeichnet als:

• Risiko-Diagramm
• Risiko-Portfolio

Mit der Risikomatrix stellen Sie dar, wie wahrscheinlich es zum aktuellen Zeitpunkt ist, dass ein Risiko eintritt und wie hoch der Schaden wäre. Hierbei handelt es sich um die Ist-Werte, wenn Sie Ihre möglichen Risiken aus der jetzigen Sicht bewerten und in der Risikomatrix abbilden.

Sie können in der Matrix ebenfalls darstellen, in welchem Umfang sowohl Eintrittswahrscheinlichkeit als auch Schadenshöhe reduziert werden sollen. Das sind die Soll-Werte. Damit erkennen Sie, welche Risiken Sie besonders beachten und wo Sie mit Maßnahmen ansetzen sollten, um das entsprechende Risiko zu verringern.

Die Risikomatrix wird demnach erstellt, um Risiken zu identifizieren, einzuschätzen, zu bewerten und zu priorisieren. Durch diese Darstellung können Unternehmen besser einschätzen, welche Maßnahmen zur Risikominderung wichtiger sind als andere.

Häufig werden die Risiken mit Excel als Matrix dargestellt, sodass die Risiken anhand ihrer Lage in einem Diagramm in Bezug gesetzt werden können. Die Eintrittswahrscheinlichkeit lesen Sie auf der y-Achse ab, die Schwere der möglichen Folgen auf der x-Achse.

Welche Faktoren werden in der Risikomatrix berücksichtigt?

In einer Risikomatrix werden zwei Aspekte betrachtet und miteinander verknüpft:

1. Wahrscheinlichkeit des Eintretens: Wie wahrscheinlich ist es, dass ein bestimmtes Ereignis mit negativen Folgen eintritt?
2. Schwere der Auswirkungen: Wie schwerwiegend wären die negativen Folgen auf das Projekt oder für Ihr Unternehmen?

Zusätzlich werden zum Beispiel folgende Faktoren berücksichtigt:

• Vorhersehbarkeit des Ereignisses
• Dauer bis zum Eintritt des Ereignisses und seiner Folgen
• mögliche Maßnahmen, um Eintrittswahrscheinlichkeit oder Schwere der Auswirkungen zu verringern
• Kosten oder Aufwand, um diese Maßnahmen umzusetzen und das Risiko zu reduzieren

Welche Tools eignen sich zu Erstellung einer Risikomatrix?

• Microsoft Excel:
  Ist eines der am häufigsten verwendeten Tools zur Erstellung von Risikomatrizen aufgrund seiner Flexibilität, Einsteigerfreundlichkeit und Verbreitung.
• Microsoft Project:
  Bietet integrierte Funktionen für das Risikomanagement, die die Erstellung und Verwaltung von Risikomatrizen unterstützen.
• Risikomanagement-Software:
  Softwareprogramme verschiedener Hersteller, die speziell für umfangreicheres Risikomanagement in Unternehmen entwickelt wurden.

1. Risiken benennen

Tragen Sie ab Zeile 13, Spalte B ein:

• Welche Risiken gibt es aktuell in Ihrem Unternehmen oder für Ihr Projekt?
• Welche Ereignisse zeigen dieses Risiko an?

Benennen Sie das entsprechende Ereignis oder Risiko so, dass Sie und Ihr Team wissen, was damit gemeint ist. Sie können diese in einem ergänzenden Text beschreiben und erläutern.

2. Eintrittswahrscheinlichkeit und Schadenshöhe einschätzen

Bewerten Sie dann die einzelnen Ereignisse und Risiken in den Spalten C und D:

• Wie schwer wäre der Schaden, wenn das Risiko eintritt?
• Wie hoch ist die Wahrscheinlichkeit, dass das Risiko eintritt?

Die Bewertung erfolgt auf der Grundlage des aktuellen Zustands, vorliegender Informationen (zum Beispiel aus Risikostudien) oder der Einschätzung durch Expertinnen und Experten.

Ihre Bewertung erfolgt auf einer Skala von 0 bis 100. Dabei bedeutet:

• 0 = das Ereignis tritt sehr wahrscheinlich gar nicht ein / es entsteht praktisch kein Schaden
• 100 = das Ereignis tritt in jedem Fall ein / der Schaden gefährdet das Unternehmen oder das Projekt in erheblichem Maße

3. Ziele oder Soll-Werte für die Risiken festlegen

Legen Sie für die Risiken fest, welche Eintrittswahrscheinlichkeit oder Schadenshöhe für Ihr Unternehmen akzeptabel oder zu bewältigen wäre. Diese Bewertung und Vorgabe ist deshalb wichtig, um daraus Maßnahmen zur Risikoverringerung und den akzeptablen Aufwand für diese Maßnahmen sichtbar zu machen.

Bestimmen Sie dazu in den Spalten E und F:

• Wie stark soll die Eintrittswahrscheinlichkeit gesenkt werden?
• Welche Schadenshhöhe wäre akzeptabel – auch mit Blick auf die Kosten zur Risikoverringerung?

Legen Sie diese Soll-Werte ebenfalls auf der Skala von 0 bis 100 fest.

In der folgenden Abbildung haben wir die Excel-Vorlage zur Risikomatrix zum besseren Verständnis beispielhaft mit Daten befüllt:

4. Darstellung in der Risikomatrix anpassen

Im nächsten Schritt legen Sie in den Zellen I5, J5, I6 und J6 fest, wie die Felder der Risikomatrix eingefärbt werden sollen. Sie wählen zwischen:

• rot
• gelb
• grün
• weiß

An den Farben können Sie später direkt ablesen, ob sich ein Wert im (kritischen) roten Bereich, im (tolerierbaren) gelben Bereich oder im (akzeptablen) grünen Bereich befindet.

Die Bewertung auf der Skala von 0 bis 100 kann auch geändert werden:

1. Tragen Sie in die Zelle Q5 ein, an welcher Stelle der y- und x-Achse die Quadranten getrennt werden sollen.
2. In Zelle P8 ist festgelegt, dass die Matrix mit dem Wert 0 beginnt (unten bzw. links).
3. In Zelle R8 wird der Wert berechnet, bei dem die Matrix endet (oben bzw. rechts); da die Quadranten der Matrix gleich groß sein sollen, ist dies der doppelte Wert aus Zelle Q5.

Sie müssen sich also nicht auf Werte zwischen 0 und 100 festlegen, sondern können auch eine andere Spanne wählen. Beachten Sie nur, dass dann die Werte in der Tabelle (in den Spalten C bis F) innerhalb des gewählten Bereichs liegen.

5. Risikomatrix interpretieren und nutzen

Im rechten Bereich des Tabellenblatts befindet sich die Risikomatrix. Hier werden alle Daten visualisiert, die Sie zuvor eingegeben haben. Die Schadenshöhe lesen Sie auf der x-Achse ab und die Eintrittswahrscheinlichkeit auf der y-Achse.

Jedem Risiko ist eine Nummer zugeordnet, die der Zuordnung von Ist-Werten und Soll-Werten dient. Sie werden als eingekreiste Zahlen dargestellt. Diese eingekreisten Zahlen sind zusätzlich durch eine Gerade visuell miteinander verbunden, um die Zugehörigkeit zwischen IST und SOLL sofort visuell zu erfassen.

Klicken Sie auf ein Element (zum Beispiel Ist-Wert zum Risiko „Datenverlust durch Cyberangriff“) in der Risikomatrix, wird automatisch auch das zugehörige Element (zum Beispiel passender Soll-Wert) markiert.

Die Risikomatrix zeigt, für welche Risiken die Ist-Werte und Soll-Werte stark voneinander abweichen. Sie erkennen, wo dringender Handlungsbedarf besteht, um die Eintrittswahrscheinlichkeit für Risiken mit potenziell schweren Auswirkungen zu senken.

Aufgrund der Lage der Risiken in der Risikomatrix können Sie also beurteilen, wo Sie mit Maßnahmen zur Eingrenzung, Absicherung oder Verringerung der Risiken ansetzen und aktiv werden sollten.

Komplexe oder einfache Risikomatrix?

Die Größe der Matrix wirkt sich auf verschiedene Aspekte aus:

Eine 2x2 Risikomatrix ermöglicht eine grundlegende, grobe Bewertung von Risiken. Diese Art von Matrix ist einfach zu verstehen, sie bietet aber nur eine begrenzte Sicht auf das Risikospektrum und ist am besten geeignet für Umgebungen, in denen Risiken nicht sehr komplex sind oder wenn schnelle Entscheidungen erforderlich sind.

Eine Matrix mit mehr Feldern ermöglicht eine detailliertere Bewertung. Sie bietet drei bis fünf Stufen für die Wahrscheinlichkeit und drei bis fünf Stufen für die Auswirkungen, was eine feinere Abstufung der Risikobewertung ermöglicht. Eine Matrix mit mehr als 2x2 Feldern ist besser geeignet, um ein breiteres Spektrum von Risiken in komplexeren oder nuancierten Situationen zu bewerten.

Eine komplexere Matrix kann in Umgebungen mit höherer Risikovariabilität und -komplexität nützlicher sein, während eine einfachere Matrix in weniger komplexen Szenarien oder bei Bedarf schneller Entscheidungsfindung angemessen sein kann.

Wie integriert man eine Risikomatrix in das Risikomanagement eines Unternehmens?

Risikokategorien identifizieren

Entwickeln Sie die Risikomatrix so, dass sie an die strategischen Ziele des Unternehmens angepasst ist. Legen Sie dazu fest, welche Risikokategorien für Ihr Unternehmen relevant sind:

• Welche finanziellen Risiken bestehen?
  zum Beispiel: Liquiditätskrisen
• Welche operativen Risiken bestehen?
  zum Beispiel: Systemausfälle
• Welche strategischen Risiken bestehen?
  zum Beispiel: Marktveränderungen

Abstufungen festlegen

Legen Sie auch fest, wann ein Risiko als hoch, mittel oder niedrig gilt. Zum Beispiel:

• Hohes Risiko: direkte und schwere Bedrohung für die Zielerreichung
• Mittleres Risiko: moderater Einfluss, steuerbar mit vorhandenen Mitteln.
• Niedriges Risiko: geringfügige Auswirkungen

Risikomatrix in Systeme einbinden

Binden Sie die Risikomatrix in bestehende Management-Systeme ein, zum Beispiel in das ERP-System oder in spezialisierte Projektmanagement-Tools. Dies erleichtert die kontinuierliche Überwachung und das Reporting von Risiken.

Nutzen Sie zusätzlich automatisierte Datenfeeds, um die Risikomatrix aktuell zu halten. Dies könnte die Integration von Marktanalysedaten, internen Leistungsdaten und anderen relevanten Informationen umfassen, um Risiken jederzeit und in Bezug auf aktuelle Ereignisse zu bewerten.

Ergebnisse teilen

Stellen Sie auch sicher, dass die Ergebnisse und Updates der Risikomatrix regelmäßig mit Stakeholdern geteilt werden, einschließlich Vorstand und Management-Team. Dies fördert eine Kultur der Risikobewusstheit und stellt sicher, dass alle Ebenen des Unternehmens auf dem Laufenden sind.