Risiken bewerten: Kriterien und Risikomatrix

Ohne definierte Kriterien wird Risikobewertung zur Meinungsfrage: Was dem einen „hoch“ erscheint, ist für die andere „mittel“. Eine belastbare Bewertung braucht deshalb drei Dinge, bevor das erste Risiko bewertet wird: definierte Stufen für die Schadenshöhe, definierte Stufen für die Eintrittswahrscheinlichkeit und eine Matrix, die beides in ein Risikoniveau mit festen Konsequenzen übersetzt.

Schadenshöhe: Von geringfügigen Auswirkungen auf den Betrieb über merkliche und erhebliche Schäden bis zur existenzbedrohenden Dimension mit schwerwiegenden rechtlichen, finanziellen oder reputationsbezogenen Folgen. Entscheidend ist, dass jede Stufe inhaltlich beschrieben ist – nicht nur nummeriert.

Aus beiden Dimensionen ergibt sich das Risikoniveau – von NIEDRIG bis SEHR HOCH. Der eigentliche Wert der Matrix liegt in den Regeln, die daran hängen: Sehr hohe und hohe Risiken werden prioritär behandelt und erfordern die Genehmigung der Geschäftsführung. Mittlere Risiken kommen in den Risikobehandlungsplan. Niedrige Risiken können nach informierter Entscheidung akzeptiert werden – bleiben aber unter Beobachtung. So wird aus einer Farbtabelle ein Entscheidungsinstrument.

Wie viel Risiko eine Organisation zu tragen bereit ist, entscheidet nicht die Fachabteilung: Risikoappetit, Toleranzen und die Schwellenwerte für Genehmigungspflichten werden auf ERM-Ebene vorgegeben und im IS-Risikomanagement angewendet. Das schafft Konsistenz über alle Risikoarten – und schützt davor, dass sich Bewertungsmaßstäbe je nach Projektlage verschieben.