Wie eine Risikobewertung entsteht – und wie eine Matrix dabei hilft.

Eine Matrix macht Risiken vergleichbar. Sie macht sie nicht messbar. Dieser Unterschied entscheidet darüber, ob das Ergebnis trägt oder nur bunt ist.

Eine Risikobewertung folgt überall demselben Ablauf: Zusammenhang klären, Risiken sammeln, analysieren, bewerten, behandeln, überwachen. ISO 31000 beschreibt diesen Kreislauf als Leitfaden, ohne eine Methode vorzuschreiben.

Die Matrix kommt im Schritt der Analyse ins Spiel. Sie ordnet jedem Risiko zwei Werte zu – wie wahrscheinlich es eintritt und wie schwer es wirkt – und macht daraus eine Position in einem Raster. Ihr Nutzen liegt in der Vergleichbarkeit: Zwanzig Risiken lassen sich in einer Sitzung priorisieren, ohne dass jeder Beteiligte alle zwanzig im Kopf behalten muss.

Ihr Risiko liegt in der Scheingenauigkeit. Aus zwei geschätzten Zahlen wird ein Produkt, das aussieht wie eine Messung. Wer die Stufen nicht beschreibt, produziert eine Zahl ohne Bedeutung – und trifft danach Entscheidungen auf dieser Grundlage.

Der Ablauf in fünf Schritten

Zusammenhang klärenWas soll geschützt werden, und ab wann ist ein Risiko nicht mehr tragbar?Die Akzeptanzschwelle wird vor der Bewertung festgelegt, nicht danach. Sonst wird sie an das Ergebnis angepasst.
Risiken sammelnWas kann das Erreichen der Ziele gefährden?Aus mehreren Quellen: Vorfälle der Vergangenheit, Prozesse, Lieferanten, Abhängigkeiten, Regulierung. Nicht nur aus der Erinnerung der Leitungsrunde.
AnalysierenWie wahrscheinlich, wie schwer?Beide Achsen brauchen beschriebene Stufen. „3“ muss für alle dasselbe bedeuten, sonst ist die Bewertung nicht vergleichbar.
BewertenÜber oder unter der Schwelle?Erst hier fällt die Entscheidung, ob behandelt werden muss. Die Position im Raster ist die Grundlage, nicht das Ergebnis.
Behandeln und überwachenVermeiden, vermindern, übertragen oder bewusst tragen.Jede Massnahme bekommt eine verantwortliche Person und ein Datum. Das Restrisiko wird erneut bewertet.

So entsteht die Matrix

Beide Achsen brauchen beschriebene Stufen. Ohne Beschreibung ist eine Fünf keine Bewertung, sondern ein Gefühl.

Stufe	Eintrittswahrscheinlichkeit	Auswirkung, Beispiel Betriebsunterbruch
1 — sehr gering	In der Branche nicht bekannt, theoretisch denkbar	Kaum spürbar, Ausgleich im Tagesgeschäft
2 — gering	Seltener als alle fünf Jahre	Unter einem Tag, keine Kundenwirkung
3 — mittel	Etwa alle ein bis fünf Jahre	Bis eine Woche, Lieferverzug gegenüber Kunden
4 — hoch	Mehrmals jährlich möglich	Bis vier Wochen, Vertragsstrafen oder Kundenverlust
5 — sehr hoch	Regelmässig oder bereits eingetreten	Über vier Wochen, Existenz des Geschäftsfelds betroffen

Die Auswirkung braucht mehr als eine Dimension. Neben dem Betriebsunterbruch gehören mindestens Personen, Recht und Reputation dazu – bewertet wird die höchste, nicht der Durchschnitt.

Ein durchgerechnetes Beispiel

Einzelquelle für ein Gussteil, ohne qualifizierte Alternative.

Schritt	Bewertung	Begründung
Eintrittswahrscheinlichkeit	3 — mittel	Zwei Lieferengpässe in der Branche in den letzten fünf Jahren, ein Werk mit bekannter Auslastungsspitze.
Auswirkung	5 — sehr hoch	Ohne das Teil steht die Endmontage. Wiederanlauf einer neuen Quelle inklusive Erstmusterprüfung: rund drei Monate.
Bruttorisiko	15 — über der Schwelle	Die Akzeptanzschwelle liegt bei 8. Behandlung ist damit nicht optional.
Massnahme	Zweitquelle qualifizieren	Verantwortlich: Einkauf, Termin: sechs Monate, Zwischenschritt Erstmusterprüfung nach vier Monaten.
Restrisiko	6 — unter der Schwelle	Wahrscheinlichkeit unverändert 3, Auswirkung sinkt auf 2, weil eine freigegebene Alternative existiert.

Sechs Fallstricke

Unbeschriebene Skalen: Eine 5×5-Matrix ohne Beschreibung der Stufen erzeugt Zahlen, die zwischen zwei Personen nicht vergleichbar sind.
Alles ist mittel: Wenn niemand hoch bewerten möchte, sammelt sich alles in der Mitte. Ein Gegenmittel ist die Pflicht, je Kategorie ein Höchstrisiko zu benennen.
Mittelwerte über Dimensionen: Ein Risiko mit geringem Finanzschaden und Lebensgefahr ist nicht „mittel“. Massgeblich ist die höchste betroffene Dimension.
Bewertung ohne Schwelle: Ohne vorher festgelegte Akzeptanzschwelle wird nachträglich entschieden, was tragbar ist – und das fällt im Audit auf.
Restrisiko nicht bewertet: Nach der Massnahme wird selten neu bewertet. Damit bleibt offen, ob die Massnahme genügt hat.
Niemand entscheidet: Wer ein Risiko bewusst tragen darf, muss festgelegt sein. Sonst trägt es faktisch niemand und formal alle.

Die Matrix ist ein Werkzeug zur Verständigung, keine Rechenmaschine. Ihr Wert entsteht im Gespräch über die Einstufung – nicht in der Zahl, die am Ende dasteht.

Lieferantenrisiken mit Daten statt mit Schätzungen

Kritikalität, Vorfallhistorie, Einzelquellen und Fristen liegen in SCRM als Daten vor. Damit beruht die Bewertung auf Beobachtung statt auf Erinnerung – und lässt sich Jahr für Jahr vergleichen.

Beratungsgespräch anfordern Was risikobasiertes Denken bedeutet Zur Seite Risikomanagement