Methode und Werkzeug

Risikoakzeptanz

Risikoakzeptanz ist die begründete Entscheidung, ein Risiko ohne weitere Maßnahmen zu tragen, weil es die festgelegten Akzeptanzkriterien erfüllt.

Einschätzung anfragen Zum Inhalt

Kleine Besprechungsrunde mit Unterlagen am Tisch

Risikoakzeptanz ist die Entscheidung, ein Risiko zu tragen, ohne weitere Maßnahmen zu ergreifen. Sie ist eine der zulässigen Antworten der Risikobewertung und keine Verlegenheitslösung. Der Unterschied zwischen akzeptiertem und ignoriertem Risiko besteht aus drei Angaben: Wer hat entschieden, auf welcher Grundlage, und wann wird die Entscheidung überprüft.

Die Kriterien müssen zuerst stehen

Akzeptanz ohne vorab festgelegte Kriterien ist Geschmackssache. ISO 27001 fordert deshalb, dass die Akzeptanzkriterien vor der Beurteilung bestimmt werden. Praktisch heißt das: In der Verfahrensbeschreibung steht, welche Zellen der Risikomatrix ohne Maßnahme bleiben dürfen, oder ab welcher Schadenshöhe eine Entscheidung der Geschäftsführung nötig wird.

Wer die Schwelle nachträglich setzt, richtet sie am Ergebnis aus. Das lässt sich im Audit gut erkennen: Alle Risiken liegen knapp unterhalb der Grenze, und die Kriterien wurden zuletzt kurz vor der Zertifizierung geändert.

Wer akzeptieren darf

Akzeptanz gehört zu demjenigen, der die Folgen trägt — dem Risikoeigentümer. Zwei Regeln haben sich bewährt:

Eine Eskalationsschwelle. Oberhalb eines festgelegten Niveaus entscheidet nicht die Abteilung, sondern die oberste Leitung. Ohne diese Schwelle akzeptiert faktisch die Person, die das Risikoinventar pflegt, und das ist selten die richtige Ebene.

Kein Selbsteintritt. Wer die Maßnahme umsetzen müsste, sollte nicht allein darüber entscheiden, dass sie entfällt. Der häufigste reale Grund für Akzeptanz ist fehlende Kapazität, und der wird selten offen genannt. Er gehört in die Begründung, weil er sich mit der nächsten Personalentscheidung ändern kann.

Wo Akzeptanz nicht zulässig ist

Bei bindenden Verpflichtungen endet die Abwägung. Eine gesetzlich vorgeschriebene Schutzeinrichtung lässt sich nicht wegakzeptieren, auch wenn ein Ausfall unwahrscheinlich ist. Im Umfeld von ISO 45001 und im Umweltrecht ist das der häufigste Konflikt: Die Risikobetrachtung kommt zu einem tragbaren Wert, die Rechtslage lässt trotzdem keinen Spielraum. Die Rechtskonformitätsbewertung steht in solchen Fällen vor der Risikologik.

Akzeptieren heißt nicht aufhören zu beobachten

Ein akzeptiertes Risiko verlässt die Behandlung, nicht die Aufmerksamkeit. Sinnvoll ist neben der Entscheidung eine zweite Angabe: Welche Veränderung würde die Akzeptanz aufheben? Ein höheres Auftragsvolumen, ein Wechsel des Lieferanten, eine neue Rechtsvorschrift, der Weggang der Person, die den Ausfall bisher aufgefangen hat.

Diese Bedingung ist der eigentliche Nutzen der Dokumentation. Sie verwandelt eine einmalige Entscheidung in einen Auslöser, auf den man reagieren kann, und sie beantwortet im Audit die Frage, woran Sie eine veränderte Lage bemerkt hätten. Ein Satz genügt.

Woran es scheitert

Akzeptanz aus Ermüdung. Nach der dritten Verschiebung wandert eine Maßnahme still in den Status „akzeptiert“. Es gibt kein Datum, keinen Namen, keine Begründung — nur eine geänderte Zelle.

Sammelakzeptanz. Zwanzig kleine Risiken werden gemeinsam akzeptiert. In Summe können sie denselben Effekt haben wie ein großes, das man nie akzeptiert hätte.

Keine Wiedervorlage. Eine Akzeptanz ohne Frist überlebt die Bedingungen, unter denen sie sinnvoll war. Koppeln Sie jede Entscheidung an einen Termin und an die Managementbewertung, dann bleibt sie überprüfbar.

Häufige Fragen

Was sind Risikoakzeptanzkriterien?

Vorab festgelegte Schwellen, ab denen ein Risiko ohne weitere Behandlung getragen werden darf. Sie können als Punktwert in einer Matrix, als Schadenshöhe, als Ausfalldauer oder als qualitative Beschreibung formuliert sein. ISO 27001 verlangt, dass diese Kriterien vor der Risikobeurteilung bestimmt und aufrechterhalten werden.

Darf man jede Art von Risiko akzeptieren?

Nein. Wo eine Rechtsvorschrift eine Schutzmaßnahme vorschreibt, ist die Akzeptanz des ungeschützten Zustands keine Option, unabhängig von jeder Kosten-Nutzen-Rechnung. Im Arbeitsschutz gilt zusätzlich die Rangfolge der Maßnahmen: Akzeptanz kommt erst infrage, wenn technische und organisatorische Möglichkeiten geprüft sind. Auch vertraglich zugesagte Anforderungen eines Kunden schränken den Spielraum ein.

Wie lange gilt eine Akzeptanzentscheidung?

So lange, wie die Bedingungen gelten, unter denen sie getroffen wurde. Sinnvoll ist eine ausdrückliche Befristung mit Wiedervorlage, üblicherweise gekoppelt an den Zyklus der Managementbewertung. Eine Akzeptanz ohne Ablaufdatum wird faktisch zu einem dauerhaften Verzicht auf Prüfung. Notieren Sie zusätzlich, welche Veränderung die Entscheidung vorzeitig aufheben würde.

Muss die Akzeptanz dokumentiert werden?

Nach ISO 27001 ja, dort ist die Akzeptanz der Restrisiken durch die Risikoeigentümer Teil der geforderten dokumentierten Information. In anderen Managementsystemen ist es keine ausdrückliche Pflicht, aber ohne Aufzeichnung lässt sich weder nachvollziehen, wer entschieden hat, noch wann die Entscheidung zu überprüfen ist.