Die Risikobewertung ist der Schritt, an dem aus einer Untersuchung eine Entscheidung wird. Sie nimmt das Ergebnis der Risikoanalyse, hält es gegen die vorher festgelegten Risikokriterien und beantwortet eine einzige Frage: Ist dieses Risiko so hinnehmbar, oder muss etwas geschehen?
Die Kriterien stehen vor dem Ergebnis
Das ist der Kern und zugleich die Stelle, an der die meisten Systeme brechen. Risikokriterien beschreiben, ab wann ein Risiko als nicht mehr hinnehmbar gilt — in Geldbeträgen, Ausfallstunden, Personenschäden, Terminverzügen oder Verstößen gegen bindende Verpflichtungen. Sie leiten sich aus den Zielen und dem Kontext der Organisation ab.
ISO 27001 verlangt diese Kriterien ausdrücklich und ausdrücklich vorab. In der Praxis entstehen sie oft rückwärts: Die Bewertung ergibt fünf rote Felder, die Geschäftsführung findet fünf zu viel, und die Schwelle wandert nach oben. Das Ergebnis ist ein System, das nie ein Problem meldet. Auditoren erkennen es daran, dass kein einziges Risiko oberhalb der Schwelle liegt und die Kriteriendefinition ein späteres Datum trägt als die erste Bewertung.
Was die Bewertung liefert
Das Ergebnis ist eine von wenigen Entscheidungen:
| Entscheidung | Bedeutung |
|---|---|
| Behandeln | Maßnahmen festlegen, Termin und Verantwortlichen benennen |
| Weiter analysieren | Datenlage reicht für eine Entscheidung nicht aus |
| Behalten | Risiko wird bewusst getragen, dokumentiert und befristet |
| Tätigkeit überdenken | Das Risiko stellt Ziel oder Vorgehen selbst infrage |
Die vierte Zeile fehlt in fast allen Vorlagen. Sie ist die wichtigste, weil sie den Fall abdeckt, in dem keine Maßnahme das Risiko auf ein vertretbares Maß bringt. Dann ist die richtige Antwort nicht eine weitere Maßnahme, sondern der Verzicht auf das Vorhaben.
Priorisierung ist Teil der Bewertung
Zwei Risiken mit derselben Einstufung sind nicht gleich dringlich. Reihenfolge entsteht aus zusätzlichen Fragen: Wie schnell kann das Ereignis eintreten? Wie lange dauert die Wirksamkeit einer Gegenmaßnahme? Wächst das Risiko, wenn man wartet?
Ein Beispiel aus der Praxis: Ein auslaufender Wartungsvertrag und ein alterndes Fachwissen können dieselbe Einstufung tragen. Der Vertrag lässt sich in zwei Wochen verlängern, der Wissensaufbau dauert Monate. Die Risikomatrix zeigt diesen Unterschied nicht.
Woran es scheitert
Die Flucht in die Mitte. Bei ungeraden Skalen landet ein großer Teil der Einträge auf der mittleren Stufe. Damit ist nichts entschieden.
Bewertung ohne Eigentümer. Wenn niemand namentlich für ein Risiko einsteht, wird die Bewertung nicht verteidigt und nicht überprüft.
Begründung nur im Kopf. Sinnvoll sind zwei Sätze je Einstufung: warum diese Stufe und nicht die nächsthöhere. Das kostet wenig und beantwortet im Audit die Frage, die sonst langes Suchen auslöst — wie sind Sie darauf gekommen? Ohne Notiz muss die Begründung rekonstruiert werden, meist von jemandem, der bei der Bewertung nicht dabei war.
Keine Wiedervorlage. Eine Bewertung gilt für die Bedingungen des Tages, an dem sie entstand. Ändert sich der Prozess, der Lieferant oder der Geltungsbereich, ist sie zu wiederholen — nicht erst zur nächsten Managementbewertung.