Das Risikoinventar — oft auch Risikoregister genannt — ist das Verzeichnis, in dem alle identifizierten Risiken zusammenlaufen: mit Bewertung, benanntem Eigentümer, beschlossener Behandlung und aktuellem Stand. Es ist ein Arbeitsmittel, kein Normerfordernis. Keine der gängigen Managementsystemnormen schreibt es als Dokument vor.
Was hineingehört
Ein Register wird nicht durch die Zahl der Spalten brauchbar, sondern durch wenige, die wirklich gepflegt werden:
| Feld | Warum es nötig ist |
|---|---|
| Eindeutige Nummer | Verweise aus Maßnahmen, Audits und Protokollen |
| Ereignisbeschreibung | Ursache, Ereignis, Wirkung in einem Satz |
| Risikoeigentümer | Namentlich, nicht als Abteilung |
| Bewertung vor Behandlung | Ausgangslage, sonst ist Wirkung nicht sichtbar |
| Behandlungsoption und Maßnahmen | Mit Termin und Verantwortlichem |
| Erwartetes und tatsächliches Restrisiko | Getrennt, siehe unten |
| Status und Datum der letzten Prüfung | Macht Stillstand sichtbar |
Die Trennung von erwartetem und tatsächlichem Restrisiko ist die Spalte, die am häufigsten fehlt und am meisten bringt. Ohne sie sinkt die Bewertung bereits beim Beschluss der Maßnahme, nicht bei ihrer Wirkung.
Der Fehler in der Formulierung
Die meisten unbrauchbaren Register scheitern nicht an der Struktur, sondern an der Sprache der Einträge. Dort stehen Substantive: „Datenschutz“, „Lieferkette“, „Personal“. Das sind Themen, keine Risiken. Über ein Thema lässt sich weder eine Wahrscheinlichkeit noch eine Auswirkung aussagen, und eine Maßnahme dazu bleibt ebenso vage.
Ein brauchbarer Eintrag nennt Ursache, Ereignis und Folge: „Weil die Rezeptdaten nur auf einem Rechner liegen, kann ein Festplattendefekt die Chargenfreigabe für mehrere Tage blockieren.“ Erst diese Form erlaubt eine sinnvolle Risikoanalyse und eine überprüfbare Maßnahme.
Der zweite typische Fehler ist die falsche Flughöhe. Wer jeden Einzelfall erfasst, bekommt ein Register mit hunderten Zeilen, das niemand mehr durchgeht. Wer nur Oberbegriffe erfasst, bekommt zwölf Zeilen ohne Steuerungswirkung. Brauchbar ist die Ebene, auf der eine Maßnahme entschieden werden kann.
Zugriff und Vertraulichkeit
Ein gepflegtes Risikoinventar enthält die Schwachstellen einer Organisation in geordneter Form. Es ist damit selbst ein schützenswertes Dokument, und zwar eines der wenigen, bei denen der Schutzbedarf hinsichtlich Vertraulichkeit tatsächlich hoch ist. In der Praxis liegt es oft auf einem Laufwerk, auf das die halbe Verwaltung zugreifen kann.
Zugleich braucht es genug Leser, um gepflegt zu werden. Der brauchbare Kompromiss ist ein begrenzter Schreib- und Lesekreis mit ausgewerteten Auszügen für die Prozessverantwortlichen — nicht ein Dokument, das aus Vorsicht nur eine Person kennt.
Woran die Pflege scheitert
Das Register wächst nur. Es gibt keinen definierten Weg, einen Eintrag zu schließen. Nach drei Jahren enthält es Risiken zu Prozessen, die es nicht mehr gibt.
Alle Einträge tragen dasselbe Datum. Der sichere Hinweis auf eine jährliche Sammelbearbeitung kurz vor dem Überwachungsaudit. Auditoren fragen dann gezielt nach einer Veränderung des letzten Jahres und prüfen, ob sie sich im Register wiederfindet.
Kein Anschluss an andere Prozesse. Ein Register, das nicht mit Nichtkonformitäten, Kundenreklamationen und Vorfällen abgeglichen wird, enthält gedachte Risiken, während die eingetretenen daneben in einer anderen Liste stehen.