Die Risikomatrix ist das verbreitetste Werkzeug der Risikobewertung — und das am häufigsten missverstandene. Sie macht Risiken vergleichbar, indem sie zwei Größen zusammenführt: Wie wahrscheinlich tritt ein Ereignis ein, und wie schwer wirkt es?
Aufbau
Auf der einen Achse steht die Eintrittswahrscheinlichkeit, auf der anderen das Schadensausmaß. Jede Zelle entspricht einer Risikoklasse, meist abgestuft von grün bis rot. Aus der Klasse folgt die Handlungsanweisung.
| Risikoklasse | Übliche Konsequenz |
|---|---|
| Gering | Akzeptieren, beobachten, dokumentieren |
| Mittel | Maßnahmen prüfen, wirtschaftliche Abwägung |
| Hoch | Maßnahmen verbindlich, Termin und Verantwortlicher |
| Sehr hoch | Tätigkeit einstellen oder sofort absichern |
Entscheidend und oft vergessen: Die Zuordnung von Klasse zu Konsequenz muss vorher feststehen. Sonst wird hinterher diskutiert, ob ein rotes Feld wirklich rot gemeint war.
Was vorher festzulegen ist
Die Skalen mit Ankern. „Wahrscheinlich“ bedeutet für zwei Personen Unterschiedliches. Brauchbar wird die Skala erst mit Ankern, auf beiden Achsen — bei der Schadensachse mit Bezug auf Personen, Geld, Ausfallzeit oder Reputation. Für einen produzierenden Betrieb kann das so aussehen:
| Stufe | Eintrittswahrscheinlichkeit | Schadensausmaß |
|---|---|---|
| 1 | Bisher nie vorgekommen | Intern behebbar, kein Kundenkontakt |
| 2 | Seltener als alle fünf Jahre | Nacharbeit, Liefertermin hält |
| 3 | Etwa einmal jährlich | Terminverzug, Kunde ist zu informieren |
| 4 | Mehrmals jährlich | Lieferausfall mit vertraglichen Folgen |
Die Anker gehören zu Ihrem Betrieb, nicht zu einer Vorlage. Entscheidend ist, dass sie schriftlich vorliegen, bevor die erste Bewertung stattfindet. Wer die Skala erst beim Bewerten festlegt, passt sie unbemerkt an das gewünschte Ergebnis an.
Der Bewertungsgegenstand. Bewertet wird das Risiko vor Maßnahmen (Bruttorisiko) oder danach (Nettorisiko). Beides ist sinnvoll, die Vermischung nicht: Sonst bleibt offen, ob eine niedrige Einstufung auf einer Maßnahme beruht oder auf Glück.
Die Konsistenz. Zwei Personen müssen bei derselben Sachlage ähnlich einstufen. ISO 27001 verlangt das ausdrücklich: wiederholbare Ergebnisse.
Abgrenzung zu benachbarten Verfahren
| Verfahren | Leitfrage | Ergebnis |
|---|---|---|
| Risikomatrix | Wie schwer wiegt dieses Risiko? | Risikoklasse |
| FMEA | Wo kann ein Prozess versagen, und was folgt daraus? | Fehlerliste mit Maßnahmen |
| Risikoinventar | Welche Risiken kennen wir überhaupt? | Liste mit Status |
Die Matrix ist ein Bewertungsschritt, kein Risikomanagement: Sie folgt der Identifikation und geht der Risikobehandlung voraus. Wer nur sie pflegt, hat den Schritt davor und danach ausgelassen.
Die Grenzen
Die Matrix erzeugt Scheingenauigkeit: Aus zwei Schätzungen wird eine Zahl, die belastbarer wirkt als ihre Grundlage. Drei Punkte sollte man kennen.
Gleiche Zelle, ungleiches Risiko. Ein häufiges Ereignis mit geringem Schaden landet rechnerisch dort, wo auch das seltene Katastrophenereignis liegt. Die angemessene Reaktion ist eine völlig andere.
Existenzbedrohende Risiken verschwinden im Raster. Würde ein Ereignis das Unternehmen beenden, ist seine geringe Wahrscheinlichkeit kein Argument. Solche Risiken gehören gesondert betrachtet.
Die Skala verzerrt. Wer eine Achse fein und die andere grob teilt, verschiebt systematisch alle Ergebnisse.
Woran es in der Praxis scheitert
Die Matrix wird für das Audit gebaut. Hunderte Ampelzeilen, die danach niemand öffnet, sind formal vorzeigbar und praktisch wertlos.
Niemand entscheidet. Eine Bewertung ohne Entscheidung über Risikoakzeptanz oder Maßnahme bleibt folgenlos. Rot ist kein Ergebnis, sondern eine Aufforderung.
Die Einstufung wird nachträglich weichgezeichnet. Wäre ein Risiko rot, ist aber keine Maßnahme finanziert, wandert die Wahrscheinlichkeit eine Stufe nach unten. Hier verliert die Methode ihre Aussagekraft, und nachweisbar ist das kaum. Dagegen hilft nur, jede Einstufung kurz zu begründen.
Die Matrix wird einmal gefüllt. Risikobewertung ist ein wiederkehrender Vorgang; ein drei Jahre alter Stand beschreibt ein anderes Unternehmen.
Nützlich bleibt die Matrix trotzdem: als Werkzeug, um strukturiert über Risiken zu sprechen und Prioritäten sichtbar zu machen. Als Rechenmaschine, deren Ergebnis man ungeprüft übernimmt, ist sie gefährlich.