Registrieren
Learn Experience
QUALITY · KVP · OPEX · KI
Sprache

Risikomatrix & Risk Register AI

Methodenbeschreibung

Risikomatrix & Risk Register AI

Aktueller Stand · Sprache: DE

Einsatzbereich: QMS-Risikomanagement, Prozessrisiken, Projektstarts und Managementbewertung.

Definition · Ziele · Nutzen

01

Definition

Die Risikomatrix ist ein visuelles Werkzeug zur quantitativen Einstufung von Eintrittswahrscheinlichkeit und Schadensausmaß von Risiken nach ISO 9001:2026 Kap. 6.1.

02

Ziele

Risiken systematisch priorisieren, Behandlungsstrategien festlegen und das Restrisiko im tolerablen Bereich absichern.

03

Nutzen

Objektive Entscheidungsgrundlage, transparente Risikoverteilung, gezielte Ressourcenallokation und gelebte Risikobeherrschung.

Wirkungslogik der Methode

Input · Verarbeitung · Output · Outcome · Impact

Der Output ist das unmittelbare Ergebnis der Methode. Outcome entsteht erst, wenn Ergebnisse angewendet und ihre Wirkung geprüft werden. Impact beschreibt den möglichen Beitrag zu Unternehmenszielen.

  1. 01 / 05

    Input

    Welche Grundlagen gehen hinein?

    Abgegrenzte Risiken, Bewertungsskalen, Ereignisdaten und Schutzmaßnahmen.

  2. 02 / 05

    Verarbeitung

    Was leistet die Methode?

    Eintritt und Auswirkung nach festgelegten Kriterien bewerten und Unsicherheit offenlegen.

  3. 03 / 05

    Output

    Was liegt unmittelbar vor?

    Priorisierte Risikomatrix mit Risikobegründungen und Maßnahmenbedarf.

  4. 04 / 05

    Outcome

    Was verändert sich durch Anwendung?

    Risikobehandlung konzentriert Ressourcen auf wesentliche Expositionen.

  5. 05 / 05

    Impact

    Zu welchem Unternehmensziel trägt es bei?

    Risikosteuerung und Kontinuität.

Allgemeine Arbeitsregeln

  • Die Methode beginnt mit Ziel, Kontext und Systemgrenze. Ohne diese Klärung entstehen scheinbar vollständige, aber fachlich schwache Ergebnisse.
  • Alle Aussagen müssen so konkret sein, dass ein Fachexperte sie prüfen, bestätigen, korrigieren oder verwerfen kann.
  • KI-Unterstützung darf Analysearbeit beschleunigen, ersetzt aber weder Fachentscheidung noch menschliche Freigabe.
  • Ein gutes Ergebnis ist nicht die längste Dokumentation, sondern diejenige, die Entscheidungen, Risiken, Nachweise und nächste Schritte klar macht.

Fachliche Arbeitsschritte

Diese Übersicht zeigt die bisher dokumentierten fachlichen Arbeitsschritte. Sie ist keine aus Schaltflächen abgeleitete Bedienanleitung und kein normativ vorgeschriebenes Phasenmodell.

Details zu den Arbeitsschritten

1

Kontext und Risikotoleranz festlegen

Methodenspezifische Logik · 14/10
Kontext/Skalen → Risikoidentifikation → Bruttorisiko → Behandlung → Restrisiko → Heatmap/Aggregation → Überwachung/Review.
1 · Fachliches Ziel
Kontext, Geltungsbereich und Risikotoleranz der Organisation nach festlegen.
2 · Benötigte Grundlage
Schutz- bzw. Qualitätsziel, Scope, relevante Ereignisse/Abweichungen, vorhandene Kontrollen und belastbare Datenquellen.
3 · Konkretes fachliches Vorgehen
Risikomanagement-Grundsätze definieren, Schadens- und Wahrscheinlichkeitsskalen (1–5) mit quantitativen Schwellen kalibrieren.
4 · Funktionen im AI Tool
Das Tool verbindet Erfassung, Bewertung, Maßnahmen, Nachweise und Wirksamkeitsprüfung. KI dient zur Lücken- und Plausibilitätsprüfung; Freigabe und Risikourteil bleiben beim Fachteam. ISO-31000-orientiertes Register, 5×5-Matrix, Brutto/Netto, Strategien, Maßnahmen, KPIs, Heatmap und Formblatt.
5 · Rolle der KI
KI darf Risiken, Wirkpfade, Kontrollen und Maßnahmenideen ergänzen sowie Inkonsistenzen markieren. Risikobewertung, Akzeptanz und Freigabe bleiben menschliche Entscheidungen.
6 · Human-in-the-loop / Qualitätsgate
Sind Schadensklassen (z. B. Finanzschaden in Euro, Ausfallzeit) objektiv quantifiziert? Zusätzlich prüfen: Risikourteil, bestehende Kontrollen, Restrisiko und Wirksamkeitsnachweis logisch miteinander verknüpfen. Methodenspezifisch gilt zusätzlich: Noch nicht umgesetzte Maßnahmen nicht in die Bruttobewertung einrechnen; Restrisiko erst nach belegter Umsetzung/Wirkung neu bewerten.
7 · Erwarteter Output dieser Phase
Kalibrierte Risikomatrix mit eindeutig definierten Akzeptanzgrenzen.
8 · Typische Fehler vermeiden
  • Schadensskalen nicht quantifizieren
  • Brutto-Risiko schönfärben
  • Risiken ohne Maßnahmen akzeptieren
9 · Übergabe / nächste Phase
Nur fachlich bestätigte Ergebnisse werden weitergegeben. Übergabe an „Risiken systematisch identifizieren“: Kalibrierte Risikomatrix mit eindeutig definierten Akzeptanzgrenzen. wird als verbindlicher Input übernommen; offene Annahmen bleiben sichtbar und werden nicht stillschweigend zu Fakten.
2

Risiken systematisch identifizieren

Methodenspezifische Logik · 14/10
Kontext/Skalen → Risikoidentifikation → Bruttorisiko → Behandlung → Restrisiko → Heatmap/Aggregation → Überwachung/Review.
1 · Fachliches Ziel
Risiken in allen Unternehmensbereichen systematisch identifizieren und erfassen.
2 · Benötigte Grundlage
Freigegebene bzw. fachlich geprüfte Ergebnisse aus Schritt 1: „Kontext und Risikotoleranz festlegen“ sowie neue Daten, Rückmeldungen und offene Punkte, die seitdem entstanden sind.
3 · Konkretes fachliches Vorgehen
Risikoquellen in Prozessen, Projekten, Produkten und Umfeld erfassen; Schadensmechanismus und Auslöser beschreiben.
4 · Funktionen im AI Tool
Das Tool verbindet Erfassung, Bewertung, Maßnahmen, Nachweise und Wirksamkeitsprüfung. KI dient zur Lücken- und Plausibilitätsprüfung; Freigabe und Risikourteil bleiben beim Fachteam. ISO-31000-orientiertes Register, 5×5-Matrix, Brutto/Netto, Strategien, Maßnahmen, KPIs, Heatmap und Formblatt.
5 · Rolle der KI
KI darf Risiken, Wirkpfade, Kontrollen und Maßnahmenideen ergänzen sowie Inkonsistenzen markieren. Risikobewertung, Akzeptanz und Freigabe bleiben menschliche Entscheidungen.
6 · Human-in-the-loop / Qualitätsgate
Wurden neben operativen Risiken auch strategische und Compliance-Risiken erfasst? Zusätzlich prüfen: Risikourteil, bestehende Kontrollen, Restrisiko und Wirksamkeitsnachweis logisch miteinander verknüpfen. Methodenspezifisch gilt zusätzlich: Noch nicht umgesetzte Maßnahmen nicht in die Bruttobewertung einrechnen; Restrisiko erst nach belegter Umsetzung/Wirkung neu bewerten.
7 · Erwarteter Output dieser Phase
Strukturierter Risikokatalog mit eindeutigen Risikotiteln und -beschreibungen.
8 · Typische Fehler vermeiden
  • Schadensskalen nicht quantifizieren
  • Brutto-Risiko schönfärben
  • Risiken ohne Maßnahmen akzeptieren
9 · Übergabe / nächste Phase
Nur fachlich bestätigte Ergebnisse werden weitergegeben. Übergabe an „Brutto-Risiken bewerten“: Strukturierter Risikokatalog mit eindeutigen Risikotiteln und -beschreibungen. wird als verbindlicher Input übernommen; offene Annahmen bleiben sichtbar und werden nicht stillschweigend zu Fakten.
3

Brutto-Risiken bewerten

Methodenspezifische Logik · 14/10
Kontext/Skalen → Risikoidentifikation → Bruttorisiko → Behandlung → Restrisiko → Heatmap/Aggregation → Überwachung/Review.
1 · Fachliches Ziel
Das Brutto-Risiko vor Wirksamkeit geplanter Maßnahmen bewerten.
2 · Benötigte Grundlage
Freigegebene bzw. fachlich geprüfte Ergebnisse aus Schritt 2: „Risiken systematisch identifizieren“ sowie neue Daten, Rückmeldungen und offene Punkte, die seitdem entstanden sind.
3 · Konkretes fachliches Vorgehen
Eintrittswahrscheinlichkeit und Schadensausmaß ohne Zusatzmaßnahmen einstufen; Risikoprioritätszahl (RPZ) berechnen.
4 · Funktionen im AI Tool
Das Tool verbindet Erfassung, Bewertung, Maßnahmen, Nachweise und Wirksamkeitsprüfung. KI dient zur Lücken- und Plausibilitätsprüfung; Freigabe und Risikourteil bleiben beim Fachteam. ISO-31000-orientiertes Register, 5×5-Matrix, Brutto/Netto, Strategien, Maßnahmen, KPIs, Heatmap und Formblatt.
5 · Rolle der KI
KI darf Risiken, Wirkpfade, Kontrollen und Maßnahmenideen ergänzen sowie Inkonsistenzen markieren. Risikobewertung, Akzeptanz und Freigabe bleiben menschliche Entscheidungen.
6 · Human-in-the-loop / Qualitätsgate
Wurde das Risiko realistisch ohne Schönfärberei durch noch nicht umgesetzte Maßnahmen bewertet? Zusätzlich prüfen: Risikourteil, bestehende Kontrollen, Restrisiko und Wirksamkeitsnachweis logisch miteinander verknüpfen. Methodenspezifisch gilt zusätzlich: Noch nicht umgesetzte Maßnahmen nicht in die Bruttobewertung einrechnen; Restrisiko erst nach belegter Umsetzung/Wirkung neu bewerten.
7 · Erwarteter Output dieser Phase
Objektive Einstufung aller Brutto-Risiken in die Risikomatrix.
8 · Typische Fehler vermeiden
  • Schadensskalen nicht quantifizieren
  • Brutto-Risiko schönfärben
  • Risiken ohne Maßnahmen akzeptieren
9 · Übergabe / nächste Phase
Nur fachlich bestätigte Ergebnisse werden weitergegeben. Übergabe an „Behandlungsstrategie und Maßnahmen festlegen“: Objektive Einstufung aller Brutto-Risiken in die Risikomatrix. wird als verbindlicher Input übernommen; offene Annahmen bleiben sichtbar und werden nicht stillschweigend zu Fakten.
4

Behandlungsstrategie und Maßnahmen festlegen

Methodenspezifische Logik · 14/10
Kontext/Skalen → Risikoidentifikation → Bruttorisiko → Behandlung → Restrisiko → Heatmap/Aggregation → Überwachung/Review.
1 · Fachliches Ziel
Behandlungsstrategie (Vermeiden, Vermindern, Übertragen, Akzeptieren) und Maßnahmen festlegen.
2 · Benötigte Grundlage
Freigegebene bzw. fachlich geprüfte Ergebnisse aus Schritt 3: „Brutto-Risiken bewerten“ sowie neue Daten, Rückmeldungen und offene Punkte, die seitdem entstanden sind.
3 · Konkretes fachliches Vorgehen
Für unakzeptable Risiken präventive und mindernde Maßnahmen mit Zuständigkeit und Termin planen.
4 · Funktionen im AI Tool
Das Tool verbindet Erfassung, Bewertung, Maßnahmen, Nachweise und Wirksamkeitsprüfung. KI dient zur Lücken- und Plausibilitätsprüfung; Freigabe und Risikourteil bleiben beim Fachteam. ISO-31000-orientiertes Register, 5×5-Matrix, Brutto/Netto, Strategien, Maßnahmen, KPIs, Heatmap und Formblatt.
5 · Rolle der KI
KI darf Risiken, Wirkpfade, Kontrollen und Maßnahmenideen ergänzen sowie Inkonsistenzen markieren. Risikobewertung, Akzeptanz und Freigabe bleiben menschliche Entscheidungen.
6 · Human-in-the-loop / Qualitätsgate
Hat jedes unakzeptable Risiko eine Maßnahme zur Senkung von Wahrscheinlichkeit oder Schaden? Zusätzlich prüfen: Risikourteil, bestehende Kontrollen, Restrisiko und Wirksamkeitsnachweis logisch miteinander verknüpfen. Methodenspezifisch gilt zusätzlich: Noch nicht umgesetzte Maßnahmen nicht in die Bruttobewertung einrechnen; Restrisiko erst nach belegter Umsetzung/Wirkung neu bewerten.
7 · Erwarteter Output dieser Phase
Konkreter Risikobehandlungsplan mit Maßnahmenzuordnung.
8 · Typische Fehler vermeiden
  • Schadensskalen nicht quantifizieren
  • Brutto-Risiko schönfärben
  • Risiken ohne Maßnahmen akzeptieren
9 · Übergabe / nächste Phase
Nur fachlich bestätigte Ergebnisse werden weitergegeben. Übergabe an „Restrisiko bewerten“: Konkreter Risikobehandlungsplan mit Maßnahmenzuordnung. wird als verbindlicher Input übernommen; offene Annahmen bleiben sichtbar und werden nicht stillschweigend zu Fakten.
5

Restrisiko bewerten

Methodenspezifische Logik · 14/10
Kontext/Skalen → Risikoidentifikation → Bruttorisiko → Behandlung → Restrisiko → Heatmap/Aggregation → Überwachung/Review.
1 · Fachliches Ziel
Das verbleibende Netto-Risiko (Restrisiko) nach Maßnahmenumsetzung ermitteln.
2 · Benötigte Grundlage
Freigegebene bzw. fachlich geprüfte Ergebnisse aus Schritt 4: „Behandlungsstrategie und Maßnahmen festlegen“ sowie neue Daten, Rückmeldungen und offene Punkte, die seitdem entstanden sind.
3 · Konkretes fachliches Vorgehen
Wirkung der Maßnahmen auf Wahrscheinlichkeit und Schaden neu bewerten; Netto-RPZ bestimmen.
4 · Funktionen im AI Tool
Das Tool verbindet Erfassung, Bewertung, Maßnahmen, Nachweise und Wirksamkeitsprüfung. KI dient zur Lücken- und Plausibilitätsprüfung; Freigabe und Risikourteil bleiben beim Fachteam. ISO-31000-orientiertes Register, 5×5-Matrix, Brutto/Netto, Strategien, Maßnahmen, KPIs, Heatmap und Formblatt.
5 · Rolle der KI
KI darf Risiken, Wirkpfade, Kontrollen und Maßnahmenideen ergänzen sowie Inkonsistenzen markieren. Risikobewertung, Akzeptanz und Freigabe bleiben menschliche Entscheidungen.
6 · Human-in-the-loop / Qualitätsgate
Liegen alle Netto-Risiken innerhalb der definierten Risikotoleranzgrenze? Zusätzlich prüfen: Risikourteil, bestehende Kontrollen, Restrisiko und Wirksamkeitsnachweis logisch miteinander verknüpfen. Methodenspezifisch gilt zusätzlich: Noch nicht umgesetzte Maßnahmen nicht in die Bruttobewertung einrechnen; Restrisiko erst nach belegter Umsetzung/Wirkung neu bewerten.
7 · Erwarteter Output dieser Phase
Transparente Darstellung des Restrisikos im tolerablen Bereich.
8 · Typische Fehler vermeiden
  • Schadensskalen nicht quantifizieren
  • Brutto-Risiko schönfärben
  • Risiken ohne Maßnahmen akzeptieren
9 · Übergabe / nächste Phase
Nur fachlich bestätigte Ergebnisse werden weitergegeben. Übergabe an „Heatmap und Management-Review prüfen“: Transparente Darstellung des Restrisikos im tolerablen Bereich. wird als verbindlicher Input übernommen; offene Annahmen bleiben sichtbar und werden nicht stillschweigend zu Fakten.
6

Heatmap und Management-Review prüfen

Methodenspezifische Logik · 14/10
Kontext/Skalen → Risikoidentifikation → Bruttorisiko → Behandlung → Restrisiko → Heatmap/Aggregation → Überwachung/Review.
1 · Fachliches Ziel
Risiko-Heatmap und Aggregation für die Managementbewertung aufbereiten.
2 · Benötigte Grundlage
Freigegebene bzw. fachlich geprüfte Ergebnisse aus Schritt 5: „Restrisiko bewerten“ sowie neue Daten, Rückmeldungen und offene Punkte, die seitdem entstanden sind.
3 · Konkretes fachliches Vorgehen
Verteilung von Brutto- und Netto-Risiken visualisieren; Top-Risiken für die Geschäftsleitung hervorheben.
4 · Funktionen im AI Tool
Das Tool verbindet Erfassung, Bewertung, Maßnahmen, Nachweise und Wirksamkeitsprüfung. KI dient zur Lücken- und Plausibilitätsprüfung; Freigabe und Risikourteil bleiben beim Fachteam. ISO-31000-orientiertes Register, 5×5-Matrix, Brutto/Netto, Strategien, Maßnahmen, KPIs, Heatmap und Formblatt.
5 · Rolle der KI
KI darf Risiken, Wirkpfade, Kontrollen und Maßnahmenideen ergänzen sowie Inkonsistenzen markieren. Risikobewertung, Akzeptanz und Freigabe bleiben menschliche Entscheidungen.
6 · Human-in-the-loop / Qualitätsgate
Zeigt die Heatmap eine messbare Risikoreduktion durch die getroffenen Maßnahmen? Zusätzlich prüfen: Risikourteil, bestehende Kontrollen, Restrisiko und Wirksamkeitsnachweis logisch miteinander verknüpfen. Methodenspezifisch gilt zusätzlich: Noch nicht umgesetzte Maßnahmen nicht in die Bruttobewertung einrechnen; Restrisiko erst nach belegter Umsetzung/Wirkung neu bewerten.
7 · Erwarteter Output dieser Phase
Übersichtliche Heatmap mit Vorher-Nachher-Verlagerung der Risiken.
8 · Typische Fehler vermeiden
  • Schadensskalen nicht quantifizieren
  • Brutto-Risiko schönfärben
  • Risiken ohne Maßnahmen akzeptieren
9 · Übergabe / nächste Phase
Nur fachlich bestätigte Ergebnisse werden weitergegeben. Übergabe an „Formblatt freigeben“: Übersichtliche Heatmap mit Vorher-Nachher-Verlagerung der Risiken. wird als verbindlicher Input übernommen; offene Annahmen bleiben sichtbar und werden nicht stillschweigend zu Fakten.
7

Formblatt freigeben

Methodenspezifische Logik · 14/10
Kontext/Skalen → Risikoidentifikation → Bruttorisiko → Behandlung → Restrisiko → Heatmap/Aggregation → Überwachung/Review.
1 · Fachliches Ziel
Auditfähiges Risikoprofil mit Überwachungsterminen freigeben.
2 · Benötigte Grundlage
Freigegebene bzw. fachlich geprüfte Ergebnisse aus Schritt 6: „Heatmap und Management-Review prüfen“ sowie neue Daten, Rückmeldungen und offene Punkte, die seitdem entstanden sind.
3 · Konkretes fachliches Vorgehen
Überprüfungszyklen für Risiken festlegen, Freigabe durch Risikoverantwortlichen und QMB dokumentieren.
4 · Funktionen im AI Tool
Das Tool verbindet Erfassung, Bewertung, Maßnahmen, Nachweise und Wirksamkeitsprüfung. KI dient zur Lücken- und Plausibilitätsprüfung; Freigabe und Risikourteil bleiben beim Fachteam. ISO-31000-orientiertes Register, 5×5-Matrix, Brutto/Netto, Strategien, Maßnahmen, KPIs, Heatmap und Formblatt.
5 · Rolle der KI
KI darf Risiken, Wirkpfade, Kontrollen und Maßnahmenideen ergänzen sowie Inkonsistenzen markieren. Risikobewertung, Akzeptanz und Freigabe bleiben menschliche Entscheidungen.
6 · Human-in-the-loop / Qualitätsgate
Sind feste Termine zur Neubewertung der Risiken im Jahresverlauf eingeplant? Zusätzlich prüfen: Risikourteil, bestehende Kontrollen, Restrisiko und Wirksamkeitsnachweis logisch miteinander verknüpfen. Methodenspezifisch gilt zusätzlich: Noch nicht umgesetzte Maßnahmen nicht in die Bruttobewertung einrechnen; Restrisiko erst nach belegter Umsetzung/Wirkung neu bewerten.
7 · Erwarteter Output dieser Phase
Gelenktes Risikodokument nach.
8 · Typische Fehler vermeiden
  • Schadensskalen nicht quantifizieren
  • Brutto-Risiko schönfärben
  • Risiken ohne Maßnahmen akzeptieren
9 · Übergabe / nächste Phase
Die Methode ist an dieser Stelle erst abgeschlossen, wenn Ergebnis, offene Punkte, Freigabestatus und – falls erforderlich – Wirksamkeitsprüfung dokumentiert sind. Der Output wird in Formblatt/Dashboard bzw. in die definierte Folgearbeit übergeben.

Ergänzende Einordnung

Normen & Kapitel

Die Methode funktioniert unabhängig von einer Zertifizierung oder Norm. Die Zuordnung zeigt, bei welchen Anforderungen sie typischerweise unterstützen kann. Maßgeblich bleibt immer der vollständige Normtext; die Nutzung eines Tools allein belegt keine Konformität.

ISO 9001:2026
Kapitel 6 · Planung

Unterstützender Beitrag – die Methode ist nicht verpflichtend vorgeschrieben

ISO 31000
Risikomanagement – Leitlinien

Risikomanagement-Rahmen

Allgemeine Prüfkriterien

  • Vollständigkeit: Alle methodisch notwendigen Felder sind ausgefüllt und logisch miteinander verbunden.
  • Nachvollziehbarkeit: Jede Aussage ist fachlich erklärbar und besitzt einen Bezug zu Daten, Beobachtung, Erfahrung oder dokumentiertem Expertenurteil.
  • Wirksamkeit: Abgeleitete Maßnahmen oder Entscheidungen adressieren die tatsächliche Ursache, das reale Risiko oder das definierte Arbeitsziel.
  • Auditfähigkeit: Ergebnisse können später gelesen, geprüft und weiterverwendet werden, ohne dass der ursprüngliche Workshop erneut erklärt werden muss.
  • Lernwirkung: Neue Erkenntnisse aus KI-Prüfung, Teamdiskussion oder Umsetzung werden kontrolliert ergänzt und nicht unbestätigt übernommen.

Typische Fehler

  • Schadensskalen nicht quantifizieren
  • Brutto-Risiko schönfärben
  • Risiken ohne Maßnahmen akzeptieren
  • Risikomatrix nach Erstellung nie wieder aktualisieren

KI-Unterstützung und fachliche Verantwortung

  • KI-Prüfung gehört in die konkrete Arbeitssituation des Tools: Dort liegen Eingaben, Zwischenergebnisse, offene Fragen und neue Erkenntnisse vor.
  • KI kann Lücken, Widersprüche, unklare Formulierungen, alternative Hypothesen, zusätzliche Prüffragen und methodische Verbesserungen vorschlagen.
  • Übernahme erfolgt erst nach fachlicher Sichtung. Nicht passende Vorschläge bleiben außen vor; gute Vorschläge werden angepasst und nachvollziehbar dokumentiert.

Ergebnisse und Übergaben

  • Eine vollständige, methodisch saubere Arbeitsfassung mit Ziel, Kontext, Analysefeldern und dokumentierten Ergebnissen.
  • Eine verdichtete Entscheidungs- oder Maßnahmenliste mit Verantwortlichkeit, Termin, Nachweis und Statuslogik, sofern die Methode Maßnahmen erzeugt.
  • Eine prüffähige Methoden-Dokumentation für interne Qualitätssicherung, Audit, Training oder Übergabe an andere Teams.

Freigeschaltete Beispiele

Diese Beispiele sind vollständig freigegeben und auch im separaten Beispiele-Schritt verfügbar.