Risikobewertung

Risikobewertung

Kurz erklärt

Die Risikobewertung ist ein zentraler Prozess der Entscheidungsfindung, in dem die Ergebnisse einer Risikoanalyse mit organisationsspezifischen Kriterien verglichen werden, um Handlungsbedarfe zu priorisieren. Sie fungiert als strategischer Filter im VUCA-Umfeld, der sicherstellt, dass begrenzte Ressourcen gezielt in jene Risikominimierung investiert werden, die den Wertschöpfungsfluss am stärksten bedrohen. Während die Risikoanalyse die Frage nach dem 'Was kann passieren?' (Ursache-Wirkung) klärt, stellt die Risikobewertung die wertende Frage: 'Wie relevant ist dieses Risiko für unsere strategischen Ziele?'. Sie ist das Bindeglied zwischen technischer Risikoidentifikation und ökonomischer Entscheidung.

Definition

Die Risikobewertung ist die dritte Phase im Risikomanagement-Zyklus. Sie umfasst den systematischen Vergleich der gewonnenen Daten über Risikoeintritte und Schadensausmaße mit vorab definierten Risikoakzeptanzkriterien, der Risikotoleranz des Unternehmens sowie übergeordneten Unternehmenszielen. Durch diesen Vergleich wird das meist qualitative oder quantitative Risikomaß in eine verbindliche Handlungspriorität überführt. Sie ist ein normativer Akt der Wertung, der sicherstellt, dass zwischen akzeptablen Restrisiken und solchen, die zwingende Minderungsmaßnahmen erfordern, differenziert wird. Ihr Zweck ist die Sicherung der Unternehmenskontinuität und Wettbewerbsfähigkeit durch zielgerichtete Ressourcenallokation.

Bedeutung im Fachkontext

In einer VUCA-Welt (Volatilität, Unsicherheit, Komplexität, Ambiguität) verhindert die Risikobewertung, dass sich Unternehmen in der Vielzahl potenzieller Risikoszenarien verlieren. Sie transformiert technische Daten – wie sie etwa aus einer AIAG/VDA-FMEA (B-A-E-Analyse) stammen – in konsolidierte Entscheidungsgrundlagen (AP - Aufgabenpriorität). Sie schützt Lean- und OPEX-Systeme durch Priorisierung, statt Gießkannen-Investitionen. Sie erlaubt die fundierte Entscheidung, welche Restrisiken akzeptiert werden können, um den Fokus auf kritische Prozessstörungen zu legen.

Input, Verarbeitung, Output, Outcome, Impact

Schritte der Methode in Übersicht

Die Risikobewertung folgt einer fünfstufigen Logik: (1) Kriterienfestlegung, (2) Datenkonsolidierung, (3) Vergleich und Einstufung, (4) Entscheidungsfindung, (5) Überwachung. Jedes dieser Atome stellt einen geschlossenen Wirkmechanismus dar, der von der bloßen Erfassung zur handlungsfähigen Entscheidung führt.

Beschreibung der Einzelschritte mit Ziel & Vorgehen

Anwendung und Vorgehen

Die praktische Umsetzung der Risikobewertung folgt einem iterativen Prozess, der die Brücke zwischen abstrakten Daten und konkreten Investitionsentscheidungen schlägt. Die Anwendung beginnt obligatorisch mit der Kriterienfestlegung. Hierbei legt das Management fest, ab welcher Schadenshöhe oder Eintrittswahrscheinlichkeit ein Risiko als „kritisch“ eingestuft wird. Ein bewährtes Instrument ist hierbei die Risikomatrix, die jedoch – um ihre volle Wirkung zu entfalten – mit festen monetären oder qualitativen Schwellenwerten (z. B. Stillstandstage oder Umsatzverlust in Euro) hinterlegt sein muss.

In der Phase der Datenkonsolidierung werden die Ergebnisse aus vorangegangenen Analysen, wie beispielsweise einer FMEA (Fehlermöglichkeits- und Einflussanalyse) oder einem Audit, bereinigt. Nur validierte Daten dürfen in den Bewertungsprozess einfließen, da „Garbage in, garbage out“ das fundamentale Risiko für die gesamte Unternehmensführung darstellt. Der Vergleich und die Einstufung führen anschließend dazu, dass jedes identifizierte Risiko einer „Aufgabenpriorität“ (AP) zugewiesen wird. Dabei wird nicht starr nach einer mathematischen Risikoprioritätszahl (RPZ) gehandelt, sondern eine strategische Gewichtung vorgenommen.

Die Entscheidungsfindung bildet das Herzstück des Vorgehens. Hier entscheidet das Unternehmen basierend auf der Einstufung über die Risikobehandlung:

• Vermeidung: Vollständige Eliminierung der Risikoquelle (z. B. Prozessaufgabe).
• Minderung: Senkung der Eintrittswahrscheinlichkeit oder Schadensfolge (z. B. durch technische Redundanz).
• Transfer: Übertragung des Risikos an Dritte (z. B. Versicherungen oder Outsourcing).
• Akzeptanz: Bewusstes Eingehen des Risikos bei geringer Relevanz.

Abschließend stellt die Überwachung sicher, dass das Risikoprofil kein statisches Dokument bleibt. Da sich Risikolandschaften durch Marktdynamiken ständig verändern, ist eine regelmäßige Revision zwingend erforderlich, um den Soll-Ist-Abgleich der Akzeptanzschwellen zu wahren.

Anwendungsgebiete

Die Risikobewertung ist aufgrund ihrer methodischen Flexibilität in diversen Sektoren als zentrales Steuerungsinstrument etabliert:

• Produktionsmanagement: Hier dient sie primär der Gewährleistung von Anlagensicherheit und Prozessstabilität. Vorhandene FMEA-Daten werden genutzt, um Schwachstellen in der Fertigungslinie zu identifizieren und die Instandhaltungsintervalle risikobasiert zu priorisieren.
• Informationssicherheit: Unter Anwendung der ISO 27005 werden Bedrohungen für kritische Infrastrukturen (KRITIS) oder sensible Datenbestände bewertet. Die Bewertung hilft dabei, IT-Investitionen gezielt dort zu tätigen, wo die Wahrscheinlichkeit eines Cyber-Angriffs auf kritische Geschäftsprozesse am höchsten ist.
• Finanzwesen: Die Kreditrisikobewertung stützt sich auf historische Ausfalldaten und statistische Modelle. Ziel ist es, das Portfolio so zu diversifizieren, dass das Gesamtrisiko innerhalb definierter Toleranzschwellen verbleibt.
• Projektmanagement: Besonders in Großprojekten hilft die Methode bei der Vergabe von Zeit- und Budgetpuffern. Durch die Bewertung von Termin- und Kostenrisiken auf Basis des Projektstrukturplans wird verhindert, dass Projekte durch unvorhergesehene Engpässe scheitern.

Typische Fehler und Missverständnisse

In der Praxis existieren verbreitete Irrtümer, die den Erfolg des Risikomanagements gefährden können:

1. Gleichsetzung von Analyse und Bewertung: Viele halten die Identifikation eines Risikos (Analyse) bereits für die Bewertung. Eine Risikoanalyse beschreibt jedoch nur den Ist-Zustand, während die Bewertung erst die Entscheidung trifft, ob dieser Zustand tragbar ist.
2. Einmalige Durchführung: Risikobewertung wird oft als „Einmal-Projekt“ missverstanden. Tatsächlich ist sie ein Prozess. Ein einmalig bewertetes Risiko kann durch veränderte Marktbedingungen innerhalb weniger Monate einen völlig anderen Stellenwert erhalten.
3. Die „RPZ-Falle“: Der Glaube, dass eine hohe Risikoprioritätszahl (RPZ) automatisch sofortiges Handeln erfordert, ist ein häufiger Fehler. Eine fundierte Bewertung priorisiert Aufgaben nach der strategischen Relevanz, nicht allein nach einer mathematischen Formel (Bedeutung x Auftreten x Entdeckung).
4. Eliminierung von Unsicherheit: Es herrscht das Fehlverständnis vor, dass eine Risikobewertung Unsicherheit aus dem System entfernen kann. Sie dient lediglich dazu, Unsicherheit messbar und entscheidbar zu machen, um die Auswirkungen von Unwägbarkeiten zu begrenzen.

Abgrenzung und Grenzen

Die Risikobewertung ist kein Allheilmittel und unterliegt spezifischen systemischen Einschränkungen:

• Abhängigkeit von Datenqualität: Die Methode ist so stark wie ihr Input. Basieren die Analysedaten auf subjektiven Schätzungen ohne historische Validierung, führt die Bewertung zwangsläufig zu Fehlentscheidungen.
• Black-Swan-Ereignisse: Klassische Modelle, die auf Wahrscheinlichkeiten basieren, scheitern bei sogenannten „Schwarzen Schwänen“ – extrem seltenen Ereignissen mit massiver Auswirkung, für die es keine empirischen Vergleichswerte gibt.
• Normativer Charakter: Die Festlegung von Schwellenwerten ist immer ein subjektiver Akt des Managements. Es gibt keine objektive „Wahrheit“, ab wann ein Risiko zu hoch ist; dies ist eine unternehmenskulturelle Entscheidung.
• Keine Identifikationsfunktion: Die Risikobewertung setzt zwingend voraus, dass Risiken bereits erkannt wurden. Sie selbst ist kein Werkzeug, um neue oder unbekannte Risiken aufzuspüren.