Wissen · Methode · Anwendung
Risikomatrix & Risk Register AI
ISO-31000-orientiertes Risikoregister mit kategorisierten Teilursachen, Maßnahmenverknüpfung, ordinaler Brutto-/Ziel-/Netto-Ist-Unterscheidung, S5-Sicherheitspriorität, Risikoappetit, Nachweisampel, prüfbarer Managemententscheidung und dynamischen mehrseitigen Formblatt-Steckbriefen.
Risiken multikausal bewerten, Maßnahmen nachweisen und Ist von Ziel trennen
- Risikomanagement
- Auditmanagement
- Business Continuity & Krisenmanagement
- Daten- & KI-Management
- FMEA · 7 Schritte
- Instandhaltungs- & Assetmanagement
- Lieferantenmanagement
- Nachhaltigkeitsmanagement - Klima (ESG)
- Operational Excellence (OPEX)
- Qualitätsmanagement
- VUCA
- ISO 9001:2026 · K.6 · Planung
Methodenbeschreibung
Risikomatrix & Risk Register
Redaktionsstand: 21.10.2026
Definition
Risikomatrix & Risk Register verbinden systematische Ursachenanalyse, ordinale Risikobewertung, begründete Managemententscheidung, gezielte Behandlung und objektiv geprüfte Wirksamkeit. Ein Risiko wird als mehrere mögliche Teilursachen → klar definiertes Ereignis → konkrete Folge dokumentiert. Die 5×5-Matrix zeigt Prioritätskategorien und ist weder ein mathematisch präziser Erwartungsschaden noch von ISO 31000 vorgeschrieben. Personenschutz, schwere Produktgefährdung und S5/Nulltoleranz werden vor höheren Durchschnitts-Scores geprüft. Drei Zustände sind strikt zu trennen: Brutto = bewertete Ausgangslage, Ziel = geplante Wirkung, Netto-Ist = nur nach dokumentierter Prüfung. Bis dahin bleibt der Ausgangswert maßgeblich. Die abschließende PDCA-Re-Evaluation überprüft neue Ursachen und Restrisiken. Eine auditfähige Darstellung unterstützt die Prüfung, ersetzt aber weder das Fachurteil noch eine Zertifizierung.
Einordnung in die Themenbereiche
Methodische Kombination aus Risikomanagement nach ISO 31000, risikobasiertem Denken im Qualitätsmanagement und schutzzielbezogener Analyse. HACCP und FMEA besitzen eigene methodische Anforderungen; das Risikoregister kann sie ergänzen, ersetzt sie aber nicht. Die ISO-31000-Leitlinie schreibt weder fünf Matrixstufen noch feste Grenzwerte oder ein verpflichtendes Bewertungsprodukt vor.
Ziele
- Mehrere plausible Teilursachen statt eines pauschalen Wurzelursachenfeldes erkennen.
- Bewertungskategorien samt Schutzgütern und Entscheidungsgrenzen transparent begründen.
- Schwere Sicherheitsfolgen und nicht akzeptierbare Gefahren vor rein mathematischen Prioritätswerten beurteilen.
- Jede relevante Ursache mit messbar prüfbaren Gegenmaßnahmen verbinden.
- Geplante Zielwerte konsequent von tatsächlich belegten Ist-Risiken unterscheiden.
- Fachliche Review- und KVP-Schleifen mit klaren Verantwortlichkeiten auslösen.
Wirkkette
Prozessziele, Schutzgüter, Geltungsbereich, Gefahrenmeldungen, Reklamationen, Ausfallhistorie, Kunden-/Regelwerksvorgaben, vorhandene Kontrollen und dokumentierte Bewertungsmaßstäbe.
Die sieben Arbeitsphasen erfassen Ursachen nach Kategorien, trennen Ereignis und Schaden, bilden einen begründeten ordinalen Ausgangsindex, vergleichen die Lage mit Schutzpflichten und Risikotoleranz, verknüpfen Maßnahmen mit Teilursachen und prüfen ihren Erfolg anhand freigegebener Evidenz.
Management-Cockpit mit Ausgangsmatrix, gefüllten Ist-Punkten, gestrichelt dargestellten ungeprüften Zielpositionen, S5-Warnhinweisen und Eingriffsschwelle. Dahinter detaillierte Risikosteckbriefe mit Ursachenliste, Maßnahmenzuordnung, drei Risikoständen, Beleganforderungen und Freigabespur.
Die Beteiligten erkennen, welche Risiken konkret gefährlich sind, wer eine Ursachenmaßnahme verantwortet, welche Ziele lediglich hypothetisch sind und welche Nachweise eine erneute Freigabe rechtfertigen.
Verbesserte Risikotransparenz, geringere Wahrscheinlichkeit ungeprüfter Freigaben und nachvollziehbare kontinuierliche Neubewertung. Eine Wirksamkeitsverbesserung ist erst nach echten Betriebsdaten nachgewiesen.
Schritte der Methode
- 1
Kontext & Kriterien
Prozess, Ziel, Schutzgut, Betrachtungszeitraum, Risikoappetit, Eingriffsschwelle sowie Nulltoleranz-/Sicherheitskriterien dokumentieren. Die numerische Schwelle ist eine organisationsspezifische Entscheidung, keine ISO-31000-Vorgabe.
- 2
Risiken und unabhängige Ursachen identifizieren
Ursache, Ereignis und Folge getrennt benennen. Systematisch Mensch, Technik, Design, Prozess, Umwelt/Infrastruktur, Organisation/Logistik und Messung prüfen. Zwei bis vier konkrete Teilursachen aufnehmen, wenn tatsächlich plausibel; keine künstliche Vollständigkeit. Jede relevante Teilursache mit einer spezifischen Maßnahme verknüpfen.
- 3
Ausgangslage / Brutto analysieren
Für jedes Risiko Eintrittskategorie P1–P5 und Schadenskategorie S1–S5 anhand von Kontext, Schutzgütern und verfügbarer Evidenz begründen. P×S nur als ordinalen Index zur Visualisierung nutzen und niemals als absolute Wahrscheinlichkeit behandeln. Bestehende tatsächlich wirksame Kontrollen vom noch unbehandelten Roh-Risiko sauber abgrenzen.
- 4
Bewerten, priorisieren, entscheiden
Vor jeder Maßnahmenwahl den Ausgang gegen die internen Risikokriterien prüfen. S5, Personenschäden und nicht beherrschte Nulltoleranz-Risiken unabhängig vom Produkt P×S eskalieren. Sicherheit und regulatorische Mindestanforderungen können durch rein wirtschaftliche Akzeptanzentscheidungen nicht aufgehoben werden.
- 5
Ursachenbezogene Behandlung planen
Für jede Teilursache technische, organisatorische oder prüfende Gegenmaßnahme, verantwortliche Person und Termin definieren. Schutzmaßnahmen entlang der Ursache priorisieren; bloße Endkontrolle nicht mit Fehlervermeidung verwechseln. Nachweisart, Prüfmethode, Akzeptanzgrenze und notwendige Qualifikation festlegen.
- 6
Ziel, Netto-Ist und Wirksamkeit sauber trennen
Geplantes Ziel P/S als grau-gestrichelte Prognose darstellen. Wirksamkeitsstatus 🔴 offen, 🟡 in Prüfung oder 🟢 bestätigt separat erfassen. Nur nach dokumentiertem Mess-/Testresultat, Prüfdatum, Prüfer und fachlicher Bestätigung entsteht ein geprüfter Ist-Netto-Wert. Eine eingegebene Zielzahl verändert die aktuelle Risikoposition nicht.
- 7
Review, Freigabe und PDCA-Re-Evaluation
Managemententscheidung begründen; offene Evidenz, Schutzpflichten, Eskalationen und Folgeprüfung sichtbar lassen. Bei fehlender Wirkung zurück zur Ursachenanalyse und Maßnahmenplanung. Änderungen am Prozess, neue Gefährdungen und Unwirksamkeit lösen eine erneute Bewertung aus: PLAN → DO → CHECK → ACT ↻.
Anwendungsgebiete
- Präzisionsfertigung: thermischer Verzug und Messsystemstabilität.
- Lebensmittelproduktion: Allergen-Kreuzkontakt mit ergänzender HACCP-Prüfung.
- Maschinenbau: Kollisionsschutz, Einrichtung und Personensicherheit.
- Chemische/Pharma-Prozesse: Kühlausfall, Chargenfreigabe und Alarmvalidierung.
- Automotive: Wetterrisiken, Single Source, alternative Bauteile und kundenspezifische Freigaben.
- Managementbewertung: Risikoappetit, Eskalationen und nachweisgestützter KVP.
Freigeschaltete Beispiele
Diese Beispiele sind vollständig freigegeben und auch im separaten Beispiele-Schritt verfügbar.
Risikomatrix · Automotive – Bandstillstand durch Wetter-Lieferengpass
Globaler editierbarer fiktiver Schulungsfall mit zwei Risikoketten und 8 unabhängigen Teilursachen. Ausgang / Ziel / offenes Ist, Eskalationspriorität und konkrete Evidenz. Eine zweite Bezugsquelle senkt ohne reale technische Teilefreigabe nicht automatisch das Risiko. Sicherheitsbezogene Fremdkomponenten dürfen nicht zur Terminrettung unvalidiert eingesetzt werden.
Risikomatrix · Chemie/Pharma – Chargenabweichung durch Kühlausfall
Globaler editierbarer fiktiver Schulungsfall mit zwei Risikoketten und 7 unabhängigen Teilursachen. Ausgang / Ziel / offenes Ist, Eskalationspriorität und konkrete Evidenz. Nicht allein mit zusätzlicher Kontrolle reagieren. Fehlende Kältereserve, Wärmetauscherzustand, Alarmregelung und Bedienverhalten erfordern jeweils Ursachenmaßnahmen.
Risikomatrix · Maschinenbau – Spindelkollision beim manuellen Einrichten
Globaler editierbarer fiktiver Schulungsfall mit zwei Risikoketten und 7 unabhängigen Teilursachen. Ausgang / Ziel / offenes Ist, Eskalationspriorität und konkrete Evidenz. Das wirtschaftliche Schadensrisiko P4/S4 ist von der Personengefährdung zu trennen. Maschinensicherheit wird nicht mit einem DCM-Software-Upgrade allein nachgewiesen.
Risikomatrix · Lebensmittel – Allergenverschleppung auf der Snack-Abfülllinie
Globaler editierbarer fiktiver Schulungsfall mit zwei Risikoketten und 7 unabhängigen Teilursachen. Ausgang / Ziel / offenes Ist, Eskalationspriorität und konkrete Evidenz. Bei möglicher Anaphylaxie gilt eine nicht beherrschte Allergenverschleppung als nicht akzeptabel. Ein Ziel P1×S4 würde die Schwere ohne Beweis künstlich heruntersetzen; deshalb bleibt S5.
Risikomatrix · Zerspanung – Thermischer Verzug an einer 5-Achs-Fräsmaschine
Globaler editierbarer fiktiver Schulungsfall mit zwei Risikoketten und 7 unabhängigen Teilursachen. Ausgang / Ziel / offenes Ist, Eskalationspriorität und konkrete Evidenz. Die Zeichnungstoleranzen können ohne thermisch stabile Bearbeitung und Prüfung nicht nachweisbar eingehalten werden. Konstruktive, messtechnische und verfahrensbezogene Barrieren sind gemeinsam erforderlich.
Grenzen der Methode
- Ordinalskalen P/S dürfen nicht als echte metrische Schadenszahlen interpretiert werden.
- Ein Score unter der Eingriffsschwelle macht eine S5- oder Nulltoleranzgefahr nicht akzeptabel.
- Die Sammlung mehrerer Teilursachen ersetzt nicht deren technische Prüfung; keine Ursachen künstlich erfinden.
- Ein geplantes Software-Upgrade, eine Bestellung oder ein absolviertes Training ist kein Nachweis der Schutzwirkung.
- Fehlende Wirksamkeitsdaten dürfen niemals durch optimistische Zielwerte kompensiert werden.
- Dokumentation und Simulation sind keine ISO-Zertifizierung, produktsicherheitsrechtliche Freigabe oder HACCP-Validierung.
Wir beraten dich gerne persönlich.
Tool + KI
Was verändert sich gegenüber der Arbeit mit Excel, Word, Papier oder einer freien Arbeitsfläche? Schalte jede Karte zwischen „Ohne unser Tool“ und „Mit Tool“ um.
Struktur & Überblick
- Risiken, Ursachen, Folgen und Bewertungen werden in Excel-Listen mit eigener Farbformatierung gepflegt.
- Vorlage und Zuordnung der Informationen müssen selbst aufgebaut und gepflegt werden.
Analyse & Klarheit
- Maßnahmenwirkung und Restrisiko werden aus verteilten Bewertungsständen manuell abgeglichen.
- Ergänzende Perspektiven und Prüffragen werden im Team eigenständig erarbeitet.
Ergebnis & Weiterarbeit
- Für Managementreviews werden Heatmap und Maßnahmenstatus aus der Tabelle neu zusammengestellt.
- Änderungen müssen in der zusammengeführten Ergebnisdarstellung nachgezogen werden.
Der Vergleich zeigt typische Arbeitsweisen, keine garantierte Zeitersparnis. Auch Office-Werkzeuge können die Methode abbilden; der Unterschied liegt in der vorbereiteten Struktur und den beschriebenen Funktionen. Der Schalter aktiviert keine KI und verändert keine Projektdaten. KI-Funktionen sind nur mit entsprechender Freigabe nutzbar.
Zum Abschluss
Die KI unterstützt als strukturierende Analysehilfe: prüft alternative Teilursachen aus Mensch/Technik/Prozess/Design/Umwelt/Messung, fordert zu jeder Teilursache eine kausale Maßnahme und einen prüfbaren Beleg, stellt unplausible P/S-Stufen in Frage und kennzeichnet S5/Nulltoleranz. Sie erzeugt keine Messdaten, vermeintlichen Prüferunterschriften oder reale Freigaben. Vorgeschlagene Zielwerte bleiben unbestätigte Prognosen. Fachverantwortliche prüfen jede Ursachenhypothese und schließen die PDCA-Schleife.
Bei KI-Unterstützung gilt: Die KI unterstützt, ersetzt aber weder die fachliche Bewertung noch Entscheidungen. Im Human-in-the-Loop prüfen Menschen die Vorschläge kritisch, korrigieren sie und geben die Ergebnisse selbst frei. Ob Effizienz und Klarheit tatsächlich steigen, zeigt sich erst in der eigenen Anwendung und anhand realer Ergebnisse.