Risikomanagement

Während man bei privaten Risiken auf Eigeninitiative angewiesen ist, eröffnen sich mit technischen Risiken ganze Welten. Das sind sowohl die Anwendungsgebiete als auch die Methoden und Tools, mit denen man Risiken bewerten kann. Ergänzt werden sie durch Standards und Normen. Letztere unterliegen auch einer globalen Weiterentwicklung.

Nützlich ist zum Klären der Begriffe: Risikomanagement – Wikipedia

Und die Basis-Norm: DIN ISO 31000 - 2018-10 - DIN Media mit Erklärung ISO 31000 – Wikipedia

Risiken zu bewerten beinhaltet immer eine zahlenmäßige Bewertung, wie der Begriff „Wert“ es auch sagt. Es bleibt also bei der genannten Formel:

Risiko R = Eintrittswahrscheinlichkeit P (in %) mal Auswirkung S (in Zahlen) mit der Formel

R = P x S

wobei man sich merken kann:

• R = Risikowert (oder S = Severity)
• P = Probability = Eintrittswahrscheinlichkeit (oder O = Occurence)
• S = Severity = Schadensausmaß (oder I = Impact)

Auch andere Buchstaben sind in Gebrauch. Das zeigen nachfolgende Beispiele.

Um ein passendes Bild für ein Risiko bekommen, kann man eine Risiko-Matrix (Risk Matrix) verwenden. Die folgende hat jeweils 5 Auswahlfelder für die Eintrittswahrscheinlichkeit (Probability) und die Schwere (Severity).

Zweck der Matrix ist eine gemeinsame Sprache bei der Bewertung des Risikos. Dazu sind in den grau hinterlegten Feldern die gestaffelten Begriffe für Wahrscheinlichkeit und Schwere gezeigt.

Entwickelt man diese einfache Matrix weiter, dann ersetzt man den Begriff „Selten“ z.B. durch „einmal in 10 Jahren“ und den Begriff „fast sicher“ durch „täglich“.

Die Achse mit der „Schwere“, falls das Risiko eintritt, ist besser durch eindeutige Zustände zu beschreiben. In unserem Beispiel zum verpassten Gesprächstermin kann die Schwere ein Jobverlust (Vorstellungstermin) oder eine nicht bestandene Prüfung sein. Mit Phantasie kann man sich hier auch Zahlen (Summe in €) vorstellen, die der verpasste Termin kosten würde.

Zusammengefasst ein wichtiger Punkt

Die Matrix ist kein Messinstrument im naturwissenschaftlichen Sinne. Die Einstufungen „unbedeutend“, „Mäßig“, „Schwer“ usw. sind zunächst nur definierte Kategorien.

Deshalb sind die Beschreibungen neben der Matrix besonders wichtig.

Zum Beispiel sollte „Wahrscheinlichkeit = selten“ nicht einfach bedeuten „kommt selten vor“, sondern möglichst definiert sein:

Selten: Ereignis tritt weniger als einmal in 10 Jahren auf.

Und bei der Schwere beispielsweise:

Schwer: Ausfall führt zu einem Schaden > 1 Mio. € oder zu einem mehrtägigen Betriebsstillstand.

Durch Zahlen in der Matrix können mehrere Personen dasselbe Risiko gleich bewerten.

Der entscheidende Punkt ist: Eine Risikomatrix ist nur so gut wie die Definition ihrer beiden Achsen. Wenn „wahrscheinlich“ und „schwer“ von verschiedenen Personen unterschiedlich verstanden werden, erzeugt die Matrix zwar Zahlen oder Farben, aber keine verlässliche Vergleichbarkeit.

Die folgende Risikomatrix stammt aus einem Projekt der Infrastruktur mit vielen Baustellen, das ich mehrere Jahre begleitet habe. Die Projektleitung wollte die Risiken nicht nur auf finanzielle und gesundheitliche Risiken beschränken, sondern auch die Außenwirkung (Reputation), Umwelt und Gesetze (Compliance) bewerten.

Was ist das Besondere an dieser Matrix?

Das allgemeine Risiko ist im oberen Teil aufgeteilt in

Jeder dieser Aspekte hat einen prozentualen Anteil am Gesamtrisiko. Summiert ergeben sie 100%. Erfahrungsgemäß hat der Aspekt „Sicherheit“ den höchsten Anteil von 30%, denn Unversehrtheit der Projektbeteiligten hat Priorität. (Die Werte sind willkürlich gewählt)

Der untere Teil der Matrix definiert nur die „Sprachregelung“, ein Begriff (z.B. Oft) wird in einen Prozentwert (80%) umgewandelt, aus dem eine zahlenmäßige Bewertung des Gesamtrisikos (Risk Index oder Risikozahl) ermittelt wird.

Diese komplexe Risikomatrix wurde nach mehrfacher Anwendung durch eine schlankere Version ersetzt. Grund waren zu viele Diskussionen der Beteiligten, ob den ihr Aspekt ausreichend bewertet wird.

Zweck der Matrix ist die Berechnung einer Risikozahl oder eines Risk Index, mit dem andere Risiken verglichen werden. Der Vergleich erlaubt eine Priorisierung der möglichen Abstellmaßnahmen.

Empfehlungen

Eine Risikobetrachtung wird immer nur für ein begrenztes Umfeld, einen festgelegten Prozess oder einen Projektabschnitt durchgeführt. Erst wenn alle Beteiligten wissen, „wovon reden wir hier überhaupt“, kann man die technischen Umstände betrachten, Messergebnisse analysieren, die Phantasie walten lassen und das Risiko spezifizieren. Erst dann wissen alle Beteiligten, wovon wir reden.

Ich unterstütze Unternehmen dabei, ein strukturiertes und praxisnahes Risikomanagement aufzubauen und selbst weiterzuentwickeln. Dabei betrachte ich Risiken nicht isoliert, sondern im Zusammenhang mit Produkten, Prozessen, Projekten und den übergeordneten Unternehmenszielen.

Gemeinsam schaffen wir Transparenz darüber, welche Risiken bestehen, wie bedrohlich sie sind und welche Maßnahmen sinnvoll und wirksam sind. So entsteht eine Grundlage für Priorisierung und Entscheidungen.

Meine Leistungen im Risikomanagement:

• Identifikation und Strukturierung von Risiken
• Erstellen einer Risikomatrix
• Systematische Risikobewertung
• Priorisierung von Abstellmaßnahmen
• Bewertung der Wirksamkeit umgesetzter Maßnahmen
• Unterstützung bei der Dokumentation und Nachverfolgung von Risiken

Ein Risikomanagement ist dann wertvoll, wenn aus der Analyse konkrete Handlungen entstehen. Deshalb unterstütze ich nicht nur bei der Identifikation und Bewertung von Risiken, sondern begleite auch die Ableitung, Priorisierung und Nachverfolgung geeigneter Maßnahmen.

Mein Anspruch

Risikomanagement soll keine zusätzliche Bürokratie sein. Es soll Orientierung schaffen und bessere Entscheidungen ermöglichen.