Risikomatrix: So messen und bewerten Sie Risiken

Viele Geschäftsmodelle und Projekte scheitern bereits nach kurzer Zeit, weil ungeplante Risiken aufgetreten sind. Um darauf vorbereitet zu sein und bestimmte Risiken bewusst eliminieren oder minimieren zu können, wird Risikomanagement betrieben. Ein bewährtes Tool dafür ist eine Risikomatrix. Wie Sie diese einsetzen und warum sie so wichtig ist, erfahren Sie im folgenden Artikel.

Was ist eine Risikomatrix?

Eine Risikomatrix (auch als Risikoportfolio bekannt) stellt Risiken eines Projekts vereinfacht visualisiert in einem Schema dar. Dabei werden alle möglichen Risiken nach Eintrittswahrscheinlichkeit und Auswirkungsausmaß beurteilt und in ein Koordinatensystem eingetragen.

Das Hauptziel jeder Risikomatrix: Gefährdungsbeurteilung

Zu Beginn eines neuen Projekts oder einer neuen Unternehmung sollten Sie sich stets die Frage stellen: Welche Risiken können auftreten? Welchen Einfluss haben diese auf das Projekt? Wie wahrscheinlich ist es, dass diese Risiken eintreten?

Eine Risikomatrix, auch Risikoportfolio genannt, fasst die Erkenntnisse aus diesen Fragen vereinfacht in einem Schaubild mit zwei Skalen zusammen. Risikoportfolios finden oft im Bereich der Arbeitssicherheit Anwendung. Laut Arbeitsschutzgesetz ist jeder Arbeitgeber und jede Arbeitgeberin dazu verpflichtet, sämtliche arbeitsplatzbezogenen Gefährdungen zu ermitteln und daraus resultierende Sicherheitsvorkehrungen zu treffen. Ein anderes Wort für das Ergebnis aus dieser Risikoermittlung: Gefährdungsbeurteilung.

Wie hoch ist die Gefahr, dass ein bestimmtes Risiko eintritt? Diese zentrale Frage stellen sich nicht nur Arbeitgeber im Sinne ihrer Mitarbeiterinnen und Mitarbeiter, sondern auch Projektverantwortliche in allen Geschäftsbereichen von Vertrieb über Service bis zum Marketing.

Die Ziele einer Risikomatrix sind:

• Übersichtliche Darstellung aller möglichen Risiken
• Priorisierung aller Risiken
• Überblick über die Risikosituation eines Projekts
• Ermittlung des akuten Handlungsbedarfs zur Risikominimierung

Zu jedem Projekt gehört also eine umfassende Risikoanalyse und -bewertung, die in einer Risikomatrix für alle Projektbeteiligten verständlich und präzise visualisiert wird. Die Darstellung erfolgt dabei immer auf zwei Achsen: Die eine Achse zeigt die Eintrittswahrscheinlichkeit eines Risikos, die andere das Gefährdungsausmaß. Welchen Wert Sie auf der horizontalen und welchen auf der vertikalen Achse eintragen, ist zweitrangig.

Doch woher kommt diese theoretische Grundlage des Risikomanagements, das so wichtig für den nachhaltigen Erfolg eines Projekts ist?

Risikomatrix: Nohl als Taktgeber

Die bereits beschriebene Analyse der Risiken und anschließende Verarbeitung in einer Matrix wird auch Risikomatrix nach Nohl genannt. Neben dieser Methodik gibt es weitere Werkzeuge, die zur Bewertung von Risiken zum Einsatz kommen.

Dazu gehören neben dem ebenfalls weit verbreiteten ALARP-Prinzip (as low as reasonable practicable) das Nomogramm nach Raafat oder die Risikozahlen nach Reudenbach.

In der Praxis kommt jedoch vorzugsweise die Risikomatrix nach Nohl zum Einsatz, die aus dem Arbeitsschutz stammt. Die Methodik lässt sich eins zu eins in Projektmanagement aller Arten integrieren.

Die Skalen der Eintrittswahrscheinlichkeit und Auswirkung sind dabei je nach Projekt und dessen Rahmenbedingungen anders zu definieren. Während manche Projekte klar definierte Eintrittswahrscheinlichkeiten haben, beispielsweise in 20 Prozent-Schritten, sind diese bei anderen Projekten weniger klar. In diesem Fall würden Sie eine breitere Skala mit beispielsweise lediglich drei Ausprägungen wählen.

Die Dimensionen einer Risikomatrix: Eintrittswahrscheinlichkeit

Die erste Dimension Ihrer Risikomatrix wird meist auf der x-Achse dargestellt und als Eintrittswahrscheinlichkeit oder vereinfacht Wahrscheinlichkeit bezeichnet. Überwiegend werden für diese Skala drei bis fünf Stufen gewählt. Fünf Stufen könnten aufsteigend wie folgt aussehen:

• 0 – 20 Prozent / sehr gering /sehr unwahrscheinlich
• 21 – 40 Prozent / gering / eher unwahrscheinlich
• 41 – 60 Prozent / mittel / wahrscheinlich
• 61 – 80 Prozent / hoch / eher wahrscheinlich
• 81 – 100 Prozent / sehr hoch / sehr wahrscheinlich

Wie genau Sie die Skala bezeichnen, ist Ihnen überlassen – die Namen sind willkürliche Beispiele. Wichtig ist: Die Kriterien für die Klassifizierung der einzelnen Risiken müssen klar definiert sein. Ziehen Sie dazu beispielsweise Vergleichswerte aus der Vergangenheit oder von ähnlichen Projekten heran, um möglichst präzise einordnen zu können.

Wenn Sie diese Einteilung „aus dem Bauch heraus“ vornehmen, wird der Sinn des Risikoportfolios verfehlt. Um das zu umgehen, ist aktives Risikomanagement notwendige Voraussetzung.

Die Dimensionen einer Risikomatrix: Auswirkung

Die zweite Dimension Ihres Risikoportfolios beschreibt die Auswirkung eines Risikos auf Ihr Projekt, sofern es eintritt. Diese Dimension wird auch Schadensausmaß oder Schadensschwere genannt und in der Regel auf der y-Achse einer Grafik oder Tabelle dargestellt.

Auch hier arbeiten Sie üblicherweise mit drei bis fünf Ausprägungen. Im Vergleich zur Eintrittswahrscheinlichkeit, die losgelöst des betrachteten Projekts mit einer Prozentangabe angegeben werden kann, sind die Auswirkungen immer individuell. Die y-Achse Ihrer Matrix könnte wie folgt aufsteigend aussehen:

• sehr gering / 0 Euro / Vollauslastung
• gering / 1 – 9.999 Euro / Kapazität > 80 Prozent
• mittel / 10.000 – 49.999 Euro / Kapazität > 60 Prozent
• hoch / 50.000 – 99.999 Euro / Kapazität > 40 Prozent
• sehr hoch / mehr als 100.000 Euro / Zuschauerausschluss

Die Bezeichnungsarten sind bewusst unterschiedlich gewählt. Die erste Variante ist allgemein gehalten und lässt auf den ersten Blick nicht direkt erahnen, welche Konsequenzen wirklich drohen, sollte ein Risiko eintreten. Bei den beiden andere Arten wird die Auswirkung klarer.

Während bei der zweiten Variante eine Auswirkung als monetärer Verlust gemessen wird, bezieht sich die dritte Art auf ein sehr konkretes Beispiel, mit dem vielen Veranstalter in der Corona-Pandemie zu kämpfen haben. Wie wirkt sich das Eintreten bestimmter Risiken und Ereignisse auf die Zuschauerauslastung aus?

Wie werden die Ergebnisse vom Risikoportfolio verarbeitet?

Nachdem Sie sowohl alle Risiken identifiziert als auch die Skalen Ihrer Risikomatrix definiert haben, weisen Sie die Risiken den entsprechenden Feldern zu. Nutzen Sie beispielsweise sowohl beim Schadensausmaß als auch der Eintrittswahrscheinlichkeit fünf Abstufungen, ergeben sich 25 mögliche Einstufungen jedes einzelnen Risikos.

Je nachdem, wie viele Risiken Sie insgesamt bewerten, kommt eine klassische Risikomatrix an die Grenzen ihrer Übersichtlichkeit. Achten Sie daher darauf, nicht zu viele Risiken in einer Matrix darzustellen. Für das visuelle Abbilden in der Matrix eignen sich Nummern oder Symbole für die einzelnen Risiken, die dann ausführlich erläutert mit dem Risikoportfolio präsentiert werden.

Um auf den ersten Blick zu erkennen, welche Risiken zu vernachlässigen sind, welche beachtet und welche aktiv bearbeitet werden müssen, empfiehlt sich eine farbliche Unterlegung der Felder – beispielsweise grün, gelb und rot für aufsteigenden Handlungsdruck.

Eine alternative Darstellung der grafischen Matrix funktioniert über eine klassische Tabelle, in der alle Risiken und deren Eintrittswahrscheinlichkeiten und Auswirkungen eingetragen werden. Der Vorteil dabei: Sie können direkt weitere Tabellenspalten wie „Maßnahmen“ oder „Verantwortliche/r“ aufnehmen.

Losgelöst von der Art der Darstellung stehen Sie nun vor der Aufgabe, die richtigen Schlüsse aus der Risikomatrix zu ziehen. Welche Risiken sind akzeptierbar? Welche sollten Sie im Auge behalten? Welche Risiken sind akut und müssen aktiv bearbeitet werden?

Eine feste und unverrückbare Definition gibt es dafür nicht. Die Bewertung ist stets von der Art des Projekts und der Risiken abhängig. Den Risiken, die nach Ihrer Bewertung nicht akzeptiert werden können, sollten Sie aktiv entgegenwirken.

Das bedeutet nicht, dass diese Risiken (immer) eliminiert werden können. Ergreifen Sie Maßnahmen, um die Eintrittswahrscheinlichkeit zu senken. Vor allem Risiken, die in oben genannter Farbdefinition in den roten Bereich fallen, bedürfen einer sofortigen Bearbeitung.

Durch das laufende Beobachten und Bearbeiten der Risiken kann sich Ihre Risikomatrix verändern. Wenn Sie es schaffen, ein „rotes Risiko“ in ein „gelbes Risiko“ abzuschwächen, verändert das Ihr Risikoportfolio. Auch äußere Einflüsse wirken sich entsprechend aus. Eine Risikomatrix ist daher stets als Momentaufnahme zu betrachten und eingebettet in Ihr ganzheitliches Risikomanagement zu verstehen.

Risikomatrix erstellen: Eine Risikomatrix im Beispiel

Um besser verstehen zu können, wie Sie eine Risikomatrix von Grund auf erstellen, stellen Sie folgendes plakatives Beispiel vor. Anhand der einzelnen Schritte wird klar, wie die systematische Ausarbeitung eines Risikoprofils erfolgt.

Um zu einer Risikomatrix zu gelangen, sind folgende Schritte notwendig:

• Identifikation aller Risiken
• Definition der Skalen der Risikomatrix
• Festlegung der Kriterien für Eintrittswahrscheinlichkeit und Auswirkung
• Bewertung der Risiken
• Ableitung der notwendigen Maßnahmen zur Risikoreduktion

Versetzen Sie sich für das Beispiel in einen Projektleiter, der für die Kunden und Kundinnen Ihres Unternehmens ein Event plant. Es werden rund 250 Gäste erwartet, der Abend soll die Bindung zu Ihren Geschäftskunden stärken. Dafür engagieren Sie einen Caterer, zwei externe Speakerinnen und eine Liveband, die im Freien spielen soll. Sie definieren im ersten Schritt unter anderem folgende Risiken:

• Risiko 1: Es regnet und die Band kann nicht auftreten.
• Risiko 2: Die Qualität des Caterings ist nicht angemessen.
• Risiko 3: Ihre Speakerinnen verspäten sich und erscheinen nicht rechtzeitig zu ihren Vorträgen.
• Risiko 4: Die Technik fällt aus und weder Band noch Vorträge und die Moderation können wie geplant stattfinden.

Im zweiten Schritt definieren Sie nun die Skalen der Risikomatrix. Sie entscheiden sich für eine einfache Darstellung, die sowohl die Eintrittswahrscheinlichkeit (gering, mittel, hoch) als auch die Auswirkungen (keinen Einfluss auf Kundenzufriedenheit, spürbarer Einfluss, starker Einfluss) in jeweils drei Kategorien aufteilt.

Der nächste Schritt führt die einzelnen Skalenelemente weiter aus: Was bedeutet „kein Einfluss auf Kundenzufriedenheit“ genau? Wie hoch ist die „mittlere Eintrittswahrscheinlichkeit“? Zudem definieren Sie mit Farben, welche Risiken vernachlässigbar, wichtig und akut sind. Die leere Risikomatrix sieht wie folgt aus:

Im vierten Schritt bewerten Sie die Risiken und ordnen Sie in der Risikomatrix ein.

Nun sehen Sie auf einen Blick, welche Risiken vernachlässigbar (grün) sind, welche ernst genommen werden müssen (gelb) und welchen aktiv entgegengewirkt werden muss (rot). Für Ihre Veranstaltungsrisiken bedeutet das:

• Risiko 1: Schlechtes Wetter kann den Auftritt der Band komplett verhindern. Dieses Risiko fällt in die rote Kategorie und erfordert dadurch akuten Handlungsbedarf. Um dieses hohe Risiko mit starkem Einfluss zu reduzieren, könnten Sie beispielsweise eine überdachte Bühne aufbauen. Das minimiert das Risiko eines Totalausfalls des Auftritts der Band.
• Risiko 2: Ein schlechtes Catering nimmt spürbaren Einfluss auf die Zufriedenheit Ihrer Kundschaft. Da Sie vor der finalen Auswahl ein Probeessen vereinbaren, ist das Risiko als gering einzustufen. Es gibt also keinen akuten Handlungsbedarf.
• Risiko 3: Sie haben die zwei Speakerinnen in Ihrer Programmankündigung prominent platziert. Ein Ausfall hätte einen starken Einfluss auf die Zufriedenheit Ihrer Gäste. Das Risiko ist allerdings überschaubar, da die zwei Vortragenden bereits vier Stunden vor ihrem Auftritt planmäßig ankommen. Um dennoch das Risiko etwas abzufedern, könnten Sie etwas zeitlichen Puffer in den Programmablauf einbauen.
• Risiko 4: Keine Moderation, kein Liveauftritt und keine Reden – ein Ausfall der Technik wäre ein massives Problem. Sie haben die Eintrittswahrscheinlichkeit als „mittel“ klassifiziert, da es in der Vergangenheit bei ähnlichen Veranstaltungen immer wieder Probleme gegeben hat. Um dem entgegenzuwirken, können Sie den gesamten technischen Ablauf mehrfach mit dem Veranstalter proben.

Das Beispiel ist zwar plakativ, zeigt jedoch einfach auf, wie Sie eine simple Risikomatrix erstellen und die entsprechenden Schlüsse daraus ziehen können. Die Systematik bleibt losgelöst vom Projekt, Geschäftsmodell und der Skalendefinition immer gleich.

Fazit: Risikomatrix erstellen ist Pflicht

Wenn Sie sich an ein neues Projekt wagen, ist die Analyse des Risikos ein entscheidender Faktor für dessen nachhaltigen Erfolg. Das Identifizieren aller Risiken und die anschließende Einordnung in eine Risikomatrix hilft dabei, gefährliche Risiken und Situationen zu erkennen und ihnen vorzubeugen.

So verhindern Sie, dass in der Retrospektive eines gescheiterten oder suboptimal verlaufenen Projekts der Satz „Das hätte man auch vorher ahnen können…“ fällt. Ob Sie ein neues Produkt auf den Markt bringen, ein großes Marketingprojekt starten oder eine neue Firma gründen – ein systematisch erstelltes Risikoportfolio ist Pflicht.

Titelbild: Sam Edwards / iStock / Getty Images Plus