Risikobewertung: Ablauf, Risikomatrix und Anforderungen der ISO-Normen

Die Risikobewertung ist der Schritt im Risikomanagement, in dem ein identifiziertes und analysiertes Risiko gegen vorab festgelegte Kriterien gehalten wird, um zu entscheiden, ob es akzeptabel ist oder behandelt werden muss – und mit welcher Priorität. Sie beantwortet die Frage: Ist dieses Risiko tragbar? Grundlage sind die Risikoanalyse, die Eintrittswahrscheinlichkeit und Auswirkung bestimmt, und die Risikokriterien, die das Unternehmen vorher definiert hat. Der Begriff wird in allen Managementsystemnormen verwendet; im Alltag steht „Risikobewertung“ oft auch für den gesamten Prozess aus Identifikation, Analyse und Bewertung – die Normen nennen diesen Dreischritt Risikobeurteilung.

Der Ablauf: Identifikation, Analyse, Bewertung

Risiken identifizieren: Was könnte passieren? Quellen, Ereignisse, Ursachen, Folgen – für Informationswerte, Arbeitsplätze, Umweltaspekte, Prozesse oder Ziele; Methoden: Checklisten, Brainstorming, Begehung, Szenarien, FMEA.
Risiken analysieren: Wie wahrscheinlich ist das Ereignis, wie schwer die Folgen? Qualitativ in Stufen (gering, mittel, hoch), halbquantitativ mit Punktwerten oder quantitativ in Euro und Häufigkeit. Ergebnis ist das Risikoniveau, meist als Produkt oder Matrixposition.
Risiken bewerten: Das Niveau wird mit den Kriterien verglichen: unterhalb der Akzeptanzschwelle wird das Risiko akzeptiert (siehe Risikoakzeptanz), darüber muss es behandelt werden – vermeiden, vermindern, übertragen – oder mit Begründung durch die zuständige Leitung bewusst getragen werden. Die Bewertung liefert auch die Rangfolge der Behandlung.

Beispiel: Risikomatrix

Die verbreitetste Darstellung ist die Matrix aus Eintrittswahrscheinlichkeit und Auswirkung, hier mit je vier Stufen; das Produkt ergibt das Risikoniveau, die Farbe die Bewertung:

Wahrscheinlichkeit \ Auswirkung	gering (1)	mittel (2)	hoch (3)	sehr hoch (4)
sehr wahrscheinlich (4)	4 – mittel	8 – hoch	12 – nicht akzeptabel	16 – nicht akzeptabel
wahrscheinlich (3)	3 – gering	6 – mittel	9 – hoch	12 – nicht akzeptabel
möglich (2)	2 – gering	4 – mittel	6 – mittel	8 – hoch
unwahrscheinlich (1)	1 – gering	2 – gering	3 – gering	4 – mittel

Die Kriterien dazu: bis 3 akzeptiert, 4 bis 6 Maßnahmen bei Gelegenheit, 8 bis 9 Maßnahmen mit Termin, ab 12 sofortige Behandlung und Freigabe durch die Geschäftsführung. Entscheidend ist, dass die Stufen für Wahrscheinlichkeit und Auswirkung mit Beispielen beschrieben sind – „hoch“ muss für alle Bewertenden dasselbe bedeuten. Ein Risiko mit geringer Wahrscheinlichkeit und katastrophaler Folge darf durch die Multiplikation nicht verschwinden; viele Unternehmen setzen deshalb bei sehr hoher Auswirkung ein Mindestniveau.

Risikobewertung in den Managementsystemnormen

ISO/IEC 27001: Die Risikobeurteilung (Abschnitt 6.1.2) verlangt festgelegte Kriterien für Risikoakzeptanz und Durchführung, die Identifikation von Risiken für Vertraulichkeit, Integrität und Verfügbarkeit mit Risikoeigentümern, die Analyse nach Folgen und Wahrscheinlichkeit und die Bewertung gegen die Kriterien mit Priorisierung – das Ergebnis steuert die Auswahl der Maßnahmen; siehe Informationssicherheitsrisikobehandlung.
ISO 45001: Bewertung der SGA-Risiken aus den ermittelten Gefährdungen unter Berücksichtigung bestehender Maßnahmen – in Deutschland die Gefährdungsbeurteilung nach § 5 Arbeitsschutzgesetz.
ISO 14001: Bewertung der Umweltaspekte nach ihrer Bedeutung und der Risiken und Chancen aus Aspekten, Verpflichtungen und Kontext.
ISO 9001: risikobasiertes Denken ohne vorgeschriebene Methode – Risiken und Chancen für Prozesse und Konformität bestimmen und Maßnahmen planen (Abschnitt 6.1).
DSGVO: Risiko für die Rechte und Freiheiten der Betroffenen als Maßstab für Maßnahmen (Art. 32) und für die Datenschutz-Folgenabschätzung (Art. 35).

Die ISO 31000 beschreibt den allgemeinen Rahmen, die ISO/IEC 31010 die Bewertungstechniken. Für ein integriertes System empfiehlt sich eine gemeinsame Skala und Matrix für alle Normen, auch wenn die fachlichen Werkzeuge – Gefährdungsbeurteilung, Aspektebewertung, IT-Risikoanalyse – getrennt bleiben.

Häufige Fragen zur Risikobewertung

Was ist der Unterschied zwischen Risikoanalyse und Risikobewertung?

Die Risikoanalyse bestimmt Eintrittswahrscheinlichkeit und Auswirkung eines Risikos und ermittelt daraus das Risikoniveau. Die Risikobewertung vergleicht dieses Niveau mit den vorher festgelegten Kriterien und entscheidet, ob das Risiko akzeptabel ist oder behandelt werden muss und mit welcher Priorität. Zusammen mit der Risikoidentifikation bilden beide die Risikobeurteilung.

Wie oft muss eine Risikobewertung wiederholt werden?

In geplanten Abständen – üblich ist jährlich vor der Managementbewertung – und immer bei wesentlichen Änderungen: neue Systeme, Prozesse, Anlagen, Standorte, Dienstleister, Rechtslage oder nach einem Vorfall. Die ISO 27001 verlangt ausdrücklich beides; die Gefährdungsbeurteilung im Arbeitsschutz ist bei jeder relevanten Änderung zu aktualisieren.