Risikoanalyse Beispiel: Schritt für Schritt mit Risikomatrix und Vorlage

Eine Risikoanalyse untersucht, welche Ereignisse einem Unternehmen schaden können, was sie auslöst, wie wahrscheinlich sie sind und welche Folgen sie hätten. Die anschließende Bewertung bringt die Risiken in eine Reihenfolge, daraus werden Maßnahmen abgeleitet. Die Norm ISO 31000 fasst Identifikation, Analyse und Bewertung als Risikobeurteilung zusammen.

Unten finden Sie ein durchgerechnetes Beispiel mit Risikomatrix und eine kostenlose Vorlage als PDF.

Die Risikoanalyse ist ein systematischer Prozess, der zum Ziel hat, potenzielle Risiken im Unternehmenskontext zu erkennen und zu bewerten. Der Prozess ist entscheidend für die Entwicklung einer umfassenden Risikomanagementstrategie. Die Analyse umfasst mehrere Schlüsselschritte:

• Risiken identifizieren: Dieser Schritt beinhaltet die systematische Identifizierung von Risiken, die das Unternehmen beeinflussen könnten.

• Bewertung der Risiken: Hier werden die identifizierten Risiken hinsichtlich ihrer Eintrittswahrscheinlichkeit und der potenziellen Auswirkungen bewertet.

• Entwicklung von Maßnahmen: Auf Basis der Bewertung werden Strategien und Maßnahmen entwickelt, um die Risiken zu minimieren oder deren Auswirkungen zu kontrollieren.

Um das Konzept der Risikoanalyse besser zu veranschaulichen, wird hier ein fiktives Beispiel eines mittelständischen Unternehmens vorgestellt, das in der Elektronikbranche tätig ist.

1. Schritt: Risiken identifizieren
   • Lieferengpässe aufgrund von politischen Unruhen in einem Hauptlieferland
   • Preisschwankungen bei wichtigen Rohstoffen
   • Änderungen in der Gesetzgebung, wie z.B. das Lieferkettengesetz
2. Schritt: Bewertung der Risiken
   • Lieferengpässe könnten zu erheblichen Produktionsausfällen und somit zu finanziellen Verlusten führen.
   • Preisschwankungen bei Rohstoffen könnten die Gewinnmargen negativ beeinflussen.
   • Nichtbeachtung des Lieferkettengesetzes könnte zu Reputationsverlust und rechtlichen Konsequenzen führen.
3. Schritt: Entwicklung von Maßnahmen
   • Diversifikation der Lieferantenbasis zur Reduzierung von Abhängigkeiten.
   • Absicherung gegen Preisschwankungen durch Finanzinstrumente.
   • Implementierung eines Compliance-Management-Systems zur Einhaltung des Lieferkettengesetzes sowie der Arbeitsschutzvorgaben, um sicherzustellen, dass alle Lieferanten die erforderlichen Sicherheitsstandards einhalten.

Risikomatrix zum Beispiel

In diesem vereinfachten Beispiel werden die Stufen für Wahrscheinlichkeit und Auswirkung multipliziert. Die Wahrscheinlichkeit bezieht sich auf die nächsten zwölf Monate, von 1 (sehr unwahrscheinlich) bis 5 (sehr wahrscheinlich). Die Auswirkung reicht von 1 (kaum spürbar) bis 5 (schwerer Schaden, etwa wochenlanger Produktionsstopp). Beim Lieferkettenrisiko zählt die Schwere für die betroffenen Menschen. Die Einteilung 1 bis 6 gering, 8 bis 12 mittel und 15 bis 25 hoch ist selbst gewählt.

Jede Maßnahme bekommt einen Termin. Ist sie umgesetzt, wird das Risiko neu bewertet.

Die Bewertung vor den Maßnahmen ergibt das Bruttorisiko. Nach umgesetzten und auf Wirksamkeit geprüften Maßnahmen wird neu bewertet, das Ergebnis ist das Nettorisiko oder Restrisiko. Solange die Maßnahmen nur geplant sind, handelt es sich um ein erwartetes Restrisiko.

Die Matrix hat Grenzen: Rangstufen zu multiplizieren ist eine Vereinfachung. Unterschiedliche Risiken erhalten gleiche Werte, und das Ergebnis hängt von der gewählten Skala ab (Cox, 2008). Das Beispiel ist eine semiquantitative Bewertung auf qualitativer Grundlage. Nutzen Sie den Risikowert als Orientierung und prüfen Sie Risiken mit besonders schweren Folgen unabhängig vom Gesamtwert.

Eine Vorlage ist ein nützliches Instrument, um den Prozess der Analyse zu strukturieren und effizient zu gestalten. Eine solche Vorlage beinhaltet typischerweise:

• Eine Liste mit Beispielen potenzieller Risiken
• Methoden zur Bewertung der identifizierten Risiken
• Vorlagen für die Dokumentation und Entwicklung von Maßnahmen

Lieferkettengesetz

Das Lieferkettengesetz (LkSG) verpflichtet Unternehmen ab 1.000 Beschäftigten im Inland zu einer Risikoanalyse im eigenen Geschäftsbereich und bei unmittelbaren Zulieferern (§ 5 LkSG). Sie ist einmal im Jahr und anlassbezogen durchzuführen, etwa wenn sich die Risikolage wesentlich ändert. Die Bundesregierung hat im September 2025 eine Änderung des Gesetzes auf den Weg gebracht, unter anderem soll die Berichtspflicht entfallen. Den aktuellen Stand veröffentlicht das BAFA.

Nach den Handreichungen des BAFA beginnt die Risikoanalyse abstrakt, etwa nach Branche und Land, und geht dann bei Zulieferern mit erhöhtem Risiko ins Detail. Unterschiedslose Abfragen bei allen Zulieferern ohne Bezug zu ermittelten Risiken gelten nicht als angemessen; gezielt eingesetzte Fragebögen sind dagegen möglich.

Eine erweiterte Analyse berücksichtigt nicht nur interne Prozesse und externe Faktoren, sondern auch strategische und operative Aspekte. Dazu gehören:

• Finanzielle Risiken: Dies umfasst Risiken im Zusammenhang mit Finanzmärkten, Zinssätzen, Währungsschwankungen und Liquidität.

• Operative Risiken: Hierbei geht es um Risiken, die mit dem operativen Geschäft des Unternehmens zusammenhängen, wie etwa Produktionsausfälle oder IT-Sicherheitsrisiken.

• Strategische Risiken: Diese beziehen sich auf längerfristige Aspekte wie Marktveränderungen, Wettbewerbsdynamik und technologische Entwicklungen.

Risikoanalyse je Anwendungsfall

Je nach Zweck gibt es eigene Methoden und Vorgaben:

Eine Risikoanalyse ist kein einmaliges Dokument. Sie wird regelmäßig und bei wesentlichen Änderungen aktualisiert, und die Maßnahmen werden nachverfolgt. Für den Fall, dass ein Risiko eintritt, ergänzt ein Business Continuity Plan die Analyse.

Bild: Adobe Stock – Copyright-Hinweis: © Kanisorn – stock.adobe.com