Risikoanalyse anhand der DIN ISO 31000
Risiko ist das Produkt aus einem potenziell möglichen Schaden und der damit verbundenen Eintrittswahrscheinlichkeit. Es sind unvorhersehbare „zufällige“ Störungen in der Zukunft. Diese mögliche Streuung von unerwarteten Abweichungen können die Zielwerte eines Projekts oder des gesamten Unternehmens negativ beeinträchtigen. Diese Beeinträchtigungen können finanzielle Schäden, Ausfälle von Kernprozessen, reputative Schäden oder Auswirkungen auf natürliche Personen nach sich ziehen.
Der Schaden wird in sog. Schadensklassen unterteilt. Diese werden in der Regel in gering, mittel, hoch und sehr hoch aufgeteilt. Die Eintrittswahrscheinlichkeit wird ebenfalls in die vier obengenannten Klassen unterteilt. Diese Tabelle wird durch eine Schätzung in die Zukunft und einen Blick in die Vergangenheit ergänzt.
Unsere Vorgehensweise
Was ist eine Risikoanalyse?
Sie ist ein dienliches Instrument, um Vorfälle frühzeitig zu erkennen und nachhaltige Gegenmaßnahmen einleiten zu können. Alle Störfaktoren können damit abgeschwächt, bis zu einer unternehmensinternen ermittelten Risikoakzeptanz, oder eliminiert werden. Diese umfasst die Identifikation und Analyse aller erdenklichen Risiken. In ihr werden die gesamten Prozessabläufe des Unternehmens, in Zusammenarbeit aller Abteilungen, durchleuchtet und kritisch betrachtet.
Faktoren können sein:
- Materielle und immaterielle Risikoquellen
- Ursachen und Ereignisse
- Bedrohungen und Chancen
- Schwachstellen
- Informationen
- Veränderungen im externen und internen Kontext
Welche Vorteile hat eine Risikoanalyse?
Eine Risikoanalyse dient in erste Linie dem Unternehmen, Entscheidungen im Umgang mit Risiken zu treffen. Die Geschäftsprozesse in Unternehmen sind zunehmend verzweigter und interagieren miteinander. Durch die Interaktion der eigenen Geschäftsprozesse, Lieferanten, Kunden entstehen vermehrt Störanfälle, die es gilt zu vermeiden, minimieren, transferieren oder zu akzeptieren.
Prozessablauf der Risikoanalyse
Risikoidentifikation
In diesem Abschnitt werden alle realistischen Risiken identifiziert. Die Identifikation der Geschäftsprozesse sollte durch den sog. Risikoeigner, sprich dem Verantwortlichen der entsprechenden Abteilung oder Projektteams beurteilt werden. Bei diesem Schritt wird noch keine Beurteilung der Risiken vorgenommen. Der einzige Punkt der hier behandelt wird, ist die Frage: „Was könnte passieren?“
Ein möglicher Tabellenentwurf könnte wie folgt aussehen:
