Wie wird eine Risiko-Heatmap erstellt?

Eine Risiko-Heatmap wird erstellt, indem Risiken zuerst identifiziert, dann nach Eintrittswahrscheinlichkeit und Schwere der Auswirkungen bewertet und schließlich in eine Matrix mit genau diesen beiden Achsen eingetragen werden. Die Felder der Matrix sind farbig abgestuft, meist von Grün über Gelb bis Rot. So ist auf einen Blick erkennbar, welche Risiken vorrangig behandelt werden müssen.

Die Heatmap ist damit ein Werkzeug zur Visualisierung im Risikomanagement von Unternehmen und Projekten. Sie wird manchmal auch Risikomatrix genannt. Das zugrunde liegende Raster heißt Risk Assessment Matrix (RAM), auf Deutsch Risikobewertungsmatrix oder Risikoanalyse-Matrix. Entscheidungsträger erhalten einen schnell erfassbaren Überblick über die Risikolage, können Prioritäten setzen und Mittel gezielt dort einsetzen, wo die größten Gefahren liegen.

Wie eine Risiko-Heatmap aufgebaut ist

Eine Achse steht für die Eintrittswahrscheinlichkeit, die andere für das Ausmaß des möglichen Schadens. Häufig liegt die Wahrscheinlichkeit auf der waagerechten und die Auswirkung auf der senkrechten Achse; verbindlich ist das nicht. Beide Achsen sind in Stufen von niedrig bis hoch eingeteilt, zum Beispiel in drei oder fünf Stufen.

Jedes Risiko erscheint als Punkt, Kreis oder Feld an der Stelle, die seiner Bewertung entspricht. Risiken, die zugleich wahrscheinlich und schwerwiegend sind, landen im oberen rechten Bereich und sind rot markiert. Weniger kritische Risiken liegen im gelben Bereich, Risiken mit geringer Priorität unten links im grünen. Je kräftiger die Farbe, desto höher das Risiko. Eine Darstellung, die zusätzlich Kennzahlen bündelt, ist die Risiko-Scorecard.

Die Risk Assessment Matrix

Die Risk Assessment Matrix ist das Raster, auf dem jede Heatmap aufbaut: eine Achse für die Wahrscheinlichkeit, dass ein Ereignis eintritt, eine für die Schwere seiner Auswirkungen. Häufig wird sie als Tabelle mit drei Stufen je Achse (niedrig, mittel, hoch) dargestellt, feinere Skalen nutzen für die Wahrscheinlichkeit etwa „selten“, „möglich“, „wahrscheinlich“ und „sehr wahrscheinlich“, für die Schwere Stufen von „vernachlässigbar“ über „mittelschwer“ bis „kritisch“. Jedes Risiko wird nach beiden Kriterien bewertet und einer Kategorie zugeordnet. Je nach Risikobereitschaft planen Unternehmen daraus Maßnahmen zur Minderung oder akzeptieren Risiken bewusst.

Die Matrix ist ein einzelnes Werkzeug innerhalb des Risikomanagementprozesses. Die Risikoanalyse bezeichnet dagegen den gesamten Vorgang, in dem Risiken identifiziert und bewertet werden und zu dem die Nutzung der Matrix gehören kann. Eingesetzt wird sie etwa bei Großprojekten im Bauwesen, um Verzögerungen durch schlechtes Wetter oder Lieferengpässe zu bewerten, oder bei der Einführung neuer Software, um Sicherheitsrisiken einzustufen. Die Ergebnisse fließen in Risikomanagementpläne mit Maßnahmen, Verantwortlichkeiten und Fristen ein. Wie Risiken zusätzlich den vorhandenen Kontrollen zugeordnet werden, beschreibt der Beitrag zur Risiko- und Kontroll-Matrix.

In fünf Schritten zur Risiko-Heatmap

1. Risiken identifizieren: In Workshops oder Brainstorming-Runden werden mögliche Risiken gesammelt, ergänzt um Daten aus internen Berichten, Branchenanalysen und anderen Quellen. Die Risiken können finanzieller, operativer, rechtlicher, strategischer oder technologischer Art sein. Methoden dafür beschreibt der Beitrag zur Risikoidentifikation.
2. Skalen festlegen: Vorab wird definiert, was „niedrig“, „mittel“ und „hoch“ bei Wahrscheinlichkeit und Auswirkung bedeuten, etwa in Schadenshöhen oder Häufigkeiten. Diese Definitionen müssen für alle Risiken gleich angewendet werden, sonst sind die Einordnungen nicht vergleichbar.
3. Risiken bewerten: Jedes Risiko erhält einen Wert für die Wahrscheinlichkeit und einen für die Auswirkung. Wie eine solche Risikobewertung im Einzelnen abläuft, erklärt ein eigener Beitrag.
4. Risiken eintragen: Die bewerteten Risiken werden in der Matrix positioniert und die Felder nach festgelegten Schwellenwerten eingefärbt.
5. Auswerten und Maßnahmen ableiten: Die fertige Heatmap dient als Grundlage für Gespräche darüber, welche Risiken akzeptabel sind und welche vermieden, gemindert oder übertragen werden sollen.

Eine Heatmap bildet nur den Stand zum Zeitpunkt ihrer Erstellung ab. Damit sie aussagekräftig bleibt, wird sie regelmäßig aktualisiert, sobald neue Risiken hinzukommen oder sich Bewertungen ändern. Viele Organisationen speisen sie direkt aus ihrem Risikoregister.

Wo Risiko-Heatmaps eingesetzt werden

Risiko-Heatmaps finden sich in der Finanzplanung, in der IT-Sicherheit, im Projektmanagement und in der Compliance. Eine Bank kann damit ihre Kreditrisiken darstellen, ein IT-Unternehmen seine Cybersicherheitsrisiken, ein Projektteam die Gefahren für Termine und Budget. Genutzt werden sie von Geschäftsführung, Risikomanagern und Projektteams ebenso wie in Berichten an Aufsichtsgremien und weitere Stakeholder.

Beispiel: Marktrisiken im Einzelhandel

Ein Einzelhandelsunternehmen bewertet drei Risiken: ein verändertes Käuferverhalten, Störungen in der Lieferkette und neue Regulierungen. Hält es Lieferkettenstörungen für wahrscheinlich und folgenreich, erscheinen sie im roten Bereich. Neue Regulierungen mit mittlerer Wahrscheinlichkeit und mittlerer Auswirkung landen im gelben Feld. Das Management sieht so sofort, wo es handeln muss (etwa mit zusätzlichen Lieferanten) und wo vorbeugende Maßnahmen und Beobachtung genügen.

Stärken und Grenzen der Methode

Die größte Stärke der Heatmap ist ihre Einfachheit: Sie stellt komplexe Risikoinformationen verständlich dar und schafft eine gemeinsame Grundlage für Gespräche über Risiken auf allen Ebenen des Unternehmens und mit externen Stakeholdern. Da sie sich leicht aktualisieren lässt, spiegelt sie Veränderungen der Risikolage schnell wider.

Die Vereinfachung hat ihren Preis. Ursache-Wirkungs-Beziehungen und Abhängigkeiten zwischen Risiken bildet die Heatmap nicht ab. Zudem beruhen die Einstufungen oft auf subjektiven Einschätzungen, die das Bild verzerren können. Heatmaps sollten deshalb regelmäßig überprüft und durch weitere Analysen und Diskussionen im Team ergänzt werden. Hinweise zur Auswahl und Anwendung von Techniken der Risikobeurteilung gibt die gemeinsam von IEC und ISO herausgegebene Norm IEC 31010:2019.

Häufige Fragen zur Risiko-Heatmap

Wem nützt eine Risiko-Heatmap?

Vor allem Führungskräften, Risikomanagern und Projektteams, die schnell erkennen müssen, welche Risiken besondere Aufmerksamkeit brauchen. Auch Aufsichtsgremien und andere Stakeholder erfassen über die Heatmap die Risikolage, ohne sich durch lange Tabellen arbeiten zu müssen.

Wie werden Farben und Schwellenwerte festgelegt?

Üblich ist ein Spektrum von Grün über Gelb bis Rot, wobei Rot die höchste Risikostufe darstellt. Wo genau die Grenzen zwischen den Farben liegen, richtet sich nach den Bedürfnissen der Organisation und ihrer Risikotoleranz. Eine intuitiv verständliche Farbgebung erleichtert es allen Beteiligten, die Darstellung richtig zu lesen.

Wie unterstützt eine Risiko-Heatmap Entscheidungen?

Sie zeigt in einer geordneten Übersicht, welche Risiken die höchste Priorität haben und wo sofortiges Handeln nötig sein kann. Begrenzte Mittel lassen sich so gezielt in Maßnahmen gegen die kritischsten Risiken lenken.

Welche Software eignet sich für Risiko-Heatmaps?

Für einfache Heatmaps reicht eine Tabellenkalkulation wie Microsoft Excel mit ihren Diagramm- und Farbfunktionen. Spezialisierte Risikomanagement-Software bietet darüber hinaus die automatische Übernahme und Auswertung von Daten, Unterstützung bei der Risikobewertung und dynamisch angepasste Darstellungen.

Wie fügt sich die Heatmap in den Risikomanagementprozess ein?

Sie folgt auf die Identifikation und Bewertung der Risiken. Aus den Prioritäten, die sie sichtbar macht, werden Strategien zur Vermeidung oder Minderung entwickelt. Danach werden Risikolage und Maßnahmen laufend überwacht, die Heatmap wird angepasst und dient zugleich dazu, die Wirksamkeit der Maßnahmen zu beurteilen.

Wie oft sollte eine Risiko-Heatmap aktualisiert werden?

In festen Abständen passend zum Risikomanagement-Zyklus der Organisation und zusätzlich immer dann, wenn neue Risiken auftreten oder sich die Lage eines Risikos deutlich verändert. Eine veraltete Heatmap vermittelt eine falsche Sicherheit.