Risikoanalyse: Methoden und ihre Auswahl

Die wichtigsten Methoden der Risikoanalyse sind die qualitative Analyse auf Basis von Experteneinschätzungen, die quantitative Analyse mit Verfahren wie der Monte-Carlo-Simulation, die Szenarioanalyse, die Risikomatrix sowie technische Verfahren wie FMEA, Fehlerbaumanalyse und HAZOP. Mit ihnen wird für jedes erkannte Risiko ermittelt, welche Ursachen es hat, wie wahrscheinlich es eintritt und welche Auswirkungen es hätte.

Risikoanalysen werden bei der Planung von Projekten, in der Unternehmensstrategie, bei Investitionsentscheidungen und in technischen Bereichen wie der Produkt- und Prozesssicherheit eingesetzt. Welche Methode passt, hängt vom Anwendungsgebiet, von der Komplexität des Vorhabens und von den verfügbaren Daten ab. Quantitative Verfahren beschreibt der Beitrag zur Risikoquantifizierung.

Wo steht die Risikoanalyse im Risikomanagement?

Die Risikoanalyse ist der mittlere von drei Schritten. Vorher werden in der Risikoidentifikation mögliche Risiken gesammelt und beschrieben. Die Analyse untersucht diese Risiken genauer und liefert Angaben zu Wahrscheinlichkeit und Auswirkung. In der anschließenden Risikobewertung werden diese Ergebnisse mit den Kriterien der Organisation verglichen, eingestuft und priorisiert. Erst danach wird über Maßnahmen entschieden.

Eine Risikoanalyse ist kein einmaliger Vorgang. Ändern sich Projektumfeld, Markt oder Organisation, muss sie überprüft und angepasst werden. Eine Berufsbezeichnung für diese Tätigkeit ist der Certified Risk Analyst (CRA) der Global Academy of Finance and Management.

Welche Methoden der Risikoanalyse gibt es?

Qualitative Risikoanalyse

Die qualitative Analyse stützt sich auf Einschätzung und Erfahrung von Fachleuten. Risiken werden nach Schwere und Eintrittswahrscheinlichkeit in Kategorien wie hoch, mittel oder niedrig eingeordnet, ohne tiefgehende Berechnungen. Typische Werkzeuge sind Experteninterviews und die SWOT-Analyse (Strengths, Weaknesses, Opportunities, Threats), die interne Stärken und Schwächen sowie externe Chancen und Gefahren systematisch erfasst. Die qualitative Analyse wird oft als erster Schritt und in frühen Projektphasen eingesetzt.

Quantitative Risikoanalyse

Die quantitative Analyse bestimmt Wahrscheinlichkeit und Auswirkungen mit numerischen Daten. Dazu gehören:

• Monte-Carlo-Simulation: Ein Modell wird mit zufällig gezogenen Eingangswerten sehr oft durchgerechnet. Das Ergebnis ist eine Verteilung möglicher Ausgänge, etwa von Projektkosten oder Verlusten.
• Sensitivitätsanalyse: Sie variiert jeweils eine einzelne Einflussgröße und zeigt, wie stark sich das Ergebnis dadurch verändert. So werden die wichtigsten Treiber sichtbar.
• Entscheidungsbaumanalyse: Entscheidungen und mögliche Ereignisse werden als Verzweigungen mit Wahrscheinlichkeiten und Ergebnissen dargestellt, sodass sich Handlungsalternativen vergleichen lassen.

Diese Verfahren brauchen detaillierte Daten. Sie werden vor allem genutzt, um finanzielle Auswirkungen zu modellieren und Wahrscheinlichkeiten für verschiedene Szenarien zu berechnen.

Szenarioanalyse

Die Szenarioanalyse spielt unterschiedliche, auch extreme Zukunftsentwicklungen durch und untersucht, wie Bedingungen und Entscheidungen das Ergebnis beeinflussen würden. Sie dient der Vorbereitung auf mögliche Entwicklungen und fließt häufig in die strategische Planung und in Notfallpläne ein.

Risikomatrix

Die Risikomatrix trägt Risiken nach Eintrittswahrscheinlichkeit und Ausmaß der Auswirkungen in ein Raster ein. Sie ist einfach anzuwenden und macht sichtbar, welche Risiken sofort Aufmerksamkeit brauchen. Damit bildet sie die Brücke zur Bewertung. Aufbau und Varianten beschreibt der Beitrag zur Risiko-Heatmap und Risikomatrix.

FMEA (Fehlermöglichkeits- und Einflussanalyse)

Die FMEA (Failure Mode and Effects Analysis) untersucht systematisch, auf welche Weise ein Produkt oder Prozess seine Funktion verfehlen kann und welche Folgen das hätte. Die Fehlerarten lassen sich priorisieren, um über Gegenmaßnahmen zu entscheiden. Fließt die Kritikalität in die Rangfolge ein, spricht man von FMECA. Planung, Durchführung und Dokumentation beschreibt die Norm IEC 60812:2018. Sie gilt für Hardware, Software und Prozesse einschließlich menschlicher Handlungen.

Fehlerbaumanalyse

Die Fehlerbaumanalyse geht von einem unerwünschten Ereignis wie dem Ausfall einer Anlage aus. Sie verfolgt rückwärts, durch welche Kombinationen von Einzelursachen es entstehen kann. FMEA und Fehlerbaumanalyse sind in technischen Bereichen und in der Qualitätssicherung verbreitet, weil sie Schwachstellen systematisch aufdecken und Ansatzpunkte für Korrekturen liefern.

HAZOP (Hazard and Operability Study)

HAZOP ist eine technisch orientierte Methode aus der Chemie- und Prozessindustrie. Ein Team geht eine Anlage Abschnitt für Abschnitt durch und sucht nach möglichen Abweichungen vom vorgesehenen Betrieb, die zu Gefahren oder Funktionsstörungen führen können.

Wie wird die passende Methode ausgewählt?

Ausschlaggebend sind die Art des Projekts oder Unternehmens, die verfügbaren Daten und Ressourcen sowie der nötige Detailgrad. Hinweise zur Auswahl und Anwendung solcher Techniken sowie Kurzbeschreibungen zahlreicher Verfahren enthält die Norm IEC 31010:2019, die gemeinsam von IEC und ISO herausgegeben wird und die Leitlinie ISO 31000 ergänzt. Für die Informationssicherheit beschreibt der BSI-Standard 200-3 eine Risikoanalyse, die an die IT-Grundschutz-Analyse anschließt.

In der Praxis bringt meist erst die Kombination mehrerer Methoden ein umfassendes Bild. An der Analyse sollte ein fachübergreifendes Team mitwirken, das unterschiedliche Perspektiven einbringt und so eine möglichst objektive Einschätzung sichert.

Schwerpunkte nach Branche

Eine Risikoanalyse wird an das Risikoprofil des Unternehmens angepasst. Ein Finanzinstitut legt den Schwerpunkt auf Markt- und Kreditrisiken, ein Produktionsunternehmen eher auf operationelle Risiken und Lieferkettenrisiken. Typische Gegenstände sind Cybersicherheitsrisiken, Lieferkettenrisiken bei unsicheren Marktbedingungen und finanzielle Risiken aus schwankenden Märkten. Risikoanalysen werden von der Unternehmensleitung, vom Risikomanagement oder als Dienstleistung durch externe Fachleute erstellt. Ihre Ergebnisse stützen Entscheidungen über Investitionen, Expansionen, Produktentwicklungen und Marktstrategien.

Eine Compliance-Prüfung stellt die Übereinstimmung mit gesetzlichen und regulatorischen Anforderungen fest, ein Audit prüft Geschäftsprozesse oder Finanzberichte umfassend. Die Risikoanalyse unterscheidet sich davon durch ihren Blick nach vorn: Sie richtet sich auf künftige Risiken und ihre Bewältigung.

Beispiele aus der Praxis

• Start-up in der Technologiebranche: Eine qualitative Analyse kombiniert mit einer SWOT-Analyse erfasst Marktrisiken schnell und mit wenig Aufwand.
• Globales Produktionsunternehmen: Die FMEA dient der Produktsicherheit, HAZOP der Sicherheit der Produktionsprozesse.
• Investitionsentscheidung: Monte-Carlo-Simulation und Sensitivitätsanalyse zeigen, wie breit das mögliche Ergebnis streut und welche Annahmen es am stärksten beeinflussen.

Häufige Fragen zur Risikoanalyse

Wann eignet sich eine quantitative, wann eine qualitative Risikoanalyse?

Quantitative Methoden bevorzugen vor allem Fachleute im Finanzwesen, die konkrete Zahlenwerte für Entscheidungen brauchen. Sie rechnen Wahrscheinlichkeiten und finanzielle Auswirkungen aus und schaffen so eine belastbare Entscheidungsgrundlage. Qualitative Methoden nutzen häufig Projektmanager, die eine allgemeinere Einschätzung der Risikolage benötigen oder für die noch keine ausreichenden Daten vorliegen.

Wie passen SWOT-Analyse und Risikoanalyse zusammen?

Die SWOT-Analyse bietet einen Rahmen, um interne und externe Faktoren systematisch zu erfassen. Die ermittelten Schwächen und Gefahren sind ein guter Ausgangspunkt, der dann mit spezifischeren Analysemethoden vertieft wird.

Was unterscheidet die Szenarioanalyse von anderen Methoden?

Die meisten Methoden schätzen Wahrscheinlichkeit und Auswirkung einzelner Risiken ab. Die Szenarioanalyse betrachtet dagegen ganze Bündel möglicher Zukünfte, auch extreme. Das unterstützt die Langfristplanung und bereitet Entscheidungsträger auf Unsicherheiten vor.

Warum sind Experteneinschätzungen wertvoll?

Fachleute erkennen Zusammenhänge, die in Zahlen nicht sichtbar sind. Damit gleichen sie Schwächen anderer Methoden aus. Besonders wichtig ist ihr Urteil in neuen oder technisch komplexen Projekten, für die es kaum historische Daten gibt.

Warum sollten mehrere Methoden kombiniert werden?

Jede Methode beleuchtet andere Aspekte eines Risikos und liefert andere Informationen. Wer mehrere Ansätze verbindet, übersieht seltener wichtige Risiken und erhält eine genauere Grundlage für die Bewertung und die spätere Behandlung.

Wer nutzt die Ergebnisse einer Risikoanalyse?

Führungskräfte und Projektleiter erkennen damit Hindernisse, bevor sie großen Schaden anrichten. Finanzfachleute stützen Investitionsentscheidungen darauf, Sicherheitsbeauftragte bewerten mit ihrer Hilfe Bedrohungen für die Organisation.

Wie oft sollte eine Risikoanalyse durchgeführt werden?

Regelmäßig, etwa jährlich. Hinzu kommen Anlässe wie wesentlichen Änderungen im Geschäftsumfeld, Produkteinführungen oder der Eintritt in neue Märkte.