Risikomatrix: Eine Risikomatrix visualisiert Risiken zweidimensional nach Eintrittswahrscheinlichkeit und Schadensausmaß, um Prioritäten für Maßnahmen und Ressourceneinsatz sichtbar zu machen.
Am gebräuchlichsten ist eine 5x5-Matrix mit Farbcodierung von Grün über Gelb bis Rot, wobei jede Achse eine definierte Skala nutzt – etwa von „selten“ bis „sehr häufig“ bei der Wahrscheinlichkeit und von „geringfügig“ bis „katastrophal“ beim Schadensausmaß. Die Positionierung eines Risikos in der Matrix bestimmt, ob sofortiger Handlungsbedarf besteht oder eine Beobachtung ausreicht.
Die Risikomatrix findet norm-übergreifend Verwendung: in ISO 9001 für Prozessrisiken, in ISO 45001 als Ergebnis der Gefährdungsbeurteilung, in ISO 27001 für Informationssicherheitsrisiken im Rahmen der ISMS-Risikoanalyse. Ihre größte Schwäche ist die Subjektivität der Einschätzung – ohne einheitlich definierte Bewertungskriterien fallen Einstufungen je nach Bearbeiter unterschiedlich aus.
Ergänzend zur reinen Matrix hilft eine kurze schriftliche Begründung zu jeder Einstufung, die Nachvollziehbarkeit auch für Personen zu sichern, die an der ursprünglichen Bewertung nicht beteiligt waren – gerade bei Personalwechsel ein wichtiger Baustein der Kontinuität.
Manche Unternehmen ergänzen die klassische Matrix um eine dritte Dimension, etwa die Erkennbarkeit eines Risikos, ähnlich der Risikoprioritätszahl aus der FMEA.
- Zwei Achsen: Eintrittswahrscheinlichkeit x Schadensausmaß
- Farbcodierung erleichtert Priorisierung von Maßnahmen
- Einheitliche Bewertungskriterien sind entscheidend für Vergleichbarkeit
- Erweiterung um eine dritte Dimension wie Erkennbarkeit ist möglich
Relevanz für die Zertifizierung
Eine dokumentierte Risikomatrix mit klar definierten Bewertungskriterien gehört zu den am häufigsten angeforderten Auditunterlagen, da sie belegt, dass risikobasiertes Denken nach Kapitel 6.1 systematisch statt willkürlich angewendet wird. Fehlen einheitliche Kriterien oder wird die Matrix seit der Ersteinführung nicht mehr aktualisiert, ist das ein typischer Auditbefund. Eine regelmäßig aktualisierte Risikomatrix mit nachvollziehbarer Begründung erleichtert dem Auditor die Einschätzung der tatsächlichen Wirksamkeit erheblich. Eine erweiterte Bewertung mit zusätzlicher Erkennbarkeits-Dimension zeigt im Audit eine besonders ausgereifte Risikobetrachtung. Auch eine kurze, für alle Beteiligten nachvollziehbare Legende zu den verwendeten Farben und Skalen erleichtert die einheitliche Anwendung der Matrix im gesamten Unternehmen. Eine kurze jährliche Überprüfung, ob die verwendeten Skalen noch zum tatsächlichen Risikoprofil des Unternehmens passen, erhält die Aussagekraft der Matrix dauerhaft.
Häufige Fragen zu Risikomatrix
Am gebräuchlichsten ist eine 5x5-Matrix mit Farbcodierung von Grün über Gelb bis Rot, wobei jede Achse eine definierte Skala nutzt – etwa von „selten“ bis „sehr häufig“ bei der Wahrscheinlichkeit und von „geringfügig“ bis „katastrophal“ beim Schadensausmaß. Kleinere 3x3-Matrizen kommen bei einfacheren Managementsystemen ebenfalls vor.
Die Norm schreibt keine bestimmte Darstellungsform vor, verlangt aber in Kapitel 6.1 eine dokumentierte, nachvollziehbare Risikobewertung. Eine Risikomatrix ist das in der Praxis am häufigsten genutzte und von Auditoren akzeptierte Werkzeug, um diese Bewertung übersichtlich und vergleichbar darzustellen. Ohne dokumentierte Bewertungskriterien fallen Einstufungen je nach Bearbeiter unterschiedlich aus, was die Vergleichbarkeit über Bereiche hinweg erschwert.
Mindestens einmal jährlich, üblicherweise im Rahmen der Managementbewertung, sowie zusätzlich bei relevanten Veränderungen wie neuen Prozessen, Systemen oder Bedrohungslagen. Auditoren bemängeln häufig eine seit der Ersteinführung unveränderte Matrix, da dies auf eine rein formale statt gelebte Risikobewertung hindeutet. Auch bei unveränderter Risikolage lohnt sich eine kurze, dokumentierte Bestätigung, dass die Bewertung weiterhin gültig ist.