Risiko-Heatmap: 5x5-Matrix erstellen, bewerten und lesen

Eine Risiko-Heatmap ordnet Risiken nach Eintrittswahrscheinlichkeit und Auswirkung ein. So erstellen und bewerten Sie eine 5x5-Matrix, legen die Risikobereitschaft fest und vermeiden bekannte Fallstricke.

Eine Risiko-Heatmap ist ein farbcodiertes Raster, das jedes Risiko danach einordnet, wie wahrscheinlich es ist und wie großen Schaden es anrichten würde. Hohe Eintrittswahrscheinlichkeit und hohe Auswirkung liegen in der roten Ecke, niedrige und niedrige in der grünen Ecke. Führungskräfte erkennen so auf einen Blick, wo sie ansetzen müssen.

Sie gehört zu den gebräuchlichsten Werkzeugen im Risikomanagement und zu den am leichtesten falsch eingesetzten. Dieser Leitfaden zeigt, wie Sie eine 5x5-Risikomatrix erstellen, bewerten und einfärben, wie Sie die Risikobereitschaft darstellen und was die Forschung zu ihren Grenzen sagt.

So funktioniert eine 5x5-Risiko-Heatmap

Das Raster hat auf einer Achse fünf Stufen der Eintrittswahrscheinlichkeit und auf der anderen fünf Stufen der Auswirkung, das ergibt 25 Felder.

Ein gängiger Weg zum Score ist die Multiplikation der beiden Bewertungen. Ein Risiko mit Wahrscheinlich (4) und Gravierend (4) erhält 16. Die Scores reichen von 1 bis 25.

Farben fassen die Scores dann zu Handlungsstufen zusammen. Diese Bereiche sind ein üblicher Ausgangspunkt, kein Standard. Legen Sie Ihre eigenen fest.

Wir haben keinen Standard gefunden, der diese Farben vorschreibt. Die Leitlinien von COSO zur Risikobewertung nennen Stufen statt Farben, und Ampelfarben sind schlicht die vertraute Konvention.

So erstellen Sie eine Risiko-Heatmap in 6 Schritten

1. Legen Sie Umfang und Zeithorizont fest. „Wahrscheinlich“ bedeutet nichts, solange Sie nicht sagen, in welchem Zeitraum, etwa in den nächsten 12 Monaten.
2. Listen Sie die Risiken auf. Beschreiben Sie jedes als Ereignis mit Folge, etwa „der wichtigste Lieferant fällt aus, wodurch sich die Lieferung um ein Quartal verzögert“.
3. Definieren Sie jede Stufe in einfachen Worten. Wahrscheinlich könnte zum Beispiel eine Chance von 60 bis 80 % bedeuten und Gravierend einen Verlust über einem festgelegten Betrag. Das sind Beispiele, wählen Sie also Bereiche, die zu Ihrer Organisation passen.
4. Bewerten Sie die Risiken gemeinsam. Verschiedene Funktionen werden unterschiedlicher Meinung sein, und dieses Gespräch ist oft der nützlichste Teil.
5. Tragen Sie die Risiken ins Raster ein und färben Sie es ein, und benennen Sie dann für jedes Risiko über Ihrer Handlungsgrenze einen Verantwortlichen.
6. Legen Sie einen Überprüfungstermin fest. Eine Karte, die nur einmal im Jahr aktualisiert wird, beschreibt bald nicht mehr die Realität.

Durchgerechnetes Beispiel

Diese Risiken sind fiktiv und dienen der Veranschaulichung.

Inhärentes und Restrisiko

Das inhärente Risiko ist die Bewertung vor allen Kontrollen. Das Restrisiko ist die Bewertung danach. Eine Karte, die beides vermischt, vergleicht Ungleiches. Wählen Sie eines für die Hauptansicht oder zeichnen Sie für jedes Risiko einen Pfeil von seiner inhärenten zur Restposition, um zu zeigen, was die Risikominderung bewirkt.

So zeigen Sie die Risikobereitschaft auf einer Heatmap

Die Risikobereitschaft gibt an, wie viel Risiko eine Organisation bereit ist einzugehen, um ihre Ziele zu erreichen. Auf einer Heatmap bestimmt sie, wo die Farbgrenzen liegen.

COSO erläutert in Risk Assessment in Practice, dass sich die Stufengrenzen mit der Risikobereitschaft verschieben: Mehr Bereitschaft verschiebt sie nach oben rechts, mehr Vorsicht nach unten links. Es weist auch darauf hin, dass Grenzen asymmetrisch sein können und die Auswirkung stärker gewichten als die Eintrittswahrscheinlichkeit.

Dasselbe Risiko kann daher für eine Organisation rot und für eine andere gelb sein. Einigen Sie sich auf die Grenzen auf Führungs- oder Vorstandsebene, bevor Sie etwas eintragen, damit niemand sie an ein Ergebnis anpasst.

COSO beschreibt außerdem, eine weitere Variable hinzuzufügen, etwa die Punktgröße, um zu zeigen, wie schnell ein Risiko eintreten könnte.

3x3- und 5x5-Risikomatrix im Vergleich

Beginnen Sie mit dem einfachsten Raster, das noch Entscheidungen verändert. Mehr Felder helfen nur, wenn Menschen die Stufen ehrlich unterscheiden können.

Was die Forschung zu den Grenzen von Heatmaps sagt

Die bekannteste Kritik ist Tony Cox' Aufsatz „What's Wrong with Risk Matrices?“ von 2008 in der Zeitschrift Risk Analysis. Er stellte fest, dass typische Matrizen weniger als 10 % zufällig ausgewählter Gefahrenpaare korrekt und eindeutig vergleichen können und dass sie quantitativ kleineren Risiken höhere Bewertungen zuweisen können. Sein Fazit lautet nicht, sie aufzugeben, sondern sie mit Vorsicht und sorgfältiger Erläuterung einzusetzen.

Spätere Arbeiten gehen weiter. Eine Übersicht von Krisper aus 2021 katalogisiert 24 Probleme und plädiert stattdessen für quantitative Methoden, und Douglas Hubbard ist ein führender Kritiker von Scoring-Methoden insgesamt.

Vier Grenzen sind in der Praxis am wichtigsten.

Risikoumkehr

Hier ein von uns konstruiertes Beispiel. Risiko X hat eine Chance von 20 % auf einen Verlust von EUR 500.000, ein erwarteter Verlust von EUR 100.000. Risiko Y hat eine Chance von 80 % auf einen Verlust von EUR 50.000, ein erwarteter Verlust von EUR 40.000.

Auf dieser Skala stuft die Matrix Y über X ein, obwohl X mehr als den doppelten erwarteten Verlust hat. Das Raster hat die Reihenfolge umgekehrt.

Bereichsverdichtung

Jedes Feld deckt einen weiten Bereich ab. Ein Verlust von EUR 300.000 und einer von EUR 3 Millionen können in derselben Auswirkungsspalte landen und gleich aussehen.

Scheinbare Rechenoperationen

Die Zahlen 1 bis 5 sind Bezeichnungen für geordnete Kategorien, keine Messwerte. COSO weist darauf hin, dass sie sich nicht für mathematische Operationen eignen, obwohl manche Organisationen sie für eine vorläufige Rangfolge multiplizieren. Nutzen Sie Scores, um eine Liste zu sortieren, nicht um zu behaupten, ein Risiko sei genau doppelt so groß wie ein anderes.

Statische und subjektive Bewertungen

Bewertungen spiegeln das Urteil der Personen im Raum am jeweiligen Tag wider. Kalibrieren Sie sie mit gemeinsamen Definitionen und aktualisieren Sie sie, wenn sich etwas ändert, statt auf den Jahreszyklus zu warten.

So treffen Sie mit Ihrer Heatmap bessere Entscheidungen

• Schauen Sie genau auf die gelbe Zone. Diese Risiken werden am ehesten vernachlässigt, weil die Farbe keine Dringlichkeit nahelegt.
• Verwenden Sie für Ihre größten Risiken Bandbreiten. Eine Spanne wie EUR 200.000 bis EUR 800.000 sagt mehr als eine einzelne Auswirkungsstufe.
• Betrachten Sie Gleichstände als Anlass zur Diskussion, nicht als Ergebnis.
• Schätzen Sie für die Top-Risiken Kosten und Nutzen der Risikominderung in Geld, denn eine Farbe allein sagt nicht, wie viel Sie ausgeben sollten.

Risiko-Heatmap und Risikoregister im Vergleich

Sie brauchen beides. Erstellen Sie zuerst das Register und lassen Sie es die Karte steuern. Siehe so bauen Sie ein Risikoregister, das funktioniert.

So verfolgen Sie Risiken in Aitraxus

Im Aitraxus Risikomanagement erfassen Sie jedes Risiko mit Kategorie, Eintrittswahrscheinlichkeit und Auswirkung, und Score und Stufe werden für Sie berechnet. Die Risiken sind nach dem höchsten Score sortiert. Jedes hat einen Verantwortlichen und einen Status, Maßnahmen zur Risikominderung haben Verantwortliche und Fälligkeitstermine, überfällige Maßnahmen werden rot markiert, und Restrisiko-Scores zeigen, wie stark eine Maßnahme das Risiko senkt.

Mehr dazu lesen Sie in So managen Sie strategische Risiken und in unserem Leitfaden zu Software für Vorstandsberichte.

Quellen

• Cox, "What's Wrong with Risk Matrices?", Risk Analysis 28(2), 2008
• COSO, Risk Assessment in Practice, 2012
• Krisper, "Problems with Risk Matrices Using Ordinal Scales", 2021 preprint

Häufig gestellte Fragen

Was ist eine Risiko-Heatmap?

Es ist ein farbcodiertes Raster, das Risiken nach Eintrittswahrscheinlichkeit und Auswirkung einordnet, damit Führungskräfte schnell sehen, welche Risiken die meiste Aufmerksamkeit brauchen.

Was ist der Unterschied zwischen einer Risikomatrix und einer Heatmap?

Die Begriffe werden oft austauschbar verwendet. Eine Risikomatrix ist das Raster aus Stufen der Eintrittswahrscheinlichkeit und der Auswirkung, eine Heatmap ist dieses Raster mit Farben und eingetragenen Risiken.

Wie berechnet man einen 5x5-Risiko-Score?

Bewerten Sie die Eintrittswahrscheinlichkeit von 1 bis 5 und die Auswirkung von 1 bis 5 und multiplizieren Sie beide zu einem Score von 1 bis 25. Nutzen Sie das Ergebnis, um Risiken zu sortieren und zu gruppieren, nicht als präzise Messung.

Welcher Score ist in einer 5x5-Matrix ein hohes Risiko?

Das hängt von Ihrer Risikobereitschaft ab. Ein üblicher Ausgangspunkt wertet 15 bis 25 als hoch, 5 bis 12 als mittel und 1 bis 4 als niedrig.

Was bedeuten die Farben einer Risiko-Heatmap?

Meist steht Grün für niedriges Risiko, das beobachtet wird, Gelb für mittleres Risiko, das einen Verantwortlichen und einen Plan braucht, und Rot für hohes Risiko, das Maßnahmen und Eskalation erfordert.

Wie oft sollte eine Risiko-Heatmap aktualisiert werden?

Überprüfen Sie sie in einem festen Rhythmus, etwa quartalsweise, und immer dann, wenn sich etwas Wichtiges ändert. Top-Risiken verdienen häufigere Aufmerksamkeit.

Warum werden Risikomatrizen kritisiert?

Die Forschung zeigt, dass sie kleinere Risiken über größere stellen, sehr unterschiedliche Risiken zusammenfassen und auf subjektiven Bewertungen beruhen können. Sie sind nützlich, um Diskussionen zu priorisieren, aber als Grundlage für präzise Entscheidungen schwach.

Testen Sie Aitraxus kostenlos und öffnen Sie das Demoprojekt ACME, um ein bewertetes Risikoregister zu sehen.