Residualrisiken

Residualrisiken bezeichnet im Risikomanagement den Anteil an Risiken, der nach der Umsetzung von Maßnahmen zur Risikoreduzierung verbleibt. Sie unterscheiden sich vom inhärenten Risiko (dem Risiko vor Maßnahmen) und von der angenommenen Wirksamkeit der Kontrollen: Selbst bei funktionierenden Schutzmaßnahmen bleiben Unsicherheiten, Restwirkungen menschlichen Fehlers oder Kosten-Nutzen-Überlegungen, die eine vollständige Eliminierung verhindern.

Nach der Risikoanalyse folgen Risiko Behandlung, Implementierung von Kontrollen und regelmäßige Überwachung. Nachdem Maßnahmen umgesetzt wurden, wird das verbleibende Risiko erneut bewertet und mit der definierten Risikotoleranz bzw. dem Risikokapital abgeglichen. Liegt das Residualrisiko außerhalb dieser Grenzen, sind zusätzliche Kontrollen, Risikotransfer (z. B. Versicherung) oder die Abgabe eines Projekts möglich. Residualrisiken gehören damit zur laufenden Governance des Unternehmens.

Bewertung und Messung können qualitativ oder quantitativ erfolgen. Typische Instrumente sind Risikomatrizen, Szenarioanalysen, Wahrscheinlichkeits- und Schadensschätzungen sowie Kontrollen ihrer Restwirkung. Eine klare Dokumentation der Annahmen, der verbleibenden Risiken und der Entscheidung zur Risikoakzeptanz ist wichtig, ebenso wie die regelmäßige Wiederholung der Bewertung bei Änderungen im Umfeld oder im Kontrollsatz.

Beispiele: In der Informationssicherheit bleiben trotz Verschlüsselung, Zugriffskontrollen und Monitoring residuale Risiken wie Zero-Day-Schwachstellen oder menschliche Fehler. In der Produktion können Sicherheitsbarrieren Restrisiken durch unvorhergesehene Maschinenfehler nicht vollständig ausschließen. In der Lieferkette bleiben geopolitische oder Compliance-Risiken in gewissem Maß bestehen, obwohl Maßnahmen getroffen wurden.

Residualrisiken sind ein normaler Bestandteil jeder risikobasierten Entscheidungsfindung und erfordern kontinuierliche Überwachung, Berichterstattung und Anpassung der Risikostrategie.