Risikoanalyse

Risikoanalyse ist ein systematischer Prozess zur Identifikation, Bewertung und Steuerung von Risiken, die die Fähigkeit einer Organisation, eines Projekts oder einer Aktivität beeinträchtigen könnten. Ziel ist es, Unsicherheiten transparent zu machen und deren potenzielle Auswirkungen auf Ziele zu verstehen. Risiken können Bedrohungen und zugleich Chancen umfassen, die genutzt oder gemanagt werden sollten.

Der Prozess umfasst typischerweise Schritte wie Risikoidentifikation, Risikobewertung bzw. -analyse, Risikoevaluation und Risikobehandlung. In der Risikobewertung werden Eintrittswahrscheinlichkeit und Folgen in Beziehung gesetzt, um Risikoniveaus zu bestimmen. Danach werden Maßnahmen zur Behandlung ausgewählt (vermeiden, vermindern, übertragen, akzeptieren) und ein Risikobehandlungsplan erstellt. Schließlich erfolgt kontinuierliches Monitoring und regelmäßige Überprüfung.

Methoden unterscheiden sich nach qualitativen und quantitativen Ansätzen. Qualitative Ansätze nutzen Risikomatrizen, Checklisten und Experteneinschätzungen; quantitative Ansätze verwenden Wahrscheinlichkeitsverteilungen, erwartete Schäden, Monte-Carlo-Simulationen, Fehlbaumanalysen oder Entscheidungsbäume.

Standards und Rahmenwerke unterstützen Risikomanagement in Organisationen. ISO 31000 formuliert Grundsätze, einen Rahmen und Prozesse für systematisches Risikomanagement. Spezialisierte Normen wie ISO 27005 adressieren Informationssicherheitsrisiken. Die Ergebnisse einer Risikoanalyse dienen Entscheidungen, Ressourcenallokation und der Festlegung von Risikobereitschaft bzw. -toleranz.

Ausgaben der Risikoanalyse sind typischerweise ein Risikoregister, Behandlungspläne, identifizierte Rest- oder Residualrisiken und Kennzahlen (Key Risk Indicators), die Überwachung und Berichterstattung ermöglichen. Die Risikoanalyse ist oft integraler Bestandteil des Risikomanagements in Governance, Risiko und Compliance.