Riskmanagement & IKS News
Achtung: Das „Restrisiko“ ist oftmals grösser als es scheint
In nahezu jedem Risikoportfolio findet sich dieselbe Logik: Zuerst wird das Bruttorisiko bewertet, anschliessend werden bestehende Massnahmen berücksichtigt und daraus ein Restrisiko berechnet. Die Methode ist etabliert, verständlich und scheinbar präzise.
Doch genau hier liegt ein oft übersehener Denkfehler:
Das Restrisiko ist selten eine Tatsache. Meist ist es eine Annahme.
Viele Organisationen behandeln Restrisiken wie gemessene Werte. Tatsächlich beruhen sie häufig auf Erwartungen über die Wirksamkeit von Massnahmen. Man geht davon aus, dass eine Schulung das Verhalten verändert, ein Notfallplan funktioniert, eine Cybersecurity-Lösung Angriffe verhindert oder eine neue Governance-Regel bessere Entscheidungen ermöglicht.
Ob dies tatsächlich eintritt, weiss man zum Zeitpunkt der Bewertung oft nicht.
Die Verführung der Nettozahl
Die Logik erscheint bestechend einfach:
- Risiko identifizieren
- Massnahme definieren
- Risikobewertung reduzieren
- Restrisiko dokumentieren
Der Prozess vermittelt Kontrolle. Das Risiko sinkt auf dem Papier, das Risikoportfolio wird aktualisiert und das Traktandum kann geschlossen werden.
Doch wie belastbar ist diese neue Bewertung?
Nehmen wir ein Beispiel:
Ein Unternehmen identifiziert ein hohes Cyberrisiko. Anschliessend wird eine neue Sicherheitslösung beschafft. Bereits bei der nächsten Risikobeurteilung wird das Risiko von “hoch” auf “mittel” reduziert.
Die entscheidende Frage lautet jedoch:
Hat die neue Lösung die Verwundbarkeit tatsächlich reduziert, oder hoffen wir lediglich darauf?
Geplante Massnahmen sind keine Risikoreduktion
Besonders kritisch wird es, wenn geplante und bereits umgesetzte Massnahmen gleichbehandelt werden.
Eine geplante Massnahme kann das heutige Risiko nicht beeinflussen. Sie beschreibt lediglich einen gewünschten zukünftigen Zustand.
Trotzdem findet man in vielen Risikoportfolioeinträgen Bewertungen, bei denen bereits die erwartete Wirkung einer zukünftigen Massnahme eingerechnet wurde.
Dadurch entsteht eine gefährliche Scheinsicherheit:
Das Risiko wird administrativ reduziert, bevor sich in der Realität überhaupt etwas verändert hat.
Der eigentliche Prüfstein: Hat die Massnahme gewirkt?
Ein gutes Risikomanagement endet nicht mit der Definition einer Massnahme.
Es beginnt erst richtig.
Jede wesentliche Massnahme sollte deshalb mit einer klaren Wirkungshypothese verbunden werden:
- Was genau soll reduziert werden?
- Bis wann soll die Wirkung eintreten?
- Wer überprüft die Wirkung?
- Welche Evidenz wird akzeptiert?
- Wann erfolgt die Neubewertung des Risikos?
Erst diese Fragen machen aus einer Massnahme ein Führungsinstrument.
Ex ante ist nicht ex post
Die meisten Risikoprozesse fokussieren auf die Ex-ante-Sicht:
- Wie hoch ist das Risiko?
- Welche Massnahme planen wir?
- Welche Wirkung erwarten wir?
Ebenso wichtig ist jedoch die Ex-post-Sicht:
- Was hat sich tatsächlich verändert?
- Welche Risiken konnten reduziert werden?
- Welche Massnahmen haben weniger gebracht als erwartet?
- Wo wurde lediglich der Risikoscore angepasst?
Die Qualität eines Risikomanagementsystems zeigt sich nicht in der Anzahl Massnahmen, sondern in seiner Fähigkeit zu lernen.
Welche Rolle haben Leitungsorgane?
In vielen Organisationen diskutieren Verwaltungsräte, Vorstände oder Gemeinderäte intensiv über Risikobewertungen.
Dabei liegt ihre eigentliche Aufgabe oft an einem anderen Ort.
Fachliche Risikobeurteilungen sollten von Personen vorgenommen werden, die über das notwendige Wissen verfügen und nahe an den jeweiligen Themen arbeiten.
Leitungsorgane schaffen dagegen den Rahmen:
- Welche Risiken sind prioritär?
- Welche Risiken akzeptieren wir?
- Wo investieren wir zusätzliche Ressourcen?
- Welche Entwicklungen verlangen Aufmerksamkeit?
Ihre Aufgabe besteht weniger im Schätzen von Risiken als im Treffen von Entscheidungen.
Nicht der Wert zählt, sondern die Veränderung
Die entscheidende Führungsinformation ist oft nicht der aktuelle Risikowert.
Entscheidend ist die Entwicklung.
- Welche Risiken verbessern sich?
- Welche stagnieren trotz Massnahmen?
- Welche nehmen zu?
- Wo entstehen neue Exponierungen?
Der Vergleich über die Zeit liefert meist wertvollere Erkenntnisse als jede einzelne Risikobewertung.
Fazit: Risikomanagement ist ein Lernprozess
Brutto- und Nettorisiken bleiben nützliche Konzepte. Sie helfen, Risiken zu strukturieren und Massnahmen zu planen.
Problematisch wird es erst dann, wenn Restrisiken als objektive Tatsachen behandelt werden.
Ein Restrisiko ist zunächst eine Hypothese.
Erst durch regelmässige Neubewertung, unabhängige Einschätzungen und die Überprüfung der tatsächlichen Wirkung von Massnahmen entsteht belastbares Wissen.
Risikomanagement beginnt mit einer Schätzung. Wirksam wird es erst durch Lernen.
