Eine Bewertung operativer Risiken hilft Ihnen, potenzielle Schwachstellen in der täglichen Arbeit zu erkennen, bevor daraus eine verpasste Frist, ein finanzieller Verlust, ein Compliance-Verstoß oder eine Kundeneskalation entsteht. Dennoch enden viele Bewertungen als statische Tabellen, anstatt die tatsächliche Arbeitsweise zu verändern.
Eine nützliche Bewertung verknüpft jedes Risiko mit einem Prozess, einer verantwortlichen Person, einer Kontrolle, einer Reaktion und einem Überprüfungszyklus. So wird Risikomanagement von einer jährlichen Dokumentationsübung zu einer operativen Disziplin, die Ihr Team ausführen und überprüfen kann.
Operative Risiken entstehen durch die tatsächliche Arbeitsweise
Operatives Risiko bezeichnet die Möglichkeit eines Verlusts oder einer Unterbrechung aufgrund fehlerhafter Prozesse, menschlichen Versagens, ausgefallener Systeme oder externer Ereignisse. Es besteht bei Routinetätigkeiten wie der Genehmigung von Zahlungen, dem Onboarding von Lieferanten, der Auftragsabwicklung, der Verwaltung von Kundendaten und der Reaktion auf Vorfälle.
Dadurch unterscheiden sich operative Risiken von übergeordneten strategischen Risiken, etwa dem Eintritt in den falschen Markt. Sie sind in der Ausführung verankert: in den Übergaben, Entscheidungen, Systemen, Berechtigungen und Ausnahmen, die für die Erledigung der Arbeit erforderlich sind.
Häufige Ursachen sind:
Prozessfehler: Ein erforderlicher Schritt wird übersprungen, falsch ausgeführt oder zu spät abgeschlossen.
Menschlicher Fehler: Jemand gibt falsche Daten ein, missversteht eine Anweisung oder trifft eine inkonsistente Entscheidung.
Systemausfall: Eine Anwendung, Integration oder Datenquelle ist nicht verfügbar oder liefert ein unerwartetes Ergebnis.
Zugriffsfehler: Eine Person oder ein KI-Agent verfügt über zu weitreichende Berechtigungen, fehlende Zugangsdaten oder unangemessenen Zugriff.
Ausfall eines Drittanbieters: Ein Lieferant, Auftragnehmer, Zahlungsdienstleister oder Hosting-Partner erfüllt seine Verpflichtungen nicht.
Externe Störung: Wetterereignisse, Cybervorfälle, regulatorische Änderungen oder Infrastrukturausfälle unterbrechen den Betrieb.
Das Ziel besteht nicht darin, jedes denkbare Risiko auszuschließen. Das wäre unverhältnismäßig teuer und operativ unrealistisch. Stattdessen müssen Sie verstehen, welche Ausfälle am schwersten wiegen, und angemessene Kontrollen einrichten.
Ein Risikoregister erfasst identifizierte Risiken. Eine Bewertung operativer Risiken geht weiter: Sie beurteilt jedes Risiko in seinem Kontext und legt fest, wie damit umzugehen ist. Wenn Ihr Register keinen Einfluss auf Verfahren, Genehmigungen, Überwachung oder Verantwortlichkeiten hat, ist es lediglich eine Bestandsaufnahme.
Risiken Prozessen statt Abteilungen zuordnen
Mit einer leeren Liste zu beginnen und Führungskräfte zu fragen, was schiefgehen könnte, führt meist zu vagen Einträgen wie „Lieferantenrisiko“ oder „Datenqualität“. Diese Bezeichnungen sind zu allgemein, um wirksame Kontrollen zu ermöglichen.
Beginnen Sie stattdessen mit Ihren kritischen Prozessen. Ein Prozess besitzt einen klaren Auslöser, ein definiertes Ergebnis, eine verantwortliche Person, eine Arbeitsabfolge und bestimmte Abhängigkeiten. Damit hat Ihr Team eine konkrete Grundlage für die Untersuchung.
Kritische Prozesse priorisieren
Erstellen Sie zunächst eine Übersicht der Prozesse, die Umsatz, Kunden, Zahlungsverkehr, Compliance, Sicherheit und Geschäftskontinuität beeinflussen. Sie müssen nicht das gesamte Unternehmen auf einmal bewerten.
Geeignete Kandidaten sind:
Kunden-Onboarding und Änderungen an Kundenkonten
Auftragsabwicklung oder Leistungserbringung
Kreditorenbuchhaltung und Zahlungsgenehmigung
Gehaltsabrechnung und Spesenerstattung
Onboarding und Verlängerung von Lieferantenbeziehungen
Onboarding und Offboarding von Mitarbeitenden
Änderungen von Datenzugriffen und Berechtigungen
Kundenbeschwerden und Incident Response
Regulatorische Berichterstattung
Backup-, Wiederherstellungs- und Kontinuitätsverfahren
Dokumentieren Sie für jeden Prozess den Auslöser, das erwartete Ergebnis, die verantwortliche Person, die Beteiligten, Systeme, Eingaben, Ausgaben und externen Abhängigkeiten. Eine Geschäftsprozessdarstellung kann verborgene Übergaben und Verzweigungen sichtbar machen, bevor Sie mit der Risikobewertung beginnen.
Konkrete Fehlermöglichkeiten untersuchen
Eine Fehlermöglichkeit beschreibt eine konkrete Art, wie ein Prozess scheitern kann. „Rechnungsbetrug“ ist aussagekräftiger als „finanzielles Risiko“, lässt sich aber noch präziser formulieren: „Eine Änderung der Bankverbindung wird ohne unabhängige Überprüfung akzeptiert, sodass eine Zahlung auf ein nicht autorisiertes Konto erfolgt.“
Prüfen Sie jeden Prozess anhand von Fragen wie:
Was geschieht, wenn eine erforderliche Eingabe fehlt oder falsch ist?
Wo kann dieselbe Person eine Aktion veranlassen und genehmigen?
Bei welchen Übergaben fehlen eindeutige Annahmekriterien oder Fristen?
Was geschieht, wenn ein System oder eine Integration nicht verfügbar ist?
Wo hängen Entscheidungen von undokumentiertem Wissen ab?
Welche Ausnahmen umgehen das Standardverfahren?
Welche Auswirkungen auf Kunden, Finanzen, Recht oder Sicherheit könnten entstehen?
Wie würden Sie erkennen, dass der Fehler eingetreten ist?
Sprechen Sie mit den Personen, die die Arbeit tatsächlich ausführen, und nicht nur mit den Prozessverantwortlichen. Mitarbeitende an vorderster Front kennen meist die Behelfslösungen, wiederkehrenden Ausnahmen und unzuverlässigen Systeme, die in der formalen Dokumentation nicht auftauchen.
Inhärente und verbleibende Risiken einheitlich bewerten
Eine Risikobewertung hilft Ihnen, Fehlermöglichkeiten zu vergleichen und zu entscheiden, wo Sie zuerst handeln sollten. Vermeiden Sie ein mathematisch kompliziertes Modell, das Führungskräfte nicht einheitlich anwenden können. Eine Fünf-Punkte-Skala für Eintrittswahrscheinlichkeit und Auswirkung ist in der Regel ausreichend.
Eintrittswahrscheinlichkeit und Auswirkung bewerten
Verwenden Sie klare Definitionen für jede Bewertung, anstatt sich auf Intuition zu verlassen.
Wert | Eintrittswahrscheinlichkeit | Auswirkung |
|---|---|---|
1 | Selten; nur unter außergewöhnlichen Umständen | Vernachlässigbare Unterbrechung oder geringer Verlust |
2 | Unwahrscheinlich; könnte gelegentlich eintreten | Geringfügige, lokal begrenzte Auswirkung |
3 | Möglich; ist bereits vorgekommen | Erhebliche Nacharbeit, Verzögerung oder Auswirkung auf Kunden |
4 | Wahrscheinlich; tritt wiederholt auf | Erhebliche finanzielle, Compliance- oder Serviceauswirkung |
5 | Nahezu sicher oder bereits regelmäßig wiederkehrend | Schwerwiegende oder potenziell existenzbedrohende Auswirkung |
Berechnen Sie den grundlegenden Risikowert wie folgt:
Risikowert = Eintrittswahrscheinlichkeit × Auswirkung
Diese Berechnung ergibt einen Wert zwischen 1 und 25. Sie können 1–4 als niedrig, 5–9 als mittel, 10–16 als hoch und 17–25 als kritisch einstufen. Passen Sie die Schwellenwerte an Ihr Unternehmen an, dokumentieren Sie sie jedoch und wenden Sie sie einheitlich an.
Die Auswirkung sollte die für Ihr Unternehmen wichtigsten Konsequenzen widerspiegeln. Berücksichtigen Sie finanzielle Verluste, Schäden für Kunden, Betriebsausfälle, regulatorische Risiken, Datenkompromittierungen, Sicherheit und Reputationsschäden.
Inhärentes und verbleibendes Risiko trennen
Das inhärente Risiko bezeichnet die Gefährdung vor Berücksichtigung bestehender Kontrollen. Das verbleibende Risiko ist die Gefährdung, die nach Anwendung dieser Kontrollen bestehen bleibt.
Angenommen, nicht autorisierte Änderungen von Lieferantenbankdaten haben eine Eintrittswahrscheinlichkeit von 4 und eine Auswirkung von 5. Der inhärente Risikowert beträgt 20. Eine unabhängige Rückrufverifizierung und eine doppelte Genehmigung können die Eintrittswahrscheinlichkeit auf 2 senken, wodurch ein verbleibender Risikowert von 10 entsteht.
Diese Unterscheidung ist wichtig, weil ein Hochrisikoprozess gut kontrolliert sein kann. Umgekehrt kann ein mittleres inhärentes Risiko untragbar bleiben, wenn die zugehörigen Kontrollen nur auf dem Papier existieren.
Senken Sie den verbleibenden Risikowert nicht allein deshalb, weil eine Richtlinie die Durchführung einer Kontrolle vorschreibt. Suchen Sie nach Nachweisen dafür, dass sie konsequent ausgeführt wird, etwa abgeschlossene Genehmigungen, Zugriffsprotokolle, Abstimmungen, Prüfprotokolle, Ausnahmeberichte oder Ausführungshistorien von Workflows.
Eine Bewertung erstellen, die Ihr Team nutzen kann
Ihre Bewertung sollte genügend Details enthalten, um Maßnahmen anzustoßen, ohne schwer pflegbar zu werden. Die folgenden Felder bilden eine praxistaugliche Vorlage.
Feld | Zu erfassende Informationen |
|---|---|
Prozess | Der operative Prozess, der dem Risiko ausgesetzt ist |
Fehlermöglichkeit | Das konkrete Ereignis oder Versagen, das eintreten könnte |
Ursache | Warum der Fehler auftreten könnte |
Konsequenz | Die operative, finanzielle, kundenbezogene oder Compliance-relevante Auswirkung |
Bestehende Kontrollen | Bereits eingesetzte präventive, aufdeckende und korrigierende Maßnahmen |
Inhärenter Risikowert | Eintrittswahrscheinlichkeit × Auswirkung vor Kontrollen |
Kontrollwirksamkeit | Wirksam, teilweise wirksam, unwirksam oder ungeprüft |
Verbleibender Risikowert | Eintrittswahrscheinlichkeit × Auswirkung nach Kontrollen |
Risikoreaktion | Akzeptieren, reduzieren, übertragen, vermeiden oder Vorsorge treffen |
Risikoverantwortliche Person | Person, die dafür verantwortlich ist, die Gefährdung innerhalb der Toleranzgrenzen zu halten |
Maßnahmenverantwortliche Person | Person, die für eine konkrete Verbesserung verantwortlich ist |
Zieldatum | Frist für die vereinbarte Maßnahme |
Nachweis | Beleg dafür, dass die Kontrolle oder Maßnahme abgeschlossen wurde |
Überprüfungsauslöser | Datum oder Ereignis, das eine Neubewertung erforderlich macht |
Verwenden Sie für jede eigenständige Fehlermöglichkeit eine eigene Zeile. Wenn mehrere nicht zusammenhängende Risiken in einer Zeile kombiniert werden, bleiben Ursachen, Kontrollen und Verantwortlichkeiten unklar.
Eine eindeutige Reaktion festlegen
Für jedes wesentliche Risiko ist eine von fünf Reaktionen erforderlich:
Akzeptieren: Keine zusätzlichen Maßnahmen ergreifen, weil die Gefährdung innerhalb der Toleranzgrenzen liegt.
Reduzieren: Kontrollen hinzufügen oder verbessern, um Eintrittswahrscheinlichkeit oder Auswirkung zu senken.
Übertragen: Einen Teil der finanziellen Folgen durch Versicherungen oder Vertragsbedingungen verlagern.
Vermeiden: Die Aktivität einstellen oder den Prozess neu gestalten, um die Gefährdung zu beseitigen.
Vorsorgen: Ein Notfall- oder Wiederherstellungsverfahren einrichten, weil Prävention allein nicht ausreicht.
Die Akzeptanz eines Risikos ist eine legitime Entscheidung, sollte aber bewusst getroffen und autorisiert werden. Halten Sie fest, wer das Risiko akzeptiert hat, warum es tolerierbar ist und wann die Entscheidung überprüft werden muss.
Verknüpfen Sie die Bewertung bei folgenschweren Störungen, die sich nicht vollständig verhindern lassen, mit einem Business-Continuity-Plan. Prävention und Wiederherstellung ergänzen einander und sind nicht austauschbar.
Risikomaßnahmen in ausführbare Kontrollen überführen
Eine Kontrolle ist nur dann nützlich, wenn Ihr Team sie konsequent ausführen und ihre Durchführung nachweisen kann. „Führungskräfte prüfen Zahlungen“ ist keine ausreichende Kontrolldefinition, weil weder Schwellenwert noch prüfende Person, Nachweis oder Reaktion auf ein Problem festgelegt sind.
Definieren Sie jede Kontrolle anhand von sechs Elementen:
Auslöser: Wann die Kontrolle ausgeführt werden muss
Verantwortliche Person: Wer sie durchführt oder überwacht
Aktion: Was geprüft oder abgeschlossen werden muss
Entscheidungskriterien: Was als bestanden, fehlgeschlagen oder eskalationspflichtig gilt
Nachweis: Welcher Datensatz die Ausführung belegt
Ausnahmepfad: Was geschieht, wenn die Kontrolle fehlschlägt
Beispiel: „Bei jeder Änderung von Bankdaten muss ein Mitglied des Finanzteams, das die Anfrage nicht erfasst hat, den Lieferanten unter einer zuvor verifizierten Telefonnummer anrufen. Die prüfende Person dokumentiert das Ergebnis des Anrufs, anschließend gibt eine zweite genehmigende Person die Änderung frei. Eine fehlgeschlagene Verifizierung blockiert die Zahlung und eröffnet eine Untersuchungsaufgabe.“
Kontrollen lassen sich im Allgemeinen in drei Gruppen einteilen:
Präventive Kontrollen verhindern Fehler, bevor sie auftreten, beispielsweise Zugriffsbeschränkungen, Validierungsregeln und Genehmigungsschleusen.
Aufdeckende Kontrollen erkennen bereits aufgetretene Fehler, beispielsweise Abstimmungen, Ausnahmeberichte und Qualitätsprüfungen.
Korrigierende Kontrollen begrenzen die Auswirkungen und stellen den Normalbetrieb wieder her, beispielsweise Kontosperrungen, Datenkorrekturen, Rollbacks oder Incident Response.
Ein robustes Design kombiniert normalerweise alle drei Arten. Präventive Kontrollen reduzieren die Häufigkeit, während aufdeckende und korrigierende Kontrollen den Schaden begrenzen, wenn die Prävention versagt. Weitere Beispiele finden Sie im Leitfaden zu internen Kontrollen für kleine Unternehmen.
An diesem Punkt scheitern statische Risikotabellen häufig. Sie beschreiben, was geschehen sollte, bleiben jedoch von der laufenden Arbeit getrennt. Überführen Sie wichtige Maßnahmen in ausführbare SOPs und Workflows mit zugewiesenen Schritten, Fristen, Genehmigungsschleusen, strukturierter Datenerfassung und Eskalationsregeln.
In OKiDO können Sie Kontrollen als versionierte SOP-Vorlagen strukturieren, sie als RUNs starten und Kommentare, Eingaben, Genehmigungen, Dateien sowie die Ausführungshistorie im jeweiligen Kontext aufbewahren. Komplexere Maßnahmen können Systems für Verzweigungen, parallele Arbeit, Schleifen, Gates und Ausnahme-Routing nutzen. So erhalten Führungskräfte einen überprüfbaren Datensatz, der zeigt, ob die Kontrolle tatsächlich ausgeführt wurde, anstatt lediglich zu bestätigen, dass sie existiert.
Risiken bei betrieblichen Veränderungen überprüfen
Eine jährliche Überprüfung ist für Prozesse, die sich häufig verändern, zu langsam. Neue Software, Lieferanten, Vorschriften, KI-Agenten, Teamstrukturen und Kundenzusagen können die Gefährdung unmittelbar verändern.
Legen Sie die Überprüfungshäufigkeit anhand des verbleibenden Risikos fest:
Kritische Risiken: Monatlich oder nach jedem wesentlichen Ereignis
Hohe Risiken: Vierteljährlich
Mittlere Risiken: Alle sechs Monate
Niedrige Risiken: Jährlich
Definieren Sie außerdem ereignisbasierte Auslöser für Überprüfungen. Bewerten Sie ein Risiko nach einem Vorfall, Beinahe-Vorfall, Kontrollversagen, Audit-Feststellung, Prozessumbau, einer Systemmigration, einem erheblichen Anstieg des Volumens, einer regulatorischen Änderung oder einer neuen Abhängigkeit von Drittanbietern neu.
Ihre Überprüfung sollte vier Fragen beantworten:
Haben sich die Eintrittswahrscheinlichkeit oder die potenziellen Auswirkungen verändert?
Sind die Kontrollen weiterhin angemessen gestaltet?
Gibt es Nachweise dafür, dass die Kontrollen konsequent ausgeführt werden?
Sind neue Fehlermöglichkeiten oder Abhängigkeiten entstanden?
Verfolgen Sie nach Möglichkeit Frühindikatoren. Überfällige Genehmigungen, ein steigendes Ausnahmevolumen, wiederholt übersprungene Schritte, fehlgeschlagene Automatisierungen und über längere Zeit blockierte Arbeit können auf eine zunehmende Gefährdung hinweisen, bevor ein schwerwiegender Vorfall eintritt.
Versionierung ist ebenso wichtig. Wenn sich ein Verfahren ändert, sollten bereits laufende Arbeiten den Regeln folgen, unter denen sie begonnen wurden, während neue Arbeiten die genehmigte Revision verwenden. OKiDO bindet aktive RUNs an ihre jeweilige Vorlagenversion und zeichnet Ausführungsaktivitäten auf. Dadurch lässt sich leichter nachvollziehen, welches Kontrolldesign zu einem bestimmten Zeitpunkt galt.
Eine Bewertung operativer Risiken schafft nur dann Mehrwert, wenn sie die Ausführung verändert. Ordnen Sie Risiken realen Prozessen zu, bewerten Sie sie einheitlich, definieren Sie klare Verantwortlichkeiten und überführen Sie Maßnahmen in Kontrollen, die Nachweise erzeugen.
OKiDO verbindet Prozessdokumentation, SOPs, Entscheidungslogik, Systems, Genehmigungen, Eskalationen und Audit-Trails in einer zentralen operativen Kontextebene. Nutzen Sie OKiDO, um Ihre Risikobewertung aus einer Tabelle in gesteuerte Workflows zu überführen, die Menschen und KI zuverlässig ausführen können.
