Aus der unternehmerischen Praxis wissen wir, dass nicht jedes mögliche Risiko auch nennenswerte Folgen hat, die das Unternehmen gefährden. Insoweit bedarf es bei der Bewertung der Risiken einer Kategorisierung nach den Kriterien der Eintrittswahrscheinlichkeit und des möglichen Schadens.
Die Bewertung sollte nach einem für das Unternehmen einheitlichen System (z. B. mit 3 bis 4 Stufen je Kriterium) erfolgen. Die Eintrittswahrscheinlichkeit kann beispielsweise mit den Stufen "gering“, "mittel“, "hoch“ und "sehr hoch“ kategorisiert werden, der mögliche Schaden entsprechend, wobei beim Schaden zwischen materiellem Schaden (Geld) und immateriellem Schaden (Image) zu unterscheiden ist. In der Regel führt jedoch ein immaterieller Schaden am Ende stets zu einem bezifferbaren materiellen Schaden.
Die einzelnen Stufen sind jeweils mit Kennziffern zu hinterlegen, wie etwa definierte Geldbeträge bei den einzelnen Schadenstufen. Dies erfolgt für jedes Unternehmen individuell, für ein Kleinstunternehmen kann der Betrag von 10.000 € bereits eine existenzielle Gefährdung darstellen, während ein großer Mittelständler einen Millionenbetrag relativ leicht verschmerzen kann.
Abbildung 1: Risikobewertungsmatrix mit Darstellung unterschiedlichen Risiken
Eine geeignete Form der grafischen Darstellung stellt die sog. Risikobewertungsmatrix dar. Risiken mit hoher Eintrittswahrscheinlichkeit und hohem Schadenpotenzial sind mit höchster Priorität zu beobachten und mit Notfallplänen abzudecken. Für Risiken mit geringer Eintrittswahrscheinlichkeit und geringem Schadenpotenzial genügt in der Regel ein laufendes Monitoring.
Aufgrund der Unterschiedlichkeit von Unternehmen können vergleichbare Risiken völlig unterschiedliche Auswirkungen haben, weshalb sich eine solchen Risikobewertungsmatrix auch nicht verallgemeinern lässt.
Risikoportfolio gewichten und Gegenmaßnahmen festlegen
Gemäß der Färbung im Risikoportfolio werden die Risiken in Kategorien von "hoch“ = rot bis "gering“ = grün eingeteilt. Bei der Erarbeitung von Gegenmaßnahmen sind zunächst Risiken der Kategorie "hoch“ zu betrachten, da davon auszugehen ist, dass diese – aufgrund der hohen Eintrittswahrscheinlichkeit – auch als dringlich zu werten sind.
Für die verschiedenen Risiken sind dann vorsorglich Maßnahmen zu definieren, damit die negativen Auswirkungen auf das Unternehmen möglichst begrenzt bleiben. Eine vollständige Vermeidung wird allerdings nur selten möglich sein. Manche Risiken lassen sich überhaupt nicht oder nur in sehr geringem Maße beeinflussen, wie z. B. der Eintritt eines neuen Wettbewerbers oder Gesetzesänderungen. Für diese Risiken gilt grundsätzlich bei der Erstellung der Planung ein Worst-Case-Szenario, d. h. es ist vom "Schlimmsten“ auszugehen, um vorbereitet zu sein.
Die Risikobewertung sowie die Ableitung geeigneter Maßnahmen sollten grundsätzlich Teil der strategischen Unternehmensplanung sein.