methodatlas

Decision Making Entscheidungsmethode

Risk Matrix

Bewertet klar formulierte Risiken mit verankerten Skalen für Wahrscheinlichkeit und Auswirkung und verbindet die Priorität mit einer Reaktion.

Eine Risk Matrix macht heterogene Risiken vergleichbar, wenn Skalen, Zeithorizont und Bewertungsbasis vorab feststehen. Ordinalwerte sind Gesprächshilfen, keine präzise Mathematik; seltene katastrophale Risiken und unsichere Schätzungen brauchen eine eigene Betrachtung.

Kernfrage
Welche Risiken überschreiten im vereinbarten Zeitraum unsere Toleranz, und welche Reaktion senkt sie nachvollziehbar?
Teilnehmende
3-10
Zeit
30-60 min

Die 5×5-Werte sind ordinale Kategorien. Das Produkt dient nur als Sortierhilfe und darf Unsicherheit oder Extremfolgen nicht verdecken.

Papierillustration einer 5-mal-5-Risikomatrix mit kalibrierten Achsen und Maßnahmenkarten.
  1. Kalibrieren

    Skalen und Schwellen verankern

    Eine für den konkreten Scope verständliche 5×5-Skala mit beobachtbaren Ankern und Eskalationsregeln festlegen.

  2. Beschreiben

    Risikoszenarien präzisieren

    Jedes Risiko als mögliches Ereignis mit Ursache, Folge, Betroffenheit und bestehenden Kontrollen beschreiben.

  3. Bewerten

    Inhärentes und verbleibendes Risiko einordnen

    Wahrscheinlichkeit und Auswirkung konsistent bewerten und Dissens oder Unsicherheit sichtbar halten.

  4. Reagieren

    Reaktion und Monitoring festlegen

    Für Risiken oberhalb der Schwelle eine konkrete Behandlung, Verantwortung und einen Prüfauslöser vereinbaren.

Bei neuen Kontrollen, Vorfällen oder Kontextänderungen Wahrscheinlichkeit, Auswirkung und Restrisiko neu bewerten; alte Werte datiert erhalten.

Geeignet, wenn

Geeignet für einen begrenzten Risikoentscheid mit benannten Ereignissen und vorhandenen Fachpersonen. Für detaillierte Fehlerketten oder quantitative Verlustmodelle sind FMEA, Szenarioanalyse oder Monte-Carlo-Modelle passender.

Ideal für

  • Steering-Board-Briefings
  • Projektportfolio-Review
  • Compliance-Reviews

Nicht gut für

  • Hochdynamische Kontexte mit unbekannten Risiken

Ergebnisse

  • Kalibrierte Risikomatrix

    Risiken mit begründeter Wahrscheinlichkeit, Auswirkung, Restrisiko und Unsicherheit.

  • Behandlungsplan

    Priorisierte Maßnahmen mit Ownern, Terminen, Indikatoren und Reviewauslösern.

Begründete Risikobewertung

Fiktives Arbeitsbeispiel

Die Tabelle verbindet das Szenario mit kalibrierten Bewertungen, Kontrollen und Entscheidung; sie ersetzt keine quantitative Risikoanalyse.

Begründete Risikobewertung
RisikoRisikoszenarioWahrscheinlichkeitAuswirkungKontrollen und RestrisikoReaktion
Checkout-AnmeldungAusfall des IdentitätsprovidersWenn der Identitätsprovider länger als 30 Minuten ausfällt, können Kundinnen und Kunden sich nicht anmelden oder kaufen.3/5: laut Statushistorie etwa einmal pro Quartal; Datenlage 12 Monate.5/5: kompletter Login- und Kaufstopp, Umsatz- und Supportfolge.Manueller Fallback vorhanden, noch ungeprobt; Restrisiko 3×5=15.Mitigieren: Operations testet bis 30.06.; Umschaltung <5 Minuten, kein Datenverlust; danach Neubewertung.
  1. 1. Risikoszenario

    Checkout-Anmeldung
    Wenn der Identitätsprovider länger als 30 Minuten ausfällt, können Kundinnen und Kunden sich nicht anmelden oder kaufen.
  2. 2. Wahrscheinlichkeit

    Checkout-Anmeldung
    3/5: laut Statushistorie etwa einmal pro Quartal; Datenlage 12 Monate.
  3. 3. Auswirkung

    Checkout-Anmeldung
    5/5: kompletter Login- und Kaufstopp, Umsatz- und Supportfolge.
  4. 4. Kontrollen und Restrisiko

    Checkout-Anmeldung
    Manueller Fallback vorhanden, noch ungeprobt; Restrisiko 3×5=15.
  5. 5. Reaktion

    Checkout-Anmeldung
    Mitigieren: Operations testet bis 30.06.; Umschaltung <5 Minuten, kein Datenverlust; danach Neubewertung.

Der Zahlenwert ist eine ordinale Sortierhilfe. Anker, Unsicherheit, Extremfolgen und Restrisiko bleiben entscheidungsrelevant.

NIST SP 800-30 Rev. 1

Erster Schritt

Lege Scope, Zeithorizont und verbale Anker für beide Achsen fest, bevor das erste Risiko eingetragen wird.

Zur Methodenanleitung

Vertiefung

Zweck

In Projekten mit vielen möglichen Störungen fehlt schnell die Orientierung, welche Risiken zuerst Aufmerksamkeit verdienen. Eine Risk Matrix ordnet Wahrscheinlichkeit und Auswirkung so, dass Priorität aus Schaden und Eintrittskraft gemeinsam entsteht.

Funktionsweise

Jedes Risiko wird auf zwei Dimensionen betrachtet und in eine gemeinsame Prioritätslogik eingeordnet. Die Matrix unterscheidet seltene, aber katastrophale Themen von häufigen, moderaten Störungen. So lassen sich Schutzmaßnahmen an den riskantesten Punkten bündeln.

Im Detail

Eine Risk Matrix bringt viele Risiken in eine gemeinsame Prioritätensprache. Klare Skalen, konsistente Bewertung und Diskussion seltener, aber schwerer Risiken halten die Matrix brauchbar. Der Wert entsteht, wenn Maßnahmen und Aufmerksamkeit zu den wichtigsten Risikofeldern wandern. Wichtig ist, dass Farbflächen nicht die eigentliche Risikodiskussion ersetzen.

Durchführung

Vereinheitliche zuerst die Skalen für Eintritt und Auswirkung, damit dieselbe Zellposition für alle dasselbe bedeutet. Der Nutzen wächst, wenn strittige Risiken mit Beispielen und Daten statt mit bloßer Dringlichkeit diskutiert werden. Beende die Runde mit Maßnahmen für die obersten Felder und klaren Regeln für Monitoring oder Eskalation.

Die Methodenanleitung führt mit 4 Phasen, Zeitrahmen, 4 Stolperfallen und klaren Abbruchkriterien durch die Umsetzung.

Methodenanleitung öffnen

Deine Einschätzung

Hilft dir diese Methode für dein Vorhaben?

Mit deinem Feedback hilfst du, den Methodatlas weiterzuentwickeln.

Quellen und Themen

Themen
Artefakt-Vorlagen
Risk Matrix: ArbeitsvorlagePlane Kalibrierung, Bewertung und Reaktionsentscheid in einem begrenzten Risikoset.
markdown

risk-matrix-working-template.md

Plane Kalibrierung, Bewertung und Reaktionsentscheid in einem begrenzten Risikoset.

Risk Matrix: Arbeitsvorlage

Fragestellung

Noch zu klären

Gewünschtes Ergebnis

Noch zu klären

Rahmen

Komplette Risikorunde Zeit: 45–60 Minuten

Diese Vorlage während der Arbeit auf Papier oder in einem eigenen Dokument ausfüllen.

Vorbereitung für diesen Umfang

Methodische Grundausstattung

  • Materialien: 5×5-Arbeitsfläche, Risikoliste, historische Vorfälle, Kontrollnachweise, Skalenanker und Entscheidungslog.
  • Rollen: Facilitator, Risk Owner, Fachpersonen für Eintritt und Auswirkung sowie eine Person mit Annahme- oder Eskalationsrecht.
  • Vorab-Infos: Scope, Zeithorizont, Risikotoleranz, vorhandene Kontrollen und Referenzfälle vorbereiten.
  • Gesamter Zeitbedarf: 45–60 Minuten für 8–12 Risiken; Datenklärung und Maßnahmenarbeit zusätzlich.
  • Setup: Achsen 1 bis 5 mit konkreten Ankern beschriften; Extremfall- und Unsicherheitsregel sichtbar daneben stellen.

Für die Arbeitsschritte bereitstellen

Kalibrieren: Skalen und Schwellen verankern

  • Entscheidungsscope und Zeithorizont
  • Risikotoleranz oder Eskalationsvorgaben
  • Historische Vorfälle oder Referenzfälle

Beschreiben: Risikoszenarien präzisieren

  • Risikoquellen und Annahmen
  • Prozess-, System- oder Marktwissen
  • Bestehende Kontrollen

Bewerten: Inhärentes und verbleibendes Risiko einordnen

  • Kalibrierte Skalen
  • Bewertbare Risikoszenarien
  • Kontrollwirksamkeit und Falldaten

Reagieren: Reaktion und Monitoring festlegen

  • Begründete Matrix
  • Risikotoleranz
  • Handlungsoptionen und Verantwortlichkeiten

Begründete Risikobewertung

RisikoWenn …, dann …P 1–5 + AnkerI 1–5 + AnkerKontrollen · RestrisikoReaktion · Owner · Termin
Checkout-Anmeldung
  • Checkout-Anmeldung: Ausfall des Identitätsproviders

Für jedes Risiko Szenario, P/I-Anker, Kontrolle, Restrisiko und Reaktion ausfüllen.

NIST SP 800-30 Rev. 1

Kalibrieren: Skalen und Schwellen verankern

Erwartetes Artefakt: Kalibrierte Skalen

5 Wahrscheinlichkeitsanker · 5 Auswirkungsanker · Schwellen · Extremfallregel

Eintrag:

...

  • Können zwei Personen denselben Referenzfall innerhalb einer Stufe einordnen?
  • Bleibt ein katastrophales Risiko sichtbar, auch wenn seine Häufigkeit niedrig ist?

Beschreiben: Risikoszenarien präzisieren

Erwartetes Artefakt: Bewertbare Risikoliste

Ereignis · Ursache · Folge · Ziel · Kontrolle · Belegstatus

Eintrag:

...

  • Beschreibt jeder Eintrag ein unsicheres Ereignis statt ein bereits eingetretenes Issue?
  • Ist erkennbar, welche Folge bewertet wird?

Bewerten: Inhärentes und verbleibendes Risiko einordnen

Erwartetes Artefakt: Begründete Matrix

P · I · Kategorie · Begründung · Restrisiko · Unsicherheit

Eintrag:

...

  • Ist die Zellposition aus Skalenankern und Evidenz herleitbar?
  • Wurde ordinaler Score nicht als exakte Verlustwahrscheinlichkeit ausgegeben?

Reagieren: Reaktion und Monitoring festlegen

Erwartetes Artefakt: Risikobehandlungsplan

Reaktion · Maßnahme · Owner · Termin · Indikator · Restrisiko

Eintrag:

...

  • Hat jedes hohe Risiko eine Entscheidung statt nur eine Farbe?
  • Ist erkennbar, wann die Bewertung ungültig wird?

Offene Fragen und nächste Schritte

...

Methodenanleitung: https://methodatlas.meierhoff-systems.de/de/methods/risk-matrix/run-sheet

Alternativen und Nachbarn

Passende Alternativen mit Entscheidungshilfe, danach weitere verwandte Methoden.

Alle Methoden
Rahmenbedingungen und Herkunft
NiedrigWorkshop + Async30-60 min

Steckbrief

Methodenform
Entscheidungsmethode
Teilnehmende
3-10
Zeit
30-60 min
Reifegrad
Canonical
Ursprung
Agile Community
Papierboard mit den vier ROAM-Feldern Resolved, Owned, Accepted und Mitigated.
Als Nächstes: ROAM Board