Vorher abschließenBegrenzter Scope
Ziel, Zeitraum und betrachteter Prozess sind benannt.
Ohne Grenze sind Bewertungen nicht vergleichbar.
MethodenanleitungDecision Making
Risk Matrix
Die Anleitung zur Methode: Voraussetzungen und Materialien klären, den gesamten Ablauf verstehen und Ergebnisse, Stolperfallen sowie Abbruchkriterien nachschlagen.
KomplexitätNiedrig
Zeit30-60 min
Teilnehmende3-10
FormatWorkshop + Async
ReifegradCanonical
01
Vorbedingung
Was vorher fertig sein muss
Vorher abschließenSkalenanker
Wahrscheinlichkeit und Auswirkung besitzen beobachtbare Anker.
Ohne Anker werden Farben zu Meinungen.
02
Vorbereitung
Was vor Start vorliegen muss
Materialien
5×5-Arbeitsfläche, Risikoliste, historische Vorfälle, Kontrollnachweise, Skalenanker und Entscheidungslog.
Personen / Rollen
Facilitator, Risk Owner, Fachpersonen für Eintritt und Auswirkung sowie eine Person mit Annahme- oder Eskalationsrecht.
Vorabinfos
Scope, Zeithorizont, Risikotoleranz, vorhandene Kontrollen und Referenzfälle vorbereiten.
Zeitbedarf
45–60 Minuten für 8–12 Risiken; Datenklärung und Maßnahmenarbeit zusätzlich.
Setup
Achsen 1 bis 5 mit konkreten Ankern beschriften; Extremfall- und Unsicherheitsregel sichtbar daneben stellen.
03
Kernfrage
Die eine Frage, die diese Methode beantwortet
Welche Risiken überschreiten im vereinbarten Zeitraum unsere Toleranz, und welche Reaktion senkt sie nachvollziehbar?
04
Ablauf
Phasen mit Ziel, Durchführung, Ergebnis und Stolperfalle
Eine Risk Matrix macht heterogene Risiken vergleichbar, wenn Skalen, Zeithorizont und Bewertungsbasis vorab feststehen. Ordinalwerte sind Gesprächshilfen, keine präzise Mathematik; seltene katastrophale Risiken und unsichere Schätzungen brauchen eine eigene Betrachtung.
Begründete Risikobewertung
Fiktives Arbeitsbeispiel
Die Tabelle verbindet das Szenario mit kalibrierten Bewertungen, Kontrollen und Entscheidung; sie ersetzt keine quantitative Risikoanalyse.
| Risiko | Risikoszenario | Wahrscheinlichkeit | Auswirkung | Kontrollen und Restrisiko | Reaktion |
|---|---|---|---|---|---|
| Checkout-AnmeldungAusfall des Identitätsproviders | Wenn der Identitätsprovider länger als 30 Minuten ausfällt, können Kundinnen und Kunden sich nicht anmelden oder kaufen. | 3/5: laut Statushistorie etwa einmal pro Quartal; Datenlage 12 Monate. | 5/5: kompletter Login- und Kaufstopp, Umsatz- und Supportfolge. | Manueller Fallback vorhanden, noch ungeprobt; Restrisiko 3×5=15. | Mitigieren: Operations testet bis 30.06.; Umschaltung <5 Minuten, kein Datenverlust; danach Neubewertung. |
1. Risikoszenario
- Checkout-Anmeldung
- Wenn der Identitätsprovider länger als 30 Minuten ausfällt, können Kundinnen und Kunden sich nicht anmelden oder kaufen.
2. Wahrscheinlichkeit
- Checkout-Anmeldung
- 3/5: laut Statushistorie etwa einmal pro Quartal; Datenlage 12 Monate.
3. Auswirkung
- Checkout-Anmeldung
- 5/5: kompletter Login- und Kaufstopp, Umsatz- und Supportfolge.
4. Kontrollen und Restrisiko
- Checkout-Anmeldung
- Manueller Fallback vorhanden, noch ungeprobt; Restrisiko 3×5=15.
5. Reaktion
- Checkout-Anmeldung
- Mitigieren: Operations testet bis 30.06.; Umschaltung <5 Minuten, kein Datenverlust; danach Neubewertung.
Der Zahlenwert ist eine ordinale Sortierhilfe. Anker, Unsicherheit, Extremfolgen und Restrisiko bleiben entscheidungsrelevant.
- 1
Kalibrieren
Skalen und Schwellen verankern
Ziel
Eine für den konkreten Scope verständliche 5×5-Skala mit beobachtbaren Ankern und Eskalationsregeln festlegen.
Voraussetzungen für diesen Schritt
- Entscheidungsscope und Zeithorizont
- Risikotoleranz oder Eskalationsvorgaben
- Historische Vorfälle oder Referenzfälle
Durchführung
- Wahrscheinlichkeit pro Stufe als Bereich oder nachvollziehbare Häufigkeit definieren.
- Auswirkung pro Stufe für Kosten, Nutzer, Betrieb und Compliance mit Beispielen verankern.
- Schwelle, Extremfallregel und Umgang mit hoher Unsicherheit vereinbaren.
Ergebnis
Kalibrierte Skalen
5 Wahrscheinlichkeitsanker · 5 Auswirkungsanker · Schwellen · Extremfallregel
Qualitätscheck
Können zwei Personen denselben Referenzfall innerhalb einer Stufe einordnen? Bleibt ein katastrophales Risiko sichtbar, auch wenn seine Häufigkeit niedrig ist?
Stolperfalle
Die Gruppe vergibt Zahlen, ohne zu sagen, welche reale Häufigkeit oder Folge hinter einer Stufe steht. Jede Stufe mit einem Bereich und einem Referenzfall verankern; bei fehlenden Daten Unsicherheit separat markieren.
Zeitlicher Rahmen: 10–15 Minuten
- 2
Beschreiben
Risikoszenarien präzisieren
Ziel
Jedes Risiko als mögliches Ereignis mit Ursache, Folge, Betroffenheit und bestehenden Kontrollen beschreiben.
Voraussetzungen für diesen Schritt
- Risikoquellen und Annahmen
- Prozess-, System- oder Marktwissen
- Bestehende Kontrollen
Durchführung
- Risiko als 'Wenn Ursache/Ereignis, dann Folge' formulieren.
- Betroffene Ziele, Auswirkungsbereich und vorhandene Kontrollen ergänzen.
- Beleg, Datenlücke und Bewertungsdatum am Risiko festhalten.
Ergebnis
Bewertbare Risikoliste
Ereignis · Ursache · Folge · Ziel · Kontrolle · Belegstatus
Qualitätscheck
Beschreibt jeder Eintrag ein unsicheres Ereignis statt ein bereits eingetretenes Issue? Ist erkennbar, welche Folge bewertet wird?
Stolperfalle
Einträge wie 'Security' oder 'Lieferant' benennen Themen, aber kein bewertbares Ereignis und keine konkrete Folge. Den Eintrag in eine Wenn-dann-Aussage mit betroffener Zielgröße umformulieren.
Zeitlicher Rahmen: 10–15 Minuten
- 3
Bewerten
Inhärentes und verbleibendes Risiko einordnen
Ziel
Wahrscheinlichkeit und Auswirkung konsistent bewerten und Dissens oder Unsicherheit sichtbar halten.
Voraussetzungen für diesen Schritt
- Kalibrierte Skalen
- Bewertbare Risikoszenarien
- Kontrollwirksamkeit und Falldaten
Durchführung
- Zuerst das Risiko ohne geplante Zusatzmaßnahme bewerten und Begründung notieren.
- Nach vorhandenen wirksamen Kontrollen das Restrisiko getrennt einordnen.
- Abweichende Einschätzungen als Bandbreite oder offene Datenfrage dokumentieren.
Ergebnis
Begründete Matrix
P · I · Kategorie · Begründung · Restrisiko · Unsicherheit
Qualitätscheck
Ist die Zellposition aus Skalenankern und Evidenz herleitbar? Wurde ordinaler Score nicht als exakte Verlustwahrscheinlichkeit ausgegeben?
Stolperfalle
Das Team multipliziert zwei Ordinalzahlen und behandelt den Score als objektive Genauigkeit oder einzige Rangfolge. Anker, Begründung, Unsicherheit und Extremfolge neben dem Score prüfen; Gleichstände inhaltlich diskutieren.
Zeitlicher Rahmen: 15–20 Minuten
- 4
Reagieren
Reaktion und Monitoring festlegen
Ziel
Für Risiken oberhalb der Schwelle eine konkrete Behandlung, Verantwortung und einen Prüfauslöser vereinbaren.
Voraussetzungen für diesen Schritt
- Begründete Matrix
- Risikotoleranz
- Handlungsoptionen und Verantwortlichkeiten
Durchführung
- Vermeiden, vermindern, übertragen oder akzeptieren bewusst wählen und begründen.
- Maßnahme, Owner, Termin, Frühindikator und erwartetes Restrisiko festlegen.
- Reviewdatum oder Auslöser für Neubewertung vereinbaren.
Ergebnis
Risikobehandlungsplan
Reaktion · Maßnahme · Owner · Termin · Indikator · Restrisiko
Qualitätscheck
Hat jedes hohe Risiko eine Entscheidung statt nur eine Farbe? Ist erkennbar, wann die Bewertung ungültig wird?
Stolperfalle
Die Matrix endet mit roten Feldern, ohne dass Entscheidung, Owner, Wirkindikator oder Reviewtermin feststehen. Für jedes Feld oberhalb der Schwelle eine Reaktion und einen messbaren Prüfauslöser eintragen.
Zeitlicher Rahmen: 10–15 Minuten
05
Artefakt
Was am Ende rauskommt
Skizze: so sieht das Artefakt aus
Form
Versionierte Matrix plus Risikoregister mit Begründung, Reaktion, Owner, Termin und Restrisiko.
Versionierung / Ownership
Bewertungsdatum, Skalenfassung und veränderte Kontrollen je Revision erhalten; frühere Positionen nicht überschreiben.
Tool-Alternativen
- Whiteboard mit 5×5-Raster
- Risikoregister oder Tabellenblatt
- Entscheidungs- und Maßnahmenlog
risk-matrix-working-template.md
Plane Kalibrierung, Bewertung und Reaktionsentscheid in einem begrenzten Risikoset.
Risk Matrix: Arbeitsvorlage
Fragestellung
Noch zu klären
Gewünschtes Ergebnis
Noch zu klären
Rahmen
Komplette Risikorunde Zeit: 45–60 Minuten
Diese Vorlage während der Arbeit auf Papier oder in einem eigenen Dokument ausfüllen.
Vorbereitung für diesen Umfang
Methodische Grundausstattung
- Materialien: 5×5-Arbeitsfläche, Risikoliste, historische Vorfälle, Kontrollnachweise, Skalenanker und Entscheidungslog.
- Rollen: Facilitator, Risk Owner, Fachpersonen für Eintritt und Auswirkung sowie eine Person mit Annahme- oder Eskalationsrecht.
- Vorab-Infos: Scope, Zeithorizont, Risikotoleranz, vorhandene Kontrollen und Referenzfälle vorbereiten.
- Gesamter Zeitbedarf: 45–60 Minuten für 8–12 Risiken; Datenklärung und Maßnahmenarbeit zusätzlich.
- Setup: Achsen 1 bis 5 mit konkreten Ankern beschriften; Extremfall- und Unsicherheitsregel sichtbar daneben stellen.
Für die Arbeitsschritte bereitstellen
Kalibrieren: Skalen und Schwellen verankern
- Entscheidungsscope und Zeithorizont
- Risikotoleranz oder Eskalationsvorgaben
- Historische Vorfälle oder Referenzfälle
Beschreiben: Risikoszenarien präzisieren
- Risikoquellen und Annahmen
- Prozess-, System- oder Marktwissen
- Bestehende Kontrollen
Bewerten: Inhärentes und verbleibendes Risiko einordnen
- Kalibrierte Skalen
- Bewertbare Risikoszenarien
- Kontrollwirksamkeit und Falldaten
Reagieren: Reaktion und Monitoring festlegen
- Begründete Matrix
- Risikotoleranz
- Handlungsoptionen und Verantwortlichkeiten
Begründete Risikobewertung
| Risiko | Wenn …, dann … | P 1–5 + Anker | I 1–5 + Anker | Kontrollen · Restrisiko | Reaktion · Owner · Termin |
|---|---|---|---|---|---|
| Checkout-Anmeldung |
- Checkout-Anmeldung: Ausfall des Identitätsproviders
Für jedes Risiko Szenario, P/I-Anker, Kontrolle, Restrisiko und Reaktion ausfüllen.
Kalibrieren: Skalen und Schwellen verankern
Erwartetes Artefakt: Kalibrierte Skalen
5 Wahrscheinlichkeitsanker · 5 Auswirkungsanker · Schwellen · Extremfallregel
Eintrag:
...
- Können zwei Personen denselben Referenzfall innerhalb einer Stufe einordnen?
- Bleibt ein katastrophales Risiko sichtbar, auch wenn seine Häufigkeit niedrig ist?
Beschreiben: Risikoszenarien präzisieren
Erwartetes Artefakt: Bewertbare Risikoliste
Ereignis · Ursache · Folge · Ziel · Kontrolle · Belegstatus
Eintrag:
...
- Beschreibt jeder Eintrag ein unsicheres Ereignis statt ein bereits eingetretenes Issue?
- Ist erkennbar, welche Folge bewertet wird?
Bewerten: Inhärentes und verbleibendes Risiko einordnen
Erwartetes Artefakt: Begründete Matrix
P · I · Kategorie · Begründung · Restrisiko · Unsicherheit
Eintrag:
...
- Ist die Zellposition aus Skalenankern und Evidenz herleitbar?
- Wurde ordinaler Score nicht als exakte Verlustwahrscheinlichkeit ausgegeben?
Reagieren: Reaktion und Monitoring festlegen
Erwartetes Artefakt: Risikobehandlungsplan
Reaktion · Maßnahme · Owner · Termin · Indikator · Restrisiko
Eintrag:
...
- Hat jedes hohe Risiko eine Entscheidung statt nur eine Farbe?
- Ist erkennbar, wann die Bewertung ungültig wird?
Offene Fragen und nächste Schritte
...
Methodenanleitung: https://methodatlas.meierhoff-systems.de/de/methods/risk-matrix/run-sheet
06
Beispielausgabe
Konkret gefülltes Szenario, fiktives Beispiel
Fiktives Beispiel zur Orientierung. Die genannten Mengen und Zeiten beschreiben diesen Fall und sind keine allgemeine Vorgabe.
risk-matrix-beispiel.md
Konkret gefülltes Szenario, fiktives Beispiel
Fiktives Beispiel: Checkout hängt vom Identitätsprovider ab. Ereignis: Provider länger als 30 Minuten nicht erreichbar. P=3 (ein Ausfall pro Quartal laut Statushistorie), I=5 (keine Anmeldung und kein Kauf; Umsatz- und Supportfolge). Inhärent 15. Aktueller Fallback ist ungeprobt, daher Restrisiko weiter 15. Entscheidung: Mitigieren; Operations testet den Fallback bis 30.06., Erfolg: Umschaltung unter 5 Minuten ohne Datenverlust. Danach neu bewerten.
07
Stolperfallen
Symptome erkennen, gegensteuern
Kurzüberblick, vollständiger Text steht in der jeweiligen Phase im Ablauf
- Skalen und Schwellen verankernDie Gruppe vergibt Zahlen, ohne zu sagen, welche reale Häufigkeit oder Folge hinter einer Stufe steht.In der Phase ansehen
- Risikoszenarien präzisierenEinträge wie 'Security' oder 'Lieferant' benennen Themen, aber kein bewertbares Ereignis und keine konkrete Folge.In der Phase ansehen
- Inhärentes und verbleibendes Risiko einordnenDas Team multipliziert zwei Ordinalzahlen und behandelt den Score als objektive Genauigkeit oder einzige Rangfolge.In der Phase ansehen
- Reaktion und Monitoring festlegenDie Matrix endet mit roten Feldern, ohne dass Entscheidung, Owner, Wirkindikator oder Reviewtermin feststehen.In der Phase ansehen
Falle
Skalen und Schwellen verankern
Symptom
Die Gruppe vergibt Zahlen, ohne zu sagen, welche reale Häufigkeit oder Folge hinter einer Stufe steht.
Was tun
Jede Stufe mit einem Bereich und einem Referenzfall verankern; bei fehlenden Daten Unsicherheit separat markieren.
Falle
Risikoszenarien präzisieren
Symptom
Einträge wie 'Security' oder 'Lieferant' benennen Themen, aber kein bewertbares Ereignis und keine konkrete Folge.
Was tun
Den Eintrag in eine Wenn-dann-Aussage mit betroffener Zielgröße umformulieren.
Falle
Inhärentes und verbleibendes Risiko einordnen
Symptom
Das Team multipliziert zwei Ordinalzahlen und behandelt den Score als objektive Genauigkeit oder einzige Rangfolge.
Was tun
Anker, Begründung, Unsicherheit und Extremfolge neben dem Score prüfen; Gleichstände inhaltlich diskutieren.
Falle
Reaktion und Monitoring festlegen
Symptom
Die Matrix endet mit roten Feldern, ohne dass Entscheidung, Owner, Wirkindikator oder Reviewtermin feststehen.
Was tun
Für jedes Feld oberhalb der Schwelle eine Reaktion und einen messbaren Prüfauslöser eintragen.
08
Abbruchkriterien
Wann du anhalten, Voraussetzungen klären oder einen anderen Ansatz wählen solltest
Alle Bewertungen verweisen auf Skalenanker und einen Beleg- oder Unsicherheitsstatus.
Jedes Risiko oberhalb der Schwelle hat Reaktion, Owner, Termin und Prüfauslöser.
Methodenanleitung durchgearbeitet?
Zum Steckbrief für Zweck, ähnliche Methoden und Quellen oder direkt zur nächsten Methode im Katalog.