Risikoanalyse

Begriff, Zweck und Einordnung

Die Risikoanalyse ist ein Teil des Risikomanagements. Sie untersucht Risiken, die zuvor durch die Risikoidentifikation festgestellt wurden, und bezieht sich auf unterschiedliche Sachverhalte und Gefahrensituationen.

Das Risikomanagement besteht aus Risikobeurteilung, Risikobewältigung und Risikokommunikation. Die Risikobeurteilung gliedert sich wiederum in Risikoidentifikation, Risikoanalyse und Risikobewertung. Ihr Ziel ist es, Risiken zu identifizieren und zu quantifizieren, also Art und Umfang bestehender Risiken möglichst nachvollziehbar zu bestimmen. Die Ergebnisse können dazu dienen, Risiken durch Präventionsmaßnahmen zu vermeiden oder zu reduzieren. Außerdem unterstützen sie die Risikokommunikation und können die Risikowahrnehmung fördern. Ein Risiko kann auch durch ein Risikomaß ausgedrückt werden.

Die Risikoanalyse wird wesentlich durch die individuelle Risikowahrnehmung beeinflusst. Verschiedene Risikoträger können dasselbe Risiko unterschiedlich oder überhaupt nicht erkennen. Bei selektiver Wahrnehmung werden manche Risiken beachtet, während andere ausgeblendet werden. Eine mangelhafte Wahrnehmung beeinträchtigt deshalb auch die folgenden Phasen des Risikomanagements. Aspekte der Risikoanalyse finden sich unter anderem in der Arbeits-, Bilanz-, Finanz-, Markt- und Schwachstellenanalyse.

Ablauf und Berechnung

Eine Risikoanalyse erfolgt grundsätzlich in drei Schritten:

• Zunächst werden Gefahren identifiziert, die ein System verletzen oder zerstören können.
• Danach werden die Ursachen der erkannten Gefahrenereignisse und deren Häufigkeiten untersucht. Dies geschieht als deduktive Ursachenanalyse, beispielsweise mit einer Fehlerbaumanalyse: Von einem möglichen unerwünschten Ereignis wird auf seine Ursachen zurückgeschlossen.
• Schließlich werden die möglichen Schadensauswirkungen und ihre Wahrscheinlichkeiten analysiert. Dafür kann eine induktive Ereignisbaumanalyse verwendet werden: Ausgehend von einem Ereignis werden mögliche Folgen betrachtet.

Das quantitative Risiko ergibt sich aus der Multiplikation der Schadenshöhe mit der Eintrittswahrscheinlichkeit beziehungsweise der Gefährdungsrate. Welche Größe verwendet wird, hängt davon ab, ob ein zeitlich begrenztes Wagnis oder ein über verschiedene Gefährdungen summiertes Risiko untersucht wird. Dieser Vorgang heißt Risikoquantifizierung.

Mögliche Verfahren sind unter anderem Arbeitsanalyse, Elementaranalyse, Finanzanalyse, qualitative und quantitative Analyse, Portfolio-Analyse, Schwachstellenanalyse und Szenarioanalyse. Die Identifizierung von Gefahren sollte möglichst auf quantitativen historischen oder statistischen Daten beruhen. Ergänzend kommen qualitative Methoden wie Expertenmeinungen und Checklisten zum Einsatz. Ziel ist, alle wahrscheinlichen Gefahren zu erfassen. Dabei müssen sowohl Datenunsicherheiten als auch Modellunsicherheiten berücksichtigt und ihre Quellen möglichst identifiziert werden.

Risikoanalyse in Unternehmen

In der Betriebswirtschaftslehre bedeutet Risikoanalyse die Identifikation und Quantifizierung von Risiken durch die Abschätzung ihrer Eintrittswahrscheinlichkeit und ihrer möglichen, meist unsicheren Auswirkungen, etwa auf die Kosten. Sie bildet eine Grundlage für kalkulatorische Wagniskosten und für erwartungstreue Planwerte, beispielsweise bei der Unternehmensbewertung.

Der betriebliche Prozess kann in vier Teilschritte gegliedert werden:

• Risikoidentifikation: Mit welchen Risiken ist das Unternehmen konfrontiert?
• Risikoanalyse und -evaluation: Wie wahrscheinlich ist ihr Eintritt und wie hoch ist das jeweilige Risiko?
• Risikobearbeitung und -dämpfung: Welche Maßnahmen können vorbeugen oder einen eintretenden Schaden begrenzen?
• Risiko-Monitoring und -Review: Wie verändert sich die Risikosituation und wie lässt sich diese Entwicklung beobachten?

Mit dem Monitoring beginnt der Kreislauf erneut, wenn neue Risiken festgestellt werden. Risikoanalysen werden unter anderem für Lage- oder Risikoberichte im Jahresabschluss, die Projektplanung, Investitionsrechnungen, Unternehmens- und Strategiebewertungen sowie für die Beurteilung neuer Technologien und Produkte eingesetzt. Kreditinstitute nutzen sie zur Bewertung von Kreditnehmern, Kontrahenten und Gegenparteien, zur Steuerung von Kreditrisiken und zur Ermittlung der Eigenmittelanforderungen nach Basel III. Außerdem können gefährdete Arbeitsabläufe erkannt werden, bei denen dolose, also vorsätzlich schädigende Handlungen wie Betrug, Untreue, Unterschlagung oder Korruption drohen.

Bei einer statistischen Analyse können neu abgeschlossene Verträge verschiedener Produktionsjahre in Segmente eingeteilt werden. Anschließend wird bestimmt, welcher Anteil innerhalb eines Segments in Zahlungsschwierigkeiten geraten ist. Segmente mit über viele Produktionsjahre erhöhten Anteilen gelten als riskant. Dafür muss die Zahl der Verträge ausreichend groß sein. Zudem ist das Ergebnis inhaltlich zu prüfen, insbesondere darauf, ob die erkannten Zusammenhänge künftig stabil bleiben.

Technische betriebliche Risiken können beispielsweise durch Fehlerbaumanalyse, Failure Mode and Effects Analysis oder Fehler-Ursachen-Analyse untersucht werden. Bei strategischen Entscheidungen eignet sich eine deterministische Szenarioanalyse, wenn Eintrittswahrscheinlichkeit und Einflussrichtung der Risiken hinreichend bekannt sind. Sind die bestimmenden Faktoren zufallsverteilt, kann eine stochastische Szenarioanalyse eingesetzt werden, etwa eine Monte-Carlo-Simulation oder eine PERT-Analyse mit stochastischen Knoten. Schwer zu quantifizieren sind insbesondere länderspezifische makroökonomische und politische Risiken in internationalen Lieferketten, darunter Terror, Kriminalität, Korruption, Staatsbankrotte, Währungskrisen, Embargos, Handelssanktionen, Rechtsänderungen und Probleme des Geldtransfers.

Bevölkerungsschutz

Im deutschen Bevölkerungsschutz ist die Risikoanalyse ein zentraler Bestandteil des Risikomanagements. Sie liefert belastbare Informationen über Gefahren, Risiken und vorhandene Fähigkeiten zur Risikobewältigung und schafft damit eine Grundlage für angemessene Entscheidungen. Die verwendete Methode orientiert sich an den internationalen Standards ISO 31000 und ISO 31010.

Die Bundesregierung verankerte die Risikoanalyse 2009 im Zivilschutz- und Katastrophenhilfegesetz (ZSKG). Nach § 18 ZSKG vom 2. April 2009 führt der Bund gemeinsam mit den Ländern eine bundesweite und ressortübergreifende Risikoanalyse durch. Seit 2010 wird der Deutsche Bundestag jährlich über die Ergebnisse unterrichtet.

Seit 2012 wurden unter anderem folgende Gefahren analysiert: extremes Schmelzhochwasser aus den Mittelgebirgen und eine Pandemie durch Virus Modi-SARS (beide 2012), Wintersturm (2013), Sturmflut (2014), Freisetzung radioaktiver Stoffe aus einem Kernkraftwerk (2015), Freisetzung chemischer Stoffe (2016) und Dürre (2018). Die Analysen liefern Eintrittswahrscheinlichkeiten, mögliche Schadensauswirkungen sowie Erkenntnisse und Handlungsempfehlungen für ein ganzheitliches Risiko- und Krisenmanagement.

Weitere Einsatzbereiche

Risikoanalysen werden in zahlreichen Bereichen mit besonderem Risikopotenzial eingesetzt. Dazu gehören Kerntechnik, Luftfahrt, Eisenbahn, Schifffahrt, Chemie, Petrochemie, Staudämme und andere technische Anlagen. Dort kommen unter anderem Methoden der probabilistischen Sicherheitsanalyse (PSA) zum Einsatz, die mögliche Ereignisse und deren Wahrscheinlichkeiten untersucht.

Weitere typische Anwendungen sind:

• Bei Großveranstaltungen dient das Maurer-Schema dazu, unter Berücksichtigung der jeweiligen Gefahren die erforderliche Stärke des Sanitätswachdienstes zu berechnen.
• Feuerwehren verwenden in einigen Bundesländern vorgeschriebene Brandschutzbedarfspläne, um Schutzziele innerhalb der Hilfsfrist zu erreichen.
• Im Arbeitsschutz heißt die Risikoanalyse Gefährdungsbeurteilung.
• In Toxikologie, Ökotoxikologie und Umweltrisikomanagement werden gesundheitliche und ökologische Risiken untersucht.
• Für Siedlungen im Gebirge und Großbauten werden Naturgefahren wie Bergrutsche, Lawinen, Muren, Setzungen und Sackungen abgeschätzt. Neben geotechnischen Verfahren wird häufig Geoseismik eingesetzt.
• Bei Maschinen und Anlagen werden Gefahren sowie Gegenmaßnahmen nach ISO 12100 „Sicherheit von Maschinen – Allgemeine Gestaltungsleitsätze – Risikobeurteilung und Risikominderung“ bestimmt.
• Bei Medizinprodukten muss nach EN ISO 14971 und den Regelungen des Medizinproduktegesetzes fortlaufend ein Risikomanagementprozess durchgeführt und dokumentiert werden.
• In der Elektrotechnik verlangt EN 62305-2 eine Analyse der Gefährdung durch Blitzschlag und Überspannung bei der Errichtung elektrischer Anlagen.
• Bei Bahnübergängen kann die benötigte Sicherheitsanforderungsstufe ermittelt werden, damit beispielsweise ein angemessenes Warnsystem vorgesehen wird.
• Für Informationen, IT-Systeme und IT-Dienstleistungen werden eigene Risikomanagementprozesse eingerichtet.
• In der Lebensmittelsicherheit wird das Konzept der Gefahrenanalyse und kritischen Kontrollpunkte (HACCP) angewandt.