Ein Risikoregister wird erst entscheidungsrelevant, wenn die wichtigsten Risiken, Verantwortlichen und nächsten Maßnahmen verständlich zusammenstehen. Für die Erzählung hilft eine Datenstory für Präsentationen (auf Englisch): Methode und Stichtag zuerst, dann Exponierung und die Entscheidung, die gebraucht wird.
Wenn die Risikobeschreibungen geprüft sind, kannst du mit Text zu Präsentation einen Folienentwurf daraus erstellen. Halte das Originalregister und die Nachweise daneben verfügbar; ein Folienentwurf ist keine Genehmigung für eine Risikomaßnahme.
Methode und Stichtag festhalten
Definiere Skala, Zeitraum und Datenstand. Erkläre, ob du Eintrittswahrscheinlichkeit und Auswirkung multiplizierst oder eine andere Regel nutzt. Eine veraltete Bewertung darf nicht als aktueller Status erscheinen.
Ein Risiko mit hoher Auswirkung und geringer Eintrittswahrscheinlichkeit kann eine andere Entscheidung verlangen als ein häufiges, aber leicht begrenzbares Ereignis. Erfinde keine Wahrscheinlichkeiten, wenn die Daten nur eine qualitative Einschätzung tragen.
Top-Risiken verständlich zeigen
Beschreibe jedes Top-Risiko als Ursache, mögliches Ereignis und Auswirkung. Zeige den inhärenten Wert getrennt vom Restrisiko nach einer Maßnahme. Markiere Unsicherheiten statt scheinpräzise Wahrscheinlichkeiten zu erfinden.
Ein technischer Engpass ist nicht dasselbe wie der Schaden, den er auslösen kann. Diese Trennung verhindert, dass mehrere Folgen doppelt bewertet werden.
Das lässt sich an einer Migration des Identitätssystems zeigen. R-01 ist ein fiktiver Planungsfall, kein Bericht über eine abgeschlossene Migration.
| Feld in R-01 | Eintrag zur Identitätsmigration |
|---|---|
| Ziel und Zeitraum | Die durchgängigen Workflow-Tests vor dem geplanten Start abschließen; betrachtet wird die Zeit bis zur Umstellungsentscheidung. |
| Ursache | Die Zuordnung der Rollen zwischen altem und neuem Identitätssystem ist noch nicht bestätigt. |
| Mögliches Ereignis | Der neue Anmelde- und Berechtigungsablauf ist bis zur Umstellungsentscheidung nicht bereit für die durchgängigen Tests. |
| Auswirkung | Die erforderlichen Workflow-Tests können nicht abgeschlossen werden; der Start muss möglicherweise verschoben werden. Das Ausmaß einer Verzögerung wurde noch nicht bestimmt. |
| Verantwortung | Die Migrationsleitung meldet Änderungen; der Projektsponsor genehmigt eine Änderung des Starttermins. |
| Vorbeugung und Nachweis | Rollenzuordnungen bestätigen und repräsentative Abläufe für Administrator-, Standardnutzer- und Dienstkonten testen. Die Prüfung der Zuordnungen und die Testergebnisse einschließlich Fehlern aufbewahren. |
Ist der Testtermin bereits verpasst, ist dieser Meilenstein ein eingetretenes Problem, keine künftige Wahrscheinlichkeit. Verknüpfe den Problemvorgang mit R-01 und bewahre den Verlauf auf. Weitere Unsicherheit, etwa die Folgen für einen neuen Starttermin, wird separat bewertet; das verpasste Ereignis wird nicht nochmals als zukünftiges Risiko gewertet.
Verantwortliche und Maßnahmen prüfen
Jede Maßnahme braucht einen Verantwortlichen, Status, Zieltermin und Nachweis. „In Arbeit“ reicht nicht: nenne den nächsten prüfbaren Schritt. Wenn eine verantwortliche Person oder ein Termin fehlt, bleibt das eine offene Entscheidung.
Für R-01 kann die Frühwarnregel so lauten: Bleibt die Bestätigung der Rollenzuordnung in zwei aufeinanderfolgenden wöchentlichen Berichtszyklen blockiert, eskaliert die Migrationsleitung an den Sponsor. Steht die Umstellungsentscheidung vorher an oder verlangt eine Sicherheitsbedingung früheres Handeln, wird nicht auf den zweiten Zyklus gewartet. Diese Regel gehört zum Beispielprojekt und ist keine allgemeine Risikogrenze.
Der Notfallplan sieht vor, die Umstellung zu verschieben und den bestehenden Identitätsdienst verfügbar zu halten, bis die fehlenden Tests abgeschlossen sind. Halte fest, wer diese Option genehmigen darf, ob der bestehende Dienst weiter unterstützt werden kann und welche Sicherheits- und Betriebsbedingungen gelten. Die Migrationsleitung schlägt den Plan vor; der Sponsor muss die Änderung des Starttermins ausdrücklich genehmigen.
Eine niedrigere Restrisikobewertung braucht die bestätigte Rollenzuordnung und die Ergebnisse der wiederholten Tests. Ein geschlossenes Arbeitsticket oder eine erfolgreiche Anmeldung belegt nicht alle drei Kontenabläufe. Solange Fehler nicht behoben oder von der zuständigen entscheidungsbefugten Person bewusst akzeptiert sind, bleiben Exponierung und nächster Prüftermin sichtbar.
Das Orange Book des HM Treasury verknüpft Risikomaßnahmen mit Genehmigungsverantwortung, Überwachung und Notfallplanung. Die Maßnahmen für R-01 sind ein Projektbeispiel, kein dort vorgeschriebenes Verfahren.
Als nächster prüfbarer Schritt kommen beispielsweise eine technische Prüfung, ein Vertragspunkt oder ein Test infrage.
Diese offenen Entscheidungs- oder Eskalationspunkte dürfen nicht als grüner Status erscheinen.
Ein kompakter Foliensatz für Risiken
- Entscheidungsfrage und Datenstand
- Bewertungsmethode und Skala
- Heatmap oder priorisierte Liste
- Top-Risiken mit Ursache und Auswirkung
- Maßnahmen, Verantwortliche und Restrisiken
- Entscheidungen und nächste Prüfung
Lege detaillierte Registerzeilen und Quellen in den Anhang. Auf der Hauptfolie gehört nur die Information, die die nächste Ressource, Eskalation oder Annahme beeinflusst.
Mit der nächsten Prüfung schließen
Schließe mit Entscheidungen und dem Datum der nächsten Prüfung.
Ein Score beschreibt eine Methode, nicht die Zukunft. Trenne bestätigte Fakten, Annahmen und offene Signale. So kann die Leitung über Ressourcen oder Eskalation entscheiden, ohne eine Genauigkeit zu sehen, die das Register nicht besitzt.
