Risikomanagement für kleine Betriebe: eine Risikoliste, die gepflegt wird

Warum verschwinden Risikolisten in der Schublade?

Kleine Betriebe sind verwundbarer als große, weil ein einzelnes Ereignis einen größeren Teil des Ganzen trifft. Der Ausfall eines Großkunden, ein Brand in der Werkstatt, ein verschlüsselter Server oder die Kündigung des einzigen Meisters können ausreichen. Fast jeder Inhaber kennt diese Risiken. Was meist fehlt, ist eine Form, in der sie regelmäßig auf den Tisch kommen, bevor sie eintreten.

Wenn es eine Risikoanalyse gibt, ist sie oft für einen Anlass entstanden: ein Bankgespräch, eine Ausschreibung, ein Audit. Danach liegt sie in einem Ordner. Daraus folgt die Leitfrage dieses Leitfadens: Wie baut ein kleiner Betrieb eine Risikoliste, die tatsächlich gepflegt wird und Entscheidungen verändert?

Dafür klären wir zuerst die Begriffe, stellen dann die Risikomatrix als verbreitetes Denkmodell vor und prüfen, was die Forschung über ihre Grenzen weiß. Danach wägen wir ab, wie viel Formalität ein kleiner Betrieb braucht, und beschreiben eine Risikoliste mit sieben Spalten und einen Pflegerhythmus, der in den Alltag passt.

Eine Risikoliste, die niemand liest, schützt so wenig wie ein Feuerlöscher im Keller, von dem keiner weiß.

Was sind Risiko, Risikomanagement und Risikoinhaber?

Die internationale Norm ISO 31000 definiert Risiko knapp als Auswirkung von Unsicherheit auf Ziele. Für den Betriebsalltag lässt sich das übersetzen: Ein Risiko ist ein Ereignis, das eintreten kann und dann Geld, Kunden, Termine oder die Handlungsfähigkeit des Betriebs kostet. Risikomanagement ist der wiederkehrende Ablauf, in dem solche Ereignisse erkannt, bewertet, behandelt und beobachtet werden. Ein Risikoinhaber ist die Person, die ein bestimmtes Risiko im Blick behält und für die vereinbarte Maßnahme zuständig ist.

Damit ist Risikomanagement ein Teil der Unternehmensführung mit Kontrolle. Im Beitrag Corporate Governance für kleine Betriebe steht das Benennen der Risiken deshalb als erster Schritt der Governance-Seite. Es ist außerdem die Voraussetzung für Widerstandskraft. Nach Duchek (2020) beginnt organisationale Resilienz mit der Fähigkeit, Bedrohungen vorwegzunehmen, bevor es um Bewältigung und Anpassung geht, wie die Einordnung Unternehmerische Resilienz beschreibt.

Eine gute Formulierung trennt Ursache, Ereignis und Folge. „Lieferkette“ ist kein Risiko, sondern ein Thema. „Weil wir die Steuerplatine nur von einem Hersteller beziehen, kann ein Lieferstopp dazu führen, dass wir sechs Wochen keine Anlagen ausliefern“ ist ein Risiko. Erst diese Form zeigt, wo eine Maßnahme ansetzen kann.

Das Denkmodell: die Risikomatrix aus Wahrscheinlichkeit und Auswirkung

Das bekannteste Werkzeug ist die Risikomatrix. Jedes Risiko wird nach zwei Merkmalen eingestuft, der Eintrittswahrscheinlichkeit und der Auswirkung, meist in drei oder fünf Stufen. Die Felder der Tabelle sind eingefärbt: Grün heißt beobachten, Gelb heißt handeln, Rot heißt sofort handeln. Dahinter steht die Rechnung, dass sich ein Risiko als Produkt aus Wahrscheinlichkeit und Schaden ausdrücken lässt.

Die Matrix ist beliebt, weil sie ohne Statistik auskommt, sich schnell erklären lässt und alle Beteiligten mitreden können. Wie eine Wetterkarte zeigt sie auf einen Blick, wo es ungemütlich wird. Allerdings ist die Frage berechtigt, ob sie tatsächlich zu besseren Entscheidungen führt.

Was die Forschung über die Grenzen der Risikomatrix zeigt

Der Risikoforscher Louis Anthony Cox hat die mathematischen Eigenschaften von Risikomatrizen untersucht (Cox 2008). Sein Ausgangspunkt: Die Matrix ist weit verbreitet, in Normen empfohlen und in vielen Organisationen Standard, aber kaum jemand hat geprüft, ob sie Entscheidungen verbessert. Seine Ergebnisse sind ernüchternd und für die Praxis wichtig.

• Geringe Auflösung: Typische Matrizen können nur einen kleinen Teil zufällig gewählter Risikopaare eindeutig und richtig ordnen, nach seiner Rechnung oft weniger als 10 Prozent. Sehr unterschiedliche Risiken landen im selben Feld.
• Fehler: Eine Matrix kann einem kleineren Risiko eine höhere Stufe geben als einem größeren. Hängen Wahrscheinlichkeit und Schaden gegenläufig zusammen, also seltene Ereignisse mit großem Schaden und häufige mit kleinem, kann sie schlechter sein als eine zufällige Wahl.
• Schwache Grundlage für Mittel: Wie viel Geld in welche Maßnahme fließen sollte, lässt sich aus den Farbfeldern nicht ableiten.
• Mehrdeutige Einstufung: Was „möglich“ oder „spürbar“ heißt, legt jeder anders aus. Verschiedene Personen können dasselbe Risiko gegensätzlich einstufen.

In seinem einfachsten Beispiel, einer Matrix mit nur zwei Stufen je Achse, lassen sich zwei zufällige Risiken nur in 12,5 Prozent der Fälle ohne Fehler ordnen. In 37,5 Prozent landen beide im selben Feld, und die Matrix hilft nicht weiter als ein Münzwurf. Cox folgert nicht, dass man auf Matrizen verzichten muss, sondern dass sie mit Vorsicht und nur mit offengelegten Annahmen genutzt werden sollten.

Für den kleinen Betrieb folgt daraus eine klare Regel. Die Matrix taugt zum Sortieren einer langen Liste in wichtig und weniger wichtig. Für die fünf wichtigsten Risiken sollte man einen Schritt weitergehen und den möglichen Schaden in Euro sowie die Wahrscheinlichkeit als grobe Zahl schätzen. Das ist ungenau, aber ehrlicher als eine Farbe.

Wie viel Risikomanagement braucht ein kleiner Betrieb? Zwei Sichtweisen

Die erste Sicht sagt: Formales Risikomanagement ist eine Sache für Konzerne mit Aufsichtsrat und Prüfern. Der Inhaber eines kleinen Betriebs kennt seine Risiken, und jede Liste kostet Zeit, die im Tagesgeschäft fehlt. Diese Sicht hat einen wahren Kern. Viele Methoden aus dem Konzernumfeld sind für einen Betrieb mit 15 Leuten tatsächlich zu schwer.

Die zweite Sicht sagt: Gerade kleine Betriebe brauchen es, weil ein einziges Ereignis sie gefährden kann. Eine Befragung von 375 kleinen und mittleren Industriebetrieben in der chinesischen Provinz Guangdong fand, dass Praktiken des Risikomanagements mit besserer Leistung zusammenhingen, und zwar zu einem Teil über eine höhere organisationale Widerstandskraft (Qiu, Sumesh und Pertheban 2025). Die Studie ist eine Querschnittsbefragung und stammt aus einem anderen Wirtschaftsumfeld, sie zeigt also einen Zusammenhang und keinen Beweis. Eine Fallstudie in einem portugiesischen Hotel zeigt zudem, dass verschiedene Rollen im selben Betrieb unterschiedliche Risiken für vordringlich halten und unterschiedlich sehen, wem sie gehören (Rodrigues und Magano 2025).

Ich halte die zweite Sicht für richtig, wenn man die Form der ersten ernst nimmt. Ein kleiner Betrieb braucht kein Risikohandbuch, aber eine kurze Liste mit Inhabern, die regelmäßig angeschaut wird. Der Befund aus dem Hotel ist dabei ein Argument, die Liste nicht allein zu schreiben: Wer nur mit der eigenen Sicht arbeitet, übersieht die Risiken, die andere täglich sehen.

Die gepflegte Risikoliste: sieben Spalten

Das Werkzeug dieses Leitfadens ist die gepflegte Risikoliste. Sie hat 10 bis 15 Einträge und sieben Spalten: das Risiko als Ursache, Ereignis und Folge, den Inhaber, die Wahrscheinlichkeit, den möglichen Schaden in Euro, ein Frühwarnzeichen, die Maßnahme und den Termin der nächsten Prüfung. Das Frühwarnzeichen ist die Spalte, die die Liste lebendig hält, denn sie sagt, worauf man im Alltag achten muss.

Multipliziert man Wahrscheinlichkeit und Schaden, erhält man den erwarteten Schaden je Jahr. Er ist eine grobe Größe, aber er ordnet die Liste anders als das Bauchgefühl. Das fällt besonders beim Forderungsausfall auf: Bei 5 Prozent Marge braucht es 200.000 Euro Umsatz, um 10.000 Euro Ausfall auszugleichen, wie der Leitfaden zur Due Diligence vorrechnet.

Für die Maßnahme gibt es vier Grundrichtungen. Ein Risiko lässt sich vermeiden, indem man das Geschäft nicht eingeht, vermindern, indem man Wahrscheinlichkeit oder Schaden senkt, übertragen, etwa durch eine Versicherung oder vertragliche Regeln, oder bewusst tragen, wenn alle anderen Wege teurer sind. Bewusst tragen heißt: Es steht auf der Liste, und jemand hat entschieden.

Wie bleibt die Liste lebendig? Der Pflegerhythmus

1. Erstellen in 90 Minuten

   Inhaber und zwei bis drei Personen aus verschiedenen Bereichen sammeln Risiken, formulieren sie als Ursache, Ereignis und Folge und sortieren sie mit der Matrix. Die 10 bis 15 wichtigsten kommen auf die Liste.

2. Inhaber benennen

   Jedes Risiko bekommt genau einen Inhaber. Er beobachtet das Frühwarnzeichen und ist für die Maßnahme zuständig.

3. Monatlich eine Viertelstunde

   Im Monatsgespräch fragt der Inhaber nur: Hat sich bei einem Frühwarnzeichen etwas bewegt? Ist eine Maßnahme fällig?

4. Vierteljährlich eine Stunde

   Die Liste wird einmal ganz durchgegangen, Schätzungen werden angepasst, erledigte Risiken gestrichen und neue aufgenommen.

5. Nach jedem Ereignis

   Tritt etwas ein, das auf der Liste stand oder hätte stehen müssen, wird die Liste innerhalb einer Woche überarbeitet.

Zwei Verbindungen machen die Liste wirksamer. Wer eine größere Entscheidung vorbereitet, prüft, welche Risiken sie verändert, und schreibt das in die Vorlage. Und Risiken, die den Ausfall von Personen betreffen, führen zu konkreten Vorkehrungen, wie sie der Leitfaden Der Notfallordner für den Ausfall des Inhabers beschreibt. Für Angriffe auf die IT nennt der Leitfaden IT-Grundschutz für kleine Betriebe die ersten Regeln.

Fazit: Wie wird eine Risikoliste zum Werkzeug?

Gefragt war, wie ein kleiner Betrieb eine Risikoliste baut, die tatsächlich gepflegt wird und Entscheidungen verändert. Die Antwort beginnt mit der Form: wenige Einträge, jeder als Ursache, Ereignis und Folge formuliert, jeder mit einem Inhaber, einem Frühwarnzeichen und einer Maßnahme. Die Risikomatrix hilft beim Sortieren, aber wie Cox (2008) zeigt, ist sie kein Messinstrument. Für die wichtigsten Risiken ist eine grobe Schätzung in Euro aussagekräftiger als eine Farbe.

Gepflegt wird die Liste durch einen festen Rhythmus, der in vorhandene Termine passt, und durch die Regel, sie nach jedem Ereignis zu überarbeiten. Die nüchterne Feststellung lautet: Risikomanagement im kleinen Betrieb ist weniger eine Methode als eine Gewohnheit, regelmäßig die unangenehmen Fragen zu stellen, solange noch Zeit für Antworten ist.

Erste Schritte für diese Woche

1. Schreibe die fünf Ereignisse auf, die deinen Betrieb am härtesten treffen würden, jeweils als Ursache, Ereignis und Folge.
2. Schätze für jedes grob die Wahrscheinlichkeit im Jahr und den Schaden in Euro.
3. Benenne für jedes einen Inhaber und ein Frühwarnzeichen, auf das er achtet.
4. Lege für die beiden größten Risiken eine Maßnahme mit Termin fest.
5. Setze einen festen Viertelstundenpunkt Risiken auf die Tagesordnung des nächsten Monatsgesprächs.