Eine Risikomatrix ist eine Tabelle, die die Dinge, die schiefgehen können, nach zwei Fragen sortiert: wie wahrscheinlich ist es, und wie stark würde es schaden? Jedes Risiko bekommt eine Position im Raster, und die Position entscheidet, wie viel Aufmerksamkeit und Budget es jetzt verdient.
Die meisten Teams nutzen ein Fünf-mal-fünf-Raster. Du bewertest die Wahrscheinlichkeit von 1 (sehr unwahrscheinlich) bis 5 (fast sicher) und die Auswirkung von 1 (ärgerlich) bis 5 (existenzbedrohend) und multiplizierst beides. Ein Wert von 20 bis 25 braucht diesen Monat einen Plan. Ein Wert von 1 bis 4 kommt auf eine Liste, die du zweimal im Jahr durchsiehst.
Ein Beispiel mit drei Risiken. Hauptlieferant fällt aus: Wahrscheinlichkeit 2, Auswirkung 5, Wert 10. Leitende Entwicklerin geht: Wahrscheinlichkeit 3, Auswirkung 4, Wert 12. Neuer Wettbewerber unterbietet deinen Preis: Wahrscheinlichkeit 4, Auswirkung 3, Wert 12. Zwei Risiken liegen gleichauf bei 12, du vergleichst also, was eine Behebung kosten würde. Den Code zu dokumentieren und eine zweite Entwicklerin einzuarbeiten braucht ein paar Wochen Arbeit. Einen Wettbewerber am Markteintritt zu hindern liegt nicht in deiner Hand. Du handelst also beim Personalrisiko und beobachtest das Preisrisiko nur.
Eine Matrix nützt nur mit vier Spalten daneben: dem Risiko, dem Wert, der Gegenmaßnahme und der verantwortlichen Person mit Datum. Ohne Verantwortliche ist sie eine Dekorationstabelle.
Ein generierter Businessplan enthält im Risikoteil meist eine Risikomatrix, weil Banken und Investoren eine erwarten. Genau dort machen Gründer zwei Fehler. Sie bewerten alles als hoch, was die Rangfolge einebnet und niemandem hilft. Oder sie führen nur offensichtliche äußere Risiken auf, etwa eine Rezession, und lassen die konkreten inneren weg, die sie beheben könnten, etwa dass eine einzige Person das einzige Administratorpasswort hat. Aktualisiere die Matrix jedes Quartal.
