Das inhärente Risiko ist das Risikoniveau, bevor Kontrollen berücksichtigt werden. Das Restrisiko ist das, was nach ihrer Anwendung übrig bleibt. Die Differenz zwischen beiden zeigt, wie viel Ihre Kontrollen tatsächlich leisten. Mit dem Restrisiko wird der Risikoappetit verglichen, um zu entscheiden, ob die vorhandenen Maßnahmen ausreichen oder ob mehr nötig ist.
Beide werden gleich berechnet: Eintrittswahrscheinlichkeit mal Auswirkung. Was sich ändert, ist die Frage bei der Bewertung. Beim inhärenten Risiko lautet sie: Was könnte passieren, wenn es keinerlei Kontrolle gäbe? Beim Restrisiko: Was kann mit den Kontrollen passieren, die heute bestehen und funktionieren?
Ein Beispiel mit Zahlen
Nehmen wir ein Risiko, das in fast jedem Register für Finanzrisiken auftaucht: Zahlung an einen unberechtigten Dritten, weil sich jemand als Lieferant ausgibt und die Änderung der Bankverbindung verlangt. Wir verwenden für Wahrscheinlichkeit und Auswirkung jeweils eine Skala von 1 bis 5, das Risikoniveau reicht also von 1 bis 25.
Inhärentes Risiko. Ohne jede Kontrolle würde jede E-Mail mit der Bitte um eine neue Kontoverbindung bearbeitet. Solche Versuche erreichen die Kreditorenbuchhaltung häufig, die Wahrscheinlichkeit liegt also bei 4. Die Auswirkung ist ebenfalls hoch, denn eine umgeleitete Zahlung lässt sich selten zurückholen und kann den vollen Betrag einer großen Rechnung umfassen: 5. Inhärentes Niveau: 4 × 5 = 20.
Kontrollen. Das Unternehmen hat zwei. Erstens: Jede Änderung von Bankdaten wird durch einen Rückruf beim Lieferanten bestätigt, und zwar unter der Telefonnummer aus den Stammdaten, nie unter der aus der E-Mail. Zweitens: Eine zweite Person gibt die Änderung frei, bevor die erste Zahlung auf das neue Konto geht.
Restrisiko. Beide Kontrollen sind präventiv und wirken daher auf die Wahrscheinlichkeit: Damit der Betrug gelingt, müssen beide versagen. Wenn wir wissen, dass sie angewendet werden (Rückrufe und Freigaben sind dokumentiert), sinkt die Wahrscheinlichkeit auf 2. Die Auswirkung bleibt gleich: Geht der Betrug doch durch, ist das Geld genauso verloren. Restniveau: 2 × 5 = 10.
Dieses Detail wird am häufigsten übersehen. Eine präventive Kontrolle senkt die Wahrscheinlichkeit. Um die Auswirkung zu senken, braucht es etwas anderes: eine Vertrauensschadenversicherung, eine Vereinbarung mit der Bank, verdächtige Überweisungen zurückzuhalten, oder ein Betragslimit für Zahlungen an neue Konten. Wenn in Ihrer Matrix alle Kontrollen beide Achsen gleichzeitig senken, sollten Sie die Bewertung überprüfen.
Die zwei üblichen Wege, das Restrisiko zu berechnen
In der Praxis gibt es zwei Methoden. Beide sind gültig, wenn sie konsequent angewendet werden.
- Wahrscheinlichkeit und Auswirkung neu bewerten. So sind wir im Beispiel vorgegangen: Der Risikoverantwortliche bewertet jede Achse neu und berücksichtigt dabei, welche Kontrolle auf sie wirkt. Das dauert länger, zwingt aber dazu zu begründen, warum jede Zahl sinkt.
- Einen Prozentsatz nach Wirksamkeit der Kontrolle abziehen. Man bewertet die Wirksamkeit der Kontrollen (zum Beispiel 60 %) und senkt das inhärente Niveau in diesem Verhältnis: 20 × (1 − 0,60) = 8. Das geht schneller und liefert zwischen Bereichen vergleichbare Ergebnisse, hängt aber vollständig davon ab, dass die Wirksamkeit richtig gemessen ist.
Aus unserer Sicht funktioniert der Prozentsatz, wenn die Wirksamkeit aus dokumentierten Kontrolltests stammt. Beruht sie auf der Einschätzung derjenigen, die die Kontrolle entworfen haben, suggeriert sie eine Genauigkeit, die es nicht gibt: Eine 8 wirkt präziser als eine 10, ist es aber nicht. Wer gerade anfängt, fährt mit der Neubewertung beider Achsen ehrlicher und kann sie gegenüber Auditoren leichter vertreten.
| Inhärentes Risiko | Restrisiko | |
|---|---|---|
| Was es misst | Die Exposition ohne Kontrollen | Die Exposition mit den Kontrollen, die bestehen und funktionieren |
| Wozu es dient | Priorisieren, wo Kontrollen nötig sind und wo nicht | Entscheiden, ob das Risiko akzeptabel ist oder weiter behandelt werden muss |
| Womit es verglichen wird | Mit dem Restrisiko, um zu sehen, was die Kontrollen bringen | Mit Risikoappetit und Risikotoleranz |
| Wann es sich ändert | Wenn sich Geschäft, Prozess oder Bedrohung ändern | Zusätzlich, wenn eine Kontrolle eingeführt wird, versagt oder nicht mehr angewendet wird |
| Bezeichnung in MAGERIT (Spanien) | Potenzielles Risiko (riesgo potencial) | Restrisiko (riesgo residual) |
Fehler, die den Vergleich verfälschen
- Das inhärente Risiko mit bestehenden Kontrollen bewerten. Das ist der häufigste Fehler. Denkt jemand bei der Bewertung des inhärenten Risikos «das prüfen wir ja schon», fällt es zu niedrig aus, der Abstand zum Restrisiko verschwindet und die Kontrollen scheinen nichts zu bringen. Es hilft, direkt in das Risikoblatt zu schreiben: «Bewerten, als gäbe es keine Kontrolle.»
- Kontrollen zählen, die niemand getestet hat. Eine Kontrolle, die nur in einer Richtlinie steht, senkt das Risiko erst, wenn nachgewiesen ist, dass sie angewendet wird. Ist der letzte Test fehlgeschlagen, müsste das Restrisiko wieder steigen.
- Kontrollen addieren, die dasselbe tun. Zwei Prüfungen desselben Werts durch dieselbe Person halbieren das Risiko nicht. Damit sich zwei Kontrollen ergänzen, müssen sie unabhängig sein.
- Restrisiko null. Keine Kontrolle beseitigt ein Risiko vollständig. Ergibt sich ein Restrisiko von null, war das Risiko entweder falsch beschrieben oder es wurde ganz vermieden (etwa indem die Tätigkeit eingestellt wurde). Dann sollte es ausgebucht und nicht weiter bewertet werden.
- Das inhärente Risiko aufblähen, damit die Senkung gut aussieht. In Berichten an das Gremium ist das verlockend: Ein inhärentes Risiko von 25 überall lässt jede Kontrolle wie einen großen Fortschritt aussehen. Das Gremium braucht aber ein realistisches inhärentes Risiko und ein glaubwürdiges Restrisiko.
Was mit dem Restrisiko zu tun ist
Das Restrisiko wird mit dem von der Geschäftsleitung genehmigten Risikoappetit verglichen. Liegt es innerhalb, wird es akzeptiert und überwacht. Liegt es außerhalb, muss es behandelt werden: durch weitere Kontrollen reduzieren, teilen (Versicherung, Vertrag) oder vermeiden, indem die Tätigkeit eingestellt wird. Entscheidet sich die Organisation, ein Restrisiko außerhalb des Appetits zu akzeptieren, muss diese Entscheidung von jemandem mit der entsprechenden Befugnis unterzeichnet werden.
In der Informationssicherheit ist das eine ausdrückliche Anforderung. ISO/IEC 27001:2022 verlangt in Abschnitt 6.1.3, dass die Risikoeigentümer den Risikobehandlungsplan genehmigen und die Restrisiken akzeptieren. Im Zertifizierungsaudit wird der Nachweis dieser Akzeptanz verlangt. Wie das zur Analysemethodik passt, erklären wir im Beitrag über die Verbindung zwischen ISO 27005 und ISO 27001.
In Spanien arbeiten Organisationen, die unter das nationale Sicherheitsschema (Esquema Nacional de Seguridad, ENS) fallen, meist mit MAGERIT, der Risikoanalysemethode der spanischen Verwaltung. MAGERIT spricht nicht vom inhärenten Risiko: Es nennt das Risiko, das für Assets und Bedrohungen ohne Schutzmaßnahmen berechnet wird, potenzielles Risiko, und das, was nach ihrer Anwendung übrig bleibt, Restrisiko. Gemeint ist dasselbe.
Wenn die Skala von 1 bis 5 nicht reicht
Eine 5×5-Matrix eignet sich, um Risiken zu ordnen, sagt aber nicht, wie viel Geld auf dem Spiel steht. Zwei Risiken mit Niveau 10 können um Größenordnungen auseinanderliegen. Für die höchsten Risiken lohnt es sich, inhärentes Risiko und Restrisiko in Euro oder Dollar zu quantifizieren. So lassen sich die Kosten einer Kontrolle mit dem Verlust vergleichen, den sie verhindert. Mehr dazu lesen Sie in Risikoquantifizierung: was sie ist und wie man sie anwendet.
Im Modul Risikomanagement von GlobalSuite® hat jedes Risiko seine inhärente und seine Restbewertung mit eigener Heatmap, und jede Kontrolle hat einen Verantwortlichen, einen Status und das Ergebnis ihres letzten Tests. Schlägt ein Test fehl, sehen Sie, welche Risiken auf dieser Kontrolle beruhen. Wenn Sie das mit Ihren eigenen Risiken sehen möchten, fordern Sie eine Demo an.
Quellen: Seite der ISO/IEC 27001:2022 auf iso.org und MAGERIT v3 im Portal der spanischen elektronischen Verwaltung (auf Spanisch). Das Beispiel dient der Veranschaulichung und bezieht sich auf keinen Kunden. Inhalt überprüft im Oktober 2026.
