Risikoregister-Vorlage Permalink
Verwenden Sie diese Vorlage, um ein Projekt-Risikoregister in Quire zu führen: Bewerten Sie jedes Risiko auf einer 5x5-Matrix, weisen Sie einen Verantwortlichen zu, halten Sie die Maßnahmen als Unteraufgaben fest und überprüfen Sie alles in einem festen Rhythmus.
Sie können das Risikoregister-Projekt besuchen und es in Ihren Arbeitsbereich duplizieren, ohne alles von Grund auf aufbauen zu müssen.
Sie können auch weitere gebrauchsfertige Vorlagen erkunden, um Ihren Workflow zu beschleunigen.
Risikoregister verstehen
Ein Risikoregister ist eine lebendige Liste dessen, was in Ihrem Projekt schiefgehen könnte, zusammen mit dem, was jeweils dagegen unternommen wird. Das entscheidende Wort ist lebendige. Ein Register, das im November genauso aussieht wie im August, wird von niemandem genutzt – und das ist schlimmer als gar keines, weil es so wirkt, als würden Risiken gemanagt.
Risiken werden in Abschnitte nach Kategorie gruppiert, wodurch Häufungen sichtbar werden. Fünf Risiken in einer Kategorie bedeuten meist ein strukturelles Problem und nicht fünf voneinander unabhängige Risiken.
Sechs Abschnitte enthalten die Risiken selbst: Budget und Kosten, Zeitplan und Lieferung, Ressourcen und Personal, Technik und Qualität, Lieferanten und Dritte sowie Externe, Markt und Compliance. Ein siebter Abschnitt am Ende enthält den Überprüfungsrhythmus. Das Feld Kategorie bietet sieben Optionen und trennt externe und Marktrisiken von Compliance- und rechtlichen Risiken, sodass diese beim Filtern noch unterschieden werden können.
Die Vorlage enthält zwanzig vollständig ausgearbeitete Beispielrisiken, damit die Form eines guten Eintrags erkennbar wird, bevor diese durch eigene ersetzt werden.
Risiken mit der 5x5-Matrix bewerten
Eintrittswahrscheinlichkeit von 1 bis 5 bewerten, Auswirkung von 1 bis 5 bewerten, multiplizieren und das Ergebnis in Risk Score eintragen. Diese Zahl ist die Grundlage für die Sortierung – und die Sortierung danach ist das Nützlichste, was mit dem Register getan werden kann.
| ↓ Eintrittswahrscheinlichkeit / Auswirkung → | 1 Vernachlässigbar | 2 Gering | 3 Moderat | 4 Erheblich | 5 Schwerwiegend |
|---|---|---|---|---|---|
| 5 Fast sicher | 5 | 10 | 15 | 20 | 25 |
| 4 Wahrscheinlich | 4 | 8 | 12 | 16 | 20 |
| 3 Möglich | 3 | 6 | 9 | 12 | 15 |
| 2 Unwahrscheinlich | 2 | 4 | 6 | 8 | 10 |
| 1 Selten | 1 | 2 | 3 | 4 | 5 |
Hinweis: Der Risk Score ist eine manuell eingetragene Zahl, keine Formel. Quire-Formeln können keine zwei Auswahlfelder miteinander multiplizieren. Der Kompromiss ist eine manuelle Multiplikation, dafür bleiben die Beschriftungen für Eintrittswahrscheinlichkeit und Auswirkung lesbar statt als bloße Zahlen gespeichert.
Risikoniveaus
Der Score fällt in eines von vier Bändern, und jedes Band verpflichtet zu einer bestimmten Maßnahme. Das verhindert, dass die Bewertung eine rein akademische Übung bleibt.
| Band | Score | Was es erfordert |
|---|---|---|
| Niedrig | 1–4 | Akzeptieren und vermerken. Vierteljährlich überprüfen. Kein Maßnahmenplan erforderlich. |
| Mittel | 5–9 | Namentlich genannter Verantwortlicher und dokumentierte Reaktion. Monatlich überprüfen. |
| Hoch | 10–14 | Namentlich genannter Verantwortlicher und finanzierter Maßnahmenplan mit Terminen. Wöchentlich überprüfen. |
| Kritisch | 15–25 | An den Auftraggeber eskalieren, Rückstellung reservieren, an das Lenkungsgremium berichten. |
Zwei häufige Bewertungsfehler
Alles bekommt eine 4. Wenn der Großteil des Registers im Hohen Bereich liegt, hat die Skala aufgehört zu unterscheiden, und es gibt keine Prioritätsliste mehr. Eine Streuung muss bewusst erzwungen werden. Irgendetwas muss eine 1 bekommen.
Die falsche Auswirkung bewerten. Es wird die Auswirkung auf das Projektziel bewertet, nicht die allgemeine Dramatik des Ereignisses. Eine Lieferanteninsolvenz klingt schwerwiegend, aber wenn zwei weitere Lieferanten einspringen können, ist die Projektauswirkung gering.
Das Register in der Tabellenansicht lesen
Die Tabellenansicht ist nur in den Plänen Professional, Premium und Enterprise verfügbar. Weitere Informationen finden Sie auf unserer Preisseite.
Die Tabellenansicht ist der natürliche Ort für diese Vorlage. Sie stellt jedes Bewertungsfeld in einer Spalte dar, sodass Einträge auf einen Blick verglichen werden können – etwas, das die Listenansicht nicht leistet.
Nach Risk Score absteigend sortieren verwandelt das Register in eine geordnete Arbeitsliste. Feldwerte können direkt in der Tabelle bearbeitet werden, was eine monatliche Neubewertung so schnell macht, dass sie tatsächlich stattfindet.
Benutzerdefinierte Felder
Acht Benutzerdefinierte Felder tragen die Bewertung:
| Feld | Typ | Zweck |
|---|---|---|
| Risiko-ID | Text | Eine stabile Referenz wie R-01, damit ein Risiko in Notizen ohne den vollständigen Titel zitiert werden kann |
| Kategorie | Auswahl | Welcher Teil des Projekts gefährdet ist |
| Eintrittswahrscheinlichkeit | Auswahl | 1 Selten bis 5 Fast sicher |
| Auswirkung | Auswahl | 1 Vernachlässigbar bis 5 Schwerwiegend |
| Risk Score | Zahl | Eintrittswahrscheinlichkeit mal Auswirkung, 1 bis 25 |
| Risikoniveau | Auswahl | Der Score eingeteilt in Niedrig, Mittel, Hoch, Kritisch |
| Reaktionsstrategie | Auswahl | Vermeiden, Mindern, Übertragen, Akzeptieren, Eskalieren |
| Identifizierungsdatum | Datum | Nützlich, um Einträge zu finden, die niemand mehr überprüft hat |
Einen Risikoeintrag verfassen
Jedes Beispielrisiko in der Vorlage folgt in seiner Beschreibung demselben viergliedrigen Aufbau. Diesen Aufbau übernehmen.
- Risikobeschreibung: Was eintreten könnte, möglichst mit einer konkreten Zahl
- Auslöser oder Frühwarnsignal: Das beobachtbare Zeichen, dass das Risiko real wird
- Konsequenz im Eintrittsfall: Die Auswirkung auf das Projekt, die den Impact-Score begründet
- Aktuelle Reaktion: Die Strategie plus die konkreten Maßnahmen
„Cloud-Ausgaben könnten von 42.000 $ auf 58.000 $ monatlich steigen” ist brauchbar, weil erkennbar ist, wann es passiert. „Kosten könnten steigen” ist es nicht. Der Auslöser ist genauso wichtig: Ohne ein beobachtbares Signal verlässt man sich darauf, dass jemand es bemerkt – und bemerken ist keine Kontrolle.
Je ein Verantwortlicher
Jedem Risiko wird genau eine Person zugewiesen. Kein Team, keine Rolle. Geteilte Verantwortung für ein Risiko führt verlässlich zu gar keiner Verantwortung, und ein unkontrolliertes Risiko ist der zuverlässigste Vorbote eines veralteten Registers.
Der Verantwortliche ist nicht zwingend die Person, die die Maßnahmen umsetzt. Es ist die Person, die dafür haftet, dass die Reaktion vorhanden ist, dem aktuellen Stand entspricht und eskaliert wird, wenn sie aufhört zu wirken.
Maßnahmen als Unteraufgaben
Die konkreten Schritte werden als Unteraufgaben unter jedem Risiko angelegt, mit eigenen Beauftragten und Fälligkeitsdaten. Das ist die Grenze zwischen einem Register, das etwas bewirkt, und einem, das nur beschreibt.
Es gibt einen Test, ob eine Reaktion real ist: Lässt sie sich nicht als Aufgabe mit Beauftragtem und Fälligkeitsdatum formulieren, ist sie keine Maßnahme, sondern ein Wunsch. „Die Situation beobachten” und „eng mit dem Lieferanten kommunizieren” bestehen diesen Test nicht.
Reaktionsstrategien
Jedes Risiko braucht genau eine Reaktionsstrategie:
- Vermeiden: Den Plan so ändern, dass das Risiko nicht eintreten kann. Günstigste Option, wenn verfügbar, kostet aber meist Umfang.
- Mindern: Eintrittswahrscheinlichkeit, Auswirkung oder beides reduzieren. Standard für die meisten Hohen Risiken.
- Übertragen: Die finanzielle Konsequenz durch Versicherungen, Festpreisverträge oder Vertragsstrafen auf jemand anderen verlagern. Es wird der Kostenpunkt verschoben, nicht die Unterbrechung – die Zeit geht trotzdem verloren.
- Akzeptieren: Anerkennen, budgetieren, nichts weiter unternehmen. Zulässig für Niedrige Risiken, erfordert aber eine dokumentierte Entscheidung. Akzeptieren ist eine Wahl, kein Nichtstun.
- Eskalieren: An den Auftraggeber weitergeben, wenn es außerhalb der eigenen Entscheidungsbefugnis liegt. Eine Empfehlung mitliefern, dann ist es keine Verantwortungsabgabe.
Den Reaktions-Workflow verfolgen
Im Free-Abonnementplan sind bis zu 5 Status je Projekt möglich; diese Vorlage verwendet 6. Nach dem Duplizieren Analysierend in Reaktion planen zusammenführen oder das Abonnement upgraden, um alle sechs zu behalten. Weitere Informationen finden Sie auf unserer Preisseite.
Ein Risiko selbst wird nie abgeschlossen. Wohl aber der Umgang damit – und die sechs Status bilden diesen ab: Identifiziert, Analysierend, Reaktion planen, Mindernd, Überwachend und Geschlossen.
Die Board-Ansicht gruppiert alles nach Status und zeigt die Bewertungsfelder auf jeder Karte. Maßnahmen-Unteraufgaben erscheinen neben den Risiken – zum Filtern auf die oberste Ebene umschalten, wenn nur die Risiken angezeigt werden sollen.
Geschlossen bedeutet, dass das Risiko dauerhaft entfallen ist – nicht, dass man aufgehört hat, sich Sorgen zu machen. Wenn es noch eintreten kann, gehört es in Überwachend.
Tags
Fünf Tags schneiden quer durch die Kategorien und beantworten Fragen, die die Bewertungsfelder nicht beantworten können:
- Auslöser angeschlagen: Das Frühwarnsignal hat sich bereits aktiviert – diese zuerst prüfen
- Launch-Blocker: Hält die Veröffentlichung auf, wenn ungelöst
- An Auftraggeber eskaliert: Außerhalb der Team-Entscheidungsbefugnis
- Rückstellung reserviert: Budget ist für dieses Risiko zurückgelegt
- Neubewertung erforderlich: Die Situation hat sich seit der letzten Bewertung verändert
Im Rhythmus überprüfen
Der Governance-Abschnitt am Ende des Registers enthält die Überprüfungen als Wiederkehrende Aufgaben, sodass sie im Zeitplan erscheinen, unabhängig davon, ob jemand daran denkt.
Vier Rhythmen, jeder mit einer anderen Aufgabe:
| Rhythmus | Was passiert |
|---|---|
| Wöchentlich | Nur Hohe und Kritische Einträge, nach Score sortiert. Etwa 30 Minuten. |
| Alle zwei Wochen | Zwanzig Minuten am Ende der Sprint-Planung, um Fehlende hinzuzufügen. |
| Monatlich | Das gesamte Register neu bewerten und abschließen, was nicht mehr zutrifft. |
| Vierteljährlich | Einseitiger Bericht für das Lenkungsgremium. |
Bei der wöchentlichen Überprüfung werden jedem Risiko drei Fragen gestellt:
- Hat sich der Score geändert, und muss das Risikoniveau aktualisiert werden?
- Bewegt sich die Maßnahme tatsächlich vorwärts, oder steckt sie seit drei Wochen fest?
- Hat der Auslöser angeschlagen?
Eine Überprüfung, nach der sich kein einziges Feld im Register geändert hat, ist eine Überprüfung, die nicht stattgefunden hat.
Tipp: Wenn ein Risiko geschlossen wird, festhalten, ob es eingetreten ist, wie die tatsächliche Auswirkung im Vergleich zur prognostizierten ausgefallen ist und ob dieselbe Bewertung wieder vergeben würde. Diese letzte Frage macht das nächste Projekt einfacher – und wer sie überspringt, erklärt, warum viele Teams in Jahr fünf Risiken nicht besser bewerten als in Jahr eins.
Mehr dazu in unserem Blog: So bewerten Sie ein Risiko und halten das Register lebendig.
Häufig gestellte Fragen
Was ist ein Risikoregister?
Ein Risikoregister ist eine lebendige Liste dessen, was in einem Projekt schiefgehen könnte, mit Eintrittswahrscheinlichkeit, Auswirkung, Verantwortlichem und Reaktion für jeden Eintrag. Hat sich bei der letzten Überprüfung nichts geändert, hat die Überprüfung nicht stattgefunden.
Was sollte ein Risikoregister enthalten?
Eine Risikobeschreibung, eine Eintrittswahrscheinlichkeit, eine Auswirkungsbewertung, einen kombinierten Score, einen namentlich genannten Verantwortlichen und eine Reaktionsstrategie. Eine stabile Risiko-ID, eine Kategorie und ein Identifizierungsdatum machen es erheblich nützlicher.
Wie bewertet man Eintrittswahrscheinlichkeit und Auswirkung?
Jede Dimension von 1 bis 5 bewerten und multiplizieren. Die Eintrittswahrscheinlichkeit reicht von Selten bis Fast sicher, die Auswirkung von Vernachlässigbar bis Schwerwiegend. Die Auswirkung auf das Projektziel bewerten, nicht die allgemeine Dramatik des Ereignisses.
Was ist eine 5x5-Risikomatrix?
Ein Raster mit Eintrittswahrscheinlichkeit und Auswirkung, jeweils von 1 bis 5, was Scores von 1 bis 25 ergibt. Der Score wird in Bänder eingeteilt, und jedes Band verlangt eine andere Maßnahme – das ist es, was aus einer Zahl eine erforderliche Handlung macht.
Was sind die fünf Risikostrategien?
Vermeiden, Mindern, Übertragen, Akzeptieren und Eskalieren. Übertragen verschiebt die finanzielle Konsequenz, nicht die Unterbrechung. Akzeptieren ist eine dokumentierte Entscheidung, kein Nichtstun.
Wer sollte für ein Risiko verantwortlich sein?
Eine namentlich genannte Person – nie ein Team oder eine Rolle. Der Verantwortliche haftet dafür, dass die Reaktion vorhanden und aktuell ist, nicht zwingend dafür, die Maßnahmen selbst umzusetzen. Diese werden separat auf den Unteraufgaben zugewiesen.
Wie oft sollte ein Risikoregister überprüft werden?
Wöchentlich für Hohe und Kritische Einträge, alle zwei Wochen zum Ergänzen fehlender Risiken, monatlich zur Neubewertung des gesamten Registers und vierteljährlich für einen Bericht an das Lenkungsgremium. Die Vorlage hält diese als Wiederkehrende Aufgaben, sodass sie automatisch im Zeitplan erscheinen.
Wie erstelle ich ein Risikoregister in Quire?
Die Risikoregister-Vorlage duplizieren, zur Tabellenansicht wechseln und nach Risk Score absteigend sortieren. Ein paar Beispielrisiken lesen, um den viergliedrigen Aufbau zu verstehen, dann die Beispiele löschen, Felder und Abschnitte behalten und etwa fünf eigene Risiken hinzufügen.
Gibt es eine fertige Risikoregister-Vorlage in Quire?
Ja. Das Risikoregister-Projekt besuchen und in den eigenen Arbeitsbereich duplizieren – damit sind die acht Benutzerdefinierten Felder, der sechsstufige Workflow, die Kategorie-Abschnitte, fünf Tags und die Wiederkehrenden Überprüfungsaufgaben bereits eingerichtet.