Risikomanagement KMU: Risiken und Chancen ordnen

Risikomanagement im KMU bedeutet: mögliche Entwicklungen so zu beschreiben, dass die Geschäftsleitung entscheiden und handeln kann. Eine farbige Matrix ist dabei nur ein Hilfsmittel. Ohne verständlichen Sachverhalt, zuständige Person und überprüfbare Massnahme bleibt auch ein sorgfältig berechneter Wert wenig nützlich. Dieser Ratgeber zeigt einen einfachen organisatorischen Einstieg. Die vorgeschlagenen Skalen und Abläufe sind betriebliche Praxis und keine gesetzlichen oder normativen Vorgaben.

Was Gesetz und Norm verlangen

Obligationenrecht. Ausdrücklich genannt wird die Risikobeurteilung im Lagebericht. Unternehmen, die von Gesetzes wegen zu einer ordentlichen Revision verpflichtet sind, müssen nach Art. 961 Ziff. 3 OR einen Lagebericht verfassen. Nach Art. 961c Abs. 2 Ziff. 2 OR muss dieser namentlich Aufschluss geben über «die Durchführung einer Risikobeurteilung». Verlangt ist also eine Aussage darüber, dass und wie eine Risikobeurteilung durchgeführt wurde; ein bestimmtes Verfahren oder eine Matrix schreibt das Gesetz an dieser Stelle nicht vor. Art. 961d Abs. 1 OR erlaubt unter bestimmten Voraussetzungen den Verzicht auf den Lagebericht, etwa wenn das Unternehmen einen Abschluss nach einem anerkannten Standard zur Rechnungslegung erstellt. Ob Ihr Unternehmen von Gesetzes wegen ordentlich zu prüfen ist, klären Sie am besten mit Ihrer Treuhand oder Revisionsstelle; die Schwellen dafür stehen in Art. 727 OR.

ISO 9001. Seit dem 16. September 2026 gilt die 6. Ausgabe ISO 9001:2026; sie ersetzt die Ausgabe 2015. Wer sein Qualitätsmanagement nach ISO 9001 aufbaut, bestimmt sinngemäss die Risiken und Chancen, die behandelt werden müssen, damit das Managementsystem seine beabsichtigten Ergebnisse erreicht, plant Massnahmen dazu und bewertet deren Wirksamkeit. Nach Angaben einer Schweizer Zertifizierungsstelle unterscheidet die Ausgabe 2026 Risiken und Chancen klarer und betrachtet die Massnahmen zu ihrer Behandlung jeweils separat. In der Ausgabe 2015 stand das Thema in Kapitel 6.1; nach der Auditing Practices Group von ISO und IAF gab es dort keine besondere Anforderung, wie die Ergebnisse zu dokumentieren sind. Eine Matrix, Punktwerte oder ein Register sind daher eine Möglichkeit, aber keine ausdrücklich vorgeschriebene Form. Prüfen Sie Kapitelnummern und Dokumentationsanforderungen in der Ausgabe 2026 im Original; zertifizierte Betriebe stellen innerhalb der von ihrer Zertifizierungsstelle festgelegten Übergangsfrist um.

Für die meisten KMU ergibt sich daraus kein fester Katalog. Entscheidend ist, dass Sie Ihre wichtigen Risiken und Chancen kennen, jemand dafür zuständig ist und Sie die Entscheide nachvollziehbar festhalten.

Risiken und Chancen konkret beschreiben

Beginnen Sie bei einem wichtigen Ablauf: Welche Leistung soll zuverlässig gelingen, und was könnte sie beeinträchtigen? Beschreiben Sie Ursache, mögliches Ereignis und mögliche Folge. «Lieferant» ist kein ausreichend beschriebenes Risiko. «Ein einziges freigegebenes Ersatzteil ist nur bei einem Lieferanten erhältlich; fällt dessen Lieferung aus, können zugesagte Reparaturen nicht ausgeführt werden» bietet eine Grundlage für Entscheidungen.

Halten Sie bestehende Vorkehrungen fest. Vielleicht gibt es einen Mindestbestand oder eine alternative technische Lösung. Ohne diese Angaben bewerten verschiedene Personen denselben Sachverhalt unterschiedlich. Die eine denkt an den ungesicherten Ablauf, die andere an den Ablauf mit allen vorhandenen Kontrollen.

Eine Chance beschreibt eine mögliche günstige Entwicklung und die Voraussetzungen, um sie zu nutzen. Die gleiche Ausgangslage kann beides enthalten: Eine neue Technologie eröffnet einen zusätzlichen Service, verlangt aber neue Kenntnisse. Führen Sie Nutzen und Unsicherheit nachvollziehbar, statt eine Chance durch ein negatives Vorzeichen in einer Risikoliste darzustellen.

Geben Sie jedem Eintrag einen begrenzten Geltungsbereich. Der Ausfall eines bestimmten Ersatzteils ist etwas anderes als ein allgemeiner Unterbruch der Beschaffung. Zu breite Einträge führen oft zu Massnahmen, deren Wirkung niemand prüfen kann. Das gilt auch für finanzielle Risiken: Ein möglicher Liquiditätsengpass lässt sich nur steuern, wenn Zu- und Abflüsse vorausgeplant sind, wie der Ratgeber zur Liquiditätsplanung für KMU zeigt.

Eine gemeinsame Bewertung vereinbaren

Bestimmen Sie zuerst den Zweck der Bewertung: Wollen Sie Gesprächsbedarf sichtbar machen, Ressourcen zuteilen oder entscheiden, welche Risiken eine Eskalation benötigen? Danach legen Sie wenige verständliche Stufen für Eintritt und Auswirkung fest. Jede Stufe braucht eine betriebliche Beschreibung, möglichst mit Beispielen aus Ihrem Alltag.

Ordinale Stufen bilden keine exakten Wahrscheinlichkeiten ab. Eine Bewertung mit «drei» ist nicht automatisch eine gemessene Eintrittsrate. Wenn Sie zwei Stufenwerte miteinander multiplizieren, entsteht eine Ranghilfe innerhalb Ihres Modells. Daraus lässt sich kein präziser erwarteter Geldverlust ableiten.

Die folgende Tabelle zeigt eine vierstufige Matrix als Praxisbeispiel. Jedes Feld nennt das Produkt aus Eintritt und Auswirkung; die Schwellen sind frei gewählt: Gelb ab 5, Rot ab 9.

Vereinbaren Sie ausdrücklich, wie mit besonders schweren Folgen umzugehen ist. Eine seltene, aber schwerwiegende Entwicklung kann Aufmerksamkeit benötigen, auch wenn ein Produkt aus den Stufenwerten vergleichsweise klein bleibt: Im Beispiel liegt «Eintritt 1, Auswirkung 4» nur bei 4 und damit im grünen Bereich. Dokumentieren Sie solche Entscheidungsregeln neben der Matrix.

Bewerten Sie Chancen mit passenden Fragen: Wie realistisch ist die Nutzung, welcher Nutzen wäre erreichbar und was muss dafür geschehen? Vermeiden Sie einen scheinbar einheitlichen Punktwert, wenn die zugrunde liegenden Bedeutungen unterschiedlich sind. Die Beschreibung des Entscheids ist wichtiger als die Vergleichbarkeit jeder einzelnen Zahl.

Massnahmen und Verantwortung festlegen

Wählen Sie bewusst zwischen verschiedenen Reaktionen. Sie können einen Ablauf ändern, eine zusätzliche Absicherung einführen, Abhängigkeiten verringern oder ein verbleibendes Risiko mit Begründung tragen. Jede Entscheidung muss zur eigenen Befugnis und zur Bedeutung der Folgen passen. Ein Beispiel für eine Absicherung ist ein Mindestbestand im Lager; wie Sie ihn festlegen, beschreibt der Ratgeber zur Lagerbewirtschaftung.

Eine Massnahme sollte zeigen, welche Ursache oder Folge sie beeinflusst. «Alternativlieferant prüfen» braucht ein Ergebnis: etwa eine dokumentierte technische Freigabe oder eine begründete Ablehnung. Eine Kontaktaufnahme allein verändert die Lieferfähigkeit noch nicht. Legen Sie Verantwortung, Ziel und vereinbarten Termin fest.

Bei einer Chance kann die Massnahme ein begrenzter Versuch sein. Definieren Sie vorab, welche Beobachtung für eine Weiterführung spricht und wann Sie abbrechen. So wird aus einer allgemeinen Idee eine prüfbare Entscheidung, ohne einen erwarteten Nutzen als bereits erreicht darzustellen.

Kontrollen können prüfen, ob eine Absicherung im Alltag funktioniert. Die Verbindung zwischen Risiko und internem Kontrollsystem verhindert, dass die Risikoliste vom Tagesgeschäft getrennt bleibt. Eine Kontrolle braucht allerdings einen klaren Prüfgegenstand und einen Nachweis, keinen blossen wiederkehrenden Kalendereintrag.

Praxisbeispiel: Muster Service AG

Die Muster Service AG ist ein erfundenes Unternehmen. Für Reparaturen benötigt sie ein bestimmtes Ersatzteil. Das Team beschreibt eine mögliche Lieferunterbrechung und verwendet die vierstufige Skala aus der Tabelle oben, mit Gelb ab 5 und Rot ab 9. Diese Skala illustriert den Ablauf und ist keine Empfehlung für jede Branche.

Das Team bewertet den Eintritt mit Stufe drei und die Auswirkung ebenfalls mit Stufe drei. Drei mal drei ergibt den Wert neun, und damit liegt das Risiko im roten Bereich. Die Bedeutung von Stufe drei wird in Worten festgehalten: Es gab wiederholte Verzögerungen, und betroffene Reparaturen könnten nicht wie zugesagt ausgeführt werden.

Als Massnahme wird eine zweite Bezugsquelle technisch geprüft. Die verantwortliche Person dokumentiert Musterprüfung, Lieferbedingungen und Verfügbarkeit. Nach erfolgreicher Freigabe bleibt das ursprüngliche Teil verwendbar; der Betrieb hat aber eine tatsächlich geprüfte Alternative. Eine reine Lieferantenadresse hätte dieses Ergebnis nicht belegt.

Bei der Neubewertung ordnet das Team den Eintritt einer unbeherrschten Versorgungsunterbrechung der Stufe zwei zu, die mögliche Auswirkung bleibt auf Stufe drei. Zwei mal drei ergibt sechs, das Risiko wechselt von Rot auf Gelb. Das ist eine veränderte Einschätzung im selben Modell, keine gemessene Risikoreduktion um einen bestimmten Prozentsatz. Rechnerisch sank der Wert um drei Punkte von neun auf sechs.

Zusätzlich erkennt die Firma eine Chance: Mit der Alternative könnten weitere Reparaturtypen möglich werden. Dafür plant sie einen getrennten technischen Versuch. Das Team verrechnet den erhofften Zusatznutzen nicht mit dem bestehenden Versorgungsrisiko. Beide Entscheidungen bleiben mit ihren eigenen Voraussetzungen sichtbar.

Neubewertung und verbleibende Unsicherheit

Prüfen Sie Einträge bei wesentlichen Veränderungen und zu betrieblich vereinbarten Zeitpunkten. Geeignete Anlässe sind neue Lieferwege, veränderte Arbeitsmittel oder wiederkehrende Störungen. Ein starres Intervall allein kann relevante Entwicklungen zwischen zwei Besprechungen übersehen.

Die Neubewertung sollte erkennen lassen, was sich verändert hat: neue Beobachtungen, eine wirksame Massnahme oder eine veränderte Ausgangslage. Überschreiben Sie die frühere Begründung nicht kommentarlos. Ein Verlauf hilft, Entscheidungen später einzuordnen und unberechtigte Entwarnung zu vermeiden.

Erfassen Sie verbleibende Unsicherheit ausdrücklich. Wenn ein Versuch nur unter günstigen Bedingungen stattfand, ist die Wirkung unter hoher Auslastung noch offen. Die Leitung kann eine zusätzliche Beobachtung verlangen oder ein begrenztes Restrisiko mit Begründung übernehmen. Entscheidend ist, dass dieser Entscheid sichtbar ist.

Bei grösseren Anpassungen unterstützt ein geregeltes Änderungsmanagement die Umsetzung. Prüfen Sie dort auch betroffene Dokumente, Schulungen und Schnittstellen. Ein neuer Ablauf kann ein Risiko verringern und gleichzeitig an anderer Stelle neue Abhängigkeiten schaffen.

Datenschutz als konkretes Risikothema

Für Personendaten enthält Art. 8 Abs. 1 DSG einen ausdrücklichen risikobezogenen Massstab: Verantwortliche und Auftragsbearbeiter gewährleisten durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit. Diese Aussage betrifft die Datensicherheit; sie begründet keine allgemeine Pflicht jedes KMU, genau die hier dargestellte Matrix zu verwenden.

Als praktische Anwendung können Sie beispielsweise den unberechtigten Zugriff auf Reklamationsdaten betrachten. Beschreiben Sie Datenart, vorhandene Zugriffsbegrenzung, mögliches Ereignis und Folgen. Eine Massnahme könnte die Überprüfung bestehender Berechtigungen sein. Ob sie ausreicht, hängt vom konkreten Bearbeitungskontext ab.

Nach Art. 6 Abs. 2 DSG muss die Bearbeitung von Personendaten verhältnismässig sein, nach Abs. 3 dürfen sie nur zu einem bestimmten, erkennbaren Zweck beschafft und nur zweckvereinbar bearbeitet werden. Auch das Risikoregister selbst sollte deshalb keine unnötigen Personendetails enthalten. Beschreiben Sie die organisatorische Schwachstelle, statt Mitarbeitenden ungesicherte persönliche Eigenschaften zuzuschreiben.

Checkliste

• Ursache, mögliches Ereignis und Folge sind verständlich.
• Geltungsbereich und vorhandene Vorkehrungen sind genannt.
• Jede Bewertungsstufe ist betrieblich erklärt.
• Punkte werden als Ranghilfe und nicht als Messwert verwendet.
• Schwellen für Gelb und Rot sind festgelegt und begründet.
• Besonders schwere Folgen erhalten eine bewusste Entscheidung.
• Massnahmen haben Verantwortliche und prüfbare Ergebnisse.
• Neubewertungen nennen Anlass und veränderte Grundlage.
• Chancen werden mit eigenen Voraussetzungen verfolgt.
• Ob ein Lagebericht mit Angabe zur Risikobeurteilung nötig ist, ist mit Treuhand oder Revisionsstelle geklärt.

Quellen

• Obligationenrecht (OR, SR 220), Art. 727, Art. 961 Ziff. 3, Art. 961c Abs. 2 Ziff. 2 und Art. 961d Abs. 1, Stand 1. Oktober 2026: fedlex.admin.ch, abgerufen am 27.10.2026.
• Datenschutzgesetz (DSG, SR 235.1), Art. 6 Abs. 2 und 3, Art. 8 Abs. 1, Stand 7. Juli 2025: fedlex.admin.ch, abgerufen am 27.10.2026.
• ISO/IAF Auditing Practices Group, Guidance on Risk Based Thinking, Dokument vom 13. Januar 2016, abgerufen am 27.10.2026. Das Papier bezieht sich auf ISO 9001:2015, gibt die Meinung der Arbeitsgruppe wieder und ist nicht von ISO als Norm bestätigt.
• ISO: ISO 9001:2026 (Edition 6), veröffentlicht am 16. September 2026; abgerufen am 27.10.2026. Der Normtext ist urheberrechtlich geschützt und wird hier nur sinngemäss wiedergegeben.
• SNV: SN EN ISO 9001:2026, gültig seit 16. September 2026, ersetzt die Ausgabe 2015; abgerufen am 27.10.2026.
• SQS: ISO 9001:2026 Normrevision – Alle Informationen, abgerufen am 27.10.2026.

Die Skalen, Schwellen und Abläufe im Praxisbeispiel sind redaktionelle Praxishilfen. Sie geben keinen ISO-Normtext wieder und belegen keine Zertifizierungskonformität.

Dieser Ratgeber ersetzt keine Rechts- oder Steuerberatung. Stand der Informationen: 27.10.2026.