Risikoanalyse für KMU: Schritte und Bewertungsmethoden

Warum viele KMU Risiken nach Gefühl statt systematisch angehen

Viele KMU betreiben Risikomanagement nach «common sense» und haben weder komplexe Systeme oder Modelle noch die Ressourcen für solche Methoden (Christian Kressig und Marco Gehrig, kmu-magazin.ch, 01.09.2015).

Viele kleine und mittlere Industrieunternehmen in der Schweiz wiegen sich in trügerischer Sicherheit: Sie erfüllen die gesetzlichen und branchenspezifischen Grundlagen, verkennen aber, dass umfassendes, unternehmensweites Risikomanagement nicht nur die Unternehmensziele sichert, sondern auch den Unternehmenswert erhöhen kann.

Der Nutzen eines adäquaten Risikomanagements wird in der Praxis vielfach unterschätzt; häufig dient es allein der Erfüllung gesetzlicher Anforderungen. Die Verbreitung entsprechender Ansätze divergiert innerhalb der Industrie stark.

Ein verbreitetes Missverständnis betrifft den Umfang – viele Unternehmen halten das Risikomanagement mit der Bewertung der Risiken für erledigt, obwohl damit erst die Grundlage für Massnahmen und deren Umsetzung vorliegt.

Seit 2008 ist Risikomanagement für viele Schweizer Unternehmen gesetzliche Pflicht, doch das Obligationenrecht macht nur knappe Vorschriften. Das neue Rechnungslegungsrecht verlangt im Lagebericht Ausführungen zum Risikomanagement; erfasst sind damit die Unternehmen, die einen solchen Lagebericht erstellen.

Wer nur diese Vorgabe abarbeitet, betreibt die Untergrenze des Möglichen. Betrieblicher Nutzen entsteht, wenn die Analyse auf eigene Ziele und kritische Abläufe ausgerichtet wird.

Der Einstieg in vier Etappen

Risikomanagement ist der systematische Prozess zur Identifikation, Analyse, Bewertung, Steuerung und Überwachung von Risiken, die die Erreichung der Unternehmensziele gefährden könnten.

Ohne angemessene Vorbereitung ist die Einführung eines Risikomanagementsystems zum Scheitern verurteilt (KMU-Portal des Bundes, kmu.admin.ch). In einem KMU erfolgt sie üblicherweise in vier Schritten: Planung und Systemdefinition, Risikoidentifikation und Risikobewertung, Analyse und Massnahmen, Implementierung des Risikomanagementkonzepts.

Drei Fragen strukturieren den Einstieg: Was kann schiefgehen? Wie wahrscheinlich ist das? Und wie schwerwiegend wären die Folgen? Aus den Antworten entsteht die Reihenfolge, in der die Risiken bearbeitet werden.

In der Planungsphase werden bestehende Informationen und Dokumentationen zum Risikomanagement der Firma gesichtet. In der Phase Risikoidentifikation und Risikobewertung werden alle möglichen Risiken als Szenario aufgelistet, identifiziert, bewertet und priorisiert. Die eruierten Hauptrisiken werden danach detailliert analysiert. Sind die erforderlichen Grundsätze und Richtlinien erstellt, wird das Risikomanagementkonzept implementiert.

Risiken als Szenarien erfassen und Gefährdungen ermitteln

Die Risikoidentifikation listet alle möglichen Risiken als Szenario auf; anschliessend werden sie bewertet und priorisiert (kmu.admin.ch). Ein brauchbares Szenario beschreibt ein konkretes Ereignis, seine Ursache und seine mögliche Auswirkung auf einen bestimmten betrieblichen Ablauf – nicht eine abstrakte Risikokategorie. Was hier fehlt, lässt sich später nicht bewerten, priorisieren oder mit Massnahmen belegen.

Für die Vollständigkeit hilft eine Kategorienbildung: technische Risiken wie fehlerhafte Systeme, inkompatible Schnittstellen oder Datenverlust, organisatorische Risiken wie Ressourcenmangel, unklare Verantwortlichkeiten oder die Abhängigkeit von Schlüsselpersonen, wirtschaftliche Risiken wie Budgetüberschreitungen und unerwartete Marktveränderungen sowie rechtliche und regulatorische Risiken wie neue Gesetzeslagen. Die Grenzen sind nicht immer trennscharf, doch die Systematik hilft, blinde Flecken zu vermeiden.

Für Arbeitssicherheit und Gesundheitsschutz tritt neben die allgemeinen Geschäftsrisiken die Gefährdungsermittlung. Die EKAS stellt dafür Hilfsmittel und Publikationen über ihr Informationszentrum bereit (ekas.admin.ch).

Die EKAS-Richtlinien konkretisieren die Gesetzesvorschriften und erläutern Gesetz und Verordnungen, ohne neues Recht zu schaffen. Wer die Richtlinien befolgt, erfüllt vermutungsweise die Vorschriften über die Arbeitssicherheit, die durch die Richtlinien konkretisiert werden (EKAS-Richtlinien, ekas.admin.ch). Entwürfe von Richtlinien werden gemäss Art. 57 Bst. a VUV interessierten Organisationen zur Anhörung vorgelegt.

Die EKAS ist die vom Bundesrat gewählte Kommission und die zentrale Koordinationsstelle für Arbeitssicherheit. Sie will Berufsunfälle und Berufskrankheiten schweizweit reduzieren, delegiert Aufgaben an die Durchführungsorgane und unterstützt diese bei der Umsetzung (ekas.admin.ch). Wer die Gefährdungsermittlung mit diesen Hilfsmitteln aufbaut, arbeitet mit einer anerkannten Systematik statt mit einer selbst entworfenen Liste.

Hauptkategorien von Risiken in KMU nach EKAS

Risiken bewerten und priorisieren

Bewertung und Priorisierung bilden den Kern der Risikoanalyse. Die identifizierten Risiken werden bewertet und anschliessend priorisiert (kmu.admin.ch). In der Regel erfolgt die Bewertung über zwei Dimensionen – Eintretenswahrscheinlichkeit und Schadensausmass; aus ihrer Kombination ergibt sich eine Rangfolge. Diese Rangfolge lenkt knappe personelle und finanzielle Mittel dorthin, wo die Wirkung am grössten ist.

Die Grundformel lautet: Risikowert = Eintretenswahrscheinlichkeit × Schadensausmass. Je höher der Risikowert, desto dringender ist der Handlungsbedarf. Er entscheidet, welche Risiken sofortige Massnahmen erfordern, welche beobachtet und welche bewusst akzeptiert werden.

Vor der ersten Bewertung sind die Risikokriterien zu definieren. Schadensklassen und Eintretenswahrscheinlichkeiten müssen so festgelegt sein, dass eine andere Person mit gleichem Know-how beim selben Risiko zum selben Ergebnis kommt; nur so sind die Ergebnisse reproduzierbar.

Zur Wahl stehen qualitative und quantitative Verfahren: die Einstufung in Schadensklassen oder die Bezifferung jedes möglichen Schadens mit einem Betrag. Die Rechnung mit Beträgen ist einfach, stösst aber dort an Grenzen, wo sich ein Reputationsschaden nach fehlerhaft ausgelieferten Produkten kaum exakt bemessen lässt.

Als Bezugsrahmen für die Bewertung dienen die ISO 31000 («Risk management – Principles and guidelines») und für die Informationssicherheit die ISO/IEC 27001. Beide führen das Risiko auf das Produkt aus Schaden und Eintretenswahrscheinlichkeit zurück.

Für die Arbeitssicherheit liefert die Gefährdungsermittlung die Beurteilungsgrundlage. Die EKAS stellt dafür Hilfsmittel bereit (ekas.admin.ch). Wer die Beurteilung an bestehende, genehmigte Systematiken anlehnt, muss die Vergleichsmassstäbe nicht selbst erfinden und kann die Ergebnisse gegenüber Behörden und Versicherern nachvollziehbar begründen.

Viele Unternehmen halten das Risikomanagement mit der Bewertung der Risiken für erledigt (kmu-magazin.ch). Ein priorisierter Risikokatalog ohne abgeleitete Massnahmen, Verantwortlichkeiten und Termine verändert am Betrieb nichts; die Bewertung ist eine Zwischenetappe, nicht das Ergebnis.

Qualitative vs. quantitative Bewertungsmethoden im Risikomanagement

Zentrale Normen und Richtlinien für Risikomanagement in der Schweiz

Massnahmen festlegen und im Betrieb verankern

Nach der Bewertung müssen die in der Phase Risikoidentifikation und -bewertung eruierten Hauptrisiken detailliert analysiert werden (kmu.admin.ch). Aus der vertieften Analyse der wenigen grossen Risiken entstehen konkrete Massnahmen: technische oder organisatorische Änderung, Verantwortlichkeit, Termin und Erkennbarkeit der Wirkung. Wo eine Massnahme nicht ausreicht oder wirtschaftlich nicht tragbar ist, bleibt die bewusste Restrisiko-Akzeptanz – dokumentiert und mit Kenntnis der Geschäftsleitung.

Als Werkzeug genügt eine einfache Risikoliste. Unübersichtliche Tabellen, veraltete Daten und unklare Zuständigkeiten sind die typischen Schwachstellen; entscheidend sind Nachführung und eine benannte Verantwortung für jede Massnahme.

Sind die erforderlichen Grundsätze und Richtlinien erstellt, wird das Risikomanagementkonzept implementiert (kmu.admin.ch). Diese Grundsätze regeln, in welchem Rhythmus Risiken erhoben werden, wer Risiken melden darf und muss, wie die Priorisierung erfolgt und wer die Umsetzung überwacht. Für Arbeitssicherheit und Gesundheitsschutz treten die Aufgaben der Spezialisten der Arbeitssicherheit und das Verfahren zur Durchführung der Beizugspflicht hinzu, wie es die EKAS-Richtlinie Nr. 6508 regelt.

Verankert wird das Konzept über Zuständigkeiten und wiederkehrende Abläufe, nicht über ein einmal verabschiedetes Dokument. Es bleibt in der Schublade, wenn die Risikoliste nach der Einführung niemandem gehört, nicht wiederkehrend traktandiert wird und die Massnahmen nicht in bestehende Führungsinstrumente wie Budget-, Investitions- und Projektentscheide einfliessen.

Externe Fachleute beiziehen und überbetriebliche Lösungen nutzen

Die EKAS-Richtlinie Nr. 6508 regelt den Beizug von Arbeitsärzten und anderen Spezialisten der Arbeitssicherheit. Sie behandelt in dieser Reihenfolge: Zweck, Beizug, Umsetzung, Aufgaben der Spezialisten der Arbeitssicherheit, Branchen-, Betriebsgruppen- und Modelllösungen als überbetriebliche Lösungen, Mitwirkung der Arbeitnehmenden oder ihrer Vertretung, Durchführung, Verabschiedung sowie die Anhänge (EKAS-Wegleitung). Vor dem ersten Einsatz eines externen Spezialisten sind Aufgabe, Umfang, Einbindung in den Betrieb und Mitwirkung der Belegschaft zu klären.

Überbetriebliche Lösungen vermeiden den Regelungsaufwand für jeden Betrieb einzeln: Branchen-, Betriebsgruppen- und Modelllösungen sind als eigenes Kapitel der Richtlinie 6508 vorgesehen.

An ihrer Sitzung vom 25. Juni 2026 genehmigte sie die Branchenlösung Nr. 87 «Fitness- und Gesundheitscentren» des Schweizerischen Fitness- und Gesundheitscenter Verbands (SFGV) sowie die Modelllösung Nr. M25 «COOP-SSL» (ekas.admin.ch). Ein angeschlossener Betrieb arbeitet mit bereits geprüften Grundlagen statt mit einer eigenen Neuentwicklung.

Die Mitwirkung der Arbeitnehmenden oder ihrer Vertretung ist Bestandteil der EKAS-Richtlinie Nr. 6508 und keine Zusatzübung: Beschäftigte kennen Abläufe, Gefährdungen und Beinahe-Vorfälle aus dem Arbeitsalltag und liefern Angaben, die sich aus der Geschäftsleitung nicht rekonstruieren lassen. Die EKAS unterstützt die Umsetzung operativ über ihre Geschäftsstelle und die Durchführungsorgane, an die sie Aufgaben delegiert (ekas.admin.ch).

Vorteile und Grenzen externer Fachleute im Risikomanagement

Nach der ersten Analyse: überwachen und wiederholen

Die Gefährdungsermittlung ist kein einmaliges Projekt. Arbeitsbedingungen, Verfahren, Stoffe, Räume und Personalsituation verändern sich laufend. Jede relevante Änderung – neue Anlage, neuer Prozess, neue Tätigkeit, Umbau – löst eine erneute Beurteilung des betroffenen Bereichs aus.

Für die Bewertung gilt dasselbe: Prioritäten verschieben sich, Massnahmen verlieren ihre Wirkung oder erweisen sich als ungenügend. Der Zyklus sieht deshalb vor, Bewertungen und Massnahmen nachzuführen, umgesetzte Massnahmen auf ihre Wirksamkeit zu überprüfen und neue Risiken in die Liste aufzunehmen. Zuständigkeit und Rhythmus dieser Nachführung sind festzuhalten.