Ein lebendes Protokoll, das identifizierte Risiken für ein Projekt oder Programm, deren Bewertung (Wahrscheinlichkeit und Auswirkung), Verantwortliche, geplante Maßnahmen, Status und Überprüfungshistorie erfasst, um proaktives Risikomanagement zu ermöglichen.

Prinzip

Mache Risiken explizit, weise Verantwortung zu, dokumentiere vereinbarte Maßnahmen und verfolge den Status, sodass potenzielle Bedrohungen und Chancen sichtbar werden und vor ihrem Eintritt oder ihrer Eskalation behandelt werden können.

Demonstration

Ein Risikoregister eines IT-Projekts listet eine Cyber-Sicherheitslücke mit Wahrscheinlichkeit 'mittel', Auswirkung 'hoch', Verantwortlichen als Sicherheitsleiter, Abminderungsmaßnahmen (Patchplan, Penetrationstest) und ein Prüfdatum für Statusaktualisierungen.

Fehlanwendung

Das Risikoregister als statischen Anhang zu verwenden oder nur Probleme nach ihrem Eintreten zu erfassen (es in ein Issues-Log zu verwandeln) statt es als vorausschauendes Steuerungsinstrument mit Verantwortlichen und Maßnahmen zu pflegen.

Konsequenz

Ein gepflegtes Risikoregister fördert frühe Abminderungsmaßnahmen, klärt Zuständigkeiten, unterstützt informierte Entscheidungen über Rückstellungen und Budgets und ermöglicht Trendbeobachtungen über Review-Zyklen.

Umkehrung

Issue-Log — zeichnet realisierte Probleme und Korrekturmaßnahmen nach dem Eintreten auf, erfasst jedoch nicht systematisch nicht eingetretene Bedrohungen oder Verantwortliche für proaktive Maßnahmen.

Abgrenzung

Dokumentiert identifizierte Risiken und geplante Maßnahmen, führt aber nicht selbst quantitative Monte-Carlo-Analysen durch und ersetzt nicht formale Versicherungsprüfungen oder Unternehmensrisikomodelle; es sollte in andere Risiko- und Governance-Tools integriert werden.

Semantische Spannung

Überlappung mit Issue-Logs, RAID-Logs und Risikoregister in der Terminologie; Spannung entsteht, wenn Teams Risiken (mögliche Ereignisse) mit Issues (eingetretene Ereignisse) verwechseln oder Verantwortliche und Auslöser weglassen.

Synthese

Das Risikoregister ist das operative Repository, das potenzielle Ereignisse erfasst, ihre Bedeutung bewertet, Verantwortlichkeiten zuweist und den Maßnahmenplan sowie den Status dokumentiert, wodurch eine proaktive und prüfbare Risikogovernance ermöglicht wird.