Ein Risiko wird nicht zur Priorität weil es in der Risikoanalyse rot markiert ist. Es wird zur Priorität weil es gerade jemanden trifft.

Ein Risiko wird nicht zur Priorität weil es in der Risikoanalyse rot markiert ist. Es wird zur Priorität weil es gerade jemanden trifft. Das klingt wie eine Selbstverständlichkeit. In der Praxis wird genau das Gegenteil gelebt. Unternehmen priorisieren Risiken nach ihrer theoretischen Schwere, nach Bauchgefühl, nach dem was beim letzten Strategiemeeting am lautesten klang – nicht nach dem was gerade in vergleichbaren Betrieben passiert. Das Ergebnis ist eine Risikoliste die vollständig aussieht und trotzdem an der falschen Stelle beginnt. In der Cybersicherheit gibt es dafür einen präzisen Begriff: Known Exploited Vulnerabilities. Schwachstellen die nicht nur theoretisch existieren, sondern die gerade aktiv von Angreifern genutzt werden. Der Unterschied zwischen einer Schwachstelle die in einer Datenbank sitzt und einer die gerade ausgenutzt wird, ist der Unterschied zwischen einem potenziellen Risiko und einem operativen Problem. Wer beides gleich behandelt, behandelt beides falsch. Für KMU gilt dasselbe Prinzip, nur mit anderen Beispielen. Wenn Ransomware-Angriffe auf mittelständische Produktionsbetriebe in einer bestimmten Branche gerade sprunghaft ansteigen, ist das kein theoretisches Risiko mehr. Es ist ein aktives Signal. Wenn Zulieferer in einer bestimmten Region gerade ausfallen und die ersten Lieferketten reißen, ist das kein Emerging Risk mehr. Es ist eine laufende Welle. Wenn Insolvenzen in einer Branche gerade um vierzig Prozent steigen, ist das kein Strukturwandel der irgendwann kommt. Er ist bereits da. Das Problem bei vielen Risikomanagementsystemen ist nicht dass sie Risiken übersehen. Es ist dass sie nicht unterscheiden zwischen Risiken die existieren und Risiken die gerade aktiv werden. Eine Risikoanalyse die einmal jährlich aktualisiert wird, sieht alles was vor einem Jahr bekannt war. Was gerade passiert, sieht sie meistens nicht – weil dafür ein Frühwarnsystem nötig wäre das auf aktuelle Signale reagiert, nicht auf historische Bewertungen. Was das konkret bedeutet: Nicht die höchste Risikoeinstufung in der internen Matrix entscheidet wo man anfängt. Sondern die Frage, welches dieser Risiken gerade aktiv Unternehmen trifft die dem eigenen ähneln. Ein Risiko das in der Theorie klein wirkt und gerade aktiv ausgenutzt wird, ist gefährlicher als ein Risiko das in der Theorie groß wirkt und seit Jahren nicht eingetreten ist. Risikomanagement das nur auf Papier priorisiert, priorisiert an der Realität vorbei.