Von der qualitativen Bewertung zur Risikoquantifizierung – warum der Wandel jetzt notwendig ist

Gert Poglin 27. Mai 2026

Ein vertrautes Bild in vielen Unternehmen

Risikomanager kennen die Situation: Eine umfangreiche Excel-Tabelle, sorgfältig gepflegt und ausgeschmückt mit Farbampeln und Eintrittswahrscheinlichkeiten. Das Ergebnis landet im Quartalsbericht, wird dem Vorstand präsentiert – und löst selten echte Konsequenzen aus. Nicht weil die Risiken nicht ernst genommen werden, sondern weil die Darstellungsweise keine belastbare Grundlage für Entscheidungen schafft.

Was hier betrieben wird, ist qualitative Risikobewertung – und genau dort liegt das Problem. Diese Art der Risikobewertung liefert Momentaufnahmen, aber keine Szenarien. Sie beschreibt Risiken, bleibt jedoch bei der Bewertung ihrer tatsächlichen Auswirkungen vage. Denn sie schafft es nicht, die Gesamtrisikosituation eines Unternehmens in einer Form darzustellen, die für Führungskräfte unmittelbar nutzbar ist.

Der Unterschied zwischen qualitativer und quantitativer Risikobewertung

Qualitative Risikobewertung beschreibt Risiken anhand von Kategorien wie „hoch“, „mittel“ oder „niedrig“ und basiert häufig auf Erfahrungswerten und Einschätzungen, statt auf konkreten Zahlen. Sie hat ihren Ursprung in einer Zeit, in der Risiken überschaubar und Geschäftsmodelle stabiler waren. Die strukturellen Schwächen des klassischen, qualitativen Ansatzes sind dabei gut dokumentiert: Einzelrisiken können nicht sinnvoll aggregiert werden, sodass Vorstände und Aufsichtsräte kein belastbares Bild der Gesamtrisikoposition erhalten. Entscheidungen werden auf Basis von Erfahrungswerten getroffen, nicht auf Basis statistisch fundierter Szenarien. Außerdem wird das Maßnahmenbudget oft losgelöst von der tatsächlichen Risikoexposition geplant – mit der Folge, dass Mittel falsch allokiert werden.

Gerade in einer Risikolandschaft, die heute komplexer, vernetzter und schneller veränderlich ist als je zuvor, stoßen solche qualitativen Ansätze zunehmend an ihre Grenzen. Auch regulatorische Anforderungen wie der IDW PS 340 verstärken den Bedarf nach belastbaren, nachvollziehbaren Risikomodellen.

Die quantitative Risikobewertung geht deshalb einen Schritt weiter. Mit ihrer Hilfe werden Risiken numerisch bewertet, wobei statistische Risikoquantifizierung, Verteilungsfunktionen und Szenariosimulationen wie die Monte-Carlo-Simulation zum Einsatz kommen. So entsteht eine belastbare Grundlage für Entscheidungen, da Risiken vergleichbar, aggregierbar und in ihren finanziellen Auswirkungen darstellbar werden.

Quantifizierung als Antwort auf wachsende Komplexität

Quantitative Risikobewertung, insbesondere durch die Monte-Carlo-Simulation, verändert somit die Grundlagen des Risikomanagements. Risiken werden in monetären Werten beschrieben und in Form von Schadensverteilungen und Quantilen im Risikomanagement dargestellt.

Die Simulation erzeugt durch tausende Berechnungen ein statistisch belastbares Bild möglicher Entwicklungen. Ein Ergebnis kann beispielsweise zeigen, mit welcher Wahrscheinlichkeit ein Schaden einen bestimmten Betrag überschreitet oder innerhalb eines festgelegten Intervalls bleibt.

Diese Informationen sind unmittelbar entscheidungsrelevant – etwa für die Festlegung des Risikoappetits, die Planung von Maßnahmenbudgets oder die Bewertung strategischer Optionen.

Wenn Risiken quantifiziert vorliegen, lassen sich Entscheidungen nachvollziehbar vergleichen und priorisieren.

Vom Einzelrisiko zur Gesamtperspektive

Ein zentraler Vorteil der quantitativen Methode liegt in der Aggregation von Risiken. Einzelrisiken werden zusammengeführt, Risikokorrelationen berücksichtigt und das Gesamtrisikoprofil eines Unternehmens präzise abgebildet.

Mit BIC GRC steht dazu eine integrierte Lösung zur Verfügung, die Simulationen ad hoc und ohne umfangreiche Vorbereitung ermöglicht.

Risikomanager können:

Unterschiedliche Verteilungsfunktionen nutzen
Abhängigkeiten zwischen Risiken modellieren
Maßnahmen vor und nach der Umsetzung vergleichen

Damit entsteht eine durchgängige Sicht auf Risiken und deren Wechselwirkungen. Entscheidungen werden fundierter, Budgets zielgerechter eingesetzt und das Risikobewusstsein im Unternehmen gestärkt.

Fazit

Der Wandel von qualitativer zu quantifizierter Risikobewertung ist die logische Antwort auf die steigende Komplexität unternehmerischer Risiken.

Unternehmen, die Risiken quantifizieren, statt sich auf Bauchgefühl und Heatmaps zu verlassen, schaffen eine belastbare Grundlage für Steuerung, Kommunikation und Priorisierung. Entscheidungen werden transparenter, Maßnahmen lassen sich gezielter ausrichten und Risiken systematisch in die Unternehmenssteuerung integrieren.

BIC GRC unterstützt diesen Ansatz mit einer Lösung, die Simulationen zugänglich macht und Risikoquantifizierung zu einem festen Bestandteil modernen GRC-Managements werden lässt.

Simulieren Sie Risiken mit BIC GRC – bevor sie eintreten

Häufig gestellte Fragen

Was ist der Unterschied zwischen qualitativer und quantitativer Risikobewertung?

Qualitative Risikobewertung nutzt Kategorien wie „hoch“ oder „niedrig“, Heatmaps oder Excel-Tabellen, um Risiken zu bewerten, während quantitative Risikobewertungen mit Wahrscheinlichkeiten, monetären Werten und statistischen Modellen arbeiten.

Warum reicht qualitative Risikobewertung heute nicht mehr aus?

Weil sie keine Aggregation ermöglicht, keine belastbaren Szenarien liefert und keine fundierte Gesamtsicht auf Risiken bietet.

Welche Methoden der Risikoquantifizierung gibt es?

Zu den wichtigsten Methoden zählen Monte‑Carlo‑Simulationen, Szenariosimulationen, statistische Verteilungsmodelle und Ansätze zur Cyber Risk Quantification.

Wie funktioniert die Monte-Carlo-Simulation?

Die Monte-Carlo-Simulation berechnet tausende Szenarien mit variierenden Parametern und erzeugt daraus Wahrscheinlichkeitsverteilungen möglicher Ergebnisse.

Wie bewertet man Risiken ohne historische Daten?

Risiken können trotz fehlender historischer Daten durch eine Kombination aus Experteneinschätzungen und statistischen Annahmen, die in Szenariosimulationen überführt werden, bewertet werden.

Welche KPIs sind für die quantitative Risikobewertung sinnvoll?

Sinnvoll sind beispielsweise erwartete Schadenshöhe, Value at Risk (VaR), Quantile oder aggregierte Risikopositionen.