Definition
Frühwarnmetrik, die potenzielle Risiken und deren Entwicklung überwacht, bevor sie sich zu Schäden manifestieren. KRIs ergänzen KPIs um eine Risikoperspektive und sind essenziell für proaktives Risikomanagement sowie die Steuerung von Compliance- und Prozessrisiken.
In der Praxis
Ein KRI ohne Schwellenwert ist keine Frühwarnung, sondern eine Zahl. Das ist der Befund in den meisten Risikomanagement-Systemen, die ich sehe: zwanzig Indikatoren im Risikoregister, keiner mit Grenze, keiner mit Reaktionsplan — und im Ernstfall hat es trotzdem niemand kommen sehen. Drei Fehler wiederholen sich. Erstens werden KPI zu KRI umbenannt: Die monatliche Ausschussquote misst eingetretenen Schaden, sie warnt nicht — ein echter KRI läge vorgelagert, etwa der Trend der Werkzeugstandzeit oder die Anzahl überfälliger Wartungen. Zweitens fehlt die Datenquelle: Der Indikator existiert auf dem Papier, aber niemand erhebt ihn regelmäßig. Drittens fehlt die Reaktion: Gelb und Rot sind definiert, aber was dann passiert — wer informiert wird, wer entscheidet, welche Maßnahme startet — steht nirgends. Für die Praxis gilt: Lieber fünf KRI mit Schwellenwert, Owner und Reaktionsplan als zwanzig ohne. Und der Anschluss an die Eskalationswege gehört zur Definition dazu, nicht als nachträgliche Ergänzung.
Verwandte Begriffe
Häufige Fragen zu KRI
Was ist der Unterschied zwischen einem KRI und einem KPI?
Der KPI misst Leistung, der KRI misst Risiko — und der entscheidende Unterschied ist die Zeitrichtung. Ein KPI blickt zurück: Ausschussquote, Liefertreue, Durchlaufzeit zeigen, was bereits eingetreten ist. Ein KRI blickt voraus: Er überwacht Frühindikatoren, die sich verändern, bevor der Schaden entsteht. Beispiel aus der Fertigung: Die Ausschussquote ist der KPI; der Trend der Werkzeugverschleißwerte oder die Abweichung der Prozesstemperatur vom Soll ist der KRI, der die steigende Ausschussquote ankündigt. Beispiel Lieferkette: Die Lieferantenbewertung ist der KPI; die Konzentration auf einen einzigen A-Teile-Lieferanten ohne zweite Quelle ist der KRI. In der Praxis brauchen Sie beide: KPI für die Steuerung, KRI für die Frühwarnung. Wer nur KPI betrachtet, managt den Rückspiegel.
Wo sind Risikoindikatoren normativ verankert?
Einen eigenen Abschnitt mit der Überschrift „KRI" werden Sie in keiner Norm finden — der Begriff stammt aus der Risikomanagement-Praxis. Die methodische Heimat ist ISO 31000:2018: Sie verlangt im Risikomanagementprozess die Festlegung von Risikokriterien, an denen die Bedeutung von Risiken bewertet wird, sowie die fortlaufende Überwachung und Überprüfung der Risiken und ihrer Behandlung. Genau diese Überwachung ist die Funktion von KRI: Sie operationalisieren die Risikokriterien mit Messgrößen und Schwellenwerten. Auch ISO 9001 stützt die Logik indirekt — risikobasiertes Denken und die Bewertung von Maßnahmen gegen Risiken setzen voraus, dass Sie bemerken, wenn sich ein Risiko entwickelt. Für den Mittelstand heißt das: Niemand schreibt Ihnen KRI vor, aber ein Risikoregister ohne Überwachungsgrößen erfüllt den Anspruch eines lebenden Risikomanagements nicht (ISO 31000:2018).
Wie führen wir KRI ein, ohne ein zweites Kennzahlensystem aufzubauen?
Leiten Sie die KRI aus dem vorhandenen Risikoregister ab — nicht aus der Luft. Nehmen Sie Ihre fünf bis acht Top-Risiken und fragen Sie je Risiko: Welche beobachtbare Größe verändert sich, bevor dieses Risiko eintritt? Beim Lieferantenrisiko kann das die Verschlechterung der Liefertreue sein, beim Liquiditätsrisiko die Entwicklung der Debitorenlaufzeit, beim Personenrisiko die Überstundenquote in der Schlüsselabteilung. Definieren Sie je KRI drei Zonen mit konkreten Schwellenwerten — grün, gelb, rot — und einen Reaktionsplan: Was passiert bei gelb, wer entscheidet bei rot, über welchen Eskalationsweg? Legen Sie Datenquelle, Erfassungsfrequenz und einen namentlichen Owner fest. Integrieren Sie die KRI in das bestehende Management-Cockpit statt in ein Parallelwerkzeug — und berichten Sie Überschreitungen als Eingabe für die Managementbewertung. Review jährlich: KRI, die nie ausgeschlagen haben, hinterfragen Sie genauso wie Dauer-Rot-Meldungen ohne Konsequenz.