Definition
Verbleibendes Risiko nach Umsetzung aller geplanten Risikobehandlungsmaßnahmen. Bewusst akzeptierter Anteil eines ursprünglichen Bruttorisikos. Wesentlicher Output jeder Risikobeurteilung und Voraussetzung für Konformitätsbewertungen — bei Maschinen (ISO 12100), Medizinprodukten (ISO 14971), KI-Systemen (ISO 42001) und Informationssicherheit (ISO 27005). Muss dokumentiert und vom Management formell akzeptiert werden, oft mit Kommunikation an Anwender.
In der Praxis
Das Restrisiko ist der Punkt, an dem Risikomanagement ehrlich wird — oder scheitert. Der häufigste Fehler: Die formale Akzeptanz fehlt oder sitzt auf der falschen Ebene. Da akzeptiert der QMB im Risikoregister ein verbleibendes Risiko, das im Ernstfall die Geschäftsführung tragen müsste — im Audit und vor Gericht ist das eine offene Flanke. Zweitens werden Brutto- und Nettorisiko verwechselt: Die Akzeptanzgrenze wird auf den Ausgangswert statt auf das verbleibende Risiko nach Maßnahmen angewendet, und schon stimmt die ganze Logik nicht mehr. Drittens hat die Akzeptanz keinen Zeitbezug — sie wird einmal unterschrieben und nie wiederholt, obwohl sich Rahmenbedingungen, Technik und Gesetzeslage weiterdrehen. Und viertens wird die Kommunikation vergessen: Wo Anwender oder Kunden vom verbleibenden Risiko betroffen sind, gehört es in Betriebsanleitung oder Vertragsdokumentation — bei Maschinen nach ISO 12100 und Medizinprodukten nach ISO 14971 ist das ausdrücklicher Bestandteil des Konzepts. Wer das sauber aufsetzt, verwandelt die Risikoakzeptanz von einer Unterschrift in eine echte Steuerungsentscheidung.
Verwandte Begriffe
Häufige Fragen zu Restrisiko
Was ist der Unterschied zwischen Bruttorisiko, Restrisiko und akzeptiertem Risiko?
Das Bruttorisiko beschreibt das Ausgangsrisiko vor allen Maßnahmen — die volle, unbehandelte Exposition. Das Restrisiko ist das, was nach Umsetzung der geplanten Risikobehandlung übrig bleibt; man spricht auch vom Nettorisiko. Akzeptiertes Risiko schließlich ist die Managemententscheidung, ein bestimmtes Restrisiko bewusst zu tragen, statt es weiter zu behandeln. Die Begriffe werden gern vermengt — mit der Folge, dass Akzeptanzgrenzen auf den falschen Wert angewendet werden. Praktisch heißt das: Erst bewerten Sie brutto, dann behandeln Sie, dann bewerten Sie das verbleibende Risiko erneut, und erst dann entscheidet die dafür vorgesehene Ebene über die Akzeptanz. Ohne diese Reihenfolge ist jede Risikoakzeptanz ein Blindflug (Begriffslogik: ISO 31000).
Wo verlangen Normen eine formale Bewertung und Akzeptanz des Restrisikos?
An mehreren Stellen, je nach Branche. Für Medizinprodukte verlangt ISO 14971 die Bewertung des Gesamtrestrisikos und dessen Abwägung gegen den medizinischen Nutzen — ohne diesen Schritt ist die Risikomanagementakte unvollständig. Bei Maschinen fordert ISO 12100, verbleibende Risiken zu ermitteln und in der Betriebsanleitung an den Anwender zu kommunizieren. In der Informationssicherheit sieht ISO 27005 vor, dass Risikoeigentümer das Restrisiko formell akzeptieren — nicht das ISMS-Team. Auch für KI-Systeme knüpft ISO 42001 an diese Logik an. Gemeinsam ist allen: Die Akzeptanz ist eine dokumentierte Entscheidung der verantwortlichen Ebene, keine implizite Nebensache. Wer das versäumt, hat im Audit eine offene Flanke.
Wie organisieren wir die Risikoakzeptanz so, dass sie im Audit besteht?
Definieren Sie zuerst Akzeptanzkriterien, bevor Sie bewerten — sonst wird die Grenze nachträglich ans Ergebnis angepasst. Legen Sie fest, welche Ebene welches Restrisiko akzeptieren darf: Der QMB kann operative Restrisiken zeichnen, bestands- oder sicherheitsrelevante gehören zur Geschäftsführung. Dokumentieren Sie jede Akzeptanz mit Datum, Begründung und Befristung — eine Akzeptanz ohne Wiederholungslogik verkommt zum Freibrief. Koppeln Sie die Neubewertung an das Change-Management: Neue Rahmenbedingungen, Vorfälle oder Gesetzesänderungen lösen eine erneute Prüfung aus. Und vergessen Sie die Kommunikation nicht: Wo Anwender oder Kunden betroffen sind, gehört das relevante Restrisiko in Betriebsanleitung oder Vertragsdokumentation. So wird die Akzeptanz von der Unterschrift zur Steuerungsentscheidung (Risikobehandlung und Akzeptanz: ISO 31000).