Risiken einer IT-Abteilung bewirtschaften (246)
Eidg. Diplom Informatik Abschluss 2014
Eidg. Diplom Informatik Abschluss 2014
Welche drei Risikokategorien sind im Risikomodell eines Unternehmens zu erfassen? Charakterisieren Sie diese in groben Zügen.
- Umfeldrisiken: beinhalten externe und strategische Einflüsse
- Prozessrisiken: beziehen sich im Wesentlichen auf die Kernfunktionen
- lnformationsrisiken: beziehen sich auf die unterstützenden Prozesse, um qualitativ einwandfreie lnformationen zeitgerecht und im benötigten Umfang bereitzustellen.
Welche lT-Risiken lassen sich anhand der Aufgaben einer IT-Abteilung unterscheiden?
- Servicemanagement
- Konfigurationsmanagement
- Projektmanagement
- Anwendungsmanagement
Was ist bei der Vorbereitung der Risikoanalyse zu tun? Beschreiben Sie stichwortartig die wesentlichen Aktivitäten.
lm Rahmen der Vorbereitung der Risikoanalyse muss die Risikoanalyse initiiert sowie das Untersuchungsgebiet ab- und eingegrenzt werden.
Risikoanalyse initiieren:
- Formulierung des Auftrags
- Beschreibung des Ziels
- Auswahl der beteiligten Personen (Moderator, Team etc.)
Untersuchungsbereich abgrenzen:
- Anhand des Risikomodells
- Festlegung der Organisationseinheit bzw. des Geschäftsbereichs
Untersuchungsbereich eingrenzen:
- Anhand einer Bewertungstabelle
- Festlegung der Prozesse und Objekte (Systeme, Anwendungen. Daten etc.)
Mit welchem Hilfsmittel kann die Relevanz der Risiken in einem definierten Untersuchungsbereich grob ermittelt werden? Zählen Sie mindestens fünf Bewertungskategorien für eine IT-Abteilung auf und legen Sie jeweils eine mögliche Skalierung fest.
Anhand einer Bewertungstabelle mit Bewertungskategorien.
- Charakter cler lT-Prozesse: strategische Bedeutung, Kernfunktion, Unterstützungsfunktion
- Verhältnis Kosten/Umsatz: Prozentsatz hoch, mittel, tief
- Anzahl Mitarbeiter: klein, mittel, gross
- Anzahl Applikationen: klein, mittel, gross
- Anzahl zentralisierte und dezentralisierte Systemplattformen; klein, mittel, gross
- Änderungsbedarf bei Applikationen, Systemen und Personal: hoch, mittel, gering
- Sicherheit des Krisenmanagements: hoch, mittel, gering
- Komplexität der Systeme (hohe Anzahl Transaktionen, viele Schnittstellen etc.): hoch, mittel, gering
- Projektvolumen: gross, mittel, klein
Nennen Sie vier Techniken, die sich für die Identifikation von Risiken eignen, und charakterisieren Sie diese stichwortartig.
- Brainstorming (Mind Mapping): Risikoidentifikation anhand von Risikotreibern
- Prozessanalyse (Process Mapping): Risikoidentifikation aufgrund einer Prozessanalyse
- Befragung: Risikoidentifikation anhand von Erfahrungswerten von Expenen
- Recherche: Risikoidentifikation durch Dokumentenstudium, mittels Analyse von Datenbanken oder mithilfe von Informationen aus dem Internet
Welche Spaltenüberschriften sind in einen Raster für die Bewertung von Risiken (qualitativ und quantitativ) notwendig?
1. Spaltenüberschrift: Risiko/Ursache
2. Spaltenüberschrift: Eintrittswahrscheinlichkeit
3. Spaltenüberschrift: Auswirkungen pro Schadenereignis
4. Spaltenüberschrift: Schadenausmass
5. Spaltenüberschrift: Massnahme
Welche Strategien stehen im Rahmen der Risikobewältigung zur Verfügung? Beschreiben Sie die grundsätzlichen Optionen in jeweils ein bis zwei Sätzen.
1. Risikoakzeptanz: Diese Strategie ist zu wählen, wenn ein Risiko mit den Geschäfts- bzw. Unternehmenszielen schlecht vereinbar ist und/oder beim Eintritt des Risikoereignisses vernachlässigbare Kosten zu erwarten sind. Bei dieser Strategie wird nichts getan, sondern das Risiko auf dem bestehenden Niveau akzeptiert.
2. Risikoreduktion: Diese Strategie ist zu wählen, wenn ein Risiko mit den Geschäfts- bzw. Unternehmenszielen schlecht vereinbar ist und/oder beim Eintritt des Risikoereignisses hohe Kosten zu erwarten sind. Bei dieser Strategie sind Massnahmen zu treffen, welche die Eintrittswahrscheinlichkeit reduzieren und/oder die Auswirkungen des Schadenereignisses auf ein vertretbares Mass einschränken bzw. minimieren.
3. Risikovermeidung: Diese Strategie ist zu wählen, wenn ein Risiko nicht mit den Geschäftszielen bzw. mit den Unternehmenszieien vereinbar ist und/oder beim Eintritt des Risikoereignisses unverhältnismässig hohe Kosten zu erwarten sind. Selbstverständlich kann jedes Risiko ausgeschlossen werden, indem die entsprechende Aktivität gemieden wird, Deshalb sollte stets geprüft werden, ob sich eine alternative Lösung anbietet, die das Risiko vermeidet und trotzdem Gewinnchancen eröffnet.
4. Risikoübertragung: Diese Strategie ist zu wählen, wenn ein Risiko nicht mit den Geschäftszielen bzw. mit den Unternehmenszieien vereinbar ist und/oder beim Eintritt des Risikoereignisses unverhältnismässig hohe Kosten zu erwarten sind. Bei dieser Strategie wird das Risiko (gesamthaft oder teilweise) einem Dritten übertragen (z. B. einer Versicherung oder einem Outsourcing-Partner).
5. Risikoerhöhung: Diese Strategie ist zu wählen, wenn ein Risiko mit den Geschäftszielen bzw. mit den Unternehmenszielen vereinbar ist und/oder beim Eintritt des Risikoereignisses neue Chancen für das Unternehmen entstehen. Bei dieser Strategie sind Massnahmen zu treffen, welche die Eintrittswahrscheinlichkeit erhöhen.
Erklären Sie in höchstens drei Sätzen, was im Zusammenhang mit Restrisiken zu berücksichtigen ist.
Ausser bei der Risikovermeidung bleiben bei jeder Strategie Restrisiken bestehen. Diese müssen unter Berücksichtigung der Unternehmenspolitik, der Flisikoabhängigkeiten, der Risikobewertung und -kosten sowie der Wirksamkeit von Gegenmassnahmen getragen werden. Wichtig ist, dass die Entscheidungsgrundlagen für die Risikobewältigungsstrategie explizit festgehalten und die Restrisiken bewusst eingegangen werden.
Mithilfe welcher Technik kann die Definition von Risikomassnahmen vereinfacht werden und welche Merkmale können Risikomassnahmen grundsätzlich aufweisen? Erläutern Sie diese stichwortartig.
- Vorbeugend: Unerwünschte Ereignisse werden verhindert.
- Aufdeckend/Korrigierend: Unerwünschte Ereignisse werden aufgedeckt und korrigiert.
- Lenkend: Wünschenswerte Ereignisse werden veranlasst oder gefördert.
Für die Auswahl geeigneter Risikomassnahmen spielt die Angemessenheit eine wesentliche Rolle. Anhand welcher Aspekte kann die Angemessenheit einer Massnahme beurteilt werden?
- Wirksamkeit
- Wirtschaftlichkeit
- Dringlichkeit und Umsetzbarkeit
Wozu ist im Rahmen des Risikomanagements ein Follow-up notwendig? Welche Aktivitäten werden dabei durchgeführt und wie werden die Ergebnisse festgehalten? Antworten Sie möglichst knapp und präzise.
Mithilfe des Follow-up (Risiken- und Massnahmenüberwachung) soll der nachhaltige Erfolg der Risikoanalyse und -bewältigung sichergestellt werden. Zu diesem Zweck wird ermittelt, ob die geplanten Massnahmen auch umgesetzt und die erwünschten Kontrollziele effektiv erreicht worden sind.
Im Rahmen des Follow-up werden u.a. folgende Aktivitäten durchgeführt:
- Überprüfung der Risikobewertung
- Überprüfung der Zuordnung (Risikoeigner) und Genehmigung der Massnahmen
- Überprüfung der Angemessenheit der Massnahmen
- Statusbeschreibung der Risiken und umgesetzten Massnahmen. Vergleichen Sie dazu die folgenden Erläuterungen.
- Identifikation und Bewertung neuer Risiken
- Festlegung der Risikobewältigungsstrategie für die neuen Risiken
- Definition angemessener (Gegen-)Massnahmen für die neuen Risiken
Die Ergebnisse des Follow-up werden in Form eines Aktionsplans festgehalten. Zusätzlich muss eine Statusbeschreibung erstellt werden. Darin wird der Zustand des Risikos und der Erledigungsgrad der Gegenmassnahme(n) festgehalten.
Nennen und beschreiben Sie das Kommunikationsprinzip, das dafür sorgt, dass die lnformationen alle Stufen und Rollenträger des Risikomanagement-Systems erreichen.
Top-down-Kommunikation: Der Verwaltungsrat und die Geschäftsleitung müssen eine ausreichende Kommunikation nach unten zu den Risikoeignern bzw. Prozessverantwortlichen aufrechterhalten, damit diese klar verstehen, auf welche Risikopolitik und -strategie sie sich ausrichten müssen und welche Vorhaben im Rahmen des Aufbaus, der Implementation oder der Übenivachung und Anpassung des Risikomanagement-Systems anstehen.
Bottom-up-Kommunikation: Zur Gewährleistung der Corporate Governance besteht ein Bedarf an verlässlicher Kommunikation relevanter lnformationen von den Risikoeignern bzw. Prozessverantwortlichen zur Geschäftsleitung und zum Verwaltungsrat. So können diese ihre Verantwortung optimal wahrnehmen und die unternehmerischen Entscheidungen fundiert abstützen.
Wie sollte eine Präsentation aufgebaut werden, bei der die Ergebnisse einer Risikoanalyse kommuniziert werden? Listen Sie die Abfolge der wichtigsten Themen auf.
1. Ziele und Zweck der Risikoanalyse
2. Umfang der Risikoanalyse
3. lst-Situation
4. Relevante Risiken und bewertete Massnahmen im Untersuchungsbereich
5. Antrag bzw. Anträge des Risiko-Teams
Welche Grundsätze sind im Rahmen eines geregelten Berichtswesens zu beachten? Nennen Sie mindestens fünf.
- Form, Umfang und Zeitpunkt der Berichte sind zu regeln.
- Die Berichte sollen möglichst knapp und klar (leicht verständlich) formuliert werden.
- Die Berichte sind in einem konstruktiven Stil zu verfassen.
- Die Berichte sind möglichst objektiv abzufassen.
- Die Berichte sind zeitgerecht fertigzustellen bzw. zu übergeben.
- Der Ersteller und Unterzeichner der Berichte müssen klar hervorgehen.
- Der Empfänger oder Empfängerkreis der Berichte muss bezeichnet werden.
Welche Aspekte und Kriterien sind bei der Auswahl einer geeigneten Hardware- und Softwareplattform für das Risikomanagement-Tool zu berücksichtigen? Nennen Sie fünf Aspekte und jeweils eine kritische Eigenschaft.
- Anwendung (Software): Die Applikation sollte eine zentrale, kontinuierliche Speicherung der Erfahrungsdaten (z. B. in einer Datenbank) erlauben.
- Grafische Benutzeroberfläche: Sämtliche Benutzer sollten über eine einheitliche grafische Benutzeroberfläche verfügen.
- Kommunikation: Das Tool sollte ein Frühwarnsystem auf der Basis von zentral geführten Erfahrungsdaten ermöglichen.
- Betriebssystem: Das Betriebssystem sollte den Aufbau und Betrieb eines Netzwerks erlauben, das für das Risikomanagement geeignet ist. Dazu gehört u. a. eine effektive und effiziente Steuerung der Zugriffsberechtigungen.
- Hardware: Die Hardware sollte so ausgelegt werden, dass jederzeit ein sicherer Datenaustausch gewährleistet ist und die berechtigten Benutzer Zugriff auf die für sie relevanten lnformationen haben.
Eine Risikomanagement-Applikation auf der Basis bestehender Office-Programme hat gegenüber einer Risikomanagement-Applikation auf der Basis eines Data Warehouse verschiedene Vor- und Nachteile. Nennen Sie je zwei Vorteile und zwei Nachteile.
Lösung:
Welche Schwächen weisen Risikomanagement›Systeme häufig auf? Nennen Sie mindestens drei Schwachstellen.
- Das Risikomanagement ist kaum oder gar nicht in die bestehenden Management-Prozesse (z. B. Führung, Planung, Steuerung, Kontrolle) eingebunden.
- Die Risikoanalysen für die einzelnen Untersuchungsbereiche (z. B. Business, Finanzen,Informatik, Personal etc.) sind stark fragmentiert und wenig aufeinander abgestimmt.
- Die Risikobewältigung in den verschiedenen Untersuchungsbereichen sind ebenfalls stark fragmentiert und wenig aufeinander abgestimmt.
- Das Risikomanagement wird oft als reines "Verhinderungsmanagement" verstanden, sodass neue Chancen und Wertschöpfungsmöglichkeiten (z. B. Wegfall von nicht rentablen Produkten, überflüssigen Kontrollen etc.) gar nicht wahrgenommen werden.
- Bei vielen Risikomanagement-Systemen fehlt das Gleichgewicht zwischen Flexibilität, umfassender Kontrolle und Wirtschaftlichkeit.
Nennen Sie drei kritische Erfolgsfaktoren, die beim Aufbau, Betrieb und bei der Überwachung eines unternehmensweiten Risikomanagement-Systems berücksichtigt werden müssen.
1. Die Ziele, Anforderungen und Prioritäten des Risikomanagements müssen klar festgelegt und kommuniziert werden
2. Das Risikomanagement muss richtig positioniert werden
3. Das Risikomanagement muss systematisch umgesetzt werden
Welche Perspektiven werden im Rahmen der Überwachung und Beurteilung des Risikomanagement Systems mittels Balanced Scorecard berücksichtigt?
- Kunden
- Finanzen
- Prozesse
- Lernen & Entwicklung
Was kann anhand eines Benchmarkings mittels Maturity Model von COBIT über das Risikomanagement ausgesagt werden?
Das Maturity Model von COBIT (MM) eignet sich für den Vergleich (Benchmarking) des Risikomanagements mit einem anderen Unternehmen ähnlicher Grösse und Branche. Dazu wird das Risikomanagement anhand von sechs Reifegradstufen (Levels) beurteilt.
Aus welchen Gründen wird die Corporate Governacne weltweit thematisiert? Nennen Sie mindestens 3 Gründe.
- Unternehmensrisiken, Insolvenzen, Firmenzusammenbrüche
- Mangelnde Beherrschbarkeit des Unternehmens/ fehlende Kontrollen und Transparenz
- Fehlendes oder mangelndes Risikomanagement
- Interessenkonflikte in der Führungsspitze (zw. Geschäftsleitung und Verwaltungsrat)
- Falsche Strategien
Welche Themen stehen bei den OECD-Grundsätzen der Corporate Governance im Vordergrund? Zählen Sie die vier wesentlichen Regelungsbereiche auf.
- Aktionärsrechte
- Gleichbehandlung der Aktionäre
- Rolle der verschiedenen Stakeholder
- Offenlegung und Transparenz
- Pflichten des Aufsichtsrats
Nennen Sie ein Gesetz, das bei mangelnden Kontrollen von besonders schützenswerten Personendaten beid er Informationsbearbeitung zum Tragen kommt. Beschreiben sie den möglichen Schaden, der bei Nichteinhaltung dieser Verordnung entstehen kann.
Schweizerisches Bundesgesetz über den Datenschutz (DSG).
Durch die Verletzung des Datenschutzgesetztes können Rufschädigungen, Strafverfahren und finanzielle Schäden entstehen.
Welche Ziele können durch den Einsatz anerkannter Kontrollmodell (z.B. COSO oder COBIT) erreicht werden? Nennen Sie mindestens 3 Ziele.
- Laufende Anpassung an die aktuellen Rahmenbedingungen. Daraus resultiert eine kontinuierliche Anpassung des internen Kontrollsystems.
- Vereinheitlichung der verwendeten Beurteilungskriterien und Begriffe innerhalb des Unternehmens. Daraus resultieren eine bessere Nachvollziehbarkeit und eine höhere Transparenz.
- Vereinheitlichung der verwendeten Beurteilungskriterien und Begriffe innerhalb des Unternehmens. Daraus resultieren eine bessere Nachvollziehbarkeit und eine höhere Transparenz.
- Aufdeckung von Stärken, Chancen und notwendiger Massnahmen.
- Anerkennung nach innen und nach aussen (Reputation).
- Reduktion von Unsicherheiten.
Welchen Nutzen bringt der Einsatz des COBlT-Kontrollmodells? Nennen Sie mindestens drei Vorteile für die lT-Abteilung.
- Verbesserung der Selbsteinschätzung der Kontroll- und Risikosituation der IT-Abteilung bzw. der lT-Prozesse
- Steigerung der Effizienz bei der Durchführung von Risikoanalysen
- Erleichterung des Entscheidungsprozesses aufgrund der vorhandenen Kontrollziele
- Höhere Effektivität bei der Planung, Durchführung und Überwachung von Massnahmen aufgrund einer besseren Abstimmung zwischen Business und IT
- Einfachere Einführung und Ausbildung aufgrund der Übereinstimmung mit dem ITlL-Standard
Nennen Sie die fünf Kategorien von Grundbedrohungen beı lnformationssystemen nach BSl.
- Höhere Gewalt (auch: Elementarereignisse)
- Organisatorische Mängel
- Menschliche Fehlhandlungen
- Vorsätzliche Handlungen
- Technisches Versagen
Welche Bedrohungen müssen im Rahmen der Risikoanalyse bei Informationssystemen berücksichtigt werden? Nennen Sie mindestens vier wesentlıche Gefahrenbereiche
1. Irrtum, Nachlässigkeit und andere menschliche Fehler
2. Softwareanomalien (Viren etc.)
3. Softwarefehler
4.Hardwarefehler
5. Höhere Gewalt (Feuer, Wasser etc.)
6. Unbefugte Kenntnisnahme
7. lnfodiebstahl, Wirtschaftsspionage
8.Unbeabsichtigte Fehler von externen Personen
9. Manipulation zur Bereicherung
10. Mängel der Dokumentation
11. Sabotage
Welche Schäden an Informationssystemen haben gemäss Versicherungsstatistik den höchsten Anteil? Nennen Sie mindestens vier wichtige Ursachen.
1. Überspannung
2. Fahrlässigkeit
3. Sonstiges
4. Diebstahl
5. Wasser
6. Feuer
7. Einbruch / Diebstahl
8. Sabotage
9. Sturm
Nennen Sie drei massgebliche Kriterien, welche die Verletzbarkeit eines Informationssystems beeinflussen können und beschreiben Sie stichwortartig die Ursachen.
- Vertraulichkeit durch mangelnden Zugriffsschutz etc.
- Integrität durch fehlerhafte Eingabe, Verarbeitung, Speicherung etc.
- Verfügbarkeit durch fehlende Datensicherung. mangelnder Ausweichbetrieb (Backup) etc.
Nennen Sie die grundsätzlichen Vorgehensweisen im Rahmen des Risikomanagements.
1. Risiken identifizieren
2. Risiken bewerten (Bedrohung, Verletzbarkeit, Eintrittswahrscheinlichkeit, Schadenausmass)
3. Risikomassnahmen festlegen
4. Risiken und Massnahmen überwachen
Welche Einflussfaktoren sind bei der Gestaltung eines unternehmensweiten Risikomanagement-Systems zu berücksichtigen? Nennen Sie fünf wesentliche Faktoren.
- Gesetzgebung
- Business-Strategie
- Kontrollmodell(e)
- Methoden & Standards
- Organisation
- Technologie & Werkzeuge
Was ist der Hauptzweck eines unternehmensweiten Risikomanagements (in Stichworten).
Früherkennung, Vermeidung und Bewältigung von Gefahren sowie Identifikation und Realisierung unternehmerischer (Gewinn-)Chancen.
Welche drei wesentlichen Nutzenvorteile bringt das Risikomanagement mit sich?
1. Optimierung des unternehmerischen Risikomodells
2. Verbesserung des Unternehmenserfolgs
3. Sicherung von Wettbewerbsvorteilen
Welche Chancen ergeben sich für die IT-Abteilung mit der Einführung eines Risikomanagements? Geben Sie mindestens drei Beispiele.
- Bessere interne Kommunikation dank einheitlicher Terminologie
- Bessere Risikoanalyse dank standardisierter Vorgehensweise
- Höhere Effizienz bei der Risikoanalyse dank gemeinsamer Nutzung der entsprechenden Methoden und Werkzeuge
- Sicherstellung der Realisierung und Überwachung adäquater Massnahmen
- Erhöhtes Risikobewusstsein dank laufender Risiko- und Massnahmenüberwachung
Wer ist für die Erstellung der Risikopolitik zuständig?
Der Verwaltungsrat (VR) ist für die Definition der Risikopolitik zuständig. Er kann diese Aufgabe delegieren, ist aber weiterhin dafür zuständig.
Wer nimmt die Rolle des lnitiators und Trägers des Risikomanagements ein?
Der Initiator und hauptsächliche Träger des Risikomanagements ist der Geschäftsleiter (CEO). Nach der Genehmigung der Risikopolitik und Risikostrategie durch den VR muss dieser sicherstellen, dass das Risikomanagement angemessen und wirkungsvoll betrieben wird.
Nennen Sie mindestens fünf wesentliche Aufgaben des Risikomanagers.
- Aktualisierung der Risikopolitik und Risikostrategie
- Einholen der Genehmigung für die Risikopolitik und Risikostrategie
- Anpassung der Methoden zur Risikobewertung an den aktuellen Erfahrungsstand
- Durchführung von Risikoreviews für strategische Vorhaben
- Organisation der fachlichen Ausbildung für das Risikomanagement
- Kommunikation innerhalb des Unternehmens: Austausch von Informationen bezüglich Risikomanagement
- Regelmässige Berichterstattung an die Führungsspitze (Verwaltungsrat, Audit-Komitee, CEO) unter Berücksichtigung der aktuellen Risikolage
Begründen Sie in einem Satz. warum ein unternehmensweites Risikomanagement-Handbuch erstellt werden muss, und nennen Sie dessen wesentliche lnhalte.
Ein unternehmensweites Risikomanagement-Handbuch stellt sowohl den Leitfaden für das unternehmerische Risikomanagement als auch das zentrale Werkzeug für die entsprechende Ausbildung dar und muss deshalb laufend aktualisiert werden.
Die wesentlichen inhalte sind:
- Risikomanagement-Vision
- Risikomanagement-Politik
- Risikomanagement~Strategie
- Grundsätzliche Risiken
- Risikomodell des Unternehmens
- Risikomanagement-Organisation (Rollen und Aufgaben)
- Abgrenzung gegenüber den Rollen und Aufgaben der anderen Kontrollprozesse
- Information, Kommunikation und Monitoring
Wie könnte die Risikomanagement-Organisation in einem Unternehmen der Finanzdienstleistungsbranche aussehen? Skizzieren Sie die entsprechende Aufbauorganisation für ein grosses und ein kleineres Unternehmen und zeigen Sie den Kommunikations- bzw. Rapportierungswege auf.
Lösung
Nennen Sie mindestens acht wesentliche Aufgaben, die dem Verantwortlichen für IT-Risiken zufallen.
- Erstellung, Planung und Einführung des IT-Risikomanagement-Konzeptes
- Ausbildung hinsichtlich Bewirtschaftung der IT-Risiken
- Einführung von Methoden und Techniken für das IT-Risikomanagement
- Beratung und Unterstützung bei der Durchführung von Risikoanalysen und bei der Risikobewältigung
- Sicherstellung des Risikoniveaus und Wirksamkeit der lT-Massnahmen
- Koordination des lT-Risikomanagements mit dem CRO und verschiedenen Bereichen
- Sicherstellung der Kommunikation und des Risikobewusstseins (Awareness)
- Durchführung regelmässiger Reviews und IT-Berichterstattung
-
- 1 / 41
-
Cartes-fiches
Was kann anhand eines Benchmarkings mittels Maturity Model von COBIT über das Risikomanagement ausgesagt werden?
Das Maturity Model von COBIT (MM) eignet sich für den Vergleich (Benchmarking) des Risikomanagements mit einem anderen Unternehmen ähnlicher Grösse und Branche. Dazu wird das Risikomanagement anhand von sechs Reifegradstufen (Levels) beurteilt.
