Risiken einer IT-Abteilung bewirtschaften (246)

1. Irrtum, Nachlässigkeit und andere menschliche Fehler

2. Softwareanomalien (Viren etc.)

3. Softwarefehler

4.Hardwarefehler

5. Höhere Gewalt (Feuer, Wasser etc.)

6. Unbefugte Kenntnisnahme

7. lnfodiebstahl, Wirtschaftsspionage

8.Unbeabsichtigte Fehler von externen Personen

9. Manipulation zur Bereicherung

10. Mängel der Dokumentation

11. Sabotage

1. Überspannung

2. Fahrlässigkeit

3. Sonstiges

4. Diebstahl

5. Wasser

6. Feuer

7. Einbruch / Diebstahl

8. Sabotage

9. Sturm

- Vertraulichkeit durch mangelnden Zugriffsschutz etc.

- Integrität durch fehlerhafte Eingabe, Verarbeitung, Speicherung etc.

- Verfügbarkeit durch fehlende Datensicherung. mangelnder Ausweichbetrieb (Backup) etc.

1. Risiken identifizieren

2. Risiken bewerten (Bedrohung, Verletzbarkeit, Eintrittswahrscheinlichkeit, Schadenausmass)

3. Risikomassnahmen festlegen

4. Risiken und Massnahmen überwachen

- Gesetzgebung

- Business-Strategie

 - Kontrollmodell(e)

- Methoden & Standards

- Organisation

- Technologie & Werkzeuge

Früherkennung, Vermeidung und Bewältigung von Gefahren sowie Identifikation und Realisierung unternehmerischer (Gewinn-)Chancen.

1. Optimierung des unternehmerischen Risikomodells

2. Verbesserung des Unternehmenserfolgs

3. Sicherung von Wettbewerbsvorteilen

- Bessere interne Kommunikation dank einheitlicher Terminologie

- Bessere Risikoanalyse dank standardisierter Vorgehensweise

- Höhere Effizienz bei der Risikoanalyse dank gemeinsamer Nutzung der entsprechenden Methoden und Werkzeuge

- Sicherstellung der Realisierung und Überwachung adäquater Massnahmen

- Erhöhtes Risikobewusstsein dank laufender Risiko- und Massnahmenüberwachung

Der Verwaltungsrat (VR) ist für die Definition der Risikopolitik zuständig. Er kann diese Aufgabe delegieren, ist aber weiterhin dafür zuständig.

Der Initiator und hauptsächliche Träger des Risikomanagements ist der Geschäftsleiter (CEO). Nach der Genehmigung der Risikopolitik und Risikostrategie durch den VR muss dieser sicherstellen, dass das Risikomanagement angemessen und wirkungsvoll betrieben wird.

- Aktualisierung der Risikopolitik und Risikostrategie

- Einholen der Genehmigung für die Risikopolitik und Risikostrategie

- Anpassung der Methoden zur Risikobewertung an den aktuellen Erfahrungsstand

- Durchführung von Risikoreviews für strategische Vorhaben

- Organisation der fachlichen Ausbildung für das Risikomanagement

- Kommunikation innerhalb des Unternehmens: Austausch von Informationen bezüglich Risikomanagement

- Regelmässige Berichterstattung an die Führungsspitze (Verwaltungsrat, Audit-Komitee, CEO) unter Berücksichtigung der aktuellen Risikolage

Ein unternehmensweites Risikomanagement-Handbuch stellt sowohl den Leitfaden für das unternehmerische Risikomanagement als auch das zentrale Werkzeug für die entsprechende Ausbildung dar und muss deshalb laufend aktualisiert werden.

Die wesentlichen inhalte sind:

- Risikomanagement-Vision

- Risikomanagement-Politik

- Risikomanagement~Strategie

- Grundsätzliche Risiken

- Risikomodell des Unternehmens

- Risikomanagement-Organisation (Rollen und Aufgaben)

- Abgrenzung gegenüber den Rollen und Aufgaben der anderen Kontrollprozesse

- Information, Kommunikation und Monitoring

Lösung

- Erstellung, Planung und Einführung des IT-Risikomanagement-Konzeptes

- Ausbildung hinsichtlich Bewirtschaftung der IT-Risiken

- Einführung von Methoden und Techniken für das IT-Risikomanagement

- Beratung und Unterstützung bei der Durchführung von Risikoanalysen und bei der Risikobewältigung

- Sicherstellung des Risikoniveaus und Wirksamkeit der lT-Massnahmen

- Koordination des lT-Risikomanagements mit dem CRO und verschiedenen Bereichen

- Sicherstellung der Kommunikation und des Risikobewusstseins (Awareness)

- Durchführung regelmässiger Reviews und IT-Berichterstattung

Strategische Vorgaben:

- Risikovision und Risikomission

- Risikopolitik und Risikostrategie

- Annahmen

Aktivitäten:

- Risiken identifizieren

- Risiken bewerten

- Massnahmen auswählen

- Prioritäten setzen

- Massnahmen realisieren und Risikoeigner zuordnen

- Umfeldrisiken: beinhalten externe und strategische Einflüsse

- Prozessrisiken: beziehen sich im Wesentlichen auf die Kernfunktionen

- lnformationsrisiken: beziehen sich auf die unterstützenden Prozesse, um qualitativ einwandfreie lnformationen zeitgerecht und im benötigten Umfang bereitzustellen.

- Servicemanagement

- Konfigurationsmanagement

- Projektmanagement

- Anwendungsmanagement

lm Rahmen der Vorbereitung der Risikoanalyse muss die Risikoanalyse initiiert sowie das Untersuchungsgebiet ab- und eingegrenzt werden.

Risikoanalyse initiieren:

- Formulierung des Auftrags

- Beschreibung des Ziels

- Auswahl der beteiligten Personen (Moderator, Team etc.)

Untersuchungsbereich abgrenzen:

- Anhand des Risikomodells

- Festlegung der Organisationseinheit bzw. des Geschäftsbereichs

Untersuchungsbereich eingrenzen:

- Anhand einer Bewertungstabelle

- Festlegung der Prozesse und Objekte (Systeme, Anwendungen. Daten etc.)

Anhand einer Bewertungstabelle mit Bewertungskategorien.

- Charakter cler lT-Prozesse: strategische Bedeutung, Kernfunktion, Unterstützungsfunktion

- Verhältnis Kosten/Umsatz: Prozentsatz hoch, mittel, tief

- Anzahl Mitarbeiter: klein, mittel, gross

- Anzahl Applikationen: klein, mittel, gross

- Anzahl zentralisierte und dezentralisierte Systemplattformen; klein, mittel, gross

- Änderungsbedarf bei Applikationen, Systemen und Personal: hoch, mittel, gering

- Sicherheit des Krisenmanagements: hoch, mittel, gering

- Komplexität der Systeme (hohe Anzahl Transaktionen, viele Schnittstellen etc.): hoch, mittel, gering

- Projektvolumen: gross, mittel, klein

- Brainstorming (Mind Mapping): Risikoidentifikation anhand von Risikotreibern

- Prozessanalyse (Process Mapping): Risikoidentifikation aufgrund einer Prozessanalyse

- Befragung: Risikoidentifikation anhand von Erfahrungswerten von Expenen

- Recherche: Risikoidentifikation durch Dokumentenstudium, mittels Analyse von Datenbanken oder mithilfe von Informationen aus dem Internet

1. Spaltenüberschrift: Risiko/Ursache

2. Spaltenüberschrift: Eintrittswahrscheinlichkeit

3. Spaltenüberschrift: Auswirkungen pro Schadenereignis

4. Spaltenüberschrift: Schadenausmass

5. Spaltenüberschrift: Massnahme

1. Risikoakzeptanz: Diese Strategie ist zu wählen, wenn ein Risiko mit den Geschäfts- bzw. Unternehmenszielen schlecht vereinbar ist und/oder beim Eintritt des Risikoereignisses vernachlässigbare Kosten zu erwarten sind. Bei dieser Strategie wird nichts getan, sondern das Risiko auf dem bestehenden Niveau akzeptiert.

2. Risikoreduktion: Diese Strategie ist zu wählen, wenn ein Risiko mit den Geschäfts- bzw. Unternehmenszielen schlecht vereinbar ist und/oder beim Eintritt des Risikoereignisses hohe Kosten zu erwarten sind. Bei dieser  Strategie sind Massnahmen zu treffen, welche die Eintrittswahrscheinlichkeit reduzieren und/oder die Auswirkungen des Schadenereignisses auf ein vertretbares Mass einschränken bzw. minimieren.

3. Risikovermeidung: Diese Strategie ist zu wählen, wenn ein Risiko nicht mit den Geschäftszielen bzw. mit den Unternehmenszieien vereinbar ist und/oder beim Eintritt des Risikoereignisses unverhältnismässig hohe Kosten zu erwarten sind. Selbstverständlich kann jedes Risiko ausgeschlossen werden, indem die entsprechende Aktivität gemieden wird, Deshalb sollte stets geprüft werden, ob sich eine alternative Lösung anbietet, die das Risiko vermeidet und trotzdem Gewinnchancen eröffnet.

4. Risikoübertragung: Diese Strategie ist zu wählen, wenn ein Risiko nicht mit den Geschäftszielen bzw. mit den Unternehmenszieien vereinbar ist und/oder beim Eintritt des Risikoereignisses unverhältnismässig hohe Kosten zu erwarten sind. Bei dieser Strategie wird das Risiko (gesamthaft oder teilweise) einem Dritten übertragen (z. B. einer Versicherung oder einem Outsourcing-Partner).

5. Risikoerhöhung: Diese Strategie ist zu wählen, wenn ein Risiko mit den Geschäftszielen bzw. mit den Unternehmenszielen vereinbar ist und/oder beim Eintritt des Risikoereignisses neue Chancen für das Unternehmen entstehen. Bei dieser Strategie sind Massnahmen zu treffen, welche die Eintrittswahrscheinlichkeit erhöhen.

Ausser bei der Risikovermeidung bleiben bei jeder Strategie Restrisiken bestehen. Diese müssen unter Berücksichtigung der Unternehmenspolitik, der Flisikoabhängigkeiten, der Risikobewertung und -kosten sowie der Wirksamkeit von Gegenmassnahmen getragen werden. Wichtig ist, dass die Entscheidungsgrundlagen für die Risikobewältigungsstrategie explizit festgehalten und die Restrisiken bewusst eingegangen werden.

- Vorbeugend: Unerwünschte Ereignisse werden verhindert.

- Aufdeckend/Korrigierend: Unerwünschte Ereignisse werden aufgedeckt und korrigiert.

- Lenkend: Wünschenswerte Ereignisse werden veranlasst oder gefördert.

- Wirksamkeit

- Wirtschaftlichkeit

- Dringlichkeit und Umsetzbarkeit

Mithilfe des Follow-up (Risiken- und Massnahmenüberwachung) soll der nachhaltige Erfolg der Risikoanalyse und -bewältigung sichergestellt werden. Zu diesem Zweck wird ermittelt, ob die geplanten Massnahmen auch umgesetzt und die erwünschten Kontrollziele effektiv erreicht worden sind.

Im Rahmen des Follow-up werden u.a. folgende Aktivitäten durchgeführt:

- Überprüfung der Risikobewertung

- Überprüfung der Zuordnung (Risikoeigner) und Genehmigung der Massnahmen

- Überprüfung der Angemessenheit der Massnahmen

- Statusbeschreibung der Risiken und umgesetzten Massnahmen. Vergleichen Sie dazu die folgenden  Erläuterungen.

- Identifikation und Bewertung neuer Risiken

- Festlegung der Risikobewältigungsstrategie für die neuen Risiken

- Definition angemessener (Gegen-)Massnahmen für die neuen Risiken

Die Ergebnisse des Follow-up werden in Form eines Aktionsplans festgehalten. Zusätzlich muss eine Statusbeschreibung erstellt werden. Darin wird der Zustand des Risikos und der Erledigungsgrad der  Gegenmassnahme(n) festgehalten.

Top-down-Kommunikation: Der Verwaltungsrat und die Geschäftsleitung müssen eine ausreichende Kommunikation nach unten zu den Risikoeignern bzw. Prozessverantwortlichen aufrechterhalten, damit diese klar verstehen, auf welche Risikopolitik und -strategie sie sich ausrichten müssen und welche Vorhaben im Rahmen des Aufbaus, der Implementation oder der Übenivachung und Anpassung des Risikomanagement-Systems anstehen.

Bottom-up-Kommunikation: Zur Gewährleistung der Corporate Governance besteht ein Bedarf an verlässlicher Kommunikation relevanter lnformationen von den Risikoeignern bzw. Prozessverantwortlichen zur Geschäftsleitung und zum Verwaltungsrat. So können diese ihre Verantwortung optimal wahrnehmen und die unternehmerischen Entscheidungen fundiert abstützen.

1.  Ziele und Zweck der Risikoanalyse

2. Umfang der Risikoanalyse

3. lst-Situation

4. Relevante Risiken und bewertete Massnahmen im Untersuchungsbereich

5. Antrag bzw. Anträge des Risiko-Teams

- Form, Umfang und Zeitpunkt der Berichte sind zu regeln.

- Die Berichte sollen möglichst knapp und klar (leicht verständlich) formuliert werden.

- Die Berichte sind in einem konstruktiven Stil zu verfassen.

- Die Berichte sind möglichst objektiv abzufassen.

- Die Berichte sind zeitgerecht fertigzustellen bzw. zu übergeben.

- Der Ersteller und Unterzeichner der Berichte müssen klar hervorgehen.

- Der Empfänger oder Empfängerkreis der Berichte muss bezeichnet werden.

-  Anwendung (Software): Die Applikation sollte eine zentrale, kontinuierliche Speicherung der Erfahrungsdaten (z. B. in einer Datenbank) erlauben.

- Grafische Benutzeroberfläche: Sämtliche Benutzer sollten über eine einheitliche grafische Benutzeroberfläche verfügen.

- Kommunikation: Das Tool sollte ein Frühwarnsystem auf der Basis von zentral geführten Erfahrungsdaten ermöglichen.

- Betriebssystem: Das Betriebssystem sollte den Aufbau und Betrieb eines Netzwerks erlauben, das für das Risikomanagement geeignet ist. Dazu gehört u. a. eine effektive und effiziente Steuerung der Zugriffsberechtigungen.

- Hardware: Die Hardware sollte so ausgelegt werden, dass jederzeit ein sicherer Datenaustausch gewährleistet ist und die berechtigten Benutzer Zugriff auf die für sie relevanten lnformationen haben.

Lösung:

- Das Risikomanagement ist kaum oder gar nicht in die bestehenden Management-Prozesse (z. B. Führung, Planung, Steuerung, Kontrolle) eingebunden.

- Die Risikoanalysen für die einzelnen Untersuchungsbereiche (z. B. Business, Finanzen,Informatik, Personal etc.) sind stark fragmentiert und wenig aufeinander abgestimmt.

- Die Risikobewältigung in den verschiedenen Untersuchungsbereichen sind ebenfalls stark fragmentiert und wenig aufeinander abgestimmt.

- Das Risikomanagement wird oft als reines "Verhinderungsmanagement" verstanden, sodass neue Chancen und Wertschöpfungsmöglichkeiten (z. B. Wegfall von nicht rentablen Produkten, überflüssigen Kontrollen etc.) gar nicht wahrgenommen werden.

- Bei vielen Risikomanagement-Systemen fehlt das Gleichgewicht zwischen Flexibilität, umfassender Kontrolle und Wirtschaftlichkeit.

1. Die Ziele, Anforderungen und Prioritäten des Risikomanagements müssen klar festgelegt und kommuniziert werden

2. Das Risikomanagement muss richtig positioniert werden

3. Das Risikomanagement muss systematisch umgesetzt werden

- Kunden

- Finanzen

- Prozesse

- Lernen & Entwicklung