Risikomanagement · 3 Min. Lesezeit
Von der Identifikation operativer und strategischer Risiken bis zum Aufbau eines dynamischen, stets aktuellen Registers.
Eine brauchbare Risikolandkarte entsteht nicht aus einer generischen Liste aus dem Internet, sondern aus einer Arbeit, die auf die Organisation zugeschnitten ist. Im ersten Schritt legen Sie den Umfang fest: das gesamte Unternehmen, eine Geschäftseinheit, einen bestimmten Prozess oder ein zertifiziertes Managementsystem. Ein zu weit gefasster Umfang beim ersten Anlauf führt leicht zu einem oberflächlichen Dokument.
Im zweiten Schritt wählen Sie eine Bewertungsmethode und wenden sie konsequent an. Eintrittswahrscheinlichkeit und Auswirkung sind die gängigsten Achsen, doch es ist entscheidend, festzulegen, was jede Stufe der Skala bedeutet. Eine hohe Auswirkung im Finanzbereich muss mit einer hohen Auswirkung in der IT vergleichbar sein, sonst ist die fertige Karte nicht lesbar.
Und schließlich sollten Sie von Anfang an festlegen, wer für welches Risiko verantwortlich ist. Ein Risiko ohne verantwortliche Person bleibt oft jahrelang unverändert im Register stehen, während eine benannte verantwortliche Person einen Anreiz hat, es zu überwachen und Maßnahmen vorzuschlagen.
Bevor Sie beginnen
Die Identifikation gelingt am besten, wenn diejenigen einbezogen werden, die die Prozesse wirklich kennen. Kurze Workshops mit den Bereichsverantwortlichen, gezielte Interviews und die Auswertung früherer Vorfälle, Beschwerden und Auditfeststellungen sind die ergiebigsten Quellen.
Es ist hilfreich, zwischen operativen Risiken, die mit dem täglichen Ablauf der Prozesse zusammenhängen, strategischen Risiken, die aus Markt- und Investitionsentscheidungen entstehen, Compliance-Risiken und Risiken der Informationssicherheit zu unterscheiden. Nicht, um Silos zu schaffen, sondern um sicherzustellen, dass kein Bereich übersehen wird.
Jedes Risiko sollte klar beschrieben werden, mit Ursache, Ereignis und Auswirkung. Ein Risiko, das als Datenverlust formuliert ist, bleibt zu vage; eines, das als unbefugter Zugriff auf Kundendaten infolge schwacher Zugangsdaten mit rechtlichen und rufschädigenden Folgen beschrieben wird, bietet eine konkrete Arbeitsgrundlage.
Sind die Risiken identifiziert, werden sie zweimal bewertet: zunächst ohne Berücksichtigung bestehender Kontrollen, um das inhärente Risiko zu verstehen, dann unter Einbeziehung der Kontrollen, um das Restrisiko abzuschätzen. Die Differenz zeigt, wie wirksam die Kontrollen tatsächlich sind.
Die daraus entstehende Matrix hilft bei der Priorisierung. Hohe Restrisiken erfordern einen Maßnahmenplan mit Verantwortlichen und Fristen; niedrige können akzeptiert und überwacht werden. Wichtig ist, dass die Entscheidung ausdrücklich getroffen und dokumentiert wird.
Bei der Priorisierung lohnt es sich auch, zu berücksichtigen, wie schnell ein Risiko eintreten kann. Zwei Risiken mit gleicher Bewertung können unterschiedliche Reaktionen erfordern, wenn das eine plötzlich eintritt und das andere sich langsam entwickelt und damit Zeit zum Eingreifen lässt.
Der häufigste Fehler besteht darin, die Risikolandkarte als Projekt mit Enddatum zu betrachten. Ein Risikoregister, das einmal im Jahr aktualisiert wird, bildet eine Realität ab, die sich inzwischen verändert hat. Neue Lieferanten, neue Systeme, Umstrukturierungen und regulatorische Änderungen verschieben das Risikoprofil laufend.
Ein dynamisches Register verknüpft jedes Risiko mit den Kontrollen, die es mindern, mit Auditergebnissen, Vorfällen und Überwachungskennzahlen. Ändert sich eines dieser Elemente, wird das Risiko neu bewertet. Die Verantwortlichen erhalten Erinnerungen für die regelmäßigen Überprüfungen, und der Status der Maßnahmen ist jederzeit sichtbar.
Statisches Register
Dynamisches Register
Für eine kleine Organisation kann eine gut strukturierte Tabelle ein vernünftiger Anfang sein. Doch sobald es Dutzende oder Hunderte Risiken und viele Verantwortliche gibt, zeigen sich die Grenzen schnell: mehrere Versionen, verlorene Verknüpfungen und keine Spur davon, wer was geändert hat.
Mit dem Risk-Mapping-Modul von Regulate können Sie Ihr Register importieren oder neu anlegen, Eintrittswahrscheinlichkeit und Auswirkung anhand gemeinsamer Skalen bewerten, Kontrollen und Maßnahmenpläne verknüpfen und die Entwicklung im Zeitverlauf verfolgen. So wird das Register zu einem lebendigen Instrument, das Entscheidungen begleitet, statt sie nur zu dokumentieren.
Weiterlesen
Intelligente Automatisierung verändert grundlegend, wie Unternehmen ihre täglichen Abläufe steuern. Strategien, um wiederkehrende Aufgaben zu digitalisieren, die Genauigkeit zu erhöhen und Ressourcen freizusetzen.
Wie intelligente Chatbots und interaktives Lernen das Richtlinienmanagement zugänglicher, ansprechender und messbarer machen.
Innovaq befindet sich in der Startphase.