Risiken gibt es überall, doch manche Risiken sind von größerer Bedeutung als andere. ISO 31000 (wird in einem neuen Tab geöffnet), die Norm zum Risikomanagement mit der größten internationalen Reichweite, definiert Risiko als „die Auswirkung von Unsicherheit auf Ziele“. In jedem Unternehmen gibt es zahlreiche Unsicherheiten (sowohl positive als auch negative), und die Ziele können von der Anschaffung eines neuen Druckers bis zur Einführung eines neuen Produkts reichen.
In diesem Beitrag stelle ich Ihnen Leitlinien vor, anhand derer Sie die wirklich wichtigen Risiken bewerten können. Dabei weise ich darauf hin, wie wichtig Zusammenarbeit bei der Erkennung, Bewertung und Minderung von Risiken ist. Wenn IT-Abteilungen eng mit ihren Geschäftsbereichen zusammenarbeiten, lassen sich Risiken erkennen und angehen.
Ermittlung von Risiken im Zusammenhang mit strategischen Zielen
IT-Organisationen sind dafür verantwortlich, eine Vielzahl von Risiken zu identifizieren, darunter Systeme ohne Sicherheitspatches, neue Malware-Varianten, neue Phishing-Techniken und vieles mehr – die Liste ließe sich fortsetzen. Zwar ist es wichtig, diese Risiken zu erfassen, zu bewerten und zu priorisieren, doch müssen Sie dabei deren Kontext berücksichtigen. Schließlich kann das Risiko, das von einer einzelnen Sicherheitslücke ausgeht, von System zu System unterschiedlich sein.
Nehmen wir beispielsweise zwei Dateiserver, auf denen die neuesten Patches für eine Anwendung fehlen. Auf einem Dateiserver werden die Mittagsmenüs für die Mitarbeiterkantine gespeichert. Die anderen Filialen arbeiten derzeit an Entwürfen für ein neues Produkt, das im nächsten Monat auf den Markt kommen soll.
Es liegt auf der Hand, dass der Server mit den Konstruktionsunterlagen von größerer strategischer Bedeutung ist. Daher sollten die damit verbundenen Risiken Vorrang vor den Risiken haben, die den Dateiserver mit den Mittagsmenüs betreffen.
Aus diesem Beispiel lässt sich eine allgemeine Regel ableiten: Jedes Risiko, das ein übergeordnetes strategisches Ziel gefährdet, hat Vorrang vor Risiken, die lediglich untergeordnete Ziele betreffen.
Angesichts dieser Regel beginnt die Risikobewertung mit der Ermittlung der strategischen Ziele Ihres Unternehmens. Anschließend können Sie sich mit der IT-Infrastruktur befassen, die Ihr Unternehmen bei der Verfolgung dieser Ziele unterstützt.
Betrachten Sie es als eine Form der Lieferkettenanalyse. Sie verfolgen den Fluss von Daten, Mitarbeitern und Abläufen von einem übergeordneten Ziel bis hin zu den konkreten IT-Systemen und -Prozessen, die dem Unternehmen dabei helfen, dieses Ziel zu erreichen. Diese Systeme und Prozesse fungieren als eine Art Lieferkette für die Ziele selbst.
Nehmen wir zum Beispiel an, Ihr Unternehmen hat das übergeordnete Ziel, über eine mobile App zuverlässige und innovative Finanzdienstleistungen anzubieten. Es liegt auf der Hand, dass der Webserver, die Datenbanken und die Softwaremodule, die diese mobile App unterstützen, von strategischer Bedeutung sind. Jedes Risiko, das zu einem Ausfall führen könnte, würde ebenfalls als bedeutend eingestuft werden, insbesondere im Vergleich zu einem Risiko für eine interne Anwendung, die von Kunden niemals genutzt wird.
In diesem Fall sollte das Risikomanagementteam des Unternehmens Fragen stellen wie:
- Welche Systeme und Prozesse tragen unmittelbar zur Zuverlässigkeit und Innovationskraft unserer mobilen App für Finanzdienstleistungen bei?
- Welche Systeme und Prozesse ermöglichen diese Systeme und Prozesse?
- Auf welcher Grundlage funktioniert die mobile App?
Um Risiken zu bewerten, ermitteln Sie diese Zusammenhänge und verfolgen Sie diese bei Bedarf entsprechend den Zielen und Möglichkeiten Ihres Unternehmens.
Nicht alle Systeme und Prozesse in dieser „Lieferkette“ sind gleichermaßen wichtig. Um Risiken innerhalb der Lieferkette selbst zu messen, weisen Sie allem (was im Hinblick auf die 20.8. -Regel von Bedeutung ist) einen Wert zu – vom übergeordneten Ziel bis hin zum untersten unterstützenden System oder Prozess.
Aufbau eines Risikoportfolios
Auch Ihre strategischen Ziele müssen verglichen und bewertet werden. Es kommt selten vor, dass ein Unternehmen alle gleich behandelt.
Sobald Sie Ihre wichtigsten Ziele ermittelt haben, weisen Sie jedem einzelnen einen Wert innerhalb einer bestimmten Bandbreite zu. Auf der Grundlage von Gesprächen mit Ihrer Führungsriege könnten Sie beispielsweise einem anhaltenden Umsatzwachstum von mindestens 10 % CAGR einen Wert von 10 auf einer Skala von 1 bis 10 zuweisen, was bedeutet, dass dies der wichtigste Faktor ist.
By contrast, you might value regulatory compliance as a 7. Das bedeutet nicht, dass die Einhaltung von Vorschriften für das Unternehmen nicht wichtig ist. Das bedeutet lediglich, dass die Gewährleistung der Compliance zwar hervorragend ist, jedoch nicht die oberste Priorität darstellt, die Vorrang vor allen anderen Investitionen hat.
Ermitteln Sie als Nächstes die Personen, Prozesse und Technologien, die zur Unterstützung der einzelnen strategischen Ziele beitragen. Ordnen Sie anschließend die einzelnen unterstützenden Faktoren nach ihrer Bedeutung.
Um das Bild noch etwas zu verfeinern, können Sie die Wahrscheinlichkeit abschätzen, mit der ein bestimmter Fehler auftritt. Stellen Sie sich beispielsweise vor, Ihr Unternehmen verfügt über einen Webserver, der eine geschäftskritische mobile App unterstützt. Die Wahrscheinlichkeit, dass dieser Server während einer Spitzenauslastungsphase eine unzumutbar langsame Leistung erbringt, ist wahrscheinlich höher als die Wahrscheinlichkeit, dass derselbe Server von einem Stromausfall betroffen ist, der sowohl das Haupt- als auch das Notstromsystem lahmlegt.
Indem Sie den Rang für den strategischen Wert des Servers (beispielsweise 7 von 10) mit der Wahrscheinlichkeit eines bestimmten Risikos (beispielsweise 50 % oder 0,5) multiplizieren, können Sie damit beginnen, die Risiken sowohl zu ordnen als auch diejenigen zu identifizieren, die dringender Maßnahmen bedürfen.
Nehmen wir beispielsweise an, die Wahrscheinlichkeit, dass ein Server eine schlechte Leistung erbringt, beträgt 40 %, während die Wahrscheinlichkeit, dass ein Server bei einem katastrophalen Stromausfall ausfällt, lediglich 2 % beträgt. Wenn die Wichtigkeit des Servers auf einer Skala von 1 bis 10 den Wert 7 beträgt, dann würde der Risikowert für das Szenario mit geringer Leistung 7 mal 0,40 betragen, was 2,8 ergibt. Dann würde der Risikowert für das Stromausfall-Szenario 7 mal 0,02 betragen, was 0,14 ergibt. Das Szenario mit der geringeren Leistung, das den höheren Risikowert aufweist (2,8 gegenüber 0,14), ist offensichtlich das Risiko, dem zuerst Aufmerksamkeit geschenkt werden muss.
Die Bedeutung der Zusammenarbeit bei der Risikobewertung
Die Durchführung einer solchen Risikobewertung ist mit großem Aufwand verbunden und erfordert die Bereitschaft, sich auf Mehrdeutigkeiten, Paradoxien und Unsicherheiten einzulassen. Dazu gehört es, detaillierte Informationen über Menschen, Prozesse und Technologien im gesamten Unternehmen zu sammeln und diese zu einem Gesamtbild zusammenzufassen, das Aufschluss darüber gibt, welche Maßnahmen zu ergreifen sind.
Realistisch betrachtet kennt keine einzelne Person und kein Team aus dem Stegreif alle Details und Schwachstellen im Zusammenhang mit allen IT-Systemen und -Prozessen, die die strategischen Ziele des Unternehmens unterstützen. Die IT-Abteilung wird Unterstützung in Anspruch nehmen müssen.
Mein Rat: Wenn Sie die Prozesse und Technologien einer Abteilung bewerten, bitten Sie diese Abteilung um Unterstützung. Wenn Sie beispielsweise die Risiken im Zusammenhang mit den Anwendungen der Personalabteilung (HR) verstehen möchten, sprechen Sie mit einem Mitarbeiter der Personalabteilung. Sie werden wahrscheinlich Dinge über ihre Anwendung wissen, die dem IT-Betriebsteam nicht bekannt sind.
Wenn Sie mit Personen außerhalb der IT-Abteilung sprechen, sollten Sie den Gebrauch von Fachjargon auf ein Minimum beschränken. Im Gespräch mit IT-Kollegen ist es durchaus in Ordnung, Fachausdrücke zu verwenden, wie zum Beispiel: „Sind Ihre Kontrollmechanismen funktionsfähig?“ Außerhalb der IT-Branche dürfte eine solche Ausdrucksweise jedoch verwirrend wirken.
Wenn ich mit Personen spreche, die nicht aus dem IT-Bereich kommen, drücke ich mich in der Regel so aus, dass es darum geht, positive Entwicklungen zu fördern und negative zu verhindern. Ich frage sie auch nach dem Zweck eines Prozesses oder einer Anwendung. Ich gehe auf die Ziele unseres Risikomanagementprozesses ein. Und ich erläutere, wie unsere Risikobewertungen ihnen dabei helfen können, ihre Arbeit zu erledigen und ihre eigenen Abteilungsziele zu erreichen, indem sie die Erfolgswahrscheinlichkeit erhöhen.
Noch ein Ratschlag: Sagen Sie jemandem niemals, wie er etwas tun soll, ohne ihn zuvor zu fragen, wie er es seiner Meinung nach tun sollte. Wenn Sie eine Lösung vorschreiben, verpassen Sie möglicherweise eine kreative Alternative. Möglicherweise werden Sie auch feststellen, dass Menschen zögern, eine neue Richtlinie zu befolgen, die sie direkt betrifft, insbesondere wenn ihre Vorschläge dabei nicht berücksichtigt werden.
Eine bessere Lösung: Holen Sie sich Rat von den Anwendern aus dem Unternehmen. Dann können Sie eine Lösung für das Risikomanagement entwickeln, die diese wahrscheinlich unterstützen werden.
Risikomanagement ist eine unternehmensweite Angelegenheit und nicht nur eine Angelegenheit der IT-Abteilung
Wenn Menschen außerhalb der IT-Abteilung erkennen, dass Sie ihnen vertrauen und dass Sie aufrichtig an dem interessiert sind, was sie zu sagen haben, werden sie offener mit Ihnen kommunizieren. Zudem werden sie sich eher die von Ihnen gemeinsam eingeführten Risikomanagementlösungen von (wird in einem neuen Tab geöffnet) zu eigen machen.
Diese fortlaufende Zusammenarbeit ist ein Vorteil des „systemorientierten“ Ansatzes beim Risikomanagement durch Integration. Sie ermitteln nicht nur die Details, die Sie für eine genauere Risikobewertung benötigen, sondern sensibilisieren auch die Beteiligten im Unternehmen für die Bedeutung der Risikobewertung und -minderung. Und Sie haben die Möglichkeit, gemeinsam mit diesen Interessengruppen Lösungen zu entwickeln, die die von Ihnen beiden identifizierten Risiken minimieren.
Bei der Risikobewertung kommt es zwangsläufig zu einigen Überraschungen, von denen manche beängstigend sein können – oder zu Aha-Erlebnissen führen! Momente. Die Risikomessung trägt jedoch fast immer zu einer besseren abteilungsübergreifenden Kommunikation bei. Zudem kann es dem gesamten Unternehmen dabei helfen, fundiertere Entscheidungen zu treffen, um Unsicherheiten zu verringern und die wichtigsten Unternehmensziele zu erreichen.
Lesen Sie den ersten Blogbeitrag dieser Reihe: „ : Was wirklich zählt – die Abstimmung der Risikomessung auf die Unternehmensziele“. (wird in einem neuen Tab geöffnet)
Erfahren Sie mehr über die Risikomanagementlösung „ “ von Tanium: (wird in einem neuen Tab geöffnet).
