Risiken sind überall, aber einige Risiken sind wichtiger als andere. ISO 31000 (eröffnet in einer neuen Registerkarte), der Risikomanagementstandard mit der breitesten internationalen Reichweite, definiert das Risiko als „Auswirkung der Unsicherheit auf die Ziele“. In jedem Unternehmen gibt es Unsicherheiten (sowohl das Aufwärts- als auch das Abwärtspotenzial) und Ziele können vom Kauf eines neuen Druckers bis zur Einführung eines neuen Produkts reichen.
In diesem Beitrag biete ich Richtlinien an, die Sie zur Messung der wichtigsten Risiken verwenden können. Unterwegs weise ich auf die Bedeutung der Zusammenarbeit bei der Identifizierung, Messung und Minderung von Risiken hin. Wenn IT-Abteilungen eng mit ihren Geschäftseinheiten zusammenarbeiten, können Risiken verstanden und adressiert werden.
Identifizierung von Risiken im Zusammenhang mit strategischen Zielen
IT-Organisationen sind dafür verantwortlich, eine Vielzahl von Risiken zu identifizieren, einschließlich ungepatchter Systeme, neuer Malware-Varianten, neuer Phishing-Techniken und mehr – die Liste geht weiter. Obwohl es wichtig ist, diese Risiken zu verfolgen, sie zu messen und zu priorisieren, müssen Sie ihren Kontext berücksichtigen. Schließlich kann sich das Risiko einer einzelnen Sicherheitsschwachstelle von einem System zum anderen unterscheiden.
Betrachten Sie beispielsweise zwei Dateiserver, denen beide die neuesten Patches für eine Anwendung fehlen. Ein Dateiserver speichert Mittagsmenüs für die Mitarbeiterkantine. Die anderen Geschäfte produzieren Designs für ein neues Produkt, das nächsten Monat eingeführt wird.
Offensichtlich ist der Server mit den Designdokumenten strategisch wichtiger. Daher sollten seine Risiken Vorrang vor den Risiken haben, die den Dateiserver mit den Mittagsmenüs betreffen.
Aus diesem Beispiel können wir eine allgemeine Regel ableiten: Jedes Risiko, das ein übergeordnetes strategisches Ziel gefährdet, hat Vorrang vor Risiken, die nur untergeordnete Ziele betreffen.
Angesichts dieser Regel beginnt die Risikomessung mit der Identifizierung der strategischen Ziele Ihres Unternehmens. Dann können Sie die IT-Infrastruktur erkunden, die die Verfolgung dieser Ziele durch Ihr Unternehmen unterstützt.
Stellen Sie sich dies als eine Form der Lieferkettenanalyse vor. Sie verfolgen den Daten-, Personen- und Betriebsfluss von einem übergeordneten Ziel bis hin zu den spezifischen IT-Systemen und Prozessen, die dem Unternehmen helfen, dieses Ziel zu erreichen. Diese Systeme und Prozesse funktionieren als eine Art Lieferkette für die Ziele selbst.
Nehmen wir beispielsweise an, Ihr Unternehmen hat ein übergeordnetes Ziel, zuverlässige, hochmoderne Finanzdienstleistungen über eine mobile App bereitzustellen. Offensichtlich sind der Webserver, Datenbanken und Softwaremodule, die diese mobile App unterstützen, strategisch wichtig. Jedes Risiko, das sie offline nehmen könnte, würde auch als wichtig angesehen, insbesondere im Vergleich zu einem Risiko für eine interne Anwendung, die von Kunden niemals verwendet wird.
In diesem Fall sollte das Risikomanagementteam des Unternehmens Fragen stellen wie:
- Welche Systeme und Prozesse unterstützen direkt die Zuverlässigkeit und Innovation unserer mobilen Finanzservices-App?
- Welche Systeme und Prozesse ermöglichen diese Systeme und Prozesse?
- Welches System lässt die mobile App funktionieren?
Um das Risiko zu messen, identifizieren Sie diese Verbindungen und verfolgen Sie sie nach Bedarf in Übereinstimmung mit den Zielen und Fähigkeiten Ihres Unternehmens.
Nicht alle Systeme und Prozesse in dieser „Lieferkette“ sind gleich wichtig. Um Risiken innerhalb der Lieferkette selbst zu messen, weisen Sie allen Aspekten (die unter Berücksichtigung der 20.8. -Regel wichtig sind) einen Wert zu, von dem obersten Ziel bis zum niedrigsten unterstützenden System oder Prozess.
Aufbau einer Reihe von Risiken
Ihre strategischen Ziele müssen ebenfalls verglichen und bewertet werden. Es ist selten, dass ein Unternehmen alle gleich behandelt.
Wenn Sie Ihre wichtigsten Ziele identifiziert haben, weisen Sie jedem einen Wert in einem bestimmten Bereich zu. Beispielsweise können Sie basierend auf Gesprächen mit Ihrem Führungsteam ein kontinuierliches Umsatzwachstum von mindestens 10 % CAGR mit einem Wert von 10 in einem Bereich von 1 bis 10 zuweisen, was bedeutet, dass es das wichtigste ist.
Im Gegensatz dazu können Sie die Einhaltung gesetzlicher Vorschriften als 7 schätzen. Das bedeutet nicht, dass Compliance für das Unternehmen nicht wichtig ist. Es bedeutet nur, dass die Sicherstellung der Compliance ausgezeichnet ist, aber es wird nicht die oberste Priorität sein, die Vorrang vor jeder anderen Investition hat.
Identifizieren Sie als Nächstes die Personen, Prozesse und Technologien, die an der Unterstützung jedes strategischen Ziels beteiligt sind. Bewerten Sie dann die Bedeutung jedes unterstützenden Faktors.
Um weitere Nuancen bereitzustellen, können Sie die Wahrscheinlichkeit eines bestimmten Fehlers schätzen. Stellen Sie sich beispielsweise vor, Ihr Unternehmen verfügt über einen Webserver, der eine geschäftskritische mobile App unterstützt. Die Wahrscheinlichkeit, dass dieser Server während einer Zeit der Spitzennutzung eine inakzeptabel langsame Leistung liefert, ist wahrscheinlich höher als die Wahrscheinlichkeit, dass derselbe Server einem Stromausfall erleidet, der sowohl das Haupt- als auch das Backup-Stromsystem abstürzt.
Durch Multiplikation des Rangs für den strategischen Wert des Servers (z. B. 7 von 10) mit der Wahrscheinlichkeit eines bestimmten Risikos (z. B. 50 % oder 0,5) können Sie beginnen, sowohl die Risiken einzustufen als auch diejenigen zu identifizieren, die sofortigere Maßnahmen erfordern.
Nehmen wir beispielsweise an, die Wahrscheinlichkeit, dass ein Server eine langsame Leistung liefert, beträgt 40 %, während die Wahrscheinlichkeit, dass ein Server bei einem katastrophalen Stromausfall abstürzt, nur 2 % beträgt. Wenn die Wichtigkeit des Servers eine 7 in einem Bereich von 1 bis 10 einstuft, dann wäre der Risikowert für das Szenario mit langsamer Leistung 7 mal 0,40, was 2,8 ergibt. Dann wäre der Risikowert für das Stromausfallszenario 7 mal 0,02, was 0,14 ergibt. Das Szenario mit langsamer Performance, das den höheren Risikowert (2,8 vs. 0,14) aufweist, ist offensichtlich das Risiko, das zuerst Aufmerksamkeit erfordert.
Die Bedeutung der Zusammenarbeit zur Risikomessung
Die Durchführung dieser Art von Risikobewertung erfordert viel Arbeit und Offenheit für die Annahme von Mehrdeutigkeit, Paradoxität und Unsicherheit. Sie umfasst die Sammlung detaillierter Informationen über Personen, Prozesse und Technologien im gesamten Unternehmen und die Synthese zu einem Verständnis dessen, was zu tun ist.
Realistischerweise kennt keine einzelne Person oder kein einzelnes Team alle Details und Schwachstellen, die mit allen IT-Systemen und Prozessen verbunden sind, die alle strategischen Ziele des Unternehmens unterstützen. Die IT-Abteilung muss sich um Hilfe wenden.
Mein Rat: Wenn Sie die Prozesse und Technologien einer Abteilung bewerten, bitten Sie diese Abteilung um Hilfe. Wenn Sie beispielsweise die Risiken im Zusammenhang mit den Anwendungen der Personalabteilung (HR) verstehen möchten, sprechen Sie mit jemandem in der Personalabteilung. Sie werden wahrscheinlich Dinge über ihre Anwendung wissen, die das IT-Operationsteam nicht weiß.
Wenn Sie mit Personen außerhalb der IT-Abteilung sprechen, minimieren Sie Ihre Verwendung von technischem Fachjargon. Wenn Sie mit IT-Kollegen sprechen, ist es in Ordnung, technische Sprachkenntnisse wie „Sind Ihre Kontrollen betriebsbereit?“ zu verwenden. Aber außerhalb der IT ist diese Art von Sprache wahrscheinlich verwirrend.
Wenn ich mit Nicht-IT-Mitarbeitern spreche, spreche ich stattdessen im Allgemeinen in Bezug auf die Stärkung guter Dinge und die Verhinderung schlechter Dinge. Ich frage sie auch nach dem Zweck eines Prozesses oder einer Anwendung. Ich bespreche die Ziele unseres Risikomanagementprozesses. Und ich erkläre, wie unsere Risikobewertungen ihnen helfen können, ihre Arbeit zu erledigen und ihre eigenen Abteilungsziele zu erreichen, indem sie die Erfolgssicherheit erhöhen.
Ein weiterer Ratschlag: Sagen Sie niemandem, wie er etwas tun soll, ohne ihn vorher zu fragen, wie er der Meinung ist, dass es getan werden sollte. Wenn Sie eine Lösung auferlegen, verpassen Sie möglicherweise eine kreative Alternative. Sie könnten auch feststellen, dass Menschen sich dafür balken, eine neue Richtlinie zu befolgen, die sie direkt betrifft, insbesondere wenn sie ihre Ideen nicht berücksichtigt.
Eine bessere Lösung: Bitten Sie um Rat von Geschäftsbenutzern. Dann können Sie eine Risikomanagementlösung finden, die sie wahrscheinlich unterstützen werden.
Risikomanagement ist ein Unternehmensproblem, nicht nur ein IT-Problem
Wenn Mitarbeiter außerhalb der IT erkennen, dass Sie ihnen vertrauen und dass Sie wirklich daran interessiert sind, was sie zu sagen haben, werden sie mit Ihnen offener kommunizieren. Es ist auch wahrscheinlicher, dass sie die Verantwortung für die Risikomanagementlösungen übernehmen (öffnet sich in einer neuen Registerkarte), die Sie gemeinsam eingerichtet haben.
Diese fortlaufende Zusammenarbeit ist ein Vorteil der Anwendung eines „System“-Ansatzes zum Risikomanagement durch Integration. Sie finden nicht nur die Details, die Sie benötigen, um Risiken genauer zu messen, sondern informieren auch die Stakeholder der Organisation über die Bedeutung der Risikomessung und -minderung. Und Sie können mit diesen Stakeholdern zusammenarbeiten, um Lösungen zu entwickeln, die die Risiken minimieren, die Sie beide identifiziert haben.
Die Risikomessung stellt unweigerlich einige Überraschungen auf, und einige könnten beängstigend oder Aha sein! Momente. Die Risikomessung verbessert jedoch fast immer die Kommunikation zwischen den Abteilungen. Es kann auch dem gesamten Unternehmen helfen, bessere Entscheidungen zur Reduzierung von Unsicherheiten und zum Erreichen der wichtigsten Ziele des Unternehmens zu treffen.
Sehen Sie sich den ersten Blog in dieser Serie an, Messen, was wichtig ist: Ausrichtung der Risikomessung an den Unternehmenszielen. (öffnet sich in einer neuen Registerkarte)
Erfahren Sie mehr über die Risikomanagementlösung von Tanium (wird in einer neuen Registerkarte geöffnet).
