ISO/IEC 31000: Unterschied zwischen den Versionen
K Textersetzung - „Risiko/Management“ durch „Risikomanagement“ |
|||
(5 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt) | |||
Zeile 76: | Zeile 76: | ||
==== Top-down-Ansatz ==== | ==== Top-down-Ansatz ==== | ||
[[File:risikomanagementISO31000.png|mini| | [[File:risikomanagementISO31000.png|mini|400px]] | ||
; Risikomanagement folgt dem [[Top-down und Bottom-up|Top-down]]-Ansatz | ; Risikomanagement folgt dem [[Top-down und Bottom-up|Top-down]]-Ansatz | ||
* Risiken identifiziert, analysiert und behandeln, wobei die Details nicht von vornherein im Mittelpunkt stehen | * Risiken identifiziert, analysiert und behandeln, wobei die Details nicht von vornherein im Mittelpunkt stehen | ||
Zeile 85: | Zeile 85: | ||
* Diese dienen auch dem Identifizieren von Risiken, sind jedoch eher als Bottom-up-Ansatz zu klassifizieren | * Diese dienen auch dem Identifizieren von Risiken, sind jedoch eher als Bottom-up-Ansatz zu klassifizieren | ||
==== Führungsaufgabe | ==== Führungsaufgabe ==== | ||
[[File:iso31000.png|mini| | [[File:iso31000.png|mini|250px]] | ||
; Risikomanagement ist eine umfassende Führungsaufgabe mit einem gegebenen Regelkreis | ; Risikomanagement ist eine umfassende Führungsaufgabe mit einem gegebenen Regelkreis | ||
Das Umgehen mit Risiken erfolgt iterativ und unterstützt Organisationen dabei, Strategien festzulegen, Ziele zu erreichen und fundierte Entscheidungen zu treffen. | Das Umgehen mit Risiken erfolgt iterativ und unterstützt Organisationen dabei, Strategien festzulegen, Ziele zu erreichen und fundierte Entscheidungen zu treffen. | ||
Zeile 379: | Zeile 379: | ||
== Grundschutz und ISO/IEC 31000 == | == Grundschutz und ISO/IEC 31000 == | ||
ISO/IEC 31000 belegt einige Begriffe anders als im deutschen Sprachraum | ISO/IEC 31000 belegt einige Begriffe anders als im deutschen Sprachraum | ||
[[File:iso31000-bsiProzess.png]] | |||
[[File:iso31000-bsiProzess.png|700px]] | |||
; Begriffe aus ISO/IEC 31000 und BSI-Standard 200-3 | ; Begriffe aus ISO/IEC 31000 und BSI-Standard 200-3 | ||
{| class="wikitable sortable" | {| class="wikitable sortable" |
Aktuelle Version vom 16. November 2024, 23:26 Uhr
ISO/IEC 31000 - ISO-Norm zum Risikomanagement
Beschreibung
- ISO 31000:2018 ist eine ISO-Norm, die sich mit Risikomanagement beschäftigt
- Leitlinien zum Umgang mit Risiken in Organisationen
Allgemeines
- Übersetzungen
- Englisch, Französisch und Deutsch
- ISO 31000:2018 wurde in das deutsche DIN-Normenwerk übernommen
- ISO/TC 262 „Risk Management“
- Zertifizierung
Die ISO Norm 31000 ist ausdrücklich nicht zu Zertifizierungszwecken geschaffen
Vielmehr sagt die Norm, dass
- „die ISO 31000 Empfehlungen liefert, die an die spezifischen Organisationen angepasst werden können oder müssen und keine Anforderungen vorgibt.“
In Österreich stellt ONR 49001 (Österreichische Risikomanagement-Norm) eine gesetzliche Basis zur Zertifizierung.
Anwendung
- ISO 31000 liefert allgemeine Ansätze
- Nicht industrie- oder sektorspezifisch
- Für jegliche Art von Risiken anwendbar
- Während der gesamten Lebensdauer eines Unternehmens verwendbar
- Auf allen Unternehmensebenen sowie im Prozess der Entscheidungsfindung implementierbar
- Die spezielle Anwendung dieser Leitlinien kann an jedes Unternehmen in seiner spezifischen Umgebung angepasst werden.
Ziele
- Risiken weltweit zunehmend
Organisationen aller Art und Größe
- Reputations- oder Markenschäden
- Cyberkriminalität
- politische Risiken
- Terrorismus, ...
- ISO 31000:2018
- klarere, kürzere und prägnantere Anleitung
- Risikomanagement-Prinzipien nutzen
- Planung und Umsetzung verbessern
- bessere Entscheidungen treffen
- Risikomanagementstrategie entwickeln
- Effektiv Risiken identifizieren und abschwächen
- Ziele erreichen und Vermögenswerte schützen
- ISO 31000 soll diese Wahrscheinlichkeit erhöhen
- Entwicklung einer Risikomanagementkultur
- Übergeordnetes Ziel
- Mitarbeiter und Stakeholder sollen sich der Wichtigkeit des Risikomanagements bewusst sein
- Chancen und Konsequenzen
Implementierung von ISO 31000
- Positive Chancen und negative Konsequenzen sehen
- Fundiertere und effektivere Entscheidungen bei der Zuteilung von Ressourcen treffen
- Unternehmensführung
- Ferner kann es eine aktive Komponente bei der Verbesserung der Unternehmensführung und letztlich seiner Leistung sein.
Besonderheiten
Option | Beschreibung |
---|---|
Top-down-Ansatz | |
Führungsaufgabe | |
Branchenübergreifend | |
Breit abgestütztes Konzept |
Top-down-Ansatz
- Risikomanagement folgt dem Top-down-Ansatz
- Risiken identifiziert, analysiert und behandeln, wobei die Details nicht von vornherein im Mittelpunkt stehen
- Allgemeine wichtigen Aspekte behandeln
- Bottom-up-Ansatz
- Der ISO/IEC 31000 Ansatz unterscheidet sich von den Regulatoren der Finanzbranche, wie Basel III oder Solvency II
- Diese dienen auch dem Identifizieren von Risiken, sind jedoch eher als Bottom-up-Ansatz zu klassifizieren
Führungsaufgabe
- Risikomanagement ist eine umfassende Führungsaufgabe mit einem gegebenen Regelkreis
Das Umgehen mit Risiken erfolgt iterativ und unterstützt Organisationen dabei, Strategien festzulegen, Ziele zu erreichen und fundierte Entscheidungen zu treffen.
- Das Umgehen mit Risiken ist Teil der Leitung und Führung und entscheidet darüber, wie diese Organisation auf allen Ebenen geführt wird.
- Es handelt sich um eine Verpflichtung der obersten Leitung, das Risikomanagementsystem zu implementieren.
- Dabei wird iterativ nach dem Demingkreis vorgegangen.
- Dieser lässt sich nach dem „Plan – Do – Check – Act“-Prinzip zusammenfassen.
Branchenübergreifend
- Branchenübergreifender Ansatz
Da Organisationen jeglicher Art und Größe externen und internen Faktoren und Einflüssen unterliegen, die das Erreichen ihrer Ziele ungewiss machen können, ist die ISO-Norm 31000 prinzipiell für alle Arten von Organisationen anwendbar.
- Sie lässt sich beispielhaft für Unternehmen der verarbeitenden Industrie sowie der Dienstleistungsbranche anwenden.
- Aber auch eine Implementierung für Unternehmen von öffentlichen Verwaltungen oder Nichtregierungsorganisationen ist möglich.
Funktionsübergreifend
- ISO-Norm 31000:2018 geht über das Konzept des internen Kontrollsystems hinaus und trägt vielmehr zu der Verbesserung von Managementsystemen bei.
- Das Umgehen mit Risiken ist Teil aller Aktivitäten einer Organisation und umfasst die Interaktion mit Stakeholdern.
- Zusätzlich berücksichtigt die Norm das Umgehen mit Risiken im externen und internen Kontext der Organisation einschließlich menschlichen Verhaltens und kultureller Faktoren und ist somit funktionsübergreifend.
Breit abgestütztes Konzept
- International breit abgestütztes Konzept
Die Norm besitzt ein besonderes Gewicht und internationale Aufmerksamkeit
- Entwickelt durch die ISO-Vereinigung
- mit Sitz in Genf
- Experten aus Europa, Amerika und Asien
Aufbau und Inhalte
- Umgang mit Risiken
- Begriffe
- Grundsätze
- Rahmenwerk
- Risikoprozess
Begriffsdefinition
- ISO-Norm 31000 definiert acht Begriffe aus dem Kontext des Risikomanagements
- Dabei handelt es sich lediglich um die wichtigsten Begriffe
- In der vorhergehenden Norm waren noch 29 Begriffe definiert
- womit durch die Überarbeitung eine deutliche Kürzung in diesem Bereich stattfand
Folgende Begriffe werden definiert und ggf. mit Anmerkungen versehen.
Begriff | Beschreibung | Erläuterung |
---|---|---|
Risiko | Auswirkung von Unsicherheit auf Ziele | Eine Auswirkung stellt dabei sowohl eine Abweichung in positiver oder negativer Richtung als auch in beide Richtungen dar. Üblicherweise wird Risiko anhand der Risikoursache, der potenziellen Ereignisse, ihrer Auswirkungen und ihrer Wahrscheinlichkeit dargestellt. |
Risikomanagement | Koordinierte Aktivität zur Lenkung und Steuerung einer Organisation in Bezug auf Risiken. | |
Stakeholder | Person oder Organisation, die eine Entscheidung oder Aktivität beeinflussen kann, von dieser beeinflusst werden kann oder den Eindruck haben kann, davon beeinflusst zu werden. | Alternativ kann der Begriff interessierter Kreis verwendet werden. |
Risikoquelle/Risikoursache | Element, das alleine oder gemeinsam mit anderen Faktoren potenziell zu Risiken führt. | |
Ereignis | Eintritt oder Veränderung einer bestimmten Kombination von Umständen. | Ein Ereignis kann einmal oder mehrmals eintreten und mehrere Ursachen sowie Auswirkungen haben. |
Auswirkung | Ergebnis eines Ereignisses, welches die Ziele betrifft. | Eine Auswirkung kann gewiss oder ungewiss sein und qualitativ oder quantitativ beschrieben werden. |
Wahrscheinlichkeit | Möglichkeit, dass etwas geschieht. | Eine Wahrscheinlichkeit muss nicht nach mathematischen Begriffen beschrieben werden, sondern kann auch allgemein gekennzeichnet werden. |
Steuerung | Maßnahme, die das Risiko aufrechterhält und/oder verändert. |
Begriffe
Option | Beschreibung |
---|---|
Risikoanalyse | Systematische Ermittlung und Gebrauch von Informationen, um ein Risiko zu verstehen und nach Eintrittswahrscheinlichkeit und Schadensauswirkung auf eine Organisation oder auf ein System einzuschätzen |
Risikokommunikation | Andauernder oder wiederkehrender Prozess innerhalb einer Organisation, um Informationen bezüglich des Umgangs mit Risiken mit den interessierten Kreisen auszutauschen |
Risikoszenario | Konkrete und bildhafte Darstellung eines Risikos mit Annahmen über mögliche Zusammenhänge von Ursachen und Abfolgen von Ereignissen oder Entwicklungen, die aufzeigt, wie sich Gefahren und Bedrohungen in einer Organisation oder in einem System darstellen und auswirken |
Risikoszenario | Anzunehmen ist der schlimmst mögliche, aber dennoch glaubwürdige, Fall (credible worst case (cwc))
Frage: „Welcher Schaden kann im schlimmsten Fall eintreten?“ Ein Risikoszenario ist glaubwürdig, wenn es in der menschlichen Erfahrung bereits vorgekommen ist und ein erneutes Eintreten nicht ausgeschlossen werden kann. Des Weiteren kann ein Risikoszenario für möglich gehalten und begründet werden, auch wenn das Risikoszenario noch nie eingetroffen ist |
Restrisiko | Beschreibt jenes Risiko, das nach der Umsetzung der Risikobehandlung verbleibt. Gegebenenfalls umfasst das
Restrisiko zudem nicht bewertete Risiken und bewusst eingegangene Risiken |
Risikomanagementsystem (RMS) | Beschreibt die Gesamtheit aller Maßnahmen zur Erkennung, Analyse, Bewertung, Kommunikation, Überwachung und Steuerung von Risiken und sollte angemessen sein und kontinuierlich verbessert werden. Das Risikomanagement ist zentraler Bestandteil der gängigsten ISO Normen. |
Risikomanagementhandbuch (RMH) | Dient der Dokumentation der Grundsätze eines Systems zur Erkennung und Überwachung geschäftsspezifischer Risiken einer Organisation (Dokumentation des Risikomanagementsystems)
Risikofrüherkennung und Handhabung von Risiken
Das RMH erfüllt im Hinblick auf die Einhaltung des Gesetzes zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) folgende Funktionen
|
Grundsätze
- Die ISO-Norm 31000 legt Grundsätze fest, die helfen sollen, den Zweck des Risikomanagements (Werte zu schaffen und zu bewahren) zu erreichen.
- Dabei sollen die Grundsätze eine Grundlage dafür bilden, wie mit Risiken umzugehen ist, und sollten deshalb bei der Entwicklung des Rahmenwerkes und der Prozesse eines Risikomanagementsystems berücksichtigt werden.
- Unter Beachtung der Grundsätze sollte ein effektives Risikomanagement somit integriert, strukturiert, umfassend, maßgeschneidert, einbeziehend und dynamisch sein.
- Zusätzlich sollten die besten verfügbaren Informationen verwendet und menschliche sowie kulturelle Faktoren berücksichtigt werden und eine fortlaufende Verbesserung des Risikomanagements stattfinden.
Rahmenwerk
- Wirksamkeit des Risikomanagements
Die Wirksamkeit des Risikomanagements hängt davon ab, wie erfolgreich es in die internen Aktivitäten einer Organisation, vor allem von der Organisationsleitung, implementiert wird.
- Das Risikomanagement-Rahmenwerk fördert die Integration des Risikomanagements in die bedeutenden Funktionen und Prozesse der Organisation.
- In einem Rahmenwerk werden auch die existierenden Risikomanagementverfahren und -prozesse samt bestehender Lücken erfasst, behandelt und bewertet.
Komponenten des Risikomanagements
Komponente | |
---|---|
1 | Integration |
2 | Gestaltung |
3 | Implementierung |
4 | Bewertung |
5 | Verbesserung |
Implementierung
- Komponenten an die Bedürfnisse der Organisation angepassen
Die Aufgaben der Organisationsführung und der internen Aufsichtsorgane sind die Integration des Risikomanagements in die Organisationsaktivitäten sowie der Nachweis einer erfolgreichen Implementierung.
- Dies umfasst die Anpassung der Komponenten des Rahmenwerks an die Bedürfnisse der Organisation, die Festlegung eines Plans, der alle erforderlichen Ressourcen umfasst, und das Zuweisen der Aufgaben auf allen Ebenen der Organisation.
- Die Unternehmensleitung ist im Prinzip für die Festlegung der allgemeinen Strategie zum Umgehen mit Risiken verantwortlich, während sich die Aufsichtsorgane mehr mit der Überwachung des Risikomanagements beschäftigen.
Integration
- Integration des Risikomanagements
- Verständnis der internen Organisation
- Wichtige Voraussetzung für die erfolgreiche Integration des Risikomanagements
- Die Teile der Organisationsstruktur des Unternehmens unterscheiden sich nach Zwecken, Zielen und Komplexität.
- Mit Risiko wird aber in jedem Teil umgegangen.
- Die Unternehmensleitung legt die allgemeine Strategie zum Umgang mit Risiken, den einzelnen Leitlinien sowie der Rechenschafts- und Aufsichtspflicht fest.
- Die Integration des Risikomanagements ist ein dynamischer Prozess, der an die Ziele und Abläufe des Unternehmens ständig angepasst werden muss.
Gestaltung
- Interne und externe unternehmensspezifische Faktoren
- Bei der Gestaltung des Rahmenwerkes müssen sowohl interne als auch externe unternehmensspezifische Faktoren berücksichtigt werden.
Externe Faktoren
- Externe Faktoren
- sozialen
- rechtlichen
- finanziellen
- wirtschaftlichen Auseinandersetzungen auf lokaler, nationaler und internationaler Ebene, die die Ziele der Organisation beeinflussen.
- Schlüsselfaktoren und Trends
- Zusätzlich müssen externe Schlüsselfaktoren und Trends berücksichtigt werden.
- Auch die Beziehungen zu externen Personen, vertragliche Verpflichtungen, die Komplexität der Netzwerke und Abhängigkeiten der Organisation sind zu den externen Faktoren zu zählen.
Interne Faktoren
- Interne Faktoren
- Vision
- Mission
- Werte
- Kultur der Organisation
- interne Struktur
- Ebenfalls relevante interne Faktoren
- Verteilung der Leitungs- und Aufsichtsfunktionen
- Übernommenen und angewandten Normen
- Leitlinien und Modelle
- Verfügbare Ressourcen und Kapital (auch Humankapital)
- Zusätzlich
- Informations- und Datensysteme
- Beziehungen zu internen Stakeholdern
- Realisation der vertraglichen Beziehungen und Verpflichtungen
Langfristiges Risikomanagement
- Organisationsleitung bzw. die Aufsichtsorgane müssen sich zu einem langfristigen Risikomanagement verpflichten
- Klar definierte Ziele
- Bedürfnisse
- Rechenschaftspflichten
- notwendige Ressourcen
- Vorgehensweisen sowie Maßnahmen zur Überprüfung und
- weitere Verbesserungen des Risikomanagementsystems im Unternehmen
- Schriftlich verfassen und innerhalb der Organisation sowie mit den externen Unternehmenseignern kommunizieren
Rollen
- Rollen bezüglich des Risikomanagements klar verteilen und kommunizieren
- auf allen Ebenen der Organisation
- zu verantwortlichen Beschäftigten
Ressourcen
- Benötigten Ressourcen müssen sichergestellt und zugeteilt werden
Auch auf oberster Ebene (unter Berücksichtigung der Ressourcenknappheit)
- Fähigkeiten
- Kompetenzen
- Prozesse
- Methoden
- Werkzeuge
Wirksamkeit
- Wirksamkeit des Risikomanagementsystems sicherstellen
- Kommunikations- und Konsultationswege einrichten
- Allgemeinen Informationen
- Konkreten Aufgaben
- Feedback und Erwartungen der Stakeholder
- Auf allen Ebenen der Organisation effizient und rechtzeitig zum Austausch bringen
- Anpassen, mitgestalten und verbessern
- Informationen, die innerhalb der Organisation effizient mitgeteilt, sortiert, verdichtet und analysiert werden, tragen dazu bei, dass alle Aktivitäten aneinander angepasst, mitgestaltet und verbessert werden können.
Implementierung
Die Implementierung des Risikomanagement-Rahmenwerks muss mit der Erarbeitung eines geeigneten Plans mit konkreten Maßnahmen und unter Berücksichtigung der notwendigen Ressourcen anfangen.
- Die wichtigsten Entscheidungen müssen festlegen, wann, wo, wie und von wem die anzuwendenden Prozesse geändert werden müssen.
Für die erfolgreiche Implementierung ist das Engagement der Stakeholder notwendig, damit das Auftreten von Unsicherheiten bei dem Entscheidungstreffen angesprochen werden kann.
Das richtig geplante und implementierte Risikomanagement-Rahmenwerk stellt sicher, dass der Risikomanagementprozess zum Teil der Aktivitäten der gesamten Organisation wird und an die Änderungen des internen und externen Kontext angepasst werden kann.
Bewertung
Um das Risikomanagement-Rahmenwerk möglichst nah an die Tätigkeiten und die internen und externen Faktoren der Organisation anzupassen, muss dessen Wirksamkeit regelmäßig bewertet werden.
- Die angebrachten Leistungen sind mit den geplanten Zwecken und Implementierungsplänen zu vergleichen, um danach zu ermitteln, ob das Rahmenwerk weiterhin zur Realisation der Organisationsziele geeignet ist oder ob eine Überarbeitung unter Berücksichtigung der veränderten Bedingungen stattfinden muss.
Verbesserung
Das Risikomanagement-Rahmenwerk muss fortlaufend überwacht und seine Eignung, Angemessenheit und Wirksamkeit an die externen und internen Veränderungen angepasst werden.
- Wenn wesentliche Lücken oder Verbesserungsmöglichkeiten bestehen, muss die Organisation zwecks Verbesserung neue konkrete Pläne und Aufgaben ausarbeiten sowie die für dessen Implementierung zuständigen Personen bestimmen.
- Nach der Verbesserung und Optimierung des Risikomanagementsystems muss dieses besser an die Bedürfnisse der Organisation angepasst werden und zur Risikobewältigung beitragen.
Risikomanagementprozess
Definition
Unter dem Risikomanagementprozess versteht man sowohl die systematische Anwendung von Grundsätzen, Verfahren und Prozessen auf die Aktivitäten der Kommunikation und Konsultation als auch das Einrichten des Kontextes sowie das Beurteilen, Behandeln, Überwachen, Überprüfen, Aufzeichnen und Berichten.
Kommunikation und Konsultation
- Förderung des Risikobewusstseins
Während die Kommunikation der Förderung der Stakeholder bezüglich ihres Risikobewusstseins dient, erhalten Stakeholder durch Konsultation Informationen zur Unterstützung der Entscheidungsfindung.
- Durch Kommunikation und Konsultation lassen sich u. a. interdisziplinäre Fachkenntnisse in jedem Schritt des Risikomanagementprozesses vereinen sowie die unterschiedlichen Perspektiven bei der Definition der Risikokriterien und Bewertung der Risiken berücksichtigen.
Anwendungsbereich, Kontext und Kriterien
- Der Anwendungsbereich der Risikomanagementaktivitäten lässt sich durch die Organisation festlegen.
- Dabei spielen relevante Ziele und Anpassungen an die Ziele der Organisation eine wichtige Rolle, denn der Risikomanagementprozess ist auf unterschiedlichen Ebenen anzuwenden.
- Dementsprechend sind externe und interne Kontexte des Umfelds bei der Festlegung der Ziele zu berücksichtigen.
- Organisationen ist das Verstehen der beiden Kontexte und deren Verknüpfung mit ihrem Risikomanagementprozess wichtig, da der Zweck und Anwendungsbereich des Risikomanagementprozesses mit den Gesamtzielen der Organisation verbunden sein kann.
- Die Festlegung von Risikokriterien sollte auf das Risikomanagement-Rahmenwerk abgestimmt und an den jeweiligen Zweck und Anwendungsbereich der Aktivitäten angepasst werden.
- Außerdem sollten die Risikokriterien die Werte, Ziele und Ressourcen der Organisation wiedergeben, da sie unter der Verpflichtung der Organisation sowie der Sichtweisen der Stakeholder festzulegen sind.
Risikobeurteilung
- Die Risikobeurteilung umfasst den systematischen, iterativen und kollaborativen Prozess der Risikoidentifikation, Risikoanalyse und Risikobewertung unter Verwendung der Kenntnisse und Ansichten der Stakeholder.
- Die Risikoidentifizierung dient der Organisation dazu, eine möglichst vollständige Übersicht möglicher Risiken zur Verfügung stellen zu können.
- Jedes Risiko wird, abhängig vom jeweiligen Bereich, einem Risikoverantwortlichen zugeteilt.
- Die Identifizierung von Risiken geschieht in allen Bereichen und Prozessen einer Organisation.
- Bei der Risikoidentifizierung werden sowohl interne als auch externe Datenquellen verwendet.
- Dadurch, dass die Risikoanalyse eine ausführliche Betrachtung von Unsicherheiten, Risikoursachen, Auswirkungen, Wahrscheinlichkeit, Ereignissen, Szenarien, Steuerungen und deren Wirksamkeit durchführt, umfasst sie die Bestimmung der Art des Risikos, dessen Eigenschaften und ggf. die Risikohöhe.
- Die Risikoanalyse liefert einen Beitrag für die Risikobewertung und für Entscheidungen darüber, ob und wie Risiken zu behandeln sind.
- Die Risikobewertung ermöglicht eine Gewichtung der identifizierten Risiken und damit eine risikoorientierte Vorgehensweise: Bestandsgefährdende Risiken verlangen andere Steuerungsmaßnahmen als unwesentliche Risiken.
- Im Rahmen der Bewertung werden alle identifizierten Risiken analysiert und ihre Eintrittswahrscheinlichkeit sowie ihr Schadensausmaß bewertet.
Risikosteuerung
Die Risikomitigation bzw. Risikosteuerung ergreift Maßnahmen, um die potentielle Schadenshöhe und/oder Eintrittswahrscheinlichkeit der Risiken zu reduzieren.
- Optionen zur Risikobehandlung bestehen aus
Risikobehandlung | Beschreibung | |
---|---|---|
A | Vermeidung | Ausstieg aus Aktivitäten, wenn Steuerungsmaßnahmen nicht kosteneffizient sind und/oder Nutzen in ungünstigem Verhältnis zum Risiko steht |
B | Verminderung | Frühzeitige Entwicklung und Ergreifung von Maßnahmen zur Reduktion der Eintrittswahrscheinlichkeit und/oder des Schadensausmaßes |
C | Transfer | Übertragung der Risikosteuerung und/oder der finanziellen Auswirkung des Risikos auf Dritte |
D | Akzeptanz | Bewusstes Eingehen von Risiken |
Risikoüberwachung
Durch eine regelmäßige Überwachung der Steuerungsmaßnahmen in allen Phasen des Prozesses wird die Wirksamkeit des Risiko-Managementsystems sichergestellt.
- Mithilfe risikospezifischer Frühwarnindikatoren können Risiken rechtzeitig Maßnahmen gegenübergestellt werden.
Risikoberichterstattung
- Berichterstattung stellt sicher, dass relevante Risikoinformationen rechtzeitig an den richtigen Adressaten geleitet werden
- Dies können interne oder externe Berichtsempfänger sein
- Formen der Berichterstattung
Berichte | Beschreibung |
---|---|
Basis-Berichterstattung | Einheitlicher Bericht, mit eingeschränkten Möglichkeiten zur Auswertung der Daten |
Adressatengerechte Berichterstattung | hierarchieabhängige Berichterstattung mit Unterscheidung zwischen Vorstandsbericht und Bereichsreports |
Integrierte Berichterstattung | individualisierte Berichte und mögliche quantitative Auswertung |
Grundschutz und ISO/IEC 31000
ISO/IEC 31000 belegt einige Begriffe anders als im deutschen Sprachraum
- Begriffe aus ISO/IEC 31000 und BSI-Standard 200-3
ISO/IEC 31000:2009 | IT-Grundschutz |
---|---|
Establishing the Context Kapitel 5.3 |
BSI-Standard 200-1 Managementprinzipien, Kapitel 4 Planung des Sicherheitsprozesses, Kapitel 7.1 BSI-Standard 200-2 |
Risk Assessment Kapitel 5.4
|
BSI-Standard 200-3 Risikobeurteilung, Kapitel 1
|
Risk Identification Kapitel 5.4.2 |
BSI-Standard 200-3 Erstellung einer Gefährdungsübersicht, Kapitel 4 |
Risk Analysis Kapitel 5.4.3 |
BSI-Standard 200-3 Risikoeinschätzung, Kapitel 5.1 |
Risk Evaluation Kapitel 5.4.4 |
BSI-Standard 200-3 Risikobewertung, Kapitel 5.2 |
Risk Treatment Kapitel 5.5 |
BSI-Standard 200-3 Risikobehandlung, Kapitel 6 |
Communication and Consultation Kapitel 5.2 |
BSI-Standard 200-1 Kommunikation und Wissen, Kapitel 4.2 BSI-Standard 200-2 |
Monitoring and Review Kapitel 5.6 |
BSI-Standard 200-1 Aufrechterhaltung der Informationssicherheit, Kapitel 7.4 Kontinuierliche Verbesserung der Informationssicherheit, Kapitel 7.5 BSI-Standard 200-2 Aufrechterhaltung und kontinuierliche Verbesserung der Informationssicherheit, Kapitel 10 BSI-Standard 200-3 Risiken unter Beobachtung, Kapitel 6.2 |
Anhang
Versionen
Jahr | Beschreibung |
---|---|
2009 | 1. Ausgabe |
2018 | 2. Ausgabe |
Unterschiede zu ISO 31000:2009
- Alle ISO-Standards werden alle fünf Jahre überprüft und bei Bedarf überarbeitet
- Dies hilft dabei, die Relevanz für den Markt sicherzustellen.
- Die Risikomanagement-Praktiken von gestern reichen nicht mehr aus, um mit den heutigen Bedrohungen umzugehen, weshalb sich diese weiterentwickeln müssen.
- Ein Beispiel dafür ist die erhöhte Komplexität von Wirtschaftssystemen und aufkommende Risikofaktoren, wie die digitale Währung.
- Beide können neue und verschiedene Arten von Risiken für eine Organisation darstellen.
- Eine Überarbeitung zu ISO 31000 wurde Anfang 2018 veröffentlicht und ersetzt die erste Ausgabe (ISO 31000:2009)
- Die ISO 31000:2018 bietet mehr strategische Leitlinien und legt mehr Gewicht auf die Einbeziehung des Senior Managements und die Integration des Risikomanagements in die Organisation.
- Das übergeordnete Ziel ist die Entwicklung einer Risikomanagementkultur, in der sich Mitarbeiter und Stakeholder bewusst sind, wie wichtig es ist, Risiken zu überwachen und zu steuern.
- Der daraus resultierende Standard ist nicht nur eine neue Version von ISO 31000.
- Er geht über eine einfache Überarbeitung hinaus, denn es geht um die Art und Weise, wie morgen mit Risiken umgegangen wird.
- Die wichtigsten Änderungen im Vergleich zur letzten Ausgabe sind Folgende
„Überprüfung der Grundsätze des Risikomanagements, welche die wichtigsten Kriterien für dessen Erfolg sind.“
Der überarbeitete Standard empfiehlt nun, dass das Risikomanagement Teil der Organisationsstruktur, Prozesse, Ziele, Strategie und Aktivitäten sein sollte.
- Es konzentriert sich mehr auf die Schaffung von Werten als Schlüsseltreiber des Risikomanagements und andere verwandte Prinzipien, wie kontinuierliche Verbesserung, der Einbezug von Stakeholdern, Anpassung an die Organisation und Berücksichtigung von Mensch und kulturellen Faktoren.
„Hervorhebung der Führung durch die oberste Leitung und der Integration des Risikomanagements, beginnend mit der Leitung der Organisation.“
Dies schließt die Empfehlung ein, eine Politik zu entwickeln, die ein Engagement für Risikomanagement unterstützt.
- Dabei geht es um die Zuweisung von Autorität, Verantwortung und Rechenschaftspflicht auf den entsprechenden Ebenen innerhalb der Organisation und die Sicherstellung, dass die notwendigen Ressourcen für das Risikomanagement bereitgestellt werden.
„Stärkere Betonung des iterativen Charakters des Risikomanagements.“
Dabei wird darauf hingewiesen, dass neue Erfahrungen, Kenntnisse und Analysen in jeder Phase des Prozesses zu einer Überarbeitung der Prozesselemente, Aktionen und Steuerungen führen können.
„Straffung des Inhalts mit stärkerem Fokus auf die Aufrechterhaltung eines offenen Systemmodells, das mehreren Bedürfnissen und Kontexten gerecht wird.“
Das Hauptziel besteht darin, die Dinge klarer und einfacher zu machen, wobei eine einfache Sprache verwendet wird, um die Grundlagen des Risikomanagements in einer Weise zu definieren, die der Leser leichter nachvollziehen kann.
Siehe auch
Links
Weblinks
- https://de.wikipedia.org/wiki/ISO_31000
- https://en.wikipedia.org/wiki/List_of_ISO_standards_30000%E2%80%9399999