Risiko/Management: Unterschied zwischen den Versionen

Aus Foxwiki
Versionsgeschichte interaktiv durchsuchen
← Zum vorherigen Versionsunterschied
VisuellWikitext
 
(46 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 5: Zeile 5:
* [[Chance]]n und [[Gefahr]]en
* [[Chance]]n und [[Gefahr]]en


; Motivation
== Risikomanagement ==
Die Motivation für ein zu etablierendes IT-Risikomanagement in nahezu allen Branchen resultiert aus der zunehmenden Digitalisierung und Automatisierung.
; [[Aufgabe (Pflicht)|Aufgabe]] von [[Unternehmen]] und [[Behörde]]n
* Im Rahmen der Digitalisierung werden neue digitale Prozesse und Verfahren zur Informationsverarbeitung eingesetzt und bisherige analoge oder teilautomatisierte Prozesse und Verfahren sukzessive ersetzt oder überholt.
* [[Funktion (Organisation)|Funktion]] in einer [[Organisationseinheit]]
* Durch den Fortschritt sowie erweiterten rechtlichen Anforderungen stellt sich die Herausforderung an die Organisationen, die Strategien zur risikoorientierten Geschäftsführung neu zu formulieren.


; Risikomanagement
; Risikomanagement ist nach der Norm [[ISO 31000]]
Organisationen sollten das Risikomanagement ganzheitlich und übergreifend verstehen lernen
Führungsaufgabe, im Rahmen derer die Risiken einer Organisation identifiziert, analysiert und später bewertet werden
* Das Risikomanagement sollte in alle wesentlichen Verantwortungsbereiche einer Organisation integriert werden
* Die Risikogebiete sollten auf der Basis der wesentlichen Verantwortungsbereiche für die Organisation spezifisch bestimmt werden
* Die größte Herausforderung des Risikomanagements ist es, zahlreiche, zum Teil hochspezifische, organisations- und abteilungsübergreifende Risikoszenarien zu bestimmen


; Ausgangssituation
; Ubergeordnete Ziele, Strategien und Politik der Organisation für das Risikomanagement festlegen
IT-Risiken sind in vielen Organisationen nicht hinreichend betrachtet und bewertet
* Festlegung von Kriterien, nach denen die Risiken eingestuft und bewertet werden
* Die Ziele und Strategien der Organisationen sind häufig nicht auf die digitalisierten und automatisierten Prozesse und Verfahren abgestimmt
* Methoden der Risikoermittlung
* Insbesondere ist die eingesetzte Informationstechnik (IT) oftmals nicht ausreichend als Teil der Wertschöpfung berücksichtigt.
* Verantwortlichkeiten bei Risikoentscheidungen,
* Daraus resultierend werden Risikolagen und Gefährdungsszenarien sowie die Schadensauswirkungen bei Zwischenfällen des IT-Betriebs unterschätzt
* Bereitstellung von Ressourcen zur Risikoabwehr,
* Die Betrachtung der Informationssicherheit und IT-Sicherheit erfolgt ausschließlich unter Kostengesichtspunkten.
* Interne und externe Kommunikation über die identifizierten Risiken (Berichterstattung)
* Eine risikoadäquate Betrachtung der Informationssicherheit und IT-Sicherheit muss zunehmend unter Einbeziehung der Schadenspotentiale überdacht werden
* Qualifikation des Personals für das Risikomanagement


; Schlussfolgerungen
; Risikomanagement ist ein fortlaufender [[Prozess]] ([[Demingkreis]]<nowiki>:„Plan-Do-Check-Act“)</nowiki>
Die Einführung und der Betrieb eines Managementsystems für die Planung, Kontrolle und Lenkung des Risikomanagements ist erforderlich
* Planung
* Organisationsspezifische Risikoszenarien entwickeln
* Umsetzung
* Relevante Geschäftsprozesse bestimmen
* Überwachung
* Maßnahmen umsetzen
* Verbesserung
* Überwachung und Überprüfung
* Kontinuierliche Verbesserung


; Risiko-Begriff
Risikomanagement soll über die gesamte Lebensdauer einer Organisation zur Anwendung kommen
[[Risiko/Begriff]]
* Eine Kultur der Risikolenkung in der Organisation entstehen lassen
 
; Norm ISO 31000
Beschreibt Grundsätze und Verfahren zum Risikomanagement
* Allgemein gültig
* Kann in allen Bereichen, in denen Risiken existieren, angewendet werden
* Ist nicht auf eine spezifische Branche beschränkt
 
; Risikofrüherkennungssystem
Das Risikomanagement ([[Risikofrüherkennungssystem]]) insbesondere der Aktiengesellschaften orientiert sich an den Anforderungen des [[Gesetz zur Kontrolle und Transparenz im Unternehmensbereich|Kontroll- und Transparenzgesetzes (KonTraG)]] und dem darauf basierenden IdW-Prüfungsstandard [[IDW PS 340|PS 340]] und dem jüngeren [[DIIR Revisionsstandard Nr. 2]] des [[Deutsches Institut für Interne Revision|Deutschen Instituts für Interne Revision]] (von 2018)
* Ziel ist es, bestandsbedrohende Risiken frühzeitig zu erkennen und nachvollziehbar zu überwachen
* Da oft gerade Kombinationseffekte mehrerer Einzelrisiken bestandsbedrohend werden, wird eine Aggregation der Einzelrisiken zur Bestimmung des Gesamtrisikoumfangs gefordert ([[Risikoaggregation]])
* Der ökonomische Mehrwert des Risikomanagements ist die Reduzierung der Wahrscheinlichkeit bestandsbedrohender Krisen durch mehr Risikotransparenz
* Die Beurteilung des Grades der finanzwirtschaftlichen Bestandsbedrohung erfolgt durch die Berechnung der Auswirkungen von Risiken auf das zukünftige [[Rating]] mittels einer sogenannten [[Ratingprognose]]
 
Als weitere Vorteile eines leistungsfähigen Risikomanagements sind eine Verbesserung der Planungssicherheit und eine Reduzierung der [[Risikokosten]] zu nennen
 
; Risikomanagement-Prozesse
{| class="wikitable options"
|-
! Prozess !! Beschreibung
|-
| Identifikation || der Risiken, Beschreibung ihrer Art, der Ursachen und Auswirkungen
|-
| Analyse || der identifizierten Risiken hinsichtlich ihrer [[Eintrittswahrscheinlichkeit]]en und möglichen Auswirkungen
|-
| Risikobewertung || durch Vergleich mit zuvor festzulegenden Kriterien der Risiko-Akzeptanz (z.&nbsp;B.&nbsp;aus Standards und Normen)
|-
| Risikobewältigung/Risikobeherrschung || durch Maßnahmen, die Gefahren und/oder Eintrittswahrscheinlichkeiten reduzieren oder die Folgen beherrschbar machen
|-
| Risikoüberwachung || mithilfe von Parametern, die Aufschluss über die aktuellen Risiken geben (Risikoindikatoren)
|-
| Risikoaufzeichnungen || zur Dokumentation aller Vorgänge, die im Zusammenhang der Risikoanalyse und -beurteilung stattfinden
|}
 
Um die Komplexität des Risikomanagement-Prozesses zu bewältigen, große Datenmengen zu analysieren und ein strategisches Risikomanagement zu implementieren, bedienen sich viele Unternehmen einer Risikomanagement-Software
* Diese ist in der Lage, die Risiken eines Unternehmens abzubilden oder zukünftige Risiken zu simulieren
 
; Methoden
* BSI-Standard 200-3
: Risikoanalyse auf der Basis von IT-Grundschutz
* Klassische Risikoanalyse
: ISO 27001, 27005, 31000
* Penetrationstest
* Differenz-Sicherheitsanalyse
 
; Integriertes Managementsysteme
Querschnittsfunktion des Risikomanagements
# https://de.wikipedia.org/wiki/Integriertes_Managementsystem
 
== Motivation ==
[[Risikomanagement/Motivation]]


== Phasen ==
== Phasen ==
; Managementkreis
; Managementkreislauf
: Analog dem Managementkreis werden die Phasen wiederholt durchlaufen und stellen somit einen Zyklus dar.
: Analog dem Managementkreis werden die Phasen wiederholt durchlaufen und stellen somit einen Zyklus dar


; Risikomanagement umfasst die Phasen  
; Risikomanagement umfasst die Phasen
* [[Risikoidentifikation]]
Aufgaben
* [[Risikoanalyse]]
* [[Risikobewertung]]/[[Risikoquantifizierung]]
* [[Risikoaggregation]]
* [[Risikosteuerung]]
* [[Risikocontrolling]]
 
; Aufgaben
{| class="wikitable sortable options"
{| class="wikitable sortable options"
|-
|-
! Aufgabe !! Beschreibung
! Aufgabe !! Beschreibung
|-
|-
| [[Risikowahrnehmung]] ||  
| [[Risikowahrnehmung]]||
|-
|-
| [[Risikoidentifikation]] ||  
| [[Risikoidentifikation]]||
|-
|-
| [[Risikoanalyse]] ||  
| [[Risikoanalyse]]||
|-
|-
| [[Risikoquantifizierung]] || Risikobeurteilung
| [[Risikobewertung]]/[[Risikoquantifizierung]] || Risikobeurteilung
|-
|-
| [[Risikoaggregation]] ||  
| [[Risikoaggregation]]||
|-
|-
| [[Risikobeurteilung]] ||  
| [[Risikobeurteilung]]||
|-
|-
| [[Risikobewertung]] ||  
| [[Risikokommunikation]]||
|-
|-
| [[Risikokommunikation]] ||  
| [[Risikobewältigung]]||
|-
|-
| [[Risikobewältigung]] ||  
| [[Risikoinformationen]]||
|-
|-
| [[Risikoinformationen]] ||
| [[Risikosteuerung]] ||
|-
| [[Risikocontrolling]] ||
|}
|}
<noinclude>


== Anhang ==
== Anhang ==
=== Siehe auch ===
=== Siehe auch ===
{{Special:PrefixIndex/Risiko}}
* [[Risiko/Arten]]
----
* [[Reifegradmodelle]]
* [[Risikoarten]]
 
* [[Balanced Scorecard]]
* [[Balanced Scorecard]]
* [[Betriebliches Kontinuitätsmanagement]]
* [[Betriebliches Kontinuitätsmanagement]]
Zeile 88: Zeile 126:
* [[Management Risk Controlling (MRC)]]
* [[Management Risk Controlling (MRC)]]
* [[Risikoanalyse und Risikomanagement bei Zollkontrollen der deutschen Zollverwaltung]]
* [[Risikoanalyse und Risikomanagement bei Zollkontrollen der deutschen Zollverwaltung]]
* [[Risikomanagement-Standard]]
----
{{Special:PrefixIndex/Risiko}}


==== Dokumentation ====
==== Dokumentation ====
Zeile 94: Zeile 133:
===== Projekt =====
===== Projekt =====
===== Weblinks =====
===== Weblinks =====
# [https://www.bitkom.org/Bitkom/Publikationen/Leitfaden-IT-Risiko-und-Chancenmanagement-fuer-kleine-und-mittlere-Unternehmen.html BITCOM: IT-Risiko- und Chancenmanagement im Unternehmen]


[[Kategorie:Risikomanagement]]
[[Kategorie:Risikomanagement]]
= TMP =
== Risikostrategie ==
[[Risikostrategie]]
== Querschnittsfunktion ==
; Integriertes Managementsystem
# https://de.wikipedia.org/wiki/Integriertes_Managementsystem
== Risikogebiete ==
{| class="wikitable"
| '''Geschäftsführung'''
Übergeordnetes Risikogebiet
* Ziele und Strategien der Organisation
* Governance und Kommunikation
* Geschäftsprozesse und Betrieb.
| '''Operationale Risikogebiete'''
* Geschäftsentwicklung
* Recht und Verträge
* Projekte und Transition
* Informationssicherheit
* IT Service Management
* Business Continuity
* Personal
* Produkte
| '''Dokumentation des Risikomanagements'''
* Handbücher
* Anweisungen
* Regelungen
* Checklisten
* Ticketerfassung
* Berichte
* Protokolle
* Formblätter
|}
== Risikoarten ==
; Ohne Steuerungsmöglichkeiten
* Politische Entscheidungen
* Gesetzliche Bestimmungen
* Gesellschafter-Beziehungen
* Besteuerung
; Mit Steuerungsmöglichkeiten
* Qualitätsziele der IT Services
* Wirtschaftlichkeit von IT Services
* Relevanz von IT-Projekten
* Beschäftigte der IT
</noinclude>
</noinclude>

Aktuelle Version vom 22. Mai 2024, 07:08 Uhr

Risikomanagement - Management von Risiken

Beschreibung

Planvoller Umgang mit Risiken

Risikomanagement

Aufgabe von Unternehmen und Behörden
Risikomanagement ist nach der Norm ISO 31000

Führungsaufgabe, im Rahmen derer die Risiken einer Organisation identifiziert, analysiert und später bewertet werden

Ubergeordnete Ziele, Strategien und Politik der Organisation für das Risikomanagement festlegen
  • Festlegung von Kriterien, nach denen die Risiken eingestuft und bewertet werden
  • Methoden der Risikoermittlung
  • Verantwortlichkeiten bei Risikoentscheidungen,
  • Bereitstellung von Ressourcen zur Risikoabwehr,
  • Interne und externe Kommunikation über die identifizierten Risiken (Berichterstattung)
  • Qualifikation des Personals für das Risikomanagement
Risikomanagement ist ein fortlaufender Prozess (Demingkreis:„Plan-Do-Check-Act“)
  • Planung
  • Umsetzung
  • Überwachung
  • Verbesserung

Risikomanagement soll über die gesamte Lebensdauer einer Organisation zur Anwendung kommen

  • Eine Kultur der Risikolenkung in der Organisation entstehen lassen
Norm ISO 31000

Beschreibt Grundsätze und Verfahren zum Risikomanagement

  • Allgemein gültig
  • Kann in allen Bereichen, in denen Risiken existieren, angewendet werden
  • Ist nicht auf eine spezifische Branche beschränkt
Risikofrüherkennungssystem

Das Risikomanagement (Risikofrüherkennungssystem) insbesondere der Aktiengesellschaften orientiert sich an den Anforderungen des Kontroll- und Transparenzgesetzes (KonTraG) und dem darauf basierenden IdW-Prüfungsstandard PS 340 und dem jüngeren DIIR Revisionsstandard Nr. 2 des Deutschen Instituts für Interne Revision (von 2018)

  • Ziel ist es, bestandsbedrohende Risiken frühzeitig zu erkennen und nachvollziehbar zu überwachen
  • Da oft gerade Kombinationseffekte mehrerer Einzelrisiken bestandsbedrohend werden, wird eine Aggregation der Einzelrisiken zur Bestimmung des Gesamtrisikoumfangs gefordert (Risikoaggregation)
  • Der ökonomische Mehrwert des Risikomanagements ist die Reduzierung der Wahrscheinlichkeit bestandsbedrohender Krisen durch mehr Risikotransparenz
  • Die Beurteilung des Grades der finanzwirtschaftlichen Bestandsbedrohung erfolgt durch die Berechnung der Auswirkungen von Risiken auf das zukünftige Rating mittels einer sogenannten Ratingprognose

Als weitere Vorteile eines leistungsfähigen Risikomanagements sind eine Verbesserung der Planungssicherheit und eine Reduzierung der Risikokosten zu nennen

Risikomanagement-Prozesse
Prozess Beschreibung
Identifikation der Risiken, Beschreibung ihrer Art, der Ursachen und Auswirkungen
Analyse der identifizierten Risiken hinsichtlich ihrer Eintrittswahrscheinlichkeiten und möglichen Auswirkungen
Risikobewertung durch Vergleich mit zuvor festzulegenden Kriterien der Risiko-Akzeptanz (z. B. aus Standards und Normen)
Risikobewältigung/Risikobeherrschung durch Maßnahmen, die Gefahren und/oder Eintrittswahrscheinlichkeiten reduzieren oder die Folgen beherrschbar machen
Risikoüberwachung mithilfe von Parametern, die Aufschluss über die aktuellen Risiken geben (Risikoindikatoren)
Risikoaufzeichnungen zur Dokumentation aller Vorgänge, die im Zusammenhang der Risikoanalyse und -beurteilung stattfinden

Um die Komplexität des Risikomanagement-Prozesses zu bewältigen, große Datenmengen zu analysieren und ein strategisches Risikomanagement zu implementieren, bedienen sich viele Unternehmen einer Risikomanagement-Software

  • Diese ist in der Lage, die Risiken eines Unternehmens abzubilden oder zukünftige Risiken zu simulieren
Methoden
  • BSI-Standard 200-3
Risikoanalyse auf der Basis von IT-Grundschutz
  • Klassische Risikoanalyse
ISO 27001, 27005, 31000
  • Penetrationstest
  • Differenz-Sicherheitsanalyse
Integriertes Managementsysteme

Querschnittsfunktion des Risikomanagements

  1. https://de.wikipedia.org/wiki/Integriertes_Managementsystem

Motivation

Risikomanagement/Motivation

Phasen

Managementkreislauf
Analog dem Managementkreis werden die Phasen wiederholt durchlaufen und stellen somit einen Zyklus dar
Risikomanagement umfasst die Phasen

Aufgaben

Aufgabe Beschreibung
Risikowahrnehmung
Risikoidentifikation
Risikoanalyse
Risikobewertung/Risikoquantifizierung Risikobeurteilung
Risikoaggregation
Risikobeurteilung
Risikokommunikation
Risikobewältigung
Risikoinformationen
Risikosteuerung
Risikocontrolling


Anhang

Siehe auch

Dokumentation

Links

Projekt
Weblinks
  1. BITCOM: IT-Risiko- und Chancenmanagement im Unternehmen
Abgerufen von „https://wiki.foxtom.de/index.php?title=Risiko/Management&oldid=100947“