Reifegrad

Reifegrad - Qualität eines Managementsystems

Reifegradmodelle

Qualität des Informationssicherheitsprozesses

Bewertung mit Reifegraden

Hierzu muss das über Jahre hinweg analysiert und bewertet werden

Maßstab

Der Maßstab für die „Reife“ des gesamten oder aber auch von Teilen hiervon ist der Grad der Strukturierung und der systematischen Steuerung des Prozesses

Ziel der Anwendung eines Reifegradmodells

• Qualität aller Teilbereiche des ISMS zu erhöhen
• Durch regelmäßige Analysen können Sie überprüfen, welche Prozesse noch unzureichend gesteuert sind

Die folgende Grafik stellt beispielhaft die erreichten Reifegrade verschiedener Themenfelder in einer Institution dar

• Wo der Reifegrad niedrig ist, besteht ein besonderer Handlungsbedarf

Reifegradmodelle können dabei unterstützen, Schwerpunkte für die Weiterentwicklung eines ISMS zu setzen

Beispiel

Beispiel für die Definition von Reifegraden

Reifegrade und ihre Merkmale

Reifegrad	Kennzeichen
0	Es existiert kein Prozess, es gibt auch keine Planungen hierzu
1	Es gibt Planungen zur Etablierung eines Prozesses, jedoch keine Umsetzungen
2	Teile des Prozesses sind umgesetzt, es fehlt jedoch an systematischer Dokumentation
3	Der Prozess ist vollständig umgesetzt und dokumentiert
4	Der Prozess wird darüber hinaus auch regelmäßig auf Effektivität überprüft
5	Zusätzlich sind Maßnahmen zur kontinuierlichen Verbesserung vorhanden

Beschreibung

„Ein Reifegradmodell beschreibt die Reife eines Betrachtungsfeldes hinsichtlich einer bestimmten Methode oder eines Handlungs- bzw. Führungsmodells.“

• Für die Erreichung eines Reifegrades müssen gewisse Anforderungen erfüllt werden sowie alle vorhergehenden Stufen erreicht sein
• Reife wird nach Rosemann und De Bruin definiert als „a measure to evaluate the capabilities of an organisation“ – ein Maß, um die Fähigkeiten einer Organisation zu bewerten

Reifegradmodelle des Risikomanagements

Reifegradmodelle des Risikomanagements dienen der Bewertung des Risikomanagementsystems im Unternehmen und ermöglichen einen Vergleich mit anderen Unternehmen (Benchmarking)

• Sie bestehen aus Reifegradstufen, Dimensionen und Bewertungsinstrumenten
• Eine Entwicklung kann top-down oder bottom-up erfolgen
• Bei top-down gibt es feste Reifegradstufen, die mit weiteren Eigenschaften präzisiert werden
• Beim bottom-up werden zuerst Eigenschaften und Bewertungselemente definiert und später in Reifegrade gruppiert
• Dafür werden zum Beispiel Kreativitätstechniken, Delphi-Methode oder Fokusgruppenbefragung verwendet

Risikomanagement ist ein Erfolgsfaktor für jedes Unternehmen

Es sollten möglichst viele Mitarbeiter integriert werden um der Unternehmensführung die Möglichkeit zu geben Risiken richtig zu erfassen, die Erträge und Risiken richtig bewerten und in die Praxis umzusetzen

• Das wird allerdings erst in der 4. Stufe erreicht
• Die Geschäftsführung muss „Oberster Risikomanager“ sein, weil sie maßgebliche Entscheidungen über den Risikoumfang trifft
• Hierbei sollten Strategien und feste organisatorische Muster und Methoden angewandt werden, um sicherzustellen, dass mögliche „bestandsbedrohende Entwicklungen“ bereits früh erkannt werden

Reifegradmodell nach Gleißner und Mott

Stufen	Titel	Beschreibung
1	Kein Risikomanagement	Unzureichendes Risikobewusstsein
2	Schadensmanagement	Existenz von Risiken ist bekannt
3	Regulatorisches Risikomanagement	„KonTraG-Risikomanagement“
4	Ökonomisches, entscheidungsorientiertes Risikomanagement	Als Risiken werden sowohl Gefahren (negative Abweichungen) als auch Chancen (positive Abw.) betrachtet
5	Integriertes wertorientiertes Risikomanagement	Der Risikomanagement-Prozess ist mit der operativen Ebene des Unternehmens eng verknüpft
6	Embedded Risikomanagement (holistisch)	Embedded Risikomanagement

Stufe 1

Kein Risikomanagement

• Leitungsebene hat ein unzureichendes Risikobewusstsein
• Kein systematisches Vorgehen im Umgang mit Risiken
• Unternehmerische Entscheidungen, als Reaktion auf Gefahren, finden nur sporadisch statt

Stufe 2

Schadensmanagement

• Existenz bestimmter Risiken ist bekannt
• Es werden bewusst Maßnahmen eingeleitet, die Gefahren verhindern sollen
• Regelungen, wie Umweltschutz und Arbeitsschutz, finden dabei auch Berücksichtigung
• Bei selteneren und größeren Risiken werden Versicherungen abgeschlossen, um Schäden zu minimieren
• Zur Gefahrenbeurteilung wird kein spezifisches Instrument eingesetzt und Risikomaßnahmenpläne werden in „Silos“ (abgeschotteten Teams) bearbeitet

Stufe 3

Regulatorisches Risikomanagement

„KonTraG-Risikomanagement“

Unternehmen besitzt ein kontinuierliches Risikomanagementsystem

• Risiken werden ständig überwacht und bewertet
• Die Gesamtheit der Risiken bilden das sog. Risikoinventar

Informationen wie Umfang, Verantwortlichkeit und Turnus werden gemäß dem KonTraG schriftlich fixiert

• Für die wichtigen Risiken werden Risikobewältigungsstrategien entwickelt, dafür werden die Risiken hinsichtlich der Schadenshöhe und Eintrittswahrscheinlichkeit quantifiziert und bewertet
• Am Ende erfolgt eine einfache Risikoaggregation

Stufe 4

Ökonomisches, entscheidungsorientiertes Risikomanagement

Als Risiken werden sowohl Gefahren (negative Abweichungen) als auch Chancen (positive Abw.) betrachtet

• Es existiert ein umfassendes, Software gestütztes Risikomanagementsystem im Unternehmen, basierend auf einem starken Risikobewusstsein der Unternehmensführung
• Durch Aggregation der Einzelrisiken wird ein Gesamtrisikoumfang berechnet
• Mittels der Monte-Carlo-Simulation können „bestandsbedrohende Entwicklungen“ nach Kombination von Einzelrisiken deutlich gemacht werden
• Ziel ist es ein flexibles und bewegliches Risikomanagement zu schaffen, welches mit der Strategieentwicklung eng verknüpft ist
• Im Idealfall soll es sich an unvorhergesehene Entwicklungen anpassen
• Risiken sollten so eingeschätzt werden, dass ein Unternehmen auch bei Marktschwankungen liquide bleibt und sein Rating beibehalten kann
• Dies kann durch Abwägen von möglichen Risiken und Erträgen mittels Kapitalmarktmodellen (z. B. CAPM) erfolgen
• Nicht nur in Hinsicht auf die Kostenreduzierung sollte das Unternehmen überlegen, ob es Unternehmensaktivitäten auslagert, sondern auch in Bezug auf die damit verbundene Risikosenkung
• Diese Risikosenkung erfolgt auch bei einer breiten Diversifikation des Portfolios und einer Verlust- und Haftungsbeschränkung

Stufe 5

Integriertes wertorientiertes Risikomanagement

Der Risikomanagement-Prozess ist mit der operativen Ebene des Unternehmens eng verknüpft

• Alle Planungen können Risiken zugeordnet werden (stochastische Planung), sodass sich daraus eine Planungssicherheit ermitteln lässt
• Daraus kann das Unternehmen den Wertbeitrag berechnen, „was eine am Unternehmenswert orientierte Optimierung der Risikobewältigung“ ermöglicht und womit strategische Züge in Bezug auf Risiken bewertet werden können
• Die Hypothese eines vollkommenen Kapitalmarktes wird verworfen und durch die realitätsnahe Betrachtung eines unvollkommenen Kapitalmarktes ersetzt
• Alle Risiken, die bewertungsrelevant sind, werden berücksichtigt („Risikodeckungssatz“)
• Zum Bewerten und zur Portfoliooptimierung werden Risikomaße, wie Eigenkapitalbedarf, Ausfallwahrscheinlichkeit und Value-at-Risk verwendet

Stufe 6

Embedded Risikomanagement

Ganzheitlich

• Die Bewertung des risikogerechten Ertragswertes oder des Risikonutzens spiegelt die Risikopräferenz des Eigentümers wider
• Bildet die Grundlage für strategische und operative Entscheidungen

Risikoanalyse

Die Risikoanalyse beinhaltet die ex ante Integration unternehmerischer Reaktionsmöglichkeiten auf die Entwicklung von Zielgrößen und exogenen Risikofaktoren

• Metarisiken, d. h. Unsicherheiten und Reaktionen von Wettbewerbern, sowie andere „Verhaltensrisiken“ und „Managementrisiken“ werden ebenfalls in die Bewertung mit einbezogen
• Das Risikomanagement ist fest in der Unternehmenskultur und im unternehmerischen Denken integriert, sodass jede Form von Management im Unternehmen als Risikomanagement angesehen wird

Anhang

Siehe auch

• Reifegrad