GRC wird erst durch Entscheidungen wirksam
Risiken und Anforderungen werden nicht verwaltet, damit Register vollständig sind, sondern damit verantwortete Entscheidungen möglich werden.
Das Management legt fest, wie lange der Auszahlungslauf unterbrochen sein darf und welche Wiederherstellungsfähigkeit dafür erforderlich ist.
Gesamten Fall ansehen →Was eine belastbare Entscheidung enthalten sollte
Worüber wird entschieden?
Welches Ziel (Objective) ist betroffen?
Welche realistischen Handlungsoptionen bestehen?
Welche Auswirkungen und Grenzen sind relevant?
Wer darf entscheiden und wo liegt die Eskalationsgrenze?
Welche Option wurde gewählt und warum?
Was muss umgesetzt und wann erneut bewertet werden?
Entscheidung, Risikoakzeptanz, Ausnahme und Maßnahme sind nicht dasselbe
Entscheidung
Wählt verantwortet zwischen Handlungsoptionen und dokumentiert Begründung, Mandat, Auflagen und Review.
Risikoakzeptanz
Ist eine konkrete Entscheidung, ein verbleibendes Risiko innerhalb des vorhandenen Mandats bewusst zu tragen.
Ausnahme
Erlaubt zeitlich oder sachlich begrenzt eine Abweichung von einer geltenden internen Vorgabe und benötigt eigene Bedingungen und Ablaufdatum.
Maßnahme
Ist die aus einer Entscheidung abgeleitete Aktivität. Sie ersetzt weder die Entscheidung noch deren Begründung.