Ownership & Entscheidung
Verantwortung ist erst dann steuerbar, wenn klar ist, wer entscheiden darf, welche Informationen dafür benötigt werden und wann eskaliert werden muss.
Steuern, unterstützen und unabhängig prüfen sind unterschiedliche Rollen
Das Three Lines Model des Institute of Internal Auditors (IIA) trennt nicht einfach drei Abteilungen. Es beschreibt Rollen im Governance-System: Management handelt und managt Risiko, spezialisierte Funktionen unterstützen und überwachen, Internal Audit liefert unabhängige Assurance.
Gibt Richtung, delegiert Verantwortung und überwacht die Zielerreichung.
Erbringt Leistungen und managt die damit verbundenen Risiken.
Bringen Expertise, Unterstützung, Monitoring und Challenge zu Risikothemen ein.
Liefert unabhängige und objektive Assurance und Beratung.
Beispiel: Eine kritische Ausnahme soll verlängert werden
Das Management verantwortet die Geschäftsentscheidung und das Risiko. Eine Security-/Risk-Funktion kann bewerten, beraten und challengen. Eine unabhängige Revision kann später prüfen, ob Governance und Risikobehandlung angemessen funktionierten. Diese Rollen sollten nicht unbemerkt ineinanderfallen.
Vertiefung: IIA – aktuelle Statements of Position / Three Lines Model.
Eine Anwendung wird von vielen betrieben – aber wer entscheidet?
Die Personalabteilung nutzt eine Anwendung täglich. Die IT betreibt Server und Zugänge. Ein externer Dienstleister wartet die Software. Nun soll eine sicherheitsrelevante Änderung umgesetzt werden, die den Arbeitsablauf verändert. Die technische Umsetzung ist klar – die Entscheidung darüber aber nicht.
Aus Beteiligung wird eindeutige Verantwortung
Worum wird entschieden: Geschäftsprozess, Anwendung, Risiko, Control, Ausnahme oder Änderung?
Die Personalabteilung kann erklären, wofür die Anwendung benötigt wird und welche Folgen Änderungen oder Ausfälle haben.
Der Owner muss nicht selbst administrieren. Er muss aber innerhalb definierter Grenzen entscheiden oder eine Eskalation auslösen können.
IT und Dienstleister setzen um. Damit übernehmen sie nicht automatisch die fachliche Risikoentscheidung.
Entscheidungsgrundlage, Beteiligte, Ergebnis, Auflagen und gegebenenfalls Reviewtermin werden dokumentiert.
Owner ist keine dekorative Spalte im Register
Darf die Rolle entscheiden?
Verantwortung ohne Befugnis erzeugt nur einen Namen auf dem Papier.
Kann die Rolle entscheiden?
Der Owner braucht verständliche Informationen über Geschäftsauswirkung, Risiko und Handlungsoptionen.
Wo endet die Befugnis?
Für Entscheidungen außerhalb des Mandats muss ein klarer Eskalationsweg bestehen.
„Owner“ ist keine universelle Rolle
Ownership bedeutet immer Verantwortung für einen bestimmten Gegenstand. Deshalb muss erkennbar sein, worüber die Rolle entscheiden oder wofür sie Rechenschaft geben soll.
Business-/Process Owner
Verantwortet fachliche Ziele, Prioritäten und Auswirkungen eines Prozesses oder einer Leistung.
Asset Owner
Verantwortet fachliche Bedeutung, Schutz- und Nutzungsanforderungen sowie notwendige Entscheidungen zum Asset – nicht automatisch dessen technische Administration.
Risk Owner
Entscheidet innerhalb seines Mandats über Behandlung oder Akzeptanz eines konkreten Risikos.
Control Owner
Verantwortet Ausgestaltung, Betrieb oder Pflege eines Controls und die dafür vorgesehenen Nachweise.
Requirement Owner
Sorgt dafür, dass eine konkrete Anforderung verstanden, zugeordnet und über ihren Lebenszyklus verfolgt wird.
Action Owner
Verantwortet die Umsetzung einer beschlossenen Maßnahme bis zum nachvollziehbaren Abschluss.
Ownership braucht Mandat, Information, Review und Eskalation
Unabhängig vom Typ muss ein Owner den Gegenstand kennen, verständliche Entscheidungsinformationen erhalten, innerhalb definierter Grenzen handeln können, relevante Änderungen oder Abweichungen verfolgen und regelmäßig prüfen, ob die Zuordnung noch passt. Reicht das Mandat nicht aus, muss ein festgelegter Eskalationsweg greifen.