Stephan VossISO (Information Security Officer)stephan.voss@stephan-voss.deLinkedIn
ISMS-GRC-WEBGOVERNANCE · RISK · COMPLIANCE · ASSURANCE
GOVERNANCE-BLICK

Wer gibt die Richtung vor, wer entscheidet, wer trägt Verantwortung?

Governance ist keine Sitzung und kein Organigramm. Sie macht Mandat, Ziele, Entscheidungsrechte, Eskalation und Überwachung eindeutig.

ROTER FADEN · RENTENZAHLUNG
G
Wer darf 8 Stunden festlegen?

Das Leitungsorgan bzw. die zuständige Entscheidungsebene setzt Toleranz und Richtung; Owner übersetzen sie in Anforderungen und Maßnahmen.

Gesamten Fall ansehen →
GOVERNANCE ≠ MANAGEMENT

Richtung geben ist etwas anderes als den Betrieb organisieren

GOVERNANCE

Bewerten · Richtung geben · überwachen

Leitplanken, Prioritäten und Verantwortlichkeit festlegen; wesentliche Entscheidungen treffen und deren Wirkung überwachen.

MANAGEMENT

Planen · organisieren · umsetzen · betreiben

Vorgaben in Prozesse, Ressourcen, Maßnahmen und laufenden Betrieb übersetzen.

Rollenfolge: Vorstand/Governing Body gibt Richtung und trägt Verantwortung. Owner und Management organisieren die Umsetzung. Fachfunktionen beraten, bewerten und challengen. Interne Revision liefert unabhängige Assurance.
KULTUR

Eine Regel wirkt erst, wenn das Umfeld das gewünschte Verhalten unterstützt

REGEL→VERANTWORTUNG→ANREIZ→VERHALTEN→KULTUR

Eine Incident-Policy kann sofortige Meldung verlangen. Wenn Meldende in der Praxis für schlechte Nachrichten sanktioniert werden, fördert die Organisation trotzdem Verschweigen. Governance muss deshalb nicht nur Regeln, sondern auch tatsächliches Verhalten und dessen Ursachen betrachten.