Risikoregister
Ein Risk Register ist kein Ablageort für rote, gelbe und grüne Zeilen. Es hält konkrete Unsicherheit so fest, dass Owner entscheiden, Maßnahmen verfolgen und Veränderungen erkennen können.
Der Dienstleister fällt immer wieder aus – ist das schon ein Risiko?
Ein externer Dienstleister stellt eine Anwendung bereit, die für einen täglichen Geschäftsprozess benötigt wird. In den letzten Monaten gab es mehrere kurze Störungen. Bisher wurden sie technisch behoben. Niemand hat jedoch festgehalten, was ein längerer Ausfall für das Unternehmen bedeuten würde.
So entsteht aus dem Beispiel ein belastbarer Risikoeintrag
„Der Dienstleister ist für einen längeren Zeitraum nicht verfügbar, sodass der Geschäftsprozess nicht rechtzeitig durchgeführt werden kann.“ Ursache, Ereignis und Geschäftsauswirkung gehören zusammen.
Geschäftsprozess, Anwendung, Dienstleister und weitere Abhängigkeiten werden referenziert. So bleibt erkennbar, warum das Risiko relevant ist.
Wahrscheinlichkeit und Auswirkung werden nach der festgelegten Methode beurteilt – nicht nach Bauchgefühl oder allein anhand einer technischen Kennzahl.
Der Risk Owner entscheidet, ob das Risiko vermieden, reduziert, übertragen oder innerhalb seines Mandats akzeptiert wird.
Maßnahmen, Restrisiko, Reviewdatum und aussagekräftige Indikatoren zeigen, ob sich die Lage verändert.
Eine Feststellung ist noch kein vollständiges Risikoszenario
Was wurde festgestellt?
Beispiel: Der Dienstleister hat die vereinbarte Wiederherstellungszeit mehrfach überschritten.
Was könnte daraus folgen?
Ein längerer Ausfall verhindert einen zeitkritischen Geschäftsprozess und verursacht geschäftliche Auswirkungen.
Was tun wir damit?
Maßnahmen, Akzeptanz, Eskalation oder alternative Leistungserbringung werden bewusst entschieden.