Framework / Methode / Risk Management

methodV2.9

METHODE

Risk Management

Risikomanagement schafft einen nachvollziehbaren Weg von einer möglichen Gefährdung zu einer bewussten Entscheidung.

VERSTEHEN

Worum geht es?

Nicht jedes Risiko muss verhindert werden. Entscheidend ist, Risiken systematisch zu erkennen, ihre Bedeutung einzuordnen und bewusst über den Umgang mit ihnen zu entscheiden.

Erkennen

Was kann passieren und was könnte beeinträchtigt werden?

Bewerten

Wie relevant ist das Risiko für Ziele und Schutzobjekte?

Entscheiden

Wie gehen wir damit um und wer trägt die Verantwortung?

VISUALISIEREN

Wie aus Unsicherheit eine nachvollziehbare Risikoentscheidung wird

Bewertung ist kein Endpunkt. Behandlung, Restrisiko und Überwachung führen bei Veränderungen wieder in den Prozess zurück.

RISIKEN STEUERN

01Ziel & GegenstandZiel und Erwartung festlegen

02Kontext & SzenarioUmfeld und Annahmen bestimmen

03Risiken erkennenUrsachen und Abhängigkeiten erfassen

04Risiken analysierenEintritt und Folgen einschätzen

05Risiken bewertenAuswirkung auf Geschäft bewerten

06BehandlungUmgang mit Risiko entscheiden

07Maßnahmen umsetzenMaßnahmen verbindlich umsetzen

08RestrisikoVerbleibendes Risiko bewerten

09Neu bewertenBei Änderungen neu bewerten

Die Schritte greifen ineinander. Erkenntnisse und Veränderungen führen zurück in den Kreislauf.

BEISPIEL AUS DEM ALLTAG

Ein wichtiger externer Fachservice könnte für zwei Tage ausfallen

01 Ziel & Gegenstand

Zuerst klären, welche Geschäftsleistung vom Dienst abhängt und welches Ziel trotz Störung erreicht werden muss.

02 Kontext & Szenario

Ein konkretes Szenario beschreiben: Der externe Service ist zwei Arbeitstage nicht verfügbar.

03 Risiken identifizieren

Ermitteln, welche Ursachen, Abhängigkeiten und bereits vorhandenen Schutzmaßnahmen für dieses Szenario relevant sind.

04 Risiken analysieren

Untersuchen, wie wahrscheinlich beziehungsweise realistisch das Szenario ist und welche Folgen tatsächlich entstehen könnten.

05 Risiken bewerten

Auswirkungen auf Geschäft, Kunden, Daten und abhängige Leistungen nachvollziehbar bewerten.

06 Behandlung entscheiden

Entscheiden, ob das Risiko vermieden, reduziert, übertragen oder bewusst akzeptiert werden soll.

07 Maßnahmen umsetzen

Beschlossene Maßnahmen – etwa Ersatzverfahren oder technische Vorsorge – verantwortlich umsetzen.

08 verbleibendes Risiko beurteilen

Danach beurteilen, welches Risiko trotz der Maßnahmen verbleibt und ob es verantwortbar ist.

09 Neu bewerten

Bei wesentlichen Änderungen oder neuen Erkenntnissen das Szenario erneut bewerten.

Wichtig: Eine Risikobewertung allein steuert noch nichts. Erst Entscheidung, Behandlung, verbleibendes Risiko und erneute Bewertung schließen den Regelkreis.

ANWENDEN

Die Methode in neun Schritten

01 · Ziel und Betrachtungsgegenstand festlegenKlären, worüber eine Risikoentscheidung getroffen werden soll.

02 · Kontext und Szenario bestimmenGeschäftsziel, Abhängigkeiten, Schutzbedarf und Rahmenbedingungen einordnen.

03 · Risiken identifizierenMögliche Ereignisse und Beeinträchtigungen beschreiben.

04 · Risiken analysierenUrsachen, Auswirkungen, Eintrittsmöglichkeiten und bestehende Kontrollen betrachten.

05 · Risiken bewertenAnhand definierter Kriterien priorisieren.

06 · Behandlung entscheidenVermeiden, reduzieren, teilen oder akzeptieren.

07 · Maßnahmen umsetzenVerantwortung, Termin und Zielzustand festlegen.

08 · Restrisiko beurteilenVerbleibendes Risiko bewusst bewerten und entscheiden.

09 · Überwachen und neu bewertenVeränderungen, Kontrollergebnisse und neue Erkenntnisse einbeziehen.

FÄHIGKEITEN

Welche Fähigkeiten müssen zusammenspielen?

CAPABILITYRisiko- & ResilienzmanagementRisiken verstehen und kritische Leistungen auch unter Störung steuerbar halten.→CAPABILITYGovernance & SicherheitssteuerungRichtung, Verantwortung, Entscheidungen und Aufsicht wirksam verbinden.→CAPABILITYTransparenz, Nachweis & VerbesserungWirksamkeit durch Evidenz, Prüfung, Kennzahlen und Verbesserung sichtbar machen.→CAPABILITYReagieren & WiederherstellenIncidents kontrolliert behandeln und Leistungen wiederherstellen.→

VERNETZEN

Im Framework vertiefen

SchutzobjekteIm Framework weiterarbeiten→SchutzbedarfIm Framework weiterarbeiten→AssessmentsIm Framework weiterarbeiten→KontrollenIm Framework weiterarbeiten→Risiko und EntscheidungIm Framework weiterarbeiten→ICT Asset ManagementIm Framework weiterarbeiten→

MERKSATZ

Bewerten allein reicht nicht.

Erst Entscheidung, Behandlung, Verantwortung und Überwachung machen aus einer Risikoanalyse ein Instrument der Steuerung.