Risikomanagement

Spiel mit dem Feuer

von Matthias Wübbeling

Risiken bestehen immer. Die Frage ist, wie geht ein Unternehmen damit um. Auch in der IT sollte die Gefahr durch Angriffe oder Ausfälle so gering wie möglich gehalten werden, ohne den wirtschaftlichen Rahmen aus den Augen zu verlieren. Einen Ansatz hierfür bietet der IT-Grundschutz des BSI. Wir werfen in unserem Security-Tipp einen Blick auf die Frage, wie sich IT-Risiken überhaupt definieren und bestimmen lassen.

Aus IT-Administrator 02/2017

Die Zusammenarbeit und der Datenaustausch stehen im Mittelpunkt der Februar-Ausgabe des IT-Administrator. Darin betrachten wir die Teamarbeit mit Office 365 und ... (mehr)

"Es wäre wenig in der Welt unternommen worden, wenn man immer nur auf den Ausgang gesehen hätte" (Gotthold Ephraim Lessing, 1755). Obwohl dieses Zitat heute vermutlich ebenso valide ist wie vor über 200 Jahren, gibt es im heutigen Geschäftsalltag zum Glück einen etwas anderen Umgang mit Risiken. Risikomanagement und die damit verbundene Risikoanalyse sind zwar kostenintensiv, aber eigentlich obligatorisch beim Betrieb von IT-Systemen. Frameworks wie das Risk-Appetite-Framework aus dem Finanzsektor oder Standards des IT-Grundschutzes vom Bundesamt für Sicherheit in der Informationstechnik (BSI) unterstützen Management und Administration bei den notwendigen Schritten zur Einführung und Aktualisierung.

Risikomanagement als Führungsaufgabe

Risikomanagement ist eine Führungsaufgabe. Dabei geht es um die Definition der Risikostrategie für das Unternehmen und die Notwendigkeit, diese mit der Geschäftsstrategie in Einklang zu bringen. Abhängig von den Kosten für mögliche Schadensereignisse müssen Rücklagen gebildet, Redundanz aufgebaut oder entsprechende Versicherungen abgeschlossen werden. Darüber hinaus müssen die Prozesse und Verantwortlichkeiten festgelegt werden. Die initiale Risikoanalyse sollte nicht zu optimistisch sein. Im Unternehmen muss sich ein konstruktiver Umgang mit Risiko etablieren, der nicht nur das klassische Risiko von der Checkliste, sondern auch individuelle Risiken berücksichtigt. In großen Unternehmen ist es ratsam, die Innenrevision auch bei der Risikoanalyse umfassend einzubeziehen, in kleineren Unternehmen sollte eine überschaubare Arbeitsgruppe für Revisionsaufgaben zuständig sein.

Geht es um die Risikostrategie eines Unternehmens, muss auf oberster Leitungsebene eine Richtung im Umgang mit Risiken vorgegeben werden. Die Einbindung unterschiedlicher Organisationseinheiten bis hin zur Ebene der Abteilungsleiter sollte eindeutig

...

Der komplette Artikel ist nur für Abonnenten des ADMIN Archiv-Abos verfügbar.