Risikokartierung: Methodik und Tools für den Mittelstand
Was eine Risikokartierung liefert und warum mehrere Regelwerke sie fordern
Eine Risikokartierung ist die strukturierte Darstellung der Risiken, denen eine Organisation ausgesetzt ist, ihre Bewertung und die aus dieser Bewertung abgeleitete Priorisierung von Maßnahmen. Das Ziel ist nicht die Vollständigkeit um ihrer selbst willen, sondern die Grundlage für Entscheidungen: Welche Risiken sind blokierend, welche Maßnahmen sind verhältnismäßig, welcher Verantwortliche ist benannt. Mehrere Regelwerke fordern eine Risikokartierung ausdrücklich: das französische Gesetz Sapin II für Korruptionsrisiken, die ISO/IEC 27001 für Informationssicherheitsrisiken, NIS2 für Cybersicherheitsrisiken kritischer Infrastrukturen und ISO 31000 als allgemeiner Rahmen. Für den Mittelstand ist die Risikokartierung besonders relevant, weil Ressourcen begrenzt sind und eine Priorisierung unausweichlich ist. Optivalue.ai begleitet Organisationen bei der Strukturierung einer quellenbasierten, geprüften Kartierung, die mehrere Regelwerke gleichzeitig bedient. Eine Risikokartierung für Hochrisiko-KI-Systeme nach KI-Verordnung ist ein Teilbereich dieser allgemeinen Methodik.
Risiken identifizieren und erfassen: Quellen und Methodik
Die Identifikation von Risiken beginnt mit der Festlegung des Perimeters: Welche Aktivitäten, Prozesse, Einheiten und Gegenparteien sind einzubeziehen. Quellen für die Risikoidentifikation sind interne Prozessanalysen, Interviews mit Funktionsleitern, Analyse früherer Vorfälle, externe Quellen wie Branchenberichte und regulatorische Veröffentlichungen sowie Ergebnisse von Audits und Prüfungen. Jedes identifizierte Risiko wird in einem Register erfasst mit: Beschreibung des Risikoszenarios, betroffener Prozess oder Einheit, zugehöriges Regelwerk, Status der Bestandsmaßnahmen. Die Erfassung ist iterativ: Ein erster Durchgang wird durch Expertengespräche und Datenanalyse ergänzt. Ein benannter Risikoverantwortlicher prüft die Vollständigkeit des Registers für seinen Perimeter.
Risiken bewerten: Eintrittswahrscheinlichkeit, Auswirkung, Kritikalität
Die Bewertung folgt einer Skala, die für die Organisation definiert und dokumentiert ist. ISO 31000 (Quelle: ISO 31000:2018, Risikomanagement, Leitlinien) empfiehlt eine konsistente Methodik, die zwischen inhärentem Risiko (vor Maßnahmen) und Restrisiko (nach Maßnahmen) unterscheidet. Die Eintrittswahrscheinlichkeit bewertet, wie häufig das Szenario auftreten könnte, auf Basis historischer Daten oder Experteneinschätzungen. Die Auswirkung bewertet die potenziellen Konsequenzen: finanziell, operationell, rechtlich, reputationell. Die Kritikalität ergibt sich aus der Kombination beider Dimensionen und wird in einer Matrix dargestellt. Risiken mit hoher Kritikalität erfordern einen benannten Verantwortlichen und eine dokumentierte Behandlungsentscheidung.
Maßnahmen priorisieren
Die Priorisierung von Maßnahmen ergibt sich aus der Kritikalitätsmatrix, wird aber durch weitere Faktoren moduliert: verfügbare Ressourcen, gesetzliche Fristen und die Abhängigkeiten zwischen Maßnahmen. Für jedes Hochrisikoszenario wird eine Behandlungsoption gewählt: Reduktion durch Maßnahme, Transfer durch Versicherung oder Vertrag, Akzeptanz mit dokumentierter Begründung oder Vermeidung durch Einstellung der Aktivität. Die gewählte Option, die benannte Verantwortliche und die Etappe der Umsetzung werden dokumentiert. Eine GRC-Plattform, die die Risikokartierung beherbergt und aktualisiert, stellt sicher, dass die Priorisierungsentscheidungen nachvollziehbar und für Prüfer zugänglich bleiben.
Kartierung aktuell halten: Häufigkeit und Auslöser
Eine Risikokartierung, die bei Einführung vollständig war und seitdem nicht aktualisiert wurde, verliert ihren Steuerungswert. ISO 31000 (Quelle: ISO 31000:2018) empfiehlt eine regelmäßige Überprüfung und eine anlassbezogene Aktualisierung bei wesentlichen Änderungen des Kontexts. Auslöser für eine Aktualisierung sind: Organisationsänderungen, neue regulatorische Anforderungen, Vorfälle oder Beinahevorfälle, Ergebnisse von Audits und Änderungen im Lieferanten- oder Partnernetz. Die Aktualisierungsfrequenz hängt von der Dynamik des regulatorischen Umfelds und der Aktivität der Organisation ab. Ein benannter Koordinator prüft die Aktualität des Registers und löst bei Bedarf eine Überprüfung aus. Optivalue.ai stellt geprüfte Vorlagen bereit und begleitet die Überprüfungszyklen.
FAQ
Was ist der Unterschied zwischen einem Risikoregister und einer Risikokartierung?
Ein Risikoregister ist eine tabellarische Liste von Risiken mit ihren Bewertungen und Maßnahmen. Eine Risikokartierung ist die visuelle Darstellung dieser Risiken in einer Matrix, die ihre Verteilung nach Eintrittswahrscheinlichkeit und Auswirkung zeigt. Beide Instrumente ergänzen sich: Das Register dient der operativen Verfolgung, die Kartierung der Kommunikation mit der Geschäftsleitung und den Governance-Organen. In der Praxis werden beide Begriffe oft synonym verwendet.
Welche Normen empfehlen eine Risikokartierung?
ISO 31000 (Quelle: ISO 31000:2018, Risikomanagement, Leitlinien) beschreibt einen allgemeinen Rahmen für das Risikomanagement, der die Identifikation, Analyse und Bewertung von Risiken umfasst. ISO/IEC 27005 (Quelle: ISO/IEC 27005:2022) spezifiziert diese Methodik für Informationssicherheitsrisiken. Das Gesetz Sapin II (Quelle: Loi n° 2016-1691) fordert eine Korruptionsrisikokartierung als Pflichtmaßnahme. NIS2 fordert eine Risikobewertung für Netz- und Informationssysteme.
Wer sollte an der Erstellung der Risikokartierung beteiligt sein?
Die Risikokartierung erfordert die Beteiligung mehrerer Ebenen: die Geschäftsleitung für die Definition des Risikoappetits, die Funktionsleiter für die Identifikation operativer Risiken, die Compliance-, Rechts- und IT-Abteilungen für ihre spezifischen Fachbereiche und die interne Revision für eine unabhängige Einschätzung. Die Koordination liegt bei einem benannten Risikoverantwortlichen. Externe Experten können für spezifische Risikobereiche hinzugezogen werden.
Was ist der Risikoappetit und warum muss er dokumentiert werden?
Der Risikoappetit ist das Niveau an Risiko, das eine Organisation bereit ist, in Verfolgung ihrer Ziele einzugehen. ISO 31000 (Quelle: ISO 31000:2018) beschreibt ihn als grundlegenden Parameter des Risikomanagements. Die Dokumentation des Risikoappetits ist erforderlich, damit Behandlungsentscheidungen nachvollziehbar sind: Ein Risiko, das akzeptiert wird, obwohl es die Kritikalitätsschwelle überschreitet, muss mit einer begründeten Entscheidung der Geschäftsleitung dokumentiert sein.
Fordern Sie eine Demo von Optivalue.ai an
Nach oben
Zum gleichen Thema