Risikomanagement kann im Unternehmen und nach meiner Erfahrung in unterschiedlichen Ausprägungen vorkommen. Welche Variante wird bei Ihnen praktiziert?
- Risikomanagement rein als Erfüllung einer Compliance-Forderung: Hierbei wird Risikomanagement nur betrieben, weil es zum Beispiel von Gesetzen als Überwachungssystem gefordert wird (KonTraG – §91 AktG), geprüft wird (§ 289 Abs. 1 HGB) oder von Normen (ISO 27001, ISO 27005) vorausgesetzt wird. Meist von einer oder wenigen Personen im Unternehmen wird ein isolierter Risikokataster gepflegt, zum Beispiel als flache Excel-Tabelle, der nicht mit den Verantwortlichen für das Asset abgestimmt ist, welcher der Unternehmensführung nicht die nötige Transparenz liefert und damit nicht als Entscheidungshilfe dienen kann.
- Risikomanagement als Schlagwort und Umverpackung: Gerade in der Informationssicherheit, äh – ich meine natürlich Cyber Security, fällt mir immer wieder auf, dass Lösungsanbieter mit Risikomanagement auf der Verpackung locken, obwohl es sich zum Beispiel um ein Tool zum Darstellen von Ereignissen oder Schwachstellen handelt. Auch wenn es mein persönlicher Kampf gegen Windmühlen ist: Ein Risiko ist nicht gleich einer Gefährdung ist nicht gleich einer Bedrohung ist nicht gleich einer Schwachstelle. Wenn das Tool aber keine Risiken liefert, kann man auch die Vorteile des Risikomanagements nicht direkt abschöpfen.
- Risikomanagement als Unterstützung der Entscheidungsträger im Unternehmen, um die richtigen Entscheidungen zu treffen. Dazu muss das Risikomanagement mögliche negative Auswirkungen auf die beabsichtigte Zielerreichung transparent machen. Idealerweise werden auch gleich die Entscheidungen zum Umgang mit Risiken dokumentiert (akzeptieren, vermeiden, reduzieren, transferieren) und Maßnahmen stringent nachgehalten. Das Risikomanagement spricht die Sprache der Unternehmensführung und ist in der Lage, die kumulierte Wirkung von Risiken aufzuzeigen.
Variante 3 stammt nicht von mir, sondern ist frei der Science Fiction-Literatur entnommen.
Passend zum Kampf gegen Windmühlen, wer erkennt den Klappentext aus der klassischen Literatur wieder?
Jan Klingel ist ein dem Risikomanagement verfallener Praktiker, der unfähig erscheint, zwischen Dichtung und Wahrheit zu unterscheiden. Er hält sich für einen stolzen Risikomanager, dem vermeintlich das Schicksal ein kühnes Abenteuer nach dem nächsten zu bestreiten auferlegt. Er steigt auf sein klappriges Pferd Rosinante und kämpft unter anderem gegen Windmühlen. Treu an seiner Seite reitet die nur scheinbar naive Schildmaid Sabine Müller und versucht, seinen Herrn vor schlimmerem Unheil zu bewahren. Meist enden die Episoden damit, dass Jan Klingel verprügelt wird und wenig ruhmreich als „Risiko Manager von der traurigen Gestalt“ auftritt.