Information des Verbandes - Risikomanagement

Der separate Beitrag von Pascal Lamia, Leiter MELANI, zeigt auf, dass wir gerade im Internet zahlreichen Risiken ausgesetzt sind. Dies gilt nicht nur für Privatpersonen sondern in vermehrtem Masse auch für Unternehmungen. Diese sollten sich daher im Rahmen eines systematischen Risikomanagements umfassend mit der Identifikation, Bewertung und Bewältigung der verschiedenen Risiken beschäftigen.
Eine nicht-repräsentative Stichprobe in verschiedenen kleineren und grösseren Unternehmungen hat aufgezeigt, dass zwar viele ein sogenanntes Enterprise Risk Management (ERM) haben, dieses aber nur sehr rudimentär implementiert ist. Das heisst z.B., dass einerseits die im ERM geführten Risiko-Szenarien eher oberflächlich bestimmt und bewertet wurden. Anderseits sind die Beschreibungen dieser Szenarien dermassen knapp, dass man sich darunter bei jeder der periodischen Neubewertungen immer wieder etwas komplett Anderes vorstellen kann, wodurch eine konsistente Bewertung und Planung risikomindernder Massnahmen faktisch unmöglich ist.
Im Informatik-Umfeld ist das nicht zwangsläufig anders: Auch hier werden die Risikoregister sehr oberflächlich geführt und die notwendigen Verbesserungsmassnahmen rein situativ und keineswegs systematisch ermittelt. Oft werden auch Restrisiken ohne formale Genehmigung akzeptiert, welche eigentlich jenseits des (definierten) Risikoappetits liegen.

Ein Hoffnungsschimmer ist jedoch am Horizont erkennbar. In nicht einmal zwei Jahren haben weltweit fast 18,000 Personen das neue ISACA-Zertifikat im Bereich Risikomanagement und IKS im IT-Umfeld CRISC (Certified in Risk Management and Information Systems Control) erworben – ein geradezu sensationelles Ergebnis. Ganz offensichtlich ist das Interesse am CRISC-Zertifikat riesig, welches die insgesamt 39 verschiedenen Aufgaben eines Risikomanagers in den fünf übergeordneten Themenbereichen abdeckt: Ein Schwerpunkt des Berufsbilds bilden die Identifikation, Einschätzung und Bewertung von Risiken sowie deren Management und Überwachung. Der zweite Schwerpunkt bilden Design und Implementation von IT-Kontrollen sowie deren Überwachung und Unterhalt. In dieser Kombination deckt das neue CRISC-Berufsbild und die entsprechende Zertifizierung ein offensichtliches Markt-Bedürfnis ab. Gerade diese neue Gattung von Risiko- und Kontrollspezialisten CRISC könnte in Zukunft dafür sorgen, dass solche wie in der Einleitung erwähnten Mängel deutlich seltener werden.

Nicht nur das neue CRISC-Zertifikat zeigt die wachsende Bedeutung des Risikomanagements. So wurde zum Beispiel im neuen «Business Framework for the Governance and Management of Enterprise IT» COBIT 5 das Risikomanagement deutlich höher gewichtet und ein komplett neuer Governance-Prozess «EDM03 Ensure Risk Optimisation» eingeführt. Das neue Standardwerk kann übrigens von www.isaca.org gratis heruntergeladen werden.
Das ISACA Switzerland Chapter führt ab Juli 2012 bereits zum vierten Mal einen CRISC-Kurs durch (13 Kurstage verteilt über 4–5 Monate). Der berufsbegleitende Kurs richtet sich an alle Personen, die sich mit unterschiedlichsten Risikomanagementfragen und Frameworks oder mit dem Design, der Implementation, der Überwachung und Wartung von Sicherheitsmassnahmen und anderen Kontrollen beschäftigen – also Risikomanager und Sicherheitsbeauftragte innerhalb und ausserhalb der IT, Compliance-Officer, IKS-Verantwortliche, erfahrene Informatikrevisoren, IT-Anwendungsentwickler oder Projektcontroller.
Der Kurs vermittelt und vertieft theoretisches wie praktisches Fachwissen im breiten Feld von Risikomanagement und internen Kontrollen, bereitet aber auch intensiv auf die von ISACA organisierte CRISC-Prüfung vor.