Drei Stände desselben Risikos
Risiko ist keine feste Zahl, sondern eine Größe mit mehreren Ständen. Wer nur einen davon führt, verliert genau die Information, die für Entscheidungen gebraucht wird.
| Stand | Leitfrage | Wofür er gebraucht wird |
|---|---|---|
| Inhärentes Risiko (brutto) | Wie groß wäre das Risiko ohne jede Maßnahme? | Zeigt, welchen Beitrag die vorhandenen Kontrollen tatsächlich leisten |
| Aktuelles Risiko (netto) | Wie groß ist es mit den heute wirksamen Maßnahmen? | Die Steuerungsgröße für den laufenden Betrieb und die Berichterstattung |
| Restrisiko (residual) | Was bleibt, wenn die beschlossenen zusätzlichen Maßnahmen umgesetzt und wirksam sind? | Entscheidungsgrundlage für die Freigabe und für die Frage, ob sich der Aufwand lohnt |
Die Begriffe werden nicht einheitlich verwendet. In vielen Organisationen bezeichnet "Restrisiko" bereits das aktuelle Nettorisiko, in anderen ausschließlich den Zustand nach vollständiger Umsetzung des Behandlungsplans. Weniger die Benennung zählt als die schriftliche Festlegung, welcher Stand in der Risikorichtlinie gemeint ist, und dass alle Berichte denselben Stand meinen.
Warum die Unterscheidung praktisch zählt
Ohne das inhärente Risiko lässt sich der Beitrag einer Kontrolle nicht messen. Damit fehlt die Grundlage für drei alltägliche Entscheidungen: welche Maßnahme zuerst umgesetzt wird, welche Maßnahme bei knappem Budget entfallen kann, und ob eine bestehende Kontrolle ihren laufenden Aufwand rechtfertigt. Eine Risikoliste, die nur Nettowerte ausweist, sieht ruhig aus und macht unsichtbar, dass ein einziges ausgefallenes Werkzeug mehrere Bewertungen gleichzeitig hinfällig machen würde.
Umgekehrt gilt: Wird das Restrisiko nicht getrennt vom aktuellen Risiko geführt, vermischt sich die Wirkung geplanter Maßnahmen mit der Wirkung bereits vorhandener. Die Berichterstattung zeigt dann eine Verbesserung, die noch gar nicht eingetreten ist.
Die Freigabe des Restrisikos
Ein Restrisiko zu akzeptieren ist eine gültige und häufig richtige Entscheidung, aber eine Entscheidung, die getroffen, nicht unterlassen werden muss. Dazu gehören:
- ein benannter Risikoeigentümer mit der Befugnis, für den betroffenen Bereich zu entscheiden;
- eine Schwellenregel, ab der die Entscheidung auf eine höhere Ebene wandert, bis hin zur Geschäftsleitung;
- eine dokumentierte Begründung, die den Stand des Wissens zum Zeitpunkt der Entscheidung festhält;
- ein Ablauf- oder Wiedervorlagedatum, weil sich Bedrohungslage, Geschäftsmodell und Rechtslage ändern.
ISO/IEC 27001 greift diesen Punkt ausdrücklich auf: Im Abschnitt 6.1.3 ist vorgesehen, dass die Risikoeigentümer den Risikobehandlungsplan genehmigen und die verbleibenden Informationssicherheitsrisiken akzeptieren. Für die Geschäftsleitung ist die dokumentierte Freigabe zugleich der Nachweis, dass eine Entscheidung bewusst und auf einer Informationsgrundlage getroffen wurde, ein Aspekt, der bei Sorgfaltspflichten nach § 43 GmbHG oder § 93 AktG zählt.
Kein Nullrisiko
Ein Restrisiko von null gibt es in der Praxis nicht. Jede Kontrolle kann versagen, jede Annahme kann falsch sein, und Maßnahmen, die ein Risiko rechnerisch auf null senken, sind meist teurer als der Schaden, den sie verhindern. Die Aufgabe des Risikomanagements ist daher nicht, das Restrisiko zu beseitigen, sondern es auf ein Maß zu bringen, das die Organisation tragen will und tragen kann – und es sichtbar zu halten.
Restrisiko in Geld ausdrücken
Solange die drei Stände als Farbstufen geführt werden, lässt sich weder die Differenz zwischen ihnen berechnen noch der Nutzen einer Maßnahme beziffern. Werden sie stattdessen als Betrag geführt, wird die Wirkung einer Maßnahme zur Differenz zweier Zahlen und lässt sich ihrem Aufwand gegenüberstellen. Genau das macht die Diskussion mit der Geschäftsleitung anschlussfähig an jede andere Investitionsentscheidung.
Wie Rizzqo die drei Werte auseinanderhält
Ein Restrisiko ist nur dann eine Aussage, wenn der Ausgangswert daneben steht. In Rizzqo führt jede Risikobewertung deshalb drei Stände getrennt: das inhärente Risiko ohne Maßnahmen, das aktuelle Risiko mit den heute wirksamen Maßnahmen und das verbleibende Risiko nach den geplanten. Bewertet wird jeweils in zwei Größen, Eintrittswahrscheinlichkeit in Prozent und Schadenshöhe in Euro; die Stufe entsteht aus einer konfigurierbaren Matrix und nicht aus einer verborgenen Punktzahl.
Der Unterschied zwischen aktuellem und verbleibendem Wert kommt aus den Maßnahmen. Eine geplante Maßnahme trägt ihre Minderung als Reservierung, die im verbleibenden Risiko sichtbar wird; erst mit dem Abschluss senkt sie das aktuelle Risiko tatsächlich, und ein Abbruch gibt den reservierten Betrag wieder frei. Damit lässt sich belegen, welcher Teil der Verbesserung bereits eingetreten ist und welcher noch aussteht.