Ohne benannte Risikoeigentümer bleibt eine Risikoliste eine Sammlung von Beobachtungen. Erst die namentliche Zuordnung macht daraus Entscheidungen, die getroffen, verantwortet und nachgehalten werden. Der Risikoeigentümer ist deshalb weniger ein Dokumentationsfeld als der Punkt, an dem Risikomanagement mit der Linienorganisation verbunden wird.
Was der Risikoeigentümer entscheidet
- Bewertung bestätigen: Sind Eintrittswahrscheinlichkeit und Auswirkung aus fachlicher Sicht plausibel?
- Behandlung wählen: vermeiden, vermindern, übertragen oder akzeptieren.
- Maßnahmen beauftragen: mit Termin, Verantwortlichem und Mitteln.
- Restrisiko akzeptieren oder eskalieren, wenn es die eigene Befugnis übersteigt.
- Überwachen: Veränderungen der Lage und die Wirksamkeit der Maßnahmen berichten.
Die Überwachung unterscheidet den Eigentümer von einem Genehmiger: Die Rolle endet nicht mit der Freigabe des Behandlungsplans.
Abgrenzung zu benachbarten Rollen
| Rolle | Verantwortet | Typische Besetzung |
|---|---|---|
| Risikoeigentümer | das Risiko und die Entscheidung über seine Behandlung | Bereichs- oder Prozessverantwortlicher mit Budget |
| Maßnahmenverantwortlicher | die Umsetzung einer einzelnen Maßnahme, in Zeit und Qualität | Fach- oder Projektverantwortlicher |
| Asset-Eigentümer | einen Informationswert über dessen Lebenszyklus | Fachbereich, dem das Asset dient |
| Prozessverantwortlicher | Leistung und Kennzahlen eines Prozesses | Linienführungskraft |
| ISB oder Risikomanager | Methode, Konsolidierung, Berichterstattung | Stabsfunktion |
Die Rollen können in einer Person zusammenfallen, dürfen es aber nicht zwischen Eigentümer und Methodenverantwortlichem: Wer den Prozess betreut, sollte nicht zugleich über die Akzeptanz der Ergebnisse entscheiden.
Normative Grundlage
ISO/IEC 27001 verankert die Rolle im Risikoprozess: In Abschnitt 6.1.2 ist für jedes identifizierte Risiko ein Risikoeigentümer zu bestimmen, und nach Abschnitt 6.1.3 ist die Zustimmung der Risikoeigentümer zum Risikobehandlungsplan sowie deren Akzeptanz der Restrisiken einzuholen und dokumentiert vorzuhalten. Auditoren prüfen genau diese beiden Nachweise, oft indem sie einen Risikoeigentümer direkt zu einem seiner Risiken befragen. Wer die eigene Zuordnung nicht kennt, macht die Zuordnung als Ganzes angreifbar.
Allgemeine Risikomanagement-Rahmenwerke wie ISO 31000 formulieren dasselbe Prinzip als Zuordnung von Rechenschaftspflicht und Befugnis auf einer Ebene.
Auswahl: wer infrage kommt
Geeignet ist, wer die Ursache des Risikos beeinflussen kann und über Mittel verfügt, um Maßnahmen zu beauftragen. Daraus folgen drei praktische Regeln:
- Immer eine Person, nie ein Gremium. Ein Gremium kann beraten, aber nicht persönlich verantworten.
- So tief wie möglich, so hoch wie nötig. Die Ebene muss zur Höhe des Restrisikos passen; oberhalb definierter Schwellen entscheidet die Geschäftsleitung.
- Nicht automatisch die IT. Ein Ausfallrisiko eines Fachverfahrens gehört dem Fachbereich, der den Prozess verantwortet; die IT ist Maßnahmenverantwortlicher.
Wie die Zuordnung entwertet wird
- Sämtliche IT-nahen Risiken werden dem ISB oder der IT-Leitung zugeordnet, die weder Prozess noch Budget verantworten.
- Der Eigentümer erfährt von seiner Rolle erst im Audit.
- Restrisiken werden von Personen akzeptiert, deren Befugnis dafür nicht definiert ist.
- Bei Stellenwechseln wird die Zuordnung nicht übergeben, sodass Risiken formal einer Person gehören, die den Bereich verlassen hat.