Risiken in der IT: Erkennen - Steuern - Verbessern E-Book

Stefan Luckhaus

• Herausgeber: tredition
• Kategorie: Wissenschaft und neue Technologien
• Sprache: Deutsch
• Veröffentlichungsjahr: 2018

Seitenzahl: 45

Beschreibung

Managementsysteme werden für die unterschiedlichsten Einsatzzwecke benötigt. Dazu gehört die Führung eines Unternehmens ebenso wie die Steuerung eines IT-Vorhabens oder auch die Einhaltung eines Qualitäts-, Umwelt- oder Informationssicherheitsstandards. Sie zeigen dem Management Ziele auf und geben ihm bewährte Methoden zur Zielerreichung ebenso wie die zugehörigen Steuer- und Kontrollmechanismen an die Hand. Dieses Buch beschreibt anhand eines leicht umzusetzenden Modells mit vielen Praxisbeispielen aus der IT, wie der Kernprozess des Risikomanagements innerhalb eines solchen Managementsystems funktioniert. Hauptmerkmal des Modells ist die zyklische Wiederholung des Erkennens und Bewertens von Chancen und Risiken und der anschließenden Fokussierung aller Folgeaktivitäten auf das Wesentliche, insbesondere die Anwendung angemessener Optionen zur Risikobehandlung. Ein weiteres Merkmal des Modells ist seine permanente Verbesserung. Das Buch beschäftigt sich mit der Wirtschaftlichkeit des Risikomanagements und liefert Anregungen zur Optimierung mit Hilfe bewährter Methoden der IT wie Standardisierung und Automatisierung.

Leseprobe

Stefan Luckhaus

Risiken in der IT:

Erkennen - Steuern - Verbessern

Ein Modell für effektives Risikomanagement in Entwicklung und Betrieb

© 2018 Stefan Luckhaus

Verlag: tredition GmbH, Hamburg

ISBN:

Paperback 978-3-7469-0252-4

Hardcover 978-3-7469-0253-1

e-Book 978-3-7469-0254-8

Das Werk, einschließlich seiner Teile, ist urheberrechtlich geschützt. Jede Verwertung ist ohne Zustimmung des Verlages und des Autors unzulässig. Dies gilt insbesondere für die elektronische oder sonstige Vervielfältigung, Übersetzung, Verbreitung und öffentliche Zugänglichmachung.

Inhaltsverzeichnis

Einleitung

Ein Modell zum Management von Chancen und Risiken

Risiken erkennen und bewerten

Identifizierung spezifischer Ziele

Analyse der Einflussgrößen

Quantifizierung und Bewertung von Risiken

Quantifizierung und Bewertung spezifischer Ziele

Fokussierung auf das Risikoprofil

Risiken steuern

Voraussetzung für das aktuelle Risikoniveau

Behandlung von Restrisiken

Managementreviews

Maßnahmen zur Risikobehandlung

Über Risiken berichten

Stichtagsbezogene tabellarische Darstellung

Diagramme

Kennzahlen

Die permanente Verbesserung des Managementsystems

Verbesserung der Effektivität

Verbesserung der Effizienz

Anregungen zum praktischen Einsatz

Design for Efficiency

Verteilte Risikobewertung

Bedrohungskataloge

Regelwerke

Maschinelles Lernen

Fazit

Glossar

Literaturverzeichnis

Über den Autor

Buchempfehlungen

Einleitung

Auch für IT-Projekte gilt: Die Zukunft ist nicht festgelegt. Möchten wir einen bestimmten Zustand in der Zukunft (ein Ziel) erreichen, werden wir meist mit so vielen Einflüssen auf unserem zielführenden Weg konfrontiert, dass wir sie weder zählen noch überschauen können. Wir mögen uns treiben lassen von diesen Einflüssen, wir können sie aber auch analysieren und im Sinne der Zielerreichung störende von begünstigenden Einflüssen unterscheiden. Dies befähigt uns, die Auswirkungen störender Einflüsse (im Kontext dieses Buches als Bedrohungen oder Risiken bezeichnet) zu mindern oder ganz zu vermeiden und demgegenüber die Auswirkungen begünstigender Einflüsse (im weiteren Verlauf: Chancen) zu fördern.

Abbildung 1 zeigt in plakativer und an Alltagserfahrungen angelehnter Form, wie unterschiedliche Einflüsse den Weg zu einem Ziel, in diesem Beispiel die Einhaltung eines vereinbarten Liefertermins, beeinflussen können. Werden diese Einflüsse nicht erkannt und wird ihnen nicht gegengesteuert, führen sie zu einer Abweichung vom geplanten direkten Weg. Im schlimmsten Fall wird das Ziel nicht erreicht.

Abbildung 1: Beispiel für Einflussgrößen einer Zielerreichung

Dieses einfache Prinzip findet man in vielen modernen Managementsystemen wieder. Sie zeigen dem Management in einem bestimmten Kontext Ziele und Wege. Dabei stehen die Wege sinnbildlich für bewährte Methoden zur Zielerreichung mit zugehörigen Steuer- und Kontrollmechanismen.

In modernen Managementsystemen ist die Analyse von Chancen und Risiken ein Kernprozess und wichtiger Input zur Steuerung der Zielerreichung. Jede Unternehmensführung basiert auf einem Managementsystem und orientiert sich somit an Chancen und Risiken, ebenso beispielsweise Organisationen zur Durchführung von IT-Projekten, deren Managementsysteme sich meist an bewährten Vorgehensmodellen orientieren. Weitere Einsatzgebiete sind themenbezogene, standardisierte Managementsysteme wie beispielsweise

•Qualitätsmanagementsysteme nach DIN EN ISO 9001 [DIN EN ISO 9001 2015],

•Informationssicherheitsmanagementsysteme nach ISO/IEC 27001 [ISO/IEC 27001 2015] und

•Umweltmanagementsysteme nach ISO 14001 [ISO/IEC 14001 2015].

Dieses Buch beschreibt ein Modell für das Management von Chancen und Risiken, wie es in allen risikoorientierten Managementsystemen eingesetzt werden kann. Dabei basiert es auf praktischen Erfahrungen aus den Bereichen Softwareentwicklung und IT-Betrieb, dürfte jedoch auch auf andere Branchen übertragbar sein.

Da es im Kontext des Risikomanagements viele Begriffe gibt, die in der Praxis mit unterschiedlicher Bedeutung verwendet werden, enthält dieses Buch ein Glossar, in dem die im Buch verwendeten Definitionen dieser Begriffe angegeben sind. Im nachfolgenden Text des Buches sind Begriffe immer dann, wenn zum Verständnis die im Glossar angegebene Definition von Bedeutung ist und sie zum ersten Mal in einem Kapitel verwendet werden, gestrichelt unterstrichen.

Verweise auf weiterführende Literatur sind in eckigen Klammern angegeben und werden im Literaturverzeichnis präzisiert.

Ein Modell zum Management von Chancen und Risiken

Risikomanagement ist ein Kernprozess vieler Managementsysteme. Dabei wird diese Bezeichnung oft unter Vernachlässigung des Begriffs Chancen synonym für das Management von Chancen und Risiken verwendet. In der Hauptsache geht es bei einem solchen Prozess nicht um ein passendes Tool, sondern darum, das Zusammenspiel von Rollen, Prozessen und Methoden wie auch angemessenen Steuerungs- und Kontrollmechanismen festzulegen und diese zu etablieren. Abbildung 2 zeigt das schematische Diagramm eines einfachen und in der Praxis bewährten Modells zum Risikomanagement.

Das Dach des als Haus dargestellten Modells bilden die nachfolgend beschriebenen drei Managementebenen einer Organisation [Bleicher 2017].

•Normatives Management: Die sogenannte oberste Leitung, durch die Grundsätze, Richtlinien, Leitlinien und Standards festgelegt werden.

•Das Strategische Management ist für die Entwicklung und Planung von Vorgehensweisen zuständig, um die Vorgaben des normativen Managements zu erfüllen.

•Das Operative Management ist für die praktische Umsetzung der vom Strategischen Management geplanten Vorgehensweisen verantwortlich.

Abbildung 2: Modell zum Management von Chancen und Risiken

Die Organisation und somit alle Managementebenen werden von den gleichen Zielen getrieben, die wiederum den unterschiedlichsten Einflüssen – Chancen und Risiken – ausgesetzt sind. Je nach Kontext können dies Unternehmensziele oder auch Ziele sein, die mit einem Projekt verfolgt werden.

Unter der Leitung des Operativen Managements werden diese auf die Ziele wirkenden Chancen und Risiken im Rahmen einer Analyse erkannt und bewertet und anschließend mit Hilfe geeigneter Maßnahmen gesteuert. Angestoßen durch eine Nachbetrachtung, werden möglichst nachhaltige Verbesserungsmaßnahmen identifiziert und ihre Umsetzung, soweit dies ökonomisch sinnvoll und möglich ist, auf den Weg gebracht. Der gesamte Prozess beginnt wieder von vorne und wiederholt sich in regelmäßigen Zyklen.

In diesem Modell stellt das Risikoportfolio die Grundgesamtheit aller Chancen und Risiken hinsichtlich der betrachteten Ziele der Organisation oder eines Vorhabens dar. Demgegenüber ist das Risikoprofil eine Auswahl genau jener Chancen und Risiken, deren Bewertung risikomindernde Maßnahmen oder eine explizite Akzeptanz der Restrisiken