Risiken auf Prozessebene

Transkript

1 Risiken auf Prozessebene Ein Neuer Ansatz Armin Hepe Credit Suisse AG - IT Strategy Enabeling, Practices & Tools armin.hepe@credit-suisse.com Persönliche Vorstellung, kurz 1 Angestellter bei Credit Suisse AG, IT-Strategy Qualitätsmanagement in der Software und Infrastruktur Entwicklung Entwickler von Referenzmodell, Rahmenwerk, Vorgehen und Praktiken Teil einer Expertengruppe zur Entwicklung, Prüfung und Einführung eines globalen Vorgehensmodelles

2 Energie Mensch Praktiken Erzeugnis 2

3 Risiken auf Prozessebene Wesentliches Aktueller Ansatz Vorgehen Ein Neuer Ansatz Leitfaden für Risiken auf Prozessebene Wesentliches Aktueller Ansatz ORM und BPM Vorgehen nach aktuellen Ansätzen Operational Risk Management und Business Process Management kombiniert Ein Neuer Ansatz 3

4 Das Wesen der Risiken Risiko Umfeld Risiko Potential Risiko Monitor Risiko Management Das Wesen der Risiken... Risiko Umfeld Geschäftsumfeld, Organisation, Informations Technologie Abteilung,etc. Risiko Bereitschaft Welches Risiko kann eingegangen werden? Welche Folgen können getragen werden? Risiko Monitor Beobachtung der erkannten Risiken...und Alarm/Trigger bei Erreichung eines Schwellwertes Risiko Management Diskussion relevanter Risiken, Lösungsansätze, Re-Priorisierung, etc. 4

5 Technische Sicherheitslücken Operationale Risiken Interne Bedrohung Externe Bedrohung Rechtliche und Vertrauens-Verluste Nichtübereinstimmung mit Regulatorien Prozessfehler Technische Sicherheitslücken Operationale Risiken 5 Interne Bedrohung Externe Bedrohung Rechtliche und Vertrauens-Verluste Nichtübereinstimmung mit Regulatoren Prozessfehler Unbekannter Prozess Der Prozess ist dem Anwender völlig unbekannt. Auf spezialisierte Prozesse werden Anwender nicht eingewiesen. Fehlende oder fehlerhafte DokumentationProzesse werden nicht, fehlerhaft oder nicht zugänglich dokumentiert. Beisp. Prozesse die von Software unterstützt werden geben keine Kontext sensitiven Beschreibungen frei. Umsetzungsfehler Prozesse werden gelebt nach bestem Ermessen anstatt Schulungen folgend oder gegen Logik und Ratio. Interpretationen statt Umsetzung Prozesse werden gelebt wie persönlich verstanden oder gemeint. Unklare Ein- und Ausgangsbedingungen Prozesse werden ohne definierte Ein- oder Ausgaben gelebt. Ich mache hier nur die geforderte Tätigkeit. und viele mehr...

6 Management von Risiken Analyse der möglichen Risiken Verfolgung von Risiken Verfolgung von Risiko adressierenden Massnahmen Änderung des Vorgehens bei Risikoeintritt Behebung des Schadens Allgemeine Darstellung des Risiko Management. 6

7 Kombination ORM und BPM Risikobereitschaft und Geschäftsziele vereinbaren Mögliches Risiko der Geschäftsprozesse erarbeiten Prozess und Risiken beobachten Aktives Risiko- und Prozessmanagement Kombination Operational Risk Management und Business Process Management 7 Ein Rahmenwerk zur gemeinsamen Bearbeitung von Risiken und Prozessen: Risikobereitschaft und Geschäftsziele vereinbaren Mögliches Risiko der Geschäftsprozesse erarbeiten Prozess und Risiken beobachten Aktives Risiko- und Prozessmanagement

8 Produkt fokussieren durch vorgegebene Lieferergebnisse und Praxis Definitionen? Produkt <- Ergebnis <- Lieferung 8 Mensch in der Produktion Prozess zur Anleitung durch den Geschäftsauftrag

9 Neue Betrachtung Risiken können als bekannt angesehen werden - Risiken sind nicht neu, jeder kennt sie Risiken alleine zu managen macht keinen Sinn - diese Praktiken erzeugen keinen Gewinn Ursachenbeachtung VOR Risikobehandlung - geplante Adressierung und Lösung von Ursachen Prozesse werden zielorientiert umgesetzt - Risiken können gar nicht mehr wirken 9

10 Risk-Outcome-Practice Framework Risiko Adressierung durch Outcomes Outcome Lieferung zum Produkt Praxis Definition als Richtlinie Risiko 10 Outcome -> Output -> Work Product -> Artefakt Praxis -> Umsetzung -> Vorgehen -> Prozess (-Definition)

11 Risiko Output Praktik Modell Risiko Output Praktik Output adressiert Risiko 11 Praktik erzeugt Output Praktik folgt Regeln und Gesetzen Praktik folgt Anforderungen Output wird als Arbeitsergebnis geliefert Risiko tritt nicht ein

12 R-O-P Erfolgsfaktoren Praxis basiertes Referenzmodell Einfache Implementierung Verständliches Modell Lebenszyklus unabhängig Alle Tätigkeiten führen zum Produkt 12

13 Ist ein Risiko basiertes Vorgehensmodell von Nutzen? Varianten: 13 Ja: Wenn ein Vorgehensmodell auf bekannten Risiken basiert wird eine separate Betrachtung der Risiken hinfällig da die Geschäftsprozesse (Abfolge von Praktiken oder Tätigkeiten) Zwischenergebnisse schaffen um die Risiken zu adressieren (abzuarbeiten, zu verhindern, etc.). Die Produktionsprozesse haben Zwischenergebnisse zu liefern die direkt bestimmte bekannte Risiken verhindern (regulatorische Anforderungen werden erfüllt, Gesetze werden eingehalten, Richtlinien werden befolgt, etc.) Nein: Alle Risiken sind nicht dokumentiert und eine Risikomanagement erfasst, analysiert und priorisiert diese Risiken. Das Risikomanagement ist in der Lage alle Risiken die im Geschäftsalltag auftreten können vorherzusagen oder pro aktiv zu adressieren. Die Beobachtung der Risikoauslöser oder bestimmter Kennzahlen reicht um den Produktionsablauf gegebenenfalls anzupassen um das Eintreten der Risiken zu verhindern. Die definierten Risiken brauchen keinen direkten Zusammenhang zum Endprodukt zu haben. Risiken zu managen.