Risikolandkarte FUB Revision R Schlussbericht

Transkript

1 Eidgenössisches Departement für Verteidigung, Bevö kerungsschutz und Sport VBS Generalsekretariat VBS Inspektorat VBS 26. August 2014 Risikolandkarte FUB Revision R Schlussbericht

2

3 Inhaltsverzeichnis 1 Zusammenfassung Auftrag und Vorgehen Ausgangslage Auftrag Rechtsgrundlagen, Vorgaben und Normen Prüfungsumfang Methodik (Vorgehen) Reifegrad der Bundesvorgaben zum Risikomanagement Erfassung der Risiken bei der FUB Ableitung von Massnahmen (Steuerung) bei der FUB Schlussbesprechung Unterlagen und Auskunftserteilung Besprechung der Ergebnisse Anhang B: Risikoerfassungsprozess Bund im Bereich V /12

4

5 2 Auftrag und Vorgehen 2.1 Ausgangslage Die Revision erfolgte aufgrund der mit dem Chef VBS und der Eidgenössischen Finanzkontrolle (EFK) abgesprochenen Revisionsplanung für das Jahr Gemäss Weisungen vom 24. September 2010 über die Risikopolitik des Bundes haben die Verwaltungseinheiten ein Risikomanagement wahrzunehmen, das als Führungsinstrument ein fester Bestandteil der Geschäfts- und Führungsprozesse ist. Wir haben die Einhaltung dieser Vorgaben bei der FUB überprüft. 2.2 Auftrag Im Rahmen unseres Auftrages prüften wir bei der FUB den Reifegrad der Bundesvorgaben zum Risikomanagement, die Einhaltung der Vorgaben bei der Erfassung der Risiken und die Einhaltung der Vorgaben bei der Ableitung von Massnahmen (Steuerung). 2.3 Rechtsgrundlagen, Vorgaben und Normen Folgende relevante Grundlagen wurden für diese Revision berücksichtigt: Weisungen vom 24. September 2010 über die Risikopolitik des Bundes o Richtlinien vom 21. November über das Risikomanagement Bund o Handbuch vom 29. April 2013 zum Risikomanagement Bund Regierungs- und Verwaltungsorganisationsverordnung (RVOV) vom 1. Juni Prüfungsumfang Die Prüfung führten (Prüfungsleiter) und (Inspektor) vom 11. März bis 30. Juni 2014 in Bern durch. 2.5 Methodik (Vorgehen) Die Beurteilungen im vorliegenden Bericht stützen sich auf Befragungen der verantwortlichen Stellen sowie die Analyse und Prüfung von Dokumenten ab. 1 Gestützt auf Ziffer 6 Absatz 1 der Weisungen des Bundesrates vom 24. September 2010 über die Ris kopolit k des Bundes (BBl ), erlässt die Eidgenössische Finanzverwaltung dieses Dokument. 4/12

6 3 Reifegrad der Bundesvorgaben zum Risikomanagement Im Rahmen unserer Arbeiten leuchteten wir in einem ersten Schritt die relevanten Vorgaben zum Risikomanagement in einer Verwaltungseinheit der Bundesverwaltung aus. Prüfungsfeststellungen Wir stellten fest, dass die Grundlagendokumente für das Risikomanagement der FUB das Folgende besagen: Handbuch zum Risikomanagement Bund Kapitel Ziele: Das Risikomanagement ist ein Führungsinstrument auf den Stufen Bundesrat, Departement / BK und Verwaltungseinheiten (VE). Es schafft Transparenz über die aktuelle Risikosituation des Bundes und der einzelnen Organisationseinheiten (OE) und ermöglicht es, rechtzeitig die erforderlichen Massnahmen zur Vermeidung oder Verminderung der Risiken zu treffen. Kapitel 2.1 Aufbau : Das Risikomanagement innerhalb der Bundesverwaltung ist dezentral organisiert. Die Departemente und die Bundeskanzlei (BK) sind für die Umsetzung in ihrem Bereich verantwortlich. Auf der Stufe Departement / BK und in jeder Verwaltungseinheit ist je eine Risikomanagement-Funktion vorgesehen, die die verschiedenen Risikomanagement-Tätigkeiten koordiniert und den Prozess steuert. Regierungs- und Verwaltungsorganisationsverordnung (RVOV) Die RVOV definiert die im Anhang 1, Kapitel B IV, Absatz die FUB als Verwaltungseinheit der Bundesverwaltung. Zudem stellen wir fest, dass sich die Geschäftsordnung der FUB bezüglich Risikomanagement explizit auf das Handbuch zum Risikomanagement Bund bezieht. Der Abschnitt Führungs-/Managementprozesse besagt: Das Risikomanagement ist in den Führungs-, Management-, Kern- und Supportprozessen integral zu betrachten und wird auf der Prozesslandkarte FUB nicht separat dargestellt. Die Zusammenarbeit mit dem Risikomanager GS VBS und Risikocoach V sowie die Arbeiten, Kompetenzen und Verantwortung als Risikocoach FUB sind gemäss dem "Handbuch zum Risikomanagement Bund" geregelt. Daraus schliessen wir, dass die FUB als Verwaltungseinheit der Bundesverwaltung ein eigenständiges Risikomanagement in Übereinstimmung mit den Bundesvorgaben betreiben muss. Der Prozess muss gemäss Handbuch zum Risikomanagement Bund wie folgt aussehen: 5/12

7 Die obigen Ziffern werden im Detail in den entsprechenden Kapitel des Handbuchs umfassend ausgeführt. Wir verzichten an dieser Stelle darauf, die einzelnen Schritte näher zu erläutern. Beurteilung Aus unserer Sicht, bilden die Bundesvorgaben eine ausreichende Basis, um einen Risikomanagementprozess in einer Verwaltungseinheit wie die FUB zu betreiben. 6/12

8 4 Erfassung der Risiken bei der FUB Aufgrund der in Kapitel 3 erläuterten Vorgaben muss die FUB im Rahmen eines Risikomanagementprozesses ihre Risiken erfassen. Ungeachtet dieser Vorgaben sind wir aber auch der Ansicht, dass eine Unternehmung wie die FUB, die für viele Leistungsbezüger ein umfassendes Service Portfolio mit komplexen Technologien betreibt, ein eigenes umfassendes und qualitativ hochstehendes Risikomanagement betreiben muss, welches in ausreichendem Masse dokumentiert ist. Prüfungsfeststellungen Im Rahmen unserer Arbeiten stellten wir fest, dass die FUB zwar zweimal im Jahr in den Risikoerfassungsprozess des Departementsbereichs V eingebunden ist und innerhalb dieses Prozesses Risiken erfasst werden. Dabei werden bei ausgewählten Schlüsselpersonen der FUB Risiken erhoben. Der Risikocoach der FUB meldet anschliessend diese Risiken an den Departementsbereich V. Im Anhang 2 wird die weitere Bearbeitung dieser Risiken auf Stufe V dargestellt. Weiter stellten wir fest, dass auf Stufe FUB kein systematischer Zusammenzug der Risiken aus verschiedenen Kategorien (wie z.b. finanzielle und wirtschaftliche Risiken, rechtliche Risiken, technologische Risiken, personelle Risiken, etc.) stattfindet. Eine umfassende Risikomatrix (Risikolandkarte) welche den Risikoerfassungsprozess der FUB belegt, wird derzeit nicht geführt. Zudem stellten wir fest, dass die Risikoerfassung bei der FUB zum Beispiel durch folgende Umstände erschwert wird: - Die FUB muss verschiedenste IKT-Services erbringen (für militärische sowie zivile Zwecke). Dabei sind verschieden Lagen (normale, besondere sowie ausserordentliche Lage) zu berücksichtigen. - Die Service Level Agreements (SLAs) mit den Leistungsbezügern sind derzeit zu wenig detailliert beschrieben: - Die FUB betreibt momentan mehrere Systeme, für welche keine Sicherheitsberichte oder ISDS-Konzepte 2 bestehen. Wir sind der Ansicht, dass damit die Risiken dieser Systeme nicht adäquat berücksichtigt werden können. - Die Risikolandkarte des Teams Cyber Defense ist noch in Arbeit und sollte gemäss Planung bis Ende Jahr 2014 abgeschlossen sein. - Das Projekt ISMS 3 VBS wird erst im Jahr 2017 beendet. Dieses Tool wird einen wesentlichen Einfluss auf den Risikomanagementprozess der FUB haben. 2 ISDS = Informationssicherheit und Datenschutz 3 ISMS = Information Security Management System (Managementsystem für Informationssicherheit) 7/12

9

10

11 6 Schlussbesprechung 6.1 Unterlagen und Auskunftserteilung Wir haben die prüfungsrelevanten Unterlagen und Auskünfte erhalten und danken für die gute Zusammenarbeit. 6.2 Besprechung der Ergebnisse Dieser Bericht wurde mit dem Management der FUB besprochen. Die Stellungnahmen der FUB wurden in diesen Bericht eingearbeitet. 10/12

12

13 Anhang B: Risikoerfassungsprozess Bund im Bereich V Das Risikomanagement V orientiert sich an den Prozessen des Bundes und wendet diese gemäss den Vorgaben Bund an. Die Risikoerfassung auf Stufe V erfolgt grundsätzlich in drei Schritten: Schritt 1: Die Stufe DU CdA (z.b. die FUB) führt einen vorgängigen Risikomanagementprozess im eigenen Bereich durch. In diesem vorgelagerten Schritt werden die Risikobeurteilungen bereits pro DU CdA erhoben. Der Ablauf wird durch den entsprechenden Risikocoach unterstützt. Zweimal im Jahr werden die Risikocoaches der DU CdA vom Risikomanagement V beauftragt, die bestehenden Risiken sowie die Veränderung der Risikolage zur Vorperiode an den Risikomanager im Departementsbereich V zu melden. Schritt 2: Im Anschluss an die Erhebung pro DU CdA werden die Bereichsrisiken 5 im Militärstrategischen Stab (MSS) unter Einbezug des Stabschef CdA beurteilt und gefiltert. Ebenfalls werden auf Stufe V die IKT-Risiken aus den Top-Projekten V zusammen getragen. Auf Stufe V erfolgt anschliessend eine konsolidierte Darstellung der Risiken V, welche als Entwurf des Risikobericht V den DU CdA zur Stellungnahme zugestellt wird. Schritt 3: Ausgehend vom Risikobericht V werden einmal jährlich die Top Risiken V und die Risiken welche auf Stufe Departement behandelt werden müssen an das GS VBS gemeldet (und zudem in Tool R2C eingepflegt ). 6 Dabei findet allenfalls eine Verwässerung der Risiken statt. Beispielsweise gilt das Risiko Informatiksicherheit aus dem Risikobericht V derzeit nicht als Toprisiko V und wird nicht an das GS VBS gemeldet. Damit ist es für das Management auf Stufe GS VBS nicht mehr möglich, sich bezüglich IKT-Risiken direkt auf die Top Risiken V abzustützen. Das GS VBS ist für die Konsolidierung auf Departementsstufe verantwortlich ist. Der Erfassungsprozess ist in nachfolgender Grafik schematisch dargestellt: Abbildung: Vereinfachte Darstellung des Ris komanagementprozesses im Departementsbereich V 7. 5 D.h. Risiken welche für den Auftrag des Bereichs V (Sicherheit und Souveränität der Schweiz) relevant sind. 6 7 Quelle: Dokumentation Risikomanagementprozess des Risikomanagers V 12/12