Frameworks für das IT Management. Erste Auflage

Transkript

1 Frameworks für das IT Management Erste Auflage

2 14 M_o_R - Management of Risk Management of Risk (M_o_R ) ist der gesamte Prozess zur Unterstützung der wirksamen Steuerung von Risiken. Risiko lässt sich als die Unsicherheit des Resultats von Aktivitäten und Ereignissen unabhängig davon ob positive Chance oder negative Bedrohung definieren. Das Risiko muss in Bezug auf die Verknüpfung der Eintrittswahrscheinlichkeit von etwas und der Auswirkung, die entsteht, falls es tatsächlich passiert, bewertet werden. Copyrightinhaber: Office of Government Commerce (OGC), Großbritannien: Verbreitung: Einhergehend mit aktueller Gesetzgebung wie Sarbanes- Oxley wird Management of Risk zunehmend innerhalb des öffentlichen und des privaten Sektors eingesetzt. Ursprung/Geschichte: Management of Risk (M_o_R ) wurde ursprünglich für den Einsatz durch die britische Regierung entworfen, seit seiner Weiterentwicklung zu einem kommerziellen Angebot wird er jedoch sowohl im öffentlichen als auch im privaten Sektor eingesetzt. Wann 2002 Teilnehmer im Komitee: OGC Zertifizierungsinstitutionen? APM Group Ltd. Anzahl zertifizierter Organisationen: 13 Von Rubina Faber 14.1 Ursprung/Geschichte Es gibt verschiedene Ansätze des Risikomanagements, einschließlich Management of Risk (M_o_R ), welcher ursprünglich für den Einsatz durch die britische Regierung entwickelt wurde und Eigentum des Office of Government Commerce (OGC) ist. Seit seiner Weiterentwicklung zu einem kommerziellen Angebot wird er nun im öffentlichen und privaten Sektor eingesetzt, einhergehend mit dem Vorhandensein in Großbritannien akkreditierter Prüfungen Wo wird Management of Risk eingesetzt? Risiko wird im täglichen Leben von allen Individuen und Organisationen in der einen oder anderen Form gehandhabt, sei es bei der Überquerung der Straße, einem Umzug oder der Durchführung eines millionenschweren Devisengeschäfts. Letztendlich ist im Geschäftsleben die Geschäftsführung eines Unternehmens oder einer Kapitalgesellschaft für das Risiko verantwortlich; allerdings hat die gesamte Belegschaft eines Unternehmens einen Anteil daran.

3 158 Frameworks für das IT Management Historisch betrachtet wurden Teile des unternehmerischen Risikos in speziellen Bereichen wie Gesundheit und Sicherheit, Informationssicherheit oder Business Continuity gehandhabt, wurden aber in Folge einer Reihe von bekannt gewordenen, unternehmerischen Betrugs- und Rechnungslegungs-Skandale in den frühen 90er Jahren des 20. Jahrhunderts bedeutender und fokussierter. In Großbritannien führte die Londoner Börse (London Stock Exchange, LSE) neue Richtlinien für gelistete Organisationen ein, die verschiedene Aspekte der Corporate Governance, Verantwortlichkeiten für Geschäftsführer etc. umfassten. Die Richtlinien basieren auf dem Code of Best Practice des Cadbury-Komitees für finanzielle Aspekte der Corporate Governance. Obwohl dies auf am LSE gelistete Organisationen abzielte, wurden die Prinzipien auf KMUs (kleine und mittlere Unternehmen) und in allen wichtigen Branchen angewandt. Seit dem Cadbury-Komitee wurden in Großbritannien eine Reihe von weiteren Reviews durchgeführt. Aktuelle Entwicklungen in den USA in Form des Sarbanes-Oxley-Acts aus dem Jahre 2002 wurden von den Zusammenbrüchen von Enron und WorldCom vorangetrieben. Ebenso ist der Basler Akkord innerhalb des Bankensektors sehr einflussreich, was auf die Kapitalanforderungen in Bezug auf Kredit- und Marktrisiken wirkt und später das operative Risiko in Basel II berücksichtigt Beschreibung und Hauptgrafiken Management of Risk kann unternehmensweit eingesetzt werden und auf die drei Hauptelemente des Geschäfts angewendet werden, nämlich: Strategie Geschäftsausrichtung Veränderung Umsetzen der Strategie in Maßnahmen, einschließlich Programm-, Projektund Veränderungsmanagement Betrieb laufender Betrieb und Unterstützung des Geschäfts. Auf diese Art und Weise soll die Strategie der Handhabung von Risiken von der Spitze der Organisation vorgegeben, und zugleich in die normalen Arbeitsroutinen und -aktivitäten der Organisation eingebettet werden. Was häufig sogar von Risikomanagern missverstanden wird, ist, dass das Ziel der Handhabung von Risiken nicht notwendigerweise in der Reduzierung und Ausschaltung von Risiken innerhalb des Geschäfts besteht, sondern in der Identifizierung und Handhabung von Risiken zum bestmöglichen Schutz und Zuwachs des Shareholder Value innerhalb des Geschäfts. Es wurde gezeigt, dass die verbesserte Handhabung von Risiken es einer Organisation paradoxerweise erlaubt, größere Risiken einzugehen, jedoch in einer geordneteren Art und Weise, zum letztendlichen Vorteil der Organisation und ihrer Shareholder.

4 M_o_R - Management of Risk 159 Strategie Zukünftige Geschäftsausrichtung Veränderung Change Umsetzen der Strategie in Maßnahmen (einschließlich Steuerung von Programmen, Projekten und Veränderungen) Betrieb Laufender Betrieb, einschließlich Menschen, Prozessen, Informationssicherheit, Gesundheit und Sicherheit, Business Continuity Abbildung 14.1 OGC) Die drei Hauptelemente des Geschäfts, auf welche Management of Risk angewandt werden kann (Quelle: 14.4 Ansatz/How-To Damit Management of Risk erfolgreich sein kann, erfordert es die Unterstützung der Vorstandsebene, und es muss außerdem in die Unternehmenskultur des Unternehmens passen. Ein allgemeines, strategisches Framework einschließlich eines Grundsatzdokuments ist ebenfalls entscheidend und muss die folgenden Elemente enthalten: Risikoidentifikation dies ist der Prozess, der die Identifizierung der Hauptrisiken der Erreichung von Geschäftszielen, sowohl auf strategischer, Veränderungs- oder operativer Ebene, umfasst Risikobewertung befasst sich mit der Einschätzung der Eintrittswahrscheinlichkeit eines Risikos, den möglichen Auswirkungen, die ein Risiko auf das Geschäft haben könnte, so es tatsächlich einträte, sowie dessen Nähe (Terminierung des Risikos) Setzen tragbarer Risikoniveaus bekannt als Toleranz oder Risikoneigung, soll es das Niveau an Risiko bemessen, welche eine Organisation zu akzeptieren bereit ist Identifizierung angemessener Reaktionen auf Risiken sobald die Risiken identifiziert und bewertet wurden, müssen Entscheidungen darüber getroffen werden, wie auf ein spezifisches Risiko reagiert werden soll. Reaktionen auf Risiken werden eins der vier Ts einschließen, nämlich: Transfer (Übertragung) das Risiko auf einen Dritten, z. B. eine Versicherung übertragen Tolerate (Duldung) das Risiko annehmen / akzeptieren, aber es weiterhin beobachten Terminate (Begrenzung) Dinge anders machen Treat (Behandlung) Ergreifen von Maßnahmen zur Risikosteuerung, entweder durch eine Eindämmungsmaßnahme zur Minderung der Eintrittswahrscheinlichkeit oder eine Eventualmaßnahme zur Reduzierung der Auswirkungen für den Fall seines Eintritts Risiko- Eigentümerschaft obgleich voraussichtliche Risiko- Eigentümer bereits früh im Prozess festgelegt werden könnten, soll die tatsächliche Zuordnung erst erfolgen, sobald man sich auf die Reaktion geeinigt hat, so dass die Verantwortung der Handhabung des Risikos dem passendsten Eigentümer übertragen wird Implementierung der Reaktionen auf die Risiken Anfertigung und Umsetzung von Plänen, die mit der Anwendung der vereinbarten Handlungsweise verbunden sind

5 160 Frameworks für das IT Management Sicherheit der Wirksamkeit der Reaktionen erlangen um zu bestätigen, dass die gewählte Maßnahme bei ihrer Durchführung wirksam ist und dass ein eventuelles Restrisiko bemerkt wird Einbettung, Berichtswesen und Überprüfung damit das allgemeine Framework seine volle Wirksamkeit entfalten kann, ist es notwendig, dieses in den Geschäftsbetrieb einzubetten, es angemessen an alle Unternehmensebenen zu berichten und es fortwährend zu überprüfen, um die Wirksamkeit der Risikosteuerung und des übergreifenden Managementprozesses zu gewährleisten. Sobald ein Framework etabliert ist, kann eine allgemeine Vorgehensweise über das Geschäft hinweg eingesetzt werden, welche ungleiche Risikodisziplinen und -funktionen in einer konsolidierten und konsistenten Vorgehensweise zusammenführt. Oft gründet sich ein Business Case für die Einführung eines Management of Risk-Frameworks auf regulatorische Anforderungen. Allerdings kann der wahrhaftige unternehmerische Nutzen im Hinblick auf den Nachweis der Qualität einer Organisation, das Gewinnen neuer Aufträge sowie die letztendliche Verbesserung des Shareholder Value erreicht werden. Diese positiven Aspekte sollten möglichst berücksichtigt werden, wenn man den Business Case und die zugehörigen Kosten betrachtet Relevanz für das IT Management Innerhalb der IT wird Risiko jeden Tag hinsichtlich der alltäglichen Arbeiten und Services für das Business, Programmen und Projekten, Wiederherstellung im Katastrophenfalle und IT Sicherheit gehandhabt. Durch die Einbettung des Ansatzes innerhalb des IT-Betriebs ist das IT Management eher in der Lage, dessen Risiken mittels Transparenz und des Berichtswesens, die somit etabliert wären, zu handhaben. Es kann eine wichtige Herausforderung sein, eine Keine-Schuld-Kultur innerhalb der Organisation zu gewährleisten, in welcher das Personal und das Management eher bereit sind, Risiken, die mit ihrem Verantwortungsbereich zusammenhängen, zu melden Stärken und Schwächen Der Wert dieses Ansatzes wird durch die Steuerung, Transparenz und einheitliche Handhabung von Risiken innerhalb der Organisation erzielt. Sein letztendlicher Erfolg wird erzielt durch die Übernahme von erfahrenen Mitarbeitern (vorzugsweise auf Geschäftsführungsebene) innerhalb der Organisation, der Einbettung des Frameworks zur Risikohandhabung in den täglichen Geschäftsbetrieb sowie das gute, unternehmensweit vorhandene Verständnis, welches durch ein Weiterbildungs- und Schulungsprogramm erreicht wird. Zur Entfaltung seiner vollen Wirkung ist es außerdem notwendig, die Unternehmenskultur des Geschäfts zu beachten; die Veränderung des Verständnisses und der Arbeitsweise wird einer vorsichtigen Behandlung bedürfen.

6 M_o_R - Management of Risk 161 Eine weitere Herausforderung für den Erfolg von M_o_R wird in der Sicherstellung der Erfassung aller risikobezogenen Disziplinen und der resultierenden Aufgaben innerhalb einer konsolidierten Sichtweise auf Risiko liegen, da es hier eine Tendenz zur Arbeit in Silos wie der Informationssicherheit, dem Business Continuity, Gesundheit und Sicherheit, Kreditund Marktrisiko (in der Finanzbranche) geben kann, welche dazu führen könnte, dass ein Unternehmen auf höchster Ebene nicht in der Lage ist, seine tatsächliche Risikogefährdung zu ermitteln Querverweise/Beziehungen Management of Risk ist ein grundlegender Teil der Corporate Governance, der erfolgreich Elemente wie Informationssicherheit, Business Continuity sowie Gesundheit und Sicherheit verbindet. Risiko bedarf einer Handhabung in allem, was eine Organisation tut und spiegelt sich in anderen Ansätzen einschließlich PRINCE2 (Projektmanagement) und MSP (Managing Successful Programmes, Programm-Management) wider, wo es ein grundlegendes Element darstellt, welches über die gesamte Lebenszeit eines Projektes hinweg berücksichtigt werden muss Links und Literatur Bücher und Artikel zu M_o_R Chittenden, J. (2006). M_o_R - A Management Guide. Zaltbommel: Van Haren Publishing. Management of Risk: Guidance for Practitioners (2005, 4th impression). Office of Government Commerce (OGC). London: TSO Webseiten zu M_o_R - Website des European Corporate Governance Institute (ECGI). Berichte und Richtlinien zur Corporate Governance aus der ganzen Welt, einschließlich der britischen Turnbull-, Combined Code-, Hampel-, Greenbury- und Cadbury- Dokumentationen können hier gefunden werden. - Details des Integrated Prudential Sourcebook (PSB) der FSA können hier gefunden werden. - die Sarbanes-Oxley-Referenz-Webseite. - die Webseite der Bank for International Settlements (BIS). Hier können weitere Details zu Basel II gefunden werden. - hier bietet das Office of Government Commerce (OGC) einen Risiko-Werkzeugkasten. - durch diesen Link kann die APM Group, welche Akkreditierungen für die OGC Management of Risk-Qualifikationen bietet, erreicht werden. - das Institute of Risk Management. - das Institute of Operational Risk. - Global Association of Risk Professionals. - das nationale, britische Forum für Risikomanagement im öffentlichen Sektor.

7 162 Frameworks für das IT Management Training zu M_o_R Ein anerkannter Kurs und Qualifizierungen zu M_o_R einschließlich Foundation- und Practicioner-Prüfungen sind bei anerkannten Schulungsorganisationen (Accredited Training Organizations, ATOs) verfügbar.

8 IV Impressum Titel: Eine Veröffentlichung von: Redaktion: Verlag: Frameworks für das IT Management itsmf International Jan van Bon (Chefredakteur) Tieneke Verheijen (Redakteurin) Van Haren Publishing, Zaltbommel, ISBN(13): Auflage: Design und Layout: Druck: Originalversion in Englische Sprache Frameworks for IT Management Erste Ausgabe, erste Auflage, September 2006 Erste Ausgabe, zweite Auflage, November 2006 Deutsche Übersetzung: Erste Ausgabe, erste Auflage, September 2007 CO2 Premedia, Amersfoort - NL Wilco, Amersfoort - NL Für weitere Informationen über Van Haren Publishing senden Sie bitte eine an: info@vanharen.net Das itsmf International hat durch ihr International Publications Executive Sub Committee (IPESC), das sich aus einem Ausschuss von Mitgliedern globaler itsmf-landesverbände zusammensetzt, diesem Buch die formale Befürwortung des itsmf International zuteil werden lassen. itsmf International 2006 Alle Rechte vorbehalten. Kein Teil dieses Werkes darf in irgendeiner Form, sei es durch Druck, Fotokopie, Mikrofilm oder in einem anderen Verfahren ohne vorherige schriftliche Genehmigung des Verlages reproduziert oder verarbeitet, übersetzt, vervielfältigt oder verbreitet werden. Obwohl diese Veröffentlichung mit großer Sorgfalt zusammengestellt wurde, übernehmen weder die Autoren noch die Herausgeber oder der Verlag eine Haftung für Schäden, die infolge von eventuellen Fehlern oder Unvollständigkeiten in dieser Veröffentlichung entstehen. HINWEISE AUF EINGETRAGENE WARENZEICHEN PRINCE2, M_o_R and ITIL sind Registered Trade Marks und Registered Community Trade Marks des Office of Government Commerce und sind im U.S. Patent and Trademark Office registriert. CobiT ist ein eingetragenes Warenzeichen der/des Information Systems Audit and Control Association (ISACA)/IT Governance Institute (ITGI). Das PMBoK ist ein eingetragenes Warenzeichen des Project Management Institute (PMI). etom ist ein eingetragenes Warenzeichen des TeleManagement Forum.