THEMEN: 01 Wertschöpfung durch Risikomanagement? 02 CRISAM FV Remote Interface 03 Erfolge messbar machen - Key Performance Indicators 04 CRISAM Risikomanagement Symposium am blue danube airport linz 01 Sehr geehrte Geschäftsfreunde! Zu Beginn dieses Newsletters erzählt Ihnen Manfred Stallinger, wie man mit einem unternehmensweiten Risikomanagement den Geschäftserfolg steigern kann. Danach präsentieren Ihnen Günther Angerbauer und Enikö Kovács die jüngste Entwicklung - das CRISAM FV Remote Interface, mit dem es möglich wird, das Risikomanagement dezentral über eine Weboberfläche durchzuführen. Thomas Danninger zeigt Ihnen anschließend, wie Sie mit den Key Performance Indicators in CRISAM Ihre Erfolgsfaktoren optimal ins Blickfeld rücken. Im Namen des CRISAM Teams wünsche ich Ihnen viel Spass bei der Lektüre und positive Energie für die kommenden Monate! Ihre Mag.a Anita Wenigwieser calpana business consulting gmbh Wertschöpfung durch Risikomanagement? Risikomanagement - ein notwendiges Übel, das dem Unternehmen durch neue gesetzliche Bestimmungen auferlegt wird? Jede Aktivität, die dem Unternehmen Aufwand verursacht, ohne kurzoder langfristig wertschöpfend zum Unternehmensergebnis beizutragen, ist letztendlich als verlorener Aufwand und somit als Risiko zu bezeichnen. Ist nun Risikomanagement selbst ein Risiko? Eine sehr bedeutsame Frage! Wird diese mit ja beantwortet, so heißt dies, dass der Gesetzgeber den Unternehmen ein zusätzliches Geschäftsrisiko aufbürdet. Ist die Frage jedoch mit NEIN zu beantworten, so liefert Risikomanagement Wertbeiträge. Ein unternehmensweites Risikomanagement ist zu implementieren, um den Geschäftserfolg zu steigern! DDr. Manfred Stallinger, MBA Geschäftsführer Der Economic Value Added (EVA) oder Beitrag einer Maßnahme zur Gesamtwertschöpfung im Unternehmen ist jene Messgröße, mit der der Nutzen sowie die Vorteilhaftigkeit einer Investition ermittelt und beschrieben werden kann. Er stellt somit den Wertzuwachs am betrachteten Ergebnis durch den Einsatz der Maßnahme nach Abzug der dafür erforderlichen Invest-, Betriebs- und Kapitalkosten dar kurz gefasst lässt sich der EVA als Wertsteigerung abzüglich der dafür erforderlichen Kosten beschreiben. EVA = Wertsteigerung - Kosten Exakt an diesen Grundsätzen des EVA muss der Betrieb eines unternehmensweiten Risikomanagements (ERM Enterprise Risk Management) gemessen werden, um die Frage, ob nun Risikomanagement selbst ein Risiko wäre, mit NEIN beantworten zu können. Der Nutzen eines unternehmensweiten Risikomanagements muss somit an dessen Aufgaben und Zielsetzung gemessen werden. Worin liegen jedoch Aufgaben und Zielsetzung eines unternehmensweiten Risikomanagements? Nachfolgende, vom Autor verfasste Definition soll sowohl die Aufgaben, als auch die Zielsetzung des ERMs auf den Punkt bringen: Ein unternehmensweites Risikomanagement unterstützt den Vorstand / Geschäftsführer, das Portfolio von Geschäftsrisiken zu identifizieren, zu bewerten, abzuwägen, Potenziale auszunutzen, das Erreichen der Unternehmensziele sicherzustellen und Gefahren für den Fortbestand des Unternehmens zu erkennen, zu vermeiden sowie das dafür notwendige Deckungskapital auf ein erforderliches und wirtschaftliches Mindestmaß zu reduzieren. >> Lesen Sie weiter auf der nächsten Seite.
01 Aus dieser Definition können die wichtigsten Kernaufgaben wie folgt herausgefiltert werden: Das Ziel ist, den Fortbestand des Unternehmens zu sichern und das dafür erforderliche Deckungskapital zu reduzieren. Daraus resultieren die erforderlichen Aufgaben: Risiken identifizieren, Chancen nutzen und Maßnahmen aufzeigen. Der Economic Value Added (EVA), der Wertbeitrag durch Risikomanagement, muss als positive Differenz aus dem Nutzen und den dafür aufzuwendenden Kosten bewertet werden. Das Risikomanagement besitzt somit die Aufgabe, die Gefahr möglicher unvorteilhafter Abweichungen vom Planziel zu reduzieren, um das größte Gruppen- oder Klumpenrisiko im Unternehmen, die Insolvenz, auf ein für das Unternehmen adäquates Niveau zu reduzieren. Eine Insolvenz liegt immer dann vor, wenn nach Eintreten eines Schadensereignisses dem Unternehmen die erforderlichen Geldmittel nicht zur Verfügung stehen, um den Schaden zu begleichen bzw. die daraus resultierenden Folgen zu tragen und auszufinanzieren. Diese Geldmittel, nämlich das erforderliche Risikodeckungskapital, definieren sich als jene Liquidität, die für die Vermeidung einer Zahlungsunfähigkeit zum jeweiligen Zeitpunkt erforderlich ist. Die Gefahr einer Zahlungsunfähigkeit kann reduziert werden, indem entweder das Risikodeckungskapital erhöht, oder die Wahrscheinlichkeit einer Überschreitung des maximal bereitstellbaren Kapitals reduziert wird. Ein effizienter Risikomanagement-Prozess setzt exakt an dieser Stelle an. Er sucht ein ökonomisches Optimum aus Maßnahmenkosten und Risikodeckungserfordernis. Die Identifikation der ursächlich vorhandenen Unternehmensrisiken, der Kenntnis der dafür erforderlichen Geldmittel zur Risikodeckung sowie der risikoreduzierende Effekt durch den Einsatz effizienter Maßnahmen und der Ermittlung des dadurch reduzierten Risikodeckungskapitals ist Ziel des Risikomanagements. Es ist ein Risikoausgleich! Risiken werden reduziert, um gleichermaßen das Deckungskapital reduzieren zu können, ohne das Risiko einer Insolvenz zu verändern. Der Wertbeitrag zum Unternehmenserfolg durch Risikomanagement liegt dabei in den nicht mehr erforderlichen Bereitstellungskosten der durch den Optimierungsprozess reduzierten Risikodeckungs- und Maßnahmenkosten. Sicher auf Kurs ist ein Unternehmen, wenn es eine Risikomanagement-Instanz im Unternehmen implementiert hat, die den vom Kapitän, dem Vorstand oder Geschäftsführer, geplanten und gesteuerten Kurs mittels Radar und Echolot auf Gefahren und Untiefen untersucht und sofern erforderlich, Kurskorrekturen vorschlägt. Vielleicht könnte auch der Kurs Ihres Unternehmens mit Radar, GPS und Echolot an Effizienz und Zuverlässigkeit gewinnen? CRISAM (www.crisam.net) ist eine ganzheitliche Navigationshilfe, die auf Gefahren entlang ihres Kurses hinweist und hilft, diesen so zu korrigieren, dass das Ziel sicher und auch effizient erreicht wird. Der Wert eines Navi kann erst generiert werden, wenn es benutzt wird. Der Nutzen, zu wissen, wie man fahren sollte, um pünktlich ankommen und Verkehrsbehinderungen frühzeitig erkennen zu können bzw. wo noch eine Gelegenheit zum Umfahren besteht, refinanzieren die Investition und generieren die Wertschöpfung der Navigationshilfe! Nach dem Motto Jeder vermiedene Verlust ist ein Gewinn! generiert das effiziente Managen von Risiken ebenso Wertbeiträge, wie das Erkennen von Umwegen und Vermeiden von Irrfahrten.
02 CRISAM FV Remote Interface Das CRISAM FV Remote Interface ermöglicht die Durchführung eines dezentralen Risikomanagements, bei dem die Risikoverantwortlichen und -bearbeiter die ihnen zugeordneten Risiken und Maßnahmen über eine Weboberfläche aufrufen, bearbeiten und bewerten können. Die wichtigsten Merkmale des Remote Interface sind die zielgruppenorientierte Benutzeroberfläche, die aufgabenorientierten Workflows sowie die integrierte Berechtigungssteuerung. Ing. Mag. Günther Angerbauer Head of Development, Senior Consultant Zielgruppenorientierte Benutzeroberfläche Einfach. Das CRISAM FV Remote Interface bietet eine auf die Bedürfnisse der Risikoverantwortlichen und -bearbeiter angepasste, vereinfachte, intuitive und auf das Wesentliche reduzierte Sicht des Risikobewertungsprozesses. Enikő Kovács Software Developer Aufgabenorientierte Workflows Präzise. Die integrierte Workflow-Engine kann den Anforderungs-, Eingabe- und Freigabeprozess leicht definieren und implementieren. Folgende vier Bewertungszyklen werden abgedeckt: 1. Bewertung vorhandener Risiken 2. Bewertung neuer Risiken 3. Bewertungszyklus für die vom Risikomanager abgelehnten Risiken 4. Zyklus für nicht zeitgerecht durchgeführte Bewertung >> Lesen Sie weiter auf der nächsten Seite.
02 Integrierte Berechtigungssteuerung Sicher. Die Benutzer besitzen für die Durchführung der Risikobewertung nur jene Berechtigungen, welche ihren Rollen und Funktionen entsprechen. Die Verwaltung dieser Berechtigungen erfolgt einerseits durch den Systemadministrator, wobei die Rollenzuweisung mit Verwendung der Active Directory abgewickelt und dann nach Sharepoint übernommen wird. Andererseits kann auch der Risikomanager die zu bewertenden Risiken und Maßnahmen an die verschiedenen Risikoverantwortlichen zuweisen.
03 Mag. Thomas Danninger Head of Consulting, Senior Consultant Erfolge messbar machen Key Performance Indicators Key Performance Indicators sind Kennzahlen, die es ermöglichen die entscheidenden Erfolgsfaktoren optimal ins Blickfeld zu rücken. Dabei ist es das Ziel, das Management mit den wichtigen Kennzahlen zu versorgen, damit es erkennt: Werden die gesteckten Ziele erreicht? Entstehen Abweichungen, denen möglichst rasch gegengesteuert werden muss? Wo liegen die Stärken und wo bestehen noch Schwächen? Jeder Unternehmensbereich und so auch die IT sollte bei der Entwicklung seiner Key Performance Indicators darauf achten, dass erwartet wird, die geforderte Qualität ihrer Leistungen in angemessener Zeit zu möglichst geringen Kosten zur Verfügung zu stellen. Dies gilt selbstverständlich auch für ein Informationssicherheits-Management-System (ISMS). Wirklich gute Key Performance Indicators schaffen Vertrauen. Denn sie machen sichtbar, wie es um die Leistungsfähigkeit des ISMS bestellt ist. Ein Vorteil von Kennzahlen ist außerdem, dass sie einfach und klar sind. Sie erfordern keine umständliche Datenerhebung, in die sich viele Fehlermöglichkeiten oder Interpretationsspielräume einschleichen können. Sie lassen sich nach einem eindeutigen Schema berechnen und alle Mitarbeiter wissen, wie sie ermittelt werden und was sie aussagen. Dabei überfordern zu viele Kennzahlen den Anwender, denn er hätte es gerne einfach, klar und übersichtlich und am liebsten nicht mehr als eine Hand voll Kennzahlen, auf die er sich konzentrieren kann. Dazu wird in CRISAM ein umfangreiches Set an möglichen Kennzahlen zur Verfügung gestellt, aus dem die für das jeweilige Unternehmen wichtigsten KPIs ausgewählt werden können. Bereits seit Beginn der Entwicklung von CRISAM ist es möglich, das bestehende Restrisiko für das Unternehmen aus dem Einsatz der IT zu messen. Zunächst mit Hilfe des Ratingmodells nach Standard & Poors (AAA, AA, etc.), in jüngster Vergangenheit wurde es zusätzlich möglich, die Risiken monetär darzustellen. Auch die Standards ISO/IEC 27001 bzw. ISO/IEC 27004 fordern von Organisationen die regelmäßige Überprüfung der Wirksamkeit des ISMS unter Berücksichtigung der Effizienz-Messung. Gleichzeitig muss die Wirksamkeit der Kontrollen überprüft werden, um die Erfüllung der Sicherheitsanforderungen sicherzustellen. Um vergleichbare und reproduzierbare Ergebnisse zu erzielen, fordert der Standard außerdem eine Definition, wie die Wirksamkeit der definierten Kontrollen zu messen und die Wirksamkeit der jeweiligen Massnahmen zu bewerten ist. >> Lesen Sie weiter auf der nächsten Seite.
03 Die wichtigsten Ziele der Messung von Informationssicherheit: Darstellen der kontinuierlichen Verbesserung. Darstellen der Compliance (Einhaltung von Standards, Verträgen, SLAs, OLAs, etc.). Entscheidungsgrundlage für künftige Investitionen (Software, Hardware, Training, Personal, etc). Erfüllen der Forderung der ISO 27001 bzw. 27004. Schaffung von Vertrauen beim Top-Management und Stakeholdern, dass implementierte Kontrollen wirksam sind. Ihr Nutzen durch den Einsatz von Key Performance Indicators: Planung und Steuerung des ISMS wird ermöglicht oder zumindest erleichert. Erleichtert den Prozess zur Überwachung der Effektivität des ISMS. Instrument, um mit evtl. zukünftigen Problemen proaktiv umzugehen. Transparente und nachvollziehbare Ziele (Mitarbeitermotivation). Nachweis für Auditoren. Für Top-Management verständliche Aggregation. Um die kontinuierliche Verbesserung zu weiteren für das ISMS unbedingt relevanten Themen bzw. in einem noch höheren Detailierungsgrad darstellen zu können, wurde in CRISAM das neue Key Performance Indicators Modul implementiert.
04 CRISAM Risikomanagement Symposium am blue danube airport linz Das diesjährige CRISAM Risikomanagement Symposium hat am 27. Jänner stattgefunden. Zahlreiche Teilnehmer folgten wieder der Einladung von calpana business consulting GmbH, um mehr über die neuesten Entwicklungen von CRISAM zu erfahren. Die angenehme Atmosphäre wurde während der Pausen aber auch für einen regen Erfahrungsaustausch genützt. Dieses Jahr wurden jeweils parallel informative Vorträge und Praxisberichte zu den Themenbereichen Information Risk Management und Enterprise Risk Management präsentiert. Abschließend beleuchtete der aus vielen ORF und BBC Universum-Dokumentationen bekannte Natur- und Unterwasserfilmer Erich Pröll das Risikomanagement mal aus einer ganz anderen Perspektive und begeisterte mit seinen Erzählungen das Publikum! Wir haben Ihnen nachfolgend einige Impressionen von diesem tollen Tag zusammengestellt!