Continuity Management News » Risikomanagement

A long way to a risk-aware culture

Matthias Haemmerle — Wed, 25 Jan 2012 09:41:44 +0000

“Focus on enterprise-wide risk management has grown, but most executives feel their companies still have a long way to go in building an effective, risk-aware culture.”, so eines der zentralen Ergebnisse der Studie zu Risk Management der Harvard Business Review sponsored by Zurich.

[Risk Management in a Time of Global Uncertainty (pdf)]

Welche Risiken sehen die Unternehmen für 2012? Die aktuelle Studie des BCI zu den Top-Risiken

Matthias Haemmerle — Thu, 19 Jan 2012 14:39:20 +0000

Das Business Continuity Institute BCI hat im Dezember 2011 458 Organisationen aus 49 Ländern und 15 Branchen zu der Einschätzung von 28 Risiken befragt. In den Ergebnissen der Studie “Horizon Scan 2012″ über alle Branchen und Länder hinweg rangieren die Risiken

ungeplante IT- und Telekommunikations-Ausfälle
Datenverlust
Cyber Attacken

an der Spitze der eingeschätzten Bedrohungen. Im verarbeitenden Gewerbe wird das Risiko einer Lieferunterbrechung vor allen anderen Risiken gesehen. Japan und Thailand habe die Bedeutung dieser Risiken in 2011 sehr deutlich werden lassen. Neben dem Ausfall von IT und Telekommunikation spielt das Risiko von Produktfehlern im produzierenden Gewerbe eine besonders bedeutende Rolle. Während Behörden eher Unwetter und den Ausfall Personal befürchten.

[BCI Horizon Scan 2012 (pdf)]

Betriebsunterbrechungen, Naturkatastrophen und wirtschaftliche Risiken sind weltweit die größten Gefahren für Unternehmen

Matthias Haemmerle — Mon, 16 Jan 2012 08:22:49 +0000

Die Industrieversicherungssparte der Allianz AGCS hat in einer Studie, die welt online exklusiv vorliegt, weltweit die größten Gefahren für Unternehmen erhoben. Neben den ökonomischen Risiken, die weltweit vorn liegen, werden die Gefahren von Betriebsunterbrechungen und Naturkatastrophen hoch eingeschätzt. Die Top 5 -Risiken für Deutschland sind

Ökonomische Risiken
Betriebsunterbrechung (inkl. Unterbrechung der Lieferketten)
Komplexitätsrisiken
Reputationsrisiken
Legale / regulatorische Risiken.

Komplexitätsrisiken (Planungs-, Konstruktionsfehler, erhöhte Komplexität von Projekten und Organisationen) kommen nur in Deutschland unter die TOP 5 Risiken. Dafür wird in Deutschland die Gefahr von Naturkatastrophen nicht so hoch eingeschätzt wie zum Beispiel in den Nachbarländern Frankreich und Großbritannien. Die Gefahr von Betriebsunterbrechungen rangiert weltweit unter die TOP 3 Risiken.

[Studienergebnisse der AGCS (pdf)]

Gut verpackt: BCM

K-R-Mueller — Fri, 25 Nov 2011 09:31:49 +0000

Nicht immer steht Business Continuity Management auf der „Verpackung“ – und trotzdem ist es drin. Das zu berücksichtigen, hilft, Defizite zu vermeiden. Ein Beispiel dafür ist das Risikomanagement. Denn es umfasst nicht nur die Ermittlung der Risikotragfähigkeit und des gewünschten Risikoniveaus, sondern auch deren Einhaltung. Um die Risikotragfähigkeit bzw. das geforderte Risikoniveau nicht zu überschreiten, sind Früherkennung, Überwachung und Steuerung sowie Maßnahmen zur Risikominderung erforderlich. Derartige Maßnahmen können präventiver oder auch reaktiver Natur sein. Oftmals müssen sie aus einer Kombination aus beidem bestehen, um die Handlungsfähigkeit im Notfall und den minimal erforderlichen Geschäftsbetrieb, der zudem noch zeitlich gestaffelt ist, aufrechterhalten zu können. Und damit spannt das Risikomanagement den Bogen zum BCM.

Normen und Gesetze sehen dies ähnlich. So lautet der Titel der österreichischen technischen Regel ONR 49000ff. zwar Risikomanagement für Organisationen und Systeme. Sie beschäftigt sich jedoch folgerichtig in ONR 49002-3 auch mit dem Notfall-, Krisen- und Kontinuitätsmanagement.

Nicht nur Normen, sondern auch branchenübergreifende und branchenspezifische Gesetze sowie bei Banken und Versicherungen zusätzlich die Mindestanforderungen der BaFin verwenden den Begriff Risikomanagement oder vergleichbare Bezeichnungen. Laut Aktiengesetz, hat der Vorstand „ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden.“ Gemäß Kreditwesengesetz (KWG), müssen Institute über ein Risikomanagement einschließlich eines „angemessenen Notfallkonzepts“ verfügen. Von Kapitalanlagegesellschaften fordert das Investmentgesetz (InvG) ein Risikomanagement. Die Mindestanforderungen an das Risikomanagement, kurz MaRisk, verlangen von Instituten und von Investmentgesellschaften ein Notfallkonzept mit Geschäftsfortführungs- und Wiederanlaufplänen, also Teile eines BCM. Das Versicherungsaufsichtsgesetz (VAG) fordert von Versicherungen ein Risikomanagement. Die MaRisk für Versicherungen führt aus, dass Unternehmen durch eine Notfallplanung Vorsorge zu treffen haben.

Diese Beispiele zeigen, dass auch aus Sicht der Normierungsgremien und des Gesetzgebers sowie der BaFin das Risikomanagement auf das BCM angewiesen ist, um Risiken auf das geforderte Niveau bringen zu können. Dies erfordert zumindest ein enges Zusammenspiel zwischen dem Risikomanagement und dem BCM, das auch organisatorisch abzubilden ist.

Literatur / Quellen:

Gesetze

Aktiengesetz, 9.12.2010

Investmentgesetz, 22.6.2011

Kreditwesengesetz, 22.6.2011

Versicherungsaufsichtsgesetz, 1.3.2011

Aufsichtsbehördliche Anforderungen

InvMaRisk, BaFin, 30.06.2010

MaRisk, BaFin, 15.12.2010

MaRisk VA, BaFin, Rundschreiben 3/2009

Normen / Standards

ONR 49000ff., Risikomanagement für Organisationen und Systeme (s. a. ISO 31000, Risikomanagement)

ONR 49002-3, 01.01.2010

Bücher

Klaus-Rainer Müller, Handbuch Unternehmenssicherheit, VIEWEG+TEUBNER, 2010

World Risk Report 2011: welche Länder sind durch Naturkatastrophen am stärksten gefährdet

Matthias Haemmerle — Tue, 06 Sep 2011 08:21:51 +0000

Das WorldRiskIndex Projekt der Universität der UN in Bonn hat mit dem WorldRiskIndex ein Verfahren entwickelt, mit dem die Gefährdung von Ländern durch Naturkatastrophen eingeschätzt werden kann. In den Index geht auf der einen Seite die Eintrittswahrscheinlichkeit einer Naturkatastrophe ein, auf der anderen Seite aber auch die Fähigkeit des Landes mit der Folgen einer Naturkatastrophe umzugehen. Im WorldRiskReport 2011 wurden die Risiken von 173 Ländern weltweit analysiert. Auf dem WorldRiskIndex ganz oben stehen Länder aus Asien und Lateinamerika. Vanuatu, Tonga und die Philippinen führen den Index der Länder mit den höchsten Risiken an. Die verwundbarsten Länder liegen jedoch in Afrika und Asien (Afghanistan, Niger, Tschad). Deutschland liegt auf Rang 150, am sichersten scheint man in Quatar aufgehoben zu sein (Rang 173).

BSI stellt webbasiertes Grundschutztool GSTOOL 5.0 vor

Matthias Haemmerle — Mon, 05 Sep 2011 20:20:16 +0000

Das Bundesamt für Sicherheit in der Informationstechnik BSI hat das GSTOOL für die neue Version 5.0 völlig neu programmieren lassen. Das GSTOOL ist jetzt webbasiert, plattformunabhängig und basiert auf einer Oracle-Datenbank. Das BSI stellt die neue Lösung auf dem IT-Grundschutztag am 12.10.2011 im Rahmen der IT-Security Messe (it-sa) in Nürnberg vor. Neben der Vorstellung des Tools gibt es Berichte der Beta-Tester sowie interessante Fachvorträge. Anmeldungen zum IT-Grundschutztag sind auf der Internetseite des BSI möglich.

Kommentare

6. September 2011, BSI stellt webbasiertes Grundschutztool GSTOOL 5.0 vor … schreibt: [...] hier den Originalbeitrag weiterlesen: BSI stellt webbasiertes Grundschutztool GSTOOL 5.0 vor … [...]

Wie objektiv kann die Einschätzung von Risiken sein?

Matthias Haemmerle — Tue, 23 Aug 2011 07:29:20 +0000

Auch wenn das quantitative Risikomanagement rational und objektiv erscheint, ist letztendlich die Einschätzung von Risiken doch stark subjektiv geprägt. Im Lesezeichen “So vermeiden Sie Katastrophen” hatte ich auf den Beitrag von Tinsley, Dillon und Madsen im Harvard Business manager hingewiesen, in dem beschrieben wird, wie uns Effekte der selektiven Wahrnehmung der Chance berauben Katastrophen rechtzeitig wahrzunehmen. In seinem Beitrag “Illusion der Risikokontrolle” beschreibt Dipl. Psych. Johannes Wadle auf RiskNET anhand praktischer Beispiele wie subjektiv am Ende doch die Einschätzung von Risiken ist. Am Beispiel des Risikos beim Fliegen durch einen Absturz ums Leben zu kommen zeigt Wadle auf, dass das Risiko von verschiedenen Personen völlig unterschiedlich wahrgenommen wird und in der Konsequenz zu anderem Verhalten führt (Flugangst und Vermeidung von Flügen im Gegensatz zum Gefühl der Sicherheit beim Fliegen). Was lernen wir hieraus? Die Messung von Eintrittswahrscheinlichkeiten und Schadensfolgen ist eine wichtige Grundlage für das Management von Risiken. Subjektive Wahrnehmungsfehler können jedoch zu falschen Konsequenzen und damit zu Katastrophen führen, wenn zum Beispiel Fehler mehrfach ohne Folgen bleiben bis sie dann eines Tages zur Katastrophe führen. Diese subjektiven Wahrnehmungsfehler zu erkennen und zu korrigieren ist mit Aufgabe des Managements von Risiken. Gerade im Business Continuity Mangement führt dies manchmal zur Situation, dass der Business Continuity Manager auf Unverständnis oder gar Ablehnung im Unternehmen stösst, wenn er auf Risiken hinweist, die bislang nicht gesehen werden (wollten oder konnten). Eine kleine Hilfe für den BC Manger ist in diesen Situationen zu wissen, dass es keine böse Absicht ist, oder gar gegen ihn persönlich gerichtet ist, sondern verbreitete psychologische Wahrnehmungsfehler, die dazu geführt haben, dass Risiken nicht als solche wahrgenommen wurden. Aus Japan kam der Trend zur Fehlerkultur. Auch hinsichtlich der Risikokultur können wir aus den tragischen Ereignissen in Japan lernen, wo Fehler in der Erkennung von Risiken durch einen großen Tsunami nach dem Motto “was nicht sein darf, kann nicht sein”, verbunden mit einer mangelnder Aufsicht, zum Tod vieler Menschen geführt hat.

Kommentare

23. August 2011, Thomas Schildbach schreibt: Ein sehr lesenswerter Artikel...die realistische Einschaetzung von Risiken ist letztendlich ein entscheidender Aspekt des Risikomanagement. Das Verstehen der Psyche des Entscheidungstraegers / Resourcengebers ist wohl bei der Riskoillustration bisweilen entscheidend. Daher sind diese Artikel sehr hilfreich. Wie "tickt" man und wie kann man dies vielleicht nuetzen bzw. Informationen darstellen. Der genannte Artikel ist Teil 3 einer 4-teiligen Reihe. In den anderen Teilen wird z.B dargestellt, dass Menschen sich eine Realitaet konstruieren und dann nur Informationen akzeptieren, die dieser Realitaet entsprechen. Ein weiterer interessanter Artikel ist "Flirting with Disaster" von FM Global (http://www.fmglobal.com/assets/pdf/P07001_0311e.pdf)

Lesezeichen: “So vermeiden Sie Katastrophen”, HBM 06/2011

Matthias Haemmerle — Thu, 18 Aug 2011 07:15:00 +0000

Katastrophen werden in der Regel durch zahlreiche kleine Fehler vorher angekündigt. Wer auf diese “schwachen Signale” achtet, kann Krisen vermeiden. Dies ist das Thema des sehr lesenswerten Artikels zum Risikomanagement im Harvard Business Manager. An den Beispielen “Ölkatastrophe von BP im Golf von Mexiko”, “Antennenprobleme beim iPhone4″, “Gaspedal Toyota in den USA”, “Jetblue” sowie psychologischer Studien zeigen die Autoren auf, dass es vor Eintreten der Krise zahlreiche schwache Signale gegeben hat, die die Krise angekündigt haben. Effekte der selektiven Wahrnehmung des Menschen, die “Normalisierung” und “Outcome Bias” verhindern, dass wir diese Signale richtig deuten. Die Autoren geben uns sieben Strategien an die Hand, um diese Wahrnehmungsfehler vermindern zu können.

Das Konzept der schwachen Signale ist schon etwas älter. Ansoff hat bereits in den siebziger Jahren das Konzept der “weak signals” im Rahmen der Risikofrüherkennung beschrieben. Der Artikel überträgt die Erkenntnisse auf aktuelle Beispiele und gibt konkrete Handlungsempfehlungen. Ein klarer Lesetipp für alle Risiko- und BC Manager.

Kommentare

23. August 2011, Wie objektiv kann die Einschätzung von Risiken sein? » Continuity Management News schreibt: [...] die Einschätzung von Risiken doch stark subjektiv geprägt. Im Lesezeichen “So vermeiden Sie Katastrophen” hatte ich auf den Beitrag von Tinsley, Dillon und Madsen im Harvard Business manager [...]

Wie hoch ist die Eintrittswahrscheinlichkeit des Einschlags eines Asteroiden oder Kometen?

Matthias Haemmerle — Tue, 02 Aug 2011 05:30:35 +0000

Ob die Wahrscheinlichkeit eines Kometen- oder Asteroideneinschlags zugenommen hat, ist wahrscheinlich (und hoffentlich) nicht von persönlichem Interesse für uns, für die Menschheit kann dies jedoch von existentieller Bedeutung sein. Die Dinosaurier sollen vor 65 Millionen Jahren wegen eines solchen Einschlags ausgestorben sein und die Erde ist mit 200 Kratern früherer Einschläge bedeckt. In einer neuen Untersuchung von Coryn Bailer-Jones vom Max-Planck-Institut für Astronomie (MPIA) wurde jetzt geprüft, ob die Einschlagswahrscheinlichkeit zu- oder abnimmt. Ob wir in Zukunft öfter mal gen Himmel blicken müssen, verrät dieser Artikel.

Vom Möglichen und Wahrscheinlichen – Schnittstellen zwischen BCM und Risikomanagement

Matthias Haemmerle — Sun, 31 Jul 2011 17:12:19 +0000

Über die Gemeinsamkeiten, Unterschiede und Schnittstellen zwischen Business Continuity Management und Risikomanagement wird derzeit heftig diskutiert. Wichtig bei dieser fruchtbaren – manchmal aber auch furchtbaren -Diskussion, ist aus meiner Sicht die Gemeinsamkeiten und Unterschiede der beiden Disziplinen herauszuarbeiten um Synergien identifizieren zu können. Eine augenfällige Schnittstelle ist die Phase Risiko-Analyse oder Risk-Assessment im BCM-Lifecycle (RIA). Hier steckt das Risikomanagement bereits in der Begrifflichkeit und die Schnittstellen zum Risikomanagement sind offensichtlich. Gibt es in der RIA des BCM also Unterschiede zum Risikomanagement bei der Behandlung operationeller Risiken (OpRisk) oder wird hier Doppelarbeit betrieben – auf dem Rücken der Fachabteilungen? Das Management operationeller Risiken baut auf einem Katalog bekannter Risikoszenarien auf. In branchenbezogenen und/oder branchenübergreifenen Szenariosammlungen finden sich Hunderte von Risikoszenarien, die Ursachen für Risikoereignisse und die potentiell zu Schadensfällen werden können. In Schadenfalldatenbanken werden bereits über Jahre eingetretene Schadensfälle gesammelt mit Informationen über die jeweiligen Ursachen und Schadensfolgen der Schadensereignisse. Auf Basis dieser gesammelten Daten können dann statistische Eintrittwahrscheinlichkeiten und Schadenshöhen für die Schadenszenarien ermittelt werden. Eine beliebte Ergebnisdarstellung ist die Risikomatrix, die Eintrittwahrscheinlichkeit und Schadenhöhe der Szenarien in Bezug setzt. Auf Basis dieser Ergebnisse können schadensmindernde Vorsorgemaßnahmen entschieden und durchgeführt sowie Eigenkapital gemäß Basel II (später Basel III) für die Risiken hinterlegt werden. Auch das Business Continuity Management hat die Vorsorge in Form der Notfallvorsorge und Notfallplänen zum Ziel. Jedoch werden im BCM nicht alle möglichen Schadenszenarien betrachtet, sondern nur Szenarien, die eine Geschäftsunterbrechung zur Folge haben können, d.h. Extremszenarien oder worst-case-Szenarien. Da im BCM die Wirkung der Szenarien auf die Geschäftsprozesse entscheidend ist, hat sich eine Wirkungs-bezogene Definition der Szenarien durchgesetzt (Ausfall Personal, Gebäude, Betriebsmittel, IT, Dienstleister etc.). Hinzu kommt, dass durch das seltene Auftreten dieser Ereignisse keine Datenbasis für Eintrittswahrscheinlichkeiten vorliegt. Dies ist auch unerheblich, da für geschäftsunterbrechende Szenarien immer vorgesorgt werden muß, unabhängig von der Wahrscheinlichkeit des Eintretens. Bei der Notfallvorsorge geht es in erster Linie darum, mögliche Szenarien zu identifizieren, die zu einer Geschäftsunterbrechung führen können. Wie so oft lassen sich diese unterschiedlichen Blickrichtungen von Risikomanagement und BCM im Englischen sprachlich schärfer differenzieren zwischen “probability” für die Betrachtung der Eintrittswahrscheinlichkeiten im Risikomanagement und “possibility” für die Betrachtung der möglichen Ursachen für Geschäftsunterbrechungen im BCM.

Diese Ausführungen sollen jetzt allerdings nicht zu dem vorschnellen Schluß verleiten, daß BCM und Risikomanagement zwei voneinander unabhängige Disziplinen sind. Im Gegenteil, viele methodischen Vorgehensweisen und Instrumente sind adaptierbar. Dies ist auch dringend notwendig, um gegenüber den Fachabteilungen nicht doppelgleisig auftreten zu müssen und den Nutzen beider Risikobetrachtungen argumentieren zu können. Beide Disziplinen müssen sauber miteinander verzahnt werden, nachdem Ziele, Methoden und vorgehen auf Schnittstellen und Synergien überprüft wurden. Viel Dialog wird hierzu in Zukunft noch notwendig sein. Packen wir es an …

Continuity Management News » Risikomanagement

A long way to a risk-aware culture

Ähnliche Beiträge

Welche Risiken sehen die Unternehmen für 2012? Die aktuelle Studie des BCI zu den Top-Risiken

Ähnliche Beiträge

Betriebsunterbrechungen, Naturkatastrophen und wirtschaftliche Risiken sind weltweit die größten Gefahren für Unternehmen

Ähnliche Beiträge

Gut verpackt: BCM

Ähnliche Beiträge

World Risk Report 2011: welche Länder sind durch Naturkatastrophen am stärksten gefährdet

Ähnliche Beiträge

BSI stellt webbasiertes Grundschutztool GSTOOL 5.0 vor

Kommentare

Ähnliche Beiträge

Wie objektiv kann die Einschätzung von Risiken sein?

Kommentare

Ähnliche Beiträge

Lesezeichen: “So vermeiden Sie Katastrophen”, HBM 06/2011

Kommentare

Ähnliche Beiträge

Wie hoch ist die Eintrittswahrscheinlichkeit des Einschlags eines Asteroiden oder Kometen?

Ähnliche Beiträge

Vom Möglichen und Wahrscheinlichen – Schnittstellen zwischen BCM und Risikomanagement

Ähnliche Beiträge