<< Themensammlung IT-Management

Wie der Begriff nahelegt, geht es beim IT-Risk-Management darum, die mit dem Einsatz von IT verbundenen Risiken zu identifizieren, zu bewerten und zu behandeln. Das IT-Risk-Management lässt sich (wie das Risk-Management im Allgemeinen) in drei Kernfunktionen aufteilen:

An erster Stelle steht die Risikoanalyse bzw. Risikoidentifikation. Dabei müssen sämtliche Risiken möglichst vollständig erfasst werden. Im Anschluss daran werden diese Risiken beschrieben. Zwei Aspekte sind hier entscheidend: Zum einen die Auswirkungen, die sich aus den Risiken ergeben und zum anderen die Gegebenheiten, durch die das Eintreten der Risiken erkannt werden kann.

Danach findet die Quantifizierung der Risiken statt. Dafür gibt es stets zwei Dimensionen, das Ausfallvolumen und die Eintrittswahrscheinlichkeit. Werden diese beiden Werte multipliziert, ergibt sich der Risikowert.

Für den Umgang mit Risiken sind zunächst drei Arten zu unterscheiden.

• Risikovermeidung: Dabei wird die mit dem Risiko verbundene Tätigkeit eingestellt. Dies bringt allerdings auch die mit ihr verbundenen Chancen zum Stillstand.
• Risikosteuerung: Hier nimmt das Unternehmen das Risiko zwar auf sich, jedoch wird verstärkt darauf geachtet, dass das Eintreten des Risikos zeitnah erkannt wird und sofort entsprechend darauf reagiert werden kann.
• Risikoübertragung: Bei der Risikoübertragung wird das Risiko an eine dritte Instanz, beispielsweise eine Versicherung, übertragen.

Zu beachten ist an dieser Stelle, dass sich der Risikowert eventuell ändert. Denn je nachdem, wie mit den Risiken umgegangen wird, können sich das Ausfallvolumen oder die Eintrittswahrscheinlichkeit ändern.

Die Risikoüberwachung kontrolliert zum einen das Eintreten von Risiken und beschäftigt sich zum anderen mit der Steuerung bereits eingetretener Risiken. Von besonderer Bedeutung ist diese Aufgabe des IT-Risk-Management in Bezug auf solche Risiken, die bewusst eingegangen werden.

zurück|weiter