Risikoidentifikation und Risikobeurteilung – IKS

Man analysiert Prozessziele, einzelne Schritte, Entscheidungen, Daten, Systeme, Schnittstellen und Verantwortlichkeiten. Leitfragen sind: Was kann schiefgehen, wodurch, mit welcher Auswirkung und wo könnte es unbemerkt bleiben? Workshops, Walkthroughs, Vorfalldaten, Prüfberichte und Branchenwissen ergänzen sich. Die Identifikation sollte sowohl typische Fehler als auch Betrug, Ausfälle, Rechtsverstösse und externe Abhängigkeiten berücksichtigen.

Geeignet sind Prozess- und Zielanalysen, moderierte Workshops, Interviews, Checklisten, Szenarioanalysen, Brainstorming, Bow-Tie-Analysen, Fehlerbaumanalysen und Auswertungen historischer Vorfälle. Datenanalysen können ungewöhnliche Transaktionen oder Trends sichtbar machen. Keine einzelne Methode ist vollständig. Eine Kombination aus Top-down-Sicht des Managements und Bottom-up-Wissen der Prozessbeteiligten liefert meist die beste Abdeckung.

Der Workshop benötigt ein klares Ziel, vorbereitete Prozessinformationen, geeignete Teilnehmende und ein einheitliches Bewertungsmodell. Nach Bestätigung von Prozess und Zielen werden Risiken strukturiert gesammelt, präzisiert, bewertet und bestehenden Kontrollen zugeordnet. Dominante Personen dürfen die Diskussion nicht einseitig prägen. Ergebnisse, Annahmen und offene Punkte werden dokumentiert und anschliessend von Prozessverantwortlichen sowie relevanten Fachstellen validiert.

Die Ursache erklärt, warum etwas eintreten kann, das Ereignis beschreibt, was konkret geschieht, und die Auswirkung zeigt die Konsequenz für das Ziel. Beispiel: Unzureichende Funktionentrennung ist die Ursache, eine unberechtigte Zahlung das Ereignis und ein finanzieller sowie reputativer Schaden die Auswirkung. Diese Trennung verbessert Kontrolldesign: Ursachen können präventiv, Ereignisse detektiv und Auswirkungen durch Notfallmassnahmen begrenzt werden.

Eine gute Formulierung folgt dem Muster: „Aufgrund von [Ursache] besteht das Risiko, dass [Ereignis], wodurch [Auswirkung] entsteht.“ Sie ist spezifisch genug für Bewertung und Kontrolle, ohne nur einen Einzelfall zu beschreiben. Begriffe wie „Fehlerrisiko“ oder „Compliance-Risiko“ allein sind zu vage. Auch Kontrollmängel sollten nicht als Risiko formuliert werden, weil sonst Ursache und Behandlung vermischt werden.

Die Wahrscheinlichkeit wird anhand eines definierten Zeitraums, historischer Daten, Exposition, Prozesshäufigkeit und fachlicher Einschätzung bewertet. Kategorien wie „selten“ oder „wahrscheinlich“ benötigen klare quantitative oder qualitative Beschreibungen. Bei häufigen Transaktionen kann ein Fehler pro Vorgang selten sein, insgesamt aber regelmässig auftreten. Annahmen und Datenquellen sollten dokumentiert werden, damit Bewertungen vergleichbar und später überprüfbar sind.

Finanzielle Auswirkungen umfassen direkte Verluste, Folgekosten, Sanktionen und Betriebsunterbrüche. Nichtfinanzielle Auswirkungen betreffen unter anderem Menschen, Umwelt, Recht, Reputation, Daten, Leistungserbringung und strategische Ziele. Bewertungsstufen sollten für jede Dimension konkrete Schwellen enthalten. Die Gesamteinstufung kann sich an der höchsten relevanten Dimension orientieren, damit ein geringer Geldbetrag ein schweres Datenschutz- oder Integritätsproblem nicht verharmlost.

Drei- bis fünfstufige Skalen sind für die meisten Organisationen ausreichend. Jede Stufe sollte verständliche Kriterien für Wahrscheinlichkeit und mehrere Auswirkungsdimensionen enthalten. Zu feine Skalen erzeugen Scheingenauigkeit, besonders ohne belastbare Daten. Das Modell muss einheitlich angewendet, geschult und periodisch kalibriert werden. Für spezielle Risiken können ergänzende quantitative Modelle sinnvoll sein.

Qualitative Bewertungen eignen sich, wenn Daten begrenzt sind, viele unterschiedliche Risiken verglichen werden oder eine erste Priorisierung benötigt wird. Quantitative Ansätze sind sinnvoll, wenn ausreichende Daten, finanzielle Modelle oder klare Häufigkeiten bestehen. Häufig ist eine Kombination optimal: qualitative Gesamtsicht und quantitative Vertiefung für wesentliche Risiken. Zahlen sollten nicht mehr Genauigkeit vortäuschen, als Daten und Annahmen tatsächlich erlauben.

Kontrollen sind erforderlich, wenn Risiken gesetzlich zwingend zu behandeln sind oder das erwartete Restrisiko ohne Massnahmen über der genehmigten Toleranz liegt. Auch qualitative Faktoren wie Integrität, Sicherheit oder Datenschutz können eine Kontrolle unabhängig vom Betrag verlangen. Für akzeptierte Risiken braucht es eine dokumentierte Entscheidung durch die zuständige Stelle. Geringe Risiken können durch einfache Überwachung oder bewusste Akzeptanz behandelt werden.

Risiken werden nach gemeinsamen Ursachen, Zielen, Prozessen, Einheiten oder Szenarien gruppiert. Abhängigkeiten, Korrelationen und mögliche Kumulierung sind zu berücksichtigen, statt Bewertungen einfach zu addieren. Ein kleines Risiko in vielen Einheiten kann konzernweit wesentlich werden. Dashboards und Heatmaps unterstützen die Darstellung, sollten aber durch erläuternde Analysen zu Konzentrationen, Trends und Wechselwirkungen ergänzt werden.

Emerging Risks werden durch Umfeldbeobachtung, Strategieprozesse, Technologie- und Rechtsmonitoring, Branchenkontakte, Szenarioanalysen und Mitarbeitendenfeedback erkannt. Da historische Daten oft fehlen, sind Bandbreiten und Annahmen wichtiger als exakte Punktewerte. Frühindikatoren und Verantwortliche werden festgelegt. Die Bewertung sollte häufiger aktualisiert werden, bis das Risiko besser verstanden und in reguläre Prozesse überführt ist.

Betrugsrisiken werden separat und mit Blick auf Anreiz, Gelegenheit und Rechtfertigung analysiert. Besonders zu prüfen sind Management Override, Interessenkonflikte, Stammdaten, Zahlungen, Umsatz, Spesen und sensible Berechtigungen. Kontrollen umfassen Funktionentrennung, unabhängige Reviews, Datenanalysen, Hinweisgebersysteme und konsequente Untersuchung von Auffälligkeiten. Auch Absprachen mehrerer Personen und gefälschte Nachweise sind in Szenarien einzubeziehen.

Bewertet werden Vertraulichkeit, Integrität und Verfügbarkeit von Systemen und Daten sowie Abhängigkeiten von Infrastruktur und Dienstleistern. Bedrohungen, Schwachstellen, mögliche Angriffspfade und geschäftliche Auswirkungen werden kombiniert betrachtet. Kritische Assets und Prozesse erhalten Priorität. Die Bewertung sollte mit Informationssicherheits- und Business-Continuity-Prozessen abgestimmt sein und nach Vorfällen, technischen Änderungen oder neuen Bedrohungen aktualisiert werden.

Kriterien sind Leistungs- und Datenkritikalität, finanzielles Volumen, Zugriff auf Systeme, Konzentrationsrisiko, Standort, Unterauftragnehmer, Compliance, Cyberreife und Ersetzbarkeit. Vor Vertragsabschluss erfolgt eine Due Diligence; danach werden Leistung und Kontrollen risikobasiert überwacht. Kritische Partner benötigen Notfall- und Exit-Pläne. Eine einmalige Selbstauskunft reicht bei hohen Abhängigkeiten nicht aus.

Eine formelle Gesamtbeurteilung sollte mindestens jährlich erfolgen. Wesentliche Risiken benötigen häufigere Überwachung, insbesondere bei hoher Dynamik. Zusätzlich lösen neue Systeme, Reorganisationen, Akquisitionen, Rechtsänderungen, Vorfälle oder Kontrollausfälle eine Neubewertung aus. Nicht jedes Risiko muss jedes Mal vollständig neu erfunden werden; wichtig ist die kritische Prüfung von Annahmen, Auswirkung, Wahrscheinlichkeit und Kontrollwirksamkeit.