Wie man Risiken in GlobalSuite® verwaltet

Phasen des Risikomanagements

Risikomanagement

Um die Verwaltung der identifizierten Risiken durchzuführen, bietet GlobalSuite® die Option „ Risikoverwaltung“, in der eine Liste aller zu behandelnden Risiken angezeigt wird, die mit den entsprechenden Elementen sowie den anzuwendenden Behandlungsplänen verknüpft sind.

Die Liste der zu behandelnden Risiken (zugänglich innerhalb einer spezifischen Risikoanalyse) hängt vom im akzeptablen Risikoniveau (ARL) definierten Niveau in der Risikoanalyse ab. Konkret wird dies im Tab „ Allgemeine Informationen“ definiert.

Das Ziel des Risikomanagements ist es, verschiedene Arten von Kontrollen oder Behandlungsmaßnahmen mit den identifizierten Risiken zu verknüpfen, um diese Niveaus zu minimieren.

Sobald alle Kontrollen oder Behandlungsmaßnahmen identifiziert sind, kann deren Monitoring durchgeführt werden, um den Status des Prozesses aktuell zu halten.

Schritt 1

Um auf die Risikoverwaltung zuzugreifen, muss die Option „ Risikoverwaltung“ im Tab „ Analyse“ ausgewählt werden. Nach der Auswahl der Risikoanalyse zeigt GlobalSuite® den Tab „ Planung des Risikomanagements“ an.

Im oberen Bereich dieses Tabs wird die Liste der Elemente und zugehörigen Risiken angezeigt, die ein Risikoniveau über dem akzeptablen Niveau (ARL) haben. Neben den standardmäßig angezeigten Risiken (die das ARL überschreiten) können auch andere Risiken angezeigt werden, indem die Schaltfläche „Alle anzeigen“ gedrückt wird.

Zusätzlich enthält GlobalSuite® zwei weitere Tabs, um das Monitoring des Behandlungsplans durchzuführen und die Projektion der Risiken nach der Implementierung der Kontrollen zu realisieren.

Schritt 2

Die Definition des Risikobehandlungsplans erfolgt im Tab „Planung des Risikomanagements“. Dafür stehen zwei Hauptbereiche zur Verfügung: der obere Bereich, in dem die Risiken und Risikoniveaus angezeigt werden, und ein unterer Bereich, in dem die Kontrollen festgelegt werden. Im unteren Bereich gibt es zwei Haupttabs:

• Behandlungsplan: Ermöglicht die Erstellung neuer Kontrollen oder Behandlungsmaßnahmen, die später den im oberen Bereich identifizierten Risiken zugeordnet werden.

• Vorgeschlagene Kontrollen: Bietet eine Liste der von GlobalSuite® vorgeschlagenen Kontrollen basierend auf den definierten Katalogen. Die vorgeschlagenen Kontrollen hängen von jedem Risiko ab.

Schritt 3

Die Festlegung von Kontrollen und Behandlungsmaßnahmen kann durch Drücken der Schaltfläche „ Neu“ erfolgen. Beim Drücken erscheint eine neue Zeile, über die ein Formular zur vollständigen Definition der Kontrolle durch Klicken auf ihren Namen aufgerufen werden kann. Nach dem Aufrufen erscheint ein ergänzendes Fenster, in dem die Optionen in folgende Abschnitte unterteilt sind:

• Allgemeine Daten: Ermöglicht die Beschreibung des Plans durch folgende Daten:

  • Name, Kontrolle, Aktion, Ressourcen, Kommentare und Beobachtungen: beschreibende Felder.

  • Verantwortlicher (intern, aus der Mitarbeiterliste) oder ein anderer Verantwortlicher (Text) für die Implementierung.

  • Frist: Geplantes Abschlussdatum des Plans. Basierend auf diesem Datum können Benachrichtigungen gesendet werden.

  • Kosten, die sich aus der Implementierung ergeben (numerisches Feld).

• Allgemeine Bewertung: Ermöglicht die Bewertung der Dimensionen des Plans, die für die Anzeige im Behandlungsplan konfiguriert wurden.

• Indikatoren: Ermöglicht die Verknüpfung eines oder mehrerer Indikatoren, die im Abschnitt ‚ScoreCard/Indikatoren‘ definiert sind.

• Aktionen: Ermöglicht die Festlegung der Aufgaben, die für die Implementierung der Kontrolle oder Behandlungsmaßnahme erforderlich sind.

  • Frist: Geplantes Abschlussdatum der Aktion. Basierend auf diesem Datum können Benachrichtigungen gesendet werden.

  • Enddatum: Tatsächliches Datum, an dem die Aktion abgeschlossen wurde.

• Risiken: Ermöglicht die Abfrage der Risiken, die durch den definierten Plan (Kontrolle) behandelt werden.

• Betroffene Elemente: Ermöglicht die Abfrage der Elemente, die von der definierten Kontrolle betroffen sind.

• Nachweise: Ermöglicht die Verknüpfung eines oder mehrerer Nachweise mit dem Behandlungsplan, der definiert wird. Über die Schaltfläche "Nachweise verknüpfen" wird ein Popup-Fenster geöffnet, das alle in der Option "Nachweisverwaltung" des Analysemenüs registrierten Nachweise enthält. Es können ein oder mehrere Nachweise aus der Liste verknüpft werden.

• Automatische Benachrichtigungen: Es ist möglich, Benachrichtigungen unter Einhaltung bestimmter Anforderungen festzulegen.

Schritt 4

Im unteren Tab „ Vorgeschlagene Kontrollen“ ermöglicht GlobalSuite® die Verknüpfung von Kontrollen und Behandlungsmaßnahmen, die sich auf die Risiko- und Schwachstellenkataloge der Organisation beziehen.

Um die Kontrollen auszuwählen, ist es notwendig, sowohl die „ Kategorie“ des Elements als auch das entsprechende „ Risiko“ zu bestimmen. Diese Auswahl kann über Dropdown-Listen oder durch direkte Auswahl des Risikos im oberen Bereich erfolgen.

Schritt 5

Zusätzlich zu den vorherigen Punkten bietet GlobalSuite® mehrere Optionen, die die Ausführung anderer Aufgaben ermöglichen. Diese Optionen werden im oberen Bereich der Option „Risikoverwaltung“ angezeigt:

Verknüpfen und Entknüpfen: Ermöglicht die Verknüpfung von Kontrollen sowie die entsprechende Trennung zwischen diesen und den Risiken.

Anzeigen: Ermöglicht das Filtern der anzuzeigenden Risiken im oberen Bereich der Option. Für die Filterung stehen verschiedene Merkmale zur Verfügung.

• Alle anzeigen: Zeigt alle analysierten Risiken an.

• Überschreiten ARL: Zeigt die Risiken an, die das akzeptable Risikoniveau überschreiten.

• Akzeptabler Prozentsatz: Zeigt die Risiken an, die das für die Behandlung festgelegte Niveau nicht überschreiten.

• Alle anzeigen (Ohne Kontrolle): Zeigt alle Risiken an, für die keine Kontrollen festgelegt wurden.

• Überschreiten ARL (Ohne Kontrolle): Zeigt die Risiken an, die das erlaubte Niveau überschreiten und für die keine Kontrolle zur Behandlung festgelegt wurde.

• Akzeptabler Prozentsatz (Ohne Kontrolle): Zeigt die Aspekte ohne zugeordnete Kontrolle an, die keine operativen Kontrollen haben.

• Dimensionen anzeigen: Ermöglicht die Auswahl der quantitativen/qualitativen Dimensionen, die in der Tabelle angezeigt werden, sowohl für die Elemente, die Risiken als auch die Kontrollen.

• Attribute anzeigen: Ermöglicht die Auswahl der textuellen Dimensionen, die in der Tabelle angezeigt werden, sowohl für die Elemente, die Risiken als auch die Kontrollen.

• Download: Ermöglicht den Download der definierten Risiko- und Kontrollliste in einem Excel-Bericht.

• Abhängigkeiten: Zeigt die Abhängigkeiten der ausgewählten Elemente an.

Schritt 6

Um die Verknüpfung der Kontrollen mit den Risiken durchzuführen, ist es notwendig, sowohl die Kontrolle in der unteren Option als auch das mit dem Element verknüpfte Risiko im oberen Bereich auszuwählen.

Nach der Auswahl beider Optionen muss die Schaltfläche „ Verknüpfen“ gedrückt werden, sodass die festgelegte Kontrolle automatisch im oberen Bereich verknüpft wird. Diese Kontrolle kann auf einer niedrigeren Ebene als das behandelte Risiko eingesehen werden.

Schritt 7. Monitoring des Behandlungsplans

Beim Zugriff auf den Tab „ Monitoring des Behandlungsplans“ kann das Monitoring jeder Kontrolle durchgeführt werden. Um den Fortschritt einer Kontrolle anzuzeigen, muss der Status jeder Aktion der Kontrolle aktualisiert werden, wodurch die Fortschrittsleiste aktualisiert wird.

Die Status können über Einstellungen > Methoden > Elemente konfiguriert werden:

In der Ansicht „ Monitoring des Behandlungsplans“ können neben der Bewertung der Behandlungspläne und vorgeschlagenen Kontrollen durch Änderung des Status der sie bildenden Aktionen auch der Bericht im docx-Format heruntergeladen und die vollständigen Kontrollen implementiert werden.

Die vorgeschlagenen Kontrollen oder Behandlungspläne, die keine Aktionen haben, werden bereits zu 100 % abgeschlossen angezeigt.

Sobald die Aktionen einer Kontrolle oder eines Plans zu 100 % abgeschlossen sind, können die Kontrollen mit der Schaltfläche „Vollständige Kontrollen implementieren“ in die Liste der Systemkontrollen als implementierte Kontrollen verschoben werden, und die Aktionen, die sie hatten, werden gelöscht, da sie abgeschlossen sind.

Aus diesem Grund wird empfohlen, vor der Implementierung der Kontrollen eine Historie zu erstellen, um die Informationen zu den Aktionen nicht zu verlieren.