Risikomanagement
Ziel: Ziel von ITIL Risikomanagement (Risk Management) ist das Identifizieren, Bewerten und Überwachen von Risiken. Dazu gehört es, den Wert von Assets für das Unternehmen zu analysieren, mögliche Bedrohungen für diese Assets zu identifizieren und die jeweilige Gefährdung der Assets einzuschätzen.
Deutsche Bezeichnung: Risikomanagement
Teil von: Service Design
Prozess-Verantwortlicher: Risikomanager
Prozess-Beschreibung
Risikomanagement ist nicht in der offiziellen Liste der ITIL-2011-Prozesse zu finden, aber die Behandlung von Risiken wird in unterschiedlichen ITIL-Prozessen betrachtet, und ITIL fordert koordinierte Mechanismen zur Risiko-Kontrolle.
Es spricht deshalb viel für die Definition und Implementierung eines Risikomanagement-Prozesses, und bei IT Process Maps haben wir uns dafür entschieden, einen eigenen Risikomanagement-Prozesses in der ITIL®-Prozesslandkarte einzuführen. Damit wird die Verantwortung für die Risiko-Kontrolle klar geregelt, und mit der Einführung eines grundlegenden Risikomanagement-Prozesses wird auch die Basis für einen weiteren Ausbau des Risikomanagements geschaffen; ITIL empfiehlt in diesem Zusammenhang das M_o_R Framework der OGC.
Auf Grund der Einführung von Design-Koordinierung in ITIL 2011 haben sich die Datenflüsse in Risikomanagement leicht geändert. Das Übersichts-Diagramm zu ITIL Risikomanagement (.JPG) illustriert die wichtigsten Schnittstellen des ITIL-Prozesses (siehe Abb. 1).
In ITIL 4 wird "Risk Management" als eine allgemeine Management-Praktik aufgeführt.
Teil-Prozesse
ITIL Risk Management (Risikomanagement) umfasst die folgenden Teil-Prozesse:
Risikomanagement-Support
- Prozessziel: Definieren eines Rahmenwerks für das Risiko-Management. Dieser Prozess legt insbesondere fest, wie Risiken bemessen werden, welche Risiken die Organisation einzugehen bereit ist und wer für die unterschiedlichen Pflichten im Risikomanagement zuständig ist.
Business-Impact- und Risiokoanalyse
- Prozessziel: Ziel der Business-Impact- und Risiokoanalyse ist die Abschätzung der Auswirkungen bzw. der Schadenshöhe, die der Verlust eines Service oder eines IT-Assets nach sich zieht sowie Ermitteln potentieller Bedrohungen und Schwachstellen für Services und IT-Assets. Das Ergebnis dieses Prozesses ist die Erstellung eines Risikoregisters; dabei handelt es sich um eine priorisierte Liste von Risiken, für die Gegenmaßnahmen zu definieren sind.
Bestimmung der zu mindernden Risiken
- Prozessziel: Ermitteln, in welchen Bereichen Maßnahmen der Risikominderung erforderlich sind und Identifizieren von Risiko-Verantwortlichen, die für deren Implementierung und Aufrechterhaltung zuständig sind.
Risiko-Überwachung
- Prozessziel: Überwachen des Fortschritts bei der Implementierung von Vorkehrungen zur Risiko-Minderung und – falls erforderlich - Ergreifen korrigierender Maßnahmen.
Definitionen
Die folgenden ITIL-Begriffe und Acronyme (Informations-Objekte) werden in ITIL Risk Management (Risikomanagement) zur Darstellung der Prozess-Outputs und -Inputs verwendet:
Business-Impact- und Risikoanalyse
- Business-Auswirkungsanalyse (Business Impact Analysis) und Risikoanalyse sind Konzepte des Risikomanagements. Wichtigstes Ziel ist es, zu bestimmen, welche Risiken verwaltet und bei welchen Risiken Maßnahmen zur Risikominimierung ergriffen werden müssen.
Prozess- und Asset-Bewertung
- Eine Schätzung des Wertes, den ein (Geschäfts-) Prozess oder anderes Asset für das Unternehmen darstellt. Dieser Wert ist ein wichtiger Input für die Risikoanalyse.
Risikomanagement-Richtlinie
- Die Risikomanagement-Richtlinie beschreibt und kommuniziert den Ansatz der Organisation zur Beherrschung von Risiken. Insbesondere wird hier definiert, wie Risiko bemessen wird und wer Verantwortung für die verschiedenen Aufgaben im Risiko-Management trägt. Die Risikomanagement-Richtlinie wird vom Risikomanager gepflegt, aber um effektiv wirken zu können, benötigt sie Rückendeckung vom oberen Management.
Risikoregister
- Das Risikoregister ist ein vom Risikomanagement genutztes Tool, das eine Übersicht über die identifizierten Risiken und die entsprechenden Gegenmaßnahmen bietet. Das Risikoregister wird manchmal auch als Risk Log bezeichnet.
Rollen | Verantwortlichkeiten
Risikomanager - Prozess-Verantwortlicher
- Der Risikomanager ist verantwortlich für die Identifikation, Bewertung und Überwachung von Risiken. Dies umfasst eine Analyse des Wertes von Assets für das Unternehmen und die Identifikation möglicher Bedrohungen für diese Assets sowie die Einschätzung der jeweiligen Gefährdung der Assets.
| ITIL-Rolle / Teil-Prozess | Risikomanager | Andere beteiligte Rollen |
|---|---|---|
| Risikomanagement-Support | A[1]R[2] | - |
| Business-Impact- und Risiokoanalyse | AR | R[3] |
| Bestimmung der zu mindernden Risiken | AR | - |
| Risiko-Überwachung | AR | - |
Erläuterungen
[1] A: Accountable i.S.d. RACI-Modells: Verantwortlich dafür, dass ITIL Risiko-Management als Gesamt-Prozess korrekt und vollständig ausgeführt wird.
[2] R: Responsible i.S.d. RACI-Modells: Verantwortlich für die Ausführung bestimmter Aufgaben in Risikomanagement.
[3] Availability Manager, IT Service Continuity Manager, Information Security Manager, Compliance Manager und Supplier Manager (siehe → Rollen-Beschreibungen)
Anmerkungen
Von: Stefan Kempter 
, IT Process Maps.
Überblick › Prozess-Beschreibung › Teil-Prozesse › Definitionen
