Enterprise-Security

Die Entstehung des Begriffs Risiko lässt sich historisch betrachtet bis in die Renaissance zurückverfolgen und kann aus dem italienischen Wort riscio bzw. risicare abgeleitet werden. Im Sinne von "etwas wagen", "etwas aufs Spiel setzen" wurde es seinerzeit benutzt.

Die Risikoforschung dagegen, als systematische Wissenschaft, kann nur auf eine Tradition von nicht länger als vier Dekaden zurückblicken. Anfang der Fünfziger-Jahre wurden die ersten systematischen Risk-Assessment Studien durchgeführt.

Heutzutage wird neben der Risiko-Erkennung und der -Bestimmung auch gleichzeitig der Umgang bzw. das Management von Risiken untersucht und vielfältig beleuchtet. Eine Risikobetrachtung zwischen Geschäftsprozessen und der computergestützten Verarbeitung von Informationen ist die jüngste Entwicklung des Risiko-Begriffs. Denn immer mehr Geschäftsprozesse werden durch IT-Systeme unterstützt und immer mehr geschäftskritische Daten werden in IT-Systemen verarbeitet, weitergeleitet oder gespeichert. Genaue Kenntnisse über die von der IT ausgehenden Risiken und die Implementierung eines angemessenen Controlling-Konzeptes sind wichtige Kernkompetenzen im Finanzdienstleistungsbereich aber auch in jedem anderen Unternehmen. Denn ein reibungsloser IT-Betrieb ist die zentrale Voraussetzung für die Wertschöpfung.

Inzwischen sind die Unternehmen gehalten, eine Reihe von rechtlichen, regulatorischen und institutionellen Vorgaben zu berücksichtigen. Basel II, MaRisk, Solvency II, KonTraG sowie Sarbanes Oxley Act (SOX), SAS 70 Typ I und Typ II und der Turnbull Act in England erwarten von den Unternehmen nicht nur Kontrollsysteme sondern auch den eindeutigen Nachweis darüber, dass diese funktionieren.

Viele Unternehmen sind daher gehalten sich auf die neue Situation einzustellen. Den Unternehmen stehen dazu eine Reihe von Werkzeugen und Methoden zur Verfügung, die oftmals im Bereich des IT-Controllings angesiedelt sind. Dabei verfolgen alle Werkzeuge und Methoden, teils mit unterschiedlichem Blickwinkel, die gleiche Stoßrichtung, nämlich die IT-Systeme und das IT-Service-Management effizienter, effektiver und transparenter zu gestalten. Denn durch die vorgesehenen Kontroll- und Leistungsindikatoren können Messungen vorgenommen werden, die wiederum relevant für die Geschäftsprozesse sein können. Festzuhalten ist jedoch, dass es sich dabei im Wesentlichen um diagnostische Größen handelt.

Während das IT-Controlling die Sicherstellung von Effektivität und Effizienz der IT zum Ziel hat, befasst sich das IT-Risikomanagement vornehmlich mit solchen Gefahren, einschließlich mit deren Umgang, die auf die IT einwirken und von der IT ausgehen. Ökonomisch rationale Entscheidungen erfordern jedoch die simultane Berücksichtigung von Chancen und Gefahren. Bestehen Interdependenzen zwischen beiden, so geraten diese bei einer getrennten Betrachtung beider Kategorien aus dem Blickfeld.

Die Vorträge der CAST Forums bieten eine bisher einmalige Vertiefung dieses hochaktuellen Themas und richten sich an IT-Manager und Fachverantwortliche in Banken/Versicherungen und Firmen im Dienstleistungssektor.