Was sind Risikoindikatoren?
Schlüsselrisikoindikatoren, bekannt als KRI (Key Risk Indicator), zeigen, wie hoch das Risiko einer Organisation gegenüber einer bestimmten Bedrohung oder einem Ereignis ist, das eintreten und sie treffen kann. Der Risikoindikator sollte auf Grundlage des Risikoappetits der Organisation festgelegt werden.
Welches Ziel haben Risikoindikatoren?
Ein KRI soll den Risikomanager auf eine Trendänderung bei einer Bedrohung aufmerksam machen, damit Maßnahmen zur Behandlung oder Vorbeugung eingeleitet werden können.
Auf Grundlage einer vollständigen und regelmäßig aktualisierten Risikolandkarte des Unternehmens sollen Risikoindikatoren warnen, sobald sich ein Risiko außerhalb der akzeptablen Grenzen bewegt.
Risikolandkarten enthalten meist Dutzende Bedrohungen, die alle Unternehmensbereiche betreffen. Darin sollten die Schlüsselrisiken der Organisation gekennzeichnet sein, und jedes Schlüsselrisiko braucht seinen eigenen Risikoindikator.
Man könnte für jede Bedrohung der Risikolandkarte einen KRI anlegen. Bei der üblicherweise großen Zahl würde man aber den Blick für die wichtigsten Risiken verlieren, und der Zweck der KRI würde verwässern.
Wie lassen sich Risikoindikatoren definieren?
Ein KRI lässt sich auf verschiedene Weise definieren, je nachdem, welcher Aspekt der Bedrohung am meisten interessiert. Die meisten Methoden der Risikoanalyse bewerten die Eintrittswahrscheinlichkeit einer Bedrohung und die Auswirkung, die sie bei Eintritt auf die Organisation hat. KRI können sich daher auf beide Aspekte beziehen:
- Bezogen auf die Wahrscheinlichkeit, um Änderungen der Eintrittswahrscheinlichkeit zu messen, etwa wenn die Organisation ein Ereignis unbedingt vermeiden will, zum Beispiel Rechtsverstöße.
- Bezogen auf die Auswirkung, um Änderungen im Schadensausmaß zu messen. Das bietet sich an, wenn die Organisation nicht riskieren kann, dass eine Bedrohung ihre Geschäftsprozesse beeinträchtigt, zum Beispiel bei Naturkatastrophen.
- Außerdem kann der KRI direkt am Risikowert der Bedrohung ansetzen. Das ist sinnvoll, wenn sowohl das Eintreten als auch die Folgen vermieden werden sollen, zum Beispiel bei Cyberangriffen auf IT-Systeme.
- Schließlich lässt sich der KRI an die Wirksamkeit der Maßnahmen, Schutzvorkehrungen oder Kontrollen koppeln, mit denen die Organisation verhindern will, dass Bedrohungen eintreten, oder ihre Folgen abfedern will. Sinkt die Wirksamkeit dieser Maßnahmen, kann die Organisation der Bedrohung ausgesetzt sein.
Jeder KRI braucht in seiner Definition mindestens einen Warnschwellenwert. Wird er über- oder unterschritten oder einfach erreicht, weiß der Risikomanager, dass die Lage analysiert werden muss. Aus dieser Analyse können sich Maßnahmen an den Kontrollen ergeben, die mit der Bedrohung verbunden sind.
Ein KRI kann mehrere Schwellenwerte haben, wenn ein vom Risikoappetit bestimmter Zwischenzustand gemessen werden soll: zwischen zu hoher Risikoexposition und übermäßiger Kontrolle, die Ressourcen verschwenden würde.
Damit das KRI-System funktioniert, reicht es nicht, festzulegen, was mit welchen Schwellenwerten gemessen wird. Jeder Indikator braucht mindestens eine verantwortliche Person, einen Messrhythmus und eine klare Datenquelle.
Die Aufgabe des Risikoverantwortlichen ist es, in jeder Messperiode alle Daten vorliegen zu haben und die Werte zu analysieren, wenn Schwellenwerte überschritten werden.
Ein Beispiel-Dashboard für KRI
So kann ein einfaches KRI-Dashboard aussehen. Jeder Indikator zeigt den Wert des letzten Monats, den Trend der letzten sechs Monate und seinen Status. Die Schwellenwerte folgen der Logik des Risikoappetits: Gelb warnt, wenn sich der Indikator dem Risikoappetit nähert, Rot, wenn er die Toleranz erreicht.
Schwellenwerte: Grün ≥ 99,5 % · Rot < 99,0 %
Schwellenwerte: Grün ≤ 3 · Rot > 8
Schwellenwerte: Grün ≤ 5 % · Rot > 10 %
Schwellenwerte: Grün ≤ 8 % · Rot > 12 %
Schwellenwerte: Grün ≤ 15 · Rot > 30
Achten Sie auch auf den Trend. Der Schwachstellen-Indikator steht noch auf Gelb, ist aber in sechs Monaten von 2 auf 7 gestiegen: Wenn niemand handelt, kann er nächsten Monat auf Rot stehen. Der Trend warnt früher als der Schwellenwert. Weitere Beispiele nach Risikoart finden Sie unter vier Arten von KRI für Ihre Risikolandkarte.
Risikoindikatoren in GlobalSuite®
Bei GlobalSuite Solutions begleiten wir den Aufbau einer unternehmensweiten Risikolandkarte von Grund auf. Im Projekt werden die Schlüsselrisiken der Organisation ermittelt und die Risikoindikatoren vorgeschlagen, mit denen sie überwacht werden.
Im Modul Risikomanagement von GlobalSuite® haben die KRI Warnschwellen, die melden, bevor ein Risiko aus dem Ruder läuft, und Risiken über Ihrem akzeptablen Niveau erscheinen in der Heatmap rot, ohne dass Sie danach suchen müssen. Wenn Sie es mit Ihren eigenen Indikatoren sehen möchten, fordern Sie eine Demo an.
