Eine Risikotaxonomie ist die geordnete Liste von Kategorien, in die eine Organisation alle ihre Risiken einordnet, mit einer Definition für jede Kategorie. Sie sorgt dafür, dass dasselbe Risiko in allen Bereichen gleich heißt, und sie macht Risiken addierbar: Wie viele Cyberrisiken liegen über dem Risikoappetit, welcher Bereich bündelt die Betrugsfälle, was hat sich seit der letzten Sitzung des Risikokomitees verändert?
Ohne Taxonomie führt jeder Bereich sein Register auf seine eigene Art. Die Finanzabteilung notiert «Zahlungsbetrug», der Einkauf «Lieferantenidentitätsbetrug» und die IT «Phishing gegen die Kreditorenbuchhaltung». Es ist dasselbe Risiko, dreimal bewertet, mit drei verschiedenen Noten, und der konsolidierte Bericht bemerkt es nicht.
Drei Ebenen reichen meistens aus
Üblich ist eine Hierarchie. Ebene 1 umfasst wenige breite Kategorien, die die Geschäftsleitung versteht. Ebene 2 teilt sie in Unterkategorien auf, mit denen die einzelnen Verantwortlichen arbeiten. Ebene 3 ist das konkrete Risiko, so wie es im Register steht, mit seinem Risikoverantwortlichen und seiner Bewertung.
Mehr als drei Ebenen lohnen sich fast nie. Jede zusätzliche Ebene ist eine weitere Entscheidung beim Anlegen eines Risikos, und wenn die Entscheidung schwerfällt, landet das Risiko am Ende unter «Sonstiges». Für Ebene 1 genügen meist sechs bis zehn Kategorien: Bei weniger fällt alles unter «operationell», bei mehr kann das Komitee den Bericht nicht mehr auf einen Blick erfassen.
Fangen Sie nicht bei null an: Basel und ORX
Die am weitesten verbreitete Einteilung stammt aus dem Bankwesen. Das Basler Rahmenwerk definiert das operationelle Risiko als Verlustrisiko infolge unzureichender oder fehlerhafter interner Prozesse, Menschen und Systeme oder infolge externer Ereignisse. Es schließt das Rechtsrisiko ein und klammert das strategische Risiko und das Reputationsrisiko aus (OPE10.1). Zur Einordnung von Verlusten verwendet dasselbe Rahmenwerk sieben Ereignistypen der Ebene 1 (OPE25.17, Tabelle 2), die sich auch für fast jedes Unternehmen eignen, das keine Bank ist.
| Ereignistyp (Ebene 1) | Was dazugehört |
|---|---|
| Interner Betrug | Handlungen, um zu betrügen, Vermögen zu veruntreuen oder Gesetze oder Unternehmensregeln zu umgehen, an denen mindestens eine interne Person beteiligt ist. |
| Externer Betrug | Dasselbe, begangen von Dritten: Diebstahl, Fälschung, Cyberangriffe mit finanziellem Schaden. |
| Beschäftigungspraxis und Arbeitsplatzsicherheit | Verstöße gegen arbeitsrechtliche, Gesundheits- oder Sicherheitsvorschriften, Entschädigungen für Personenschäden und Diskriminierungsfälle. |
| Kunden, Produkte und Geschäftspraktiken | Fahrlässige Verletzung einer beruflichen Pflicht gegenüber bestimmten Kunden oder ein fehlerhaft gestaltetes Produkt. |
| Schäden an Sachanlagen | Verlust oder Beschädigung von Sachwerten durch Naturkatastrophen oder andere Ereignisse. |
| Geschäftsunterbrechungen und Systemausfälle | Ausfälle von Hardware, Software, Telekommunikation oder Versorgung. |
| Abwicklung, Lieferung und Prozessmanagement | Fehler bei der Verarbeitung von Transaktionen, versäumte Fristen und Probleme mit Gegenparteien und Lieferanten. |
Das Problem dieser Liste ist die Zeit, in der sie entstanden ist. Sie trennt weder Cybersicherheit noch Fehlverhalten (Conduct) noch die Abhängigkeit von Dritten ab, und genau das sind heute die Fragen, die am häufigsten im Komitee landen. Um diese Lücke zu schließen, veröffentlichte der Branchenverband ORX im November 2019 gemeinsam mit Oliver Wyman eine Referenztaxonomie der Ereignistypen, die diese Risiken aufnimmt, ohne mit den Basler Typen zu brechen. ORX stellt selbst klar, dass sie nicht unverändert übernommen werden soll, sondern als Ausgangspunkt für die eigene Taxonomie jeder Organisation gedacht ist.
Wenn Ihr Unternehmen keine Bank ist, würden wir so vorgehen: die sieben Basler Typen als Gerüst für das operationelle Risiko nutzen und auf Ebene 1 ergänzen, was Basel ausklammert, etwa das strategische und das finanzielle Risiko. Technologie und Dritte verdienen eine eigene Kategorie, sobald sie für das Geschäft ins Gewicht fallen; sonst bleiben sie Unterkategorien des operationellen Risikos.
Ereignis, Ursache und Folge: nicht vermischen
Das ist der Fehler, der eine Taxonomie am häufigsten verdirbt. Im selben Register stehen als getrennte Risiken «fehlende Schulung der Mitarbeitenden», «Zahlung an einen gefälschten Lieferanten» und «Reputationsschaden». Das Erste ist eine Ursache, das Zweite ein Ereignis und das Dritte eine Folge. Werden sie vermischt, wird dasselbe Problem mehrfach gezählt und die Kontrollen werden der falschen Ebene zugeordnet.
Die Taxonomie ordnet Ereignisse ein. Die Ursachen helfen bei der Auswahl präventiver Kontrollen, die Folgen bei der Bewertung der Auswirkung. ORX kam zum selben Schluss: 2020 veröffentlichte der Verband separat eine Taxonomie der Ursachen und Auswirkungen, die die Taxonomie der Ereignistypen ergänzt. Das Reputationsrisiko passt besser als Folge denn als Kategorie, was dazu passt, dass Basel es aus seiner Definition ausklammert.
Regeln, damit die Taxonomie genutzt wird
- Eine Definition pro Kategorie. Ein oder zwei Sätze, mit einem Beispiel dafür, was dazugehört, und einem dafür, was nicht dazugehört. Ohne Definition legt jeder Bereich die Kategorie auf seine Weise aus.
- Kategorien ohne Überschneidung. Passt ein Risiko in zwei Kategorien, liegt der Fehler in den Definitionen und nicht bei der Person, die es einordnet.
- Eine verantwortliche Person pro Kategorie der Ebene 1. Sie entscheidet im Zweifelsfall und stellt die Kategorie im Komitee vor.
- «Sonstiges» im Blick behalten. Landen dort immer mehr Risiken, fehlt eine Kategorie.
- Normen sind keine Kategorien. ISO 27001, DORA oder die DSGVO werden über Schlagwörter oder über die Kontrollen mit den Risiken verknüpft. Ist «DORA» eine Kategorie, steht der Ausfall des Cloud-Anbieters am Ende doppelt im Register: unter «DORA» und unter «Dritte».
- Versionieren. Einmal im Jahr überprüfen und bei Änderungen den Bestand neu einordnen. Sonst verliert der Vergleich mit dem Vorjahr seinen Sinn.
Die Taxonomie ist die Grundlage der Risikoanalyse. Mit ihr lassen sich die Bewertung von inhärentem Risiko und Restrisiko und der Abgleich mit dem Risikoappetit auch nach Kategorie durchführen.
Das Modul Risikomanagement von GlobalSuite® bringt Risiko- und Kontrollkataloge für ISO 31000, COSO ERM und ISO 27005 bereits mit und unterstützt auch die eigene Methodik jeder Organisation. Wenn Sie sehen möchten, wie Ihre Taxonomie darin aussehen würde, fordern Sie eine Demo an.
Quellen: Basler Rahmenwerk des Basler Ausschusses für Bankenaufsicht, Kapitel OPE10 und OPE25 (in Kraft seit dem 1. Januar 2023), sowie ORX Reference Taxonomy. Die Namen der Basler Ereignistypen sind unsere eigene Übersetzung. Die Beispiele dienen der Veranschaulichung und betreffen keinen Kunden. Inhalt überprüft im Oktober 2026.
