Erweitertes Prozessmodell für das Management von IT-Risiken

点击翻译按钮获取中文摘要

In Unternehmen gewinnt eine wertorientierte Unternehmensführung im Sinne eines Integrated Enterprise Balancing (DFG-Projekt Nr. BU 809/8-1) zunehmend an Bedeutung. Dieses sieht vor, dass jederzeit unternehmensweit einheitliche Ertrags- und Risikoinformationen zur Verfügung gestellt werden [FaBu05]. Während automatisierte Geschäftsprozesse - wie bereits von 65% der deutschen Unternehmen eingesetzt [SaSt05] - aktuelle Informationen zur Ertragslage bereitstellen, sind solche Daten bezüglich der IT-Risikolage nicht verfügbar. Die Ursache dafür liegt einerseits in der fehlenden Integration solcher Risiken in die Geschäftsprozessmodelle und andererseits in der Abhängigkeit der IT-Risiken von der Beschaffenheit der IT-Infrastruktur. Die Informationstechnologie ist damit Ausgangspunkt von Risiken, welche die übrigen operationellen Risiken in ihren wirtschaftlichen Folgen übertreffen können [Hech06]. Zudem hängen IT-Risiken vom Vernetzungs- und Automatisierungsgrad der Geschäftsprozesse ab [Mue06a]. Trotzdem sind weder bei der anstehenden Service- Orientierten Architektur (SOA) noch bei anderen Standardisierungsbemühungen zur Unternehmensmodellierung IT-Risiken berücksichtigt, mit der Folge, dass sie betriebswirtschaftlich nicht adäquat behandelt werden.IT-Risiken sind schwer zu quantifizieren, da sowohl der Vernetzungsgrad der IT-Infrastruktur als auch die Kontextbezogenheit bei der Bewertung von Schadensfällen einbezogen werden muss. Ausgehend von den auf Effizienzzielen ausgerichteten Geschäftsprozessen, ist es im Hinblick auf die wertorientierte Unternehmensführung zwingend, ergänzende IT-Kontrollprozesse zu modellieren, damit sowohl Kontrollziele beschrieben als auch eine kontextbezogene Bewertung und Einschätzung der IT-Risikolage zur „Laufzeit“ erreicht werden kann.Die Erweiterung von Geschäftsprozessmodellen ist damit die Voraussetzung, um jederzeit neben der Ertrags- auch die Risikolage anzuzeigen und ein betriebswirtschaftlich ausgerichtetes IT-Risikomanagement zu ermöglichen.