Seit Jahren sind IT-Risiken Gegenstand unterschiedlicher Frameworks, Standards und Methoden, sei es im ISO-Umfeld oder im COBIT- und BSI-Grundschutz-Bereich. Für Unternehmen ergeben sich daraus vielfältige Auswahlmöglichkeiten und Herangehensweisen, um Risiken zu bewerten. Die Folge sind uneinheitliche Prozesse und schwierige Vergleiche im Umgang mit dem jeweiligen Standard sowie im methodischen Vorgehen. Nicht umsonst sahen Kritiker beispielsweise im ISO-Standard 31000 bis dato einen rein generischen Ansatz, der die unternehmensspezifischen Aspekte eines Risikomanagements nicht angemessen berücksichtigte.
Dies zu ändern war die Aufgabe des Gemeinschaftsprojekts „ISO 31000 in der IT“ der Risk Management Association e.V. (RMA), der unabhängigen Interessenvertretung für das Thema Risikomanagement im deutschsprachigen Raum, und des ISACA Germany Chapter e. V. (ISACA). Gemeinsam haben sie einen Leitfaden zu „ISO 31000 in der IT“ veröffentlicht. Das Rahmenwerk reduziert die Komplexität im Standardisierungs- und Methodenumfeld. Der Projektgruppe ging es primär darum, die Komplexität im ISO-31000-Umfeld zu reduzieren und mehr Übersicht zu schaffen. „Da ISO 31000 einem dynamischen Verbesserungsprozess unterliegt, gehören Änderungen im IT-Umfeld zum Tagesgeschäft“, weiß Jürgen Kempter, RMA-Projektverantwortlicher und Leiter des Arbeitskreises „Information Risk Management“. Und er ergänzt: „Diese Dynamik der Branche sollte sich im spezifischen IT-Risikomanagement wiederfinden, und das mit einem Blick auf neue IT-Trends, wie Cloud Computing, oder das drängende Thema Cybersicherheit.“
Das Werk ist als praktischer Leitfaden für Fachkräfte aus dem Prüfungs- und Beratungsumfeld mit IT-Bezug gedacht – von der internen Revision über den Compliance-Bereich bis zum Risikomanagement und zum Sicherheitsumfeld. Das Rahmenwerk bietet auf rund 40 Seiten konkrete Praxishilfen. Im Klartext beleuchtet der Leitfaden die Vorgaben der ISO 31000 ff. aus einem IT-bezogenen Blickwinkel, erstmals umfassend dokumentiert. Zudem erhalten Anwender fundierte Hinweise zur praktischen Umsetzung im IT-Umfeld, hinterlegt mit praktischen Beispielen und Kommentaren unter IT-Gesichtspunkten. In einem Vergleich zeigt der Leitfaden Gemeinsamkeiten und Unterschiede zu weiteren bekannten Standards zum IT-Risikomanagement auf, was dem Leser wichtige Impulse für die eigene Arbeit vermittelt. Die Macher von RMA und ISACA haben damit ein beispielloses Rahmenwerk im Standardisierungs- und Methodenumfeld erarbeitet. Oder wie es Ralf Kimpel, Vorsitzender des Vorstands der RMA, formuliert: „Standards dienen der Standardisierung, ISO-Standards der globalen Standardisierung. In einem Gemeinschaftsprojekt ist es uns gelungen, Sprachregelungen zu finden und einen wichtigen Orientierungsrahmen für ISO-31000-Anwender zu bieten, bei gleichzeitig sinkender Komplexität.“
Interessenten können den neuen Leitfaden zu „ISO 31000 in der IT“ auf den Internetseiten der RMA kostenlos bestellen.