Risikopolitik

Inhalt der Risikopolitik

Die Risikopolitik ist ein Set an Einstellungen, die für ihre Arbeit in HITGuard sehr wichtig sind. Alle Einstellungen und Konfigurationen, die hier getroffen werden, sind global gültig. Sie wirken sich auf alle Managementsysteme aus und können deshalb nur von Experten oder Administratoren bearbeitet werden. Einige Punkte der Risikopolitik sollten sie unbedingt fertig konfiguriert haben, bevor Sie mit der Arbeit im System beginnen. Wir weisen Sie auf diese Punkte mit einem „Achtung!“ hin.

Schutzziele

Mit Schutzzielen definieren Sie, auf welche Themen und Bereiche Sie ihr Augenmerk richten wollen. Sie legen damit fest, zu welchem Zweck Sie die Managementsysteme betreiben wollen. Dies kann beispielsweise die Vertraulichkeit von Informationen, Bonität des Unternehmens, oder Energieeffizienz sein.
In HITGuard werden Schutzziele später verwendet, um zB zu erfassen, wie stark sich ein Risiko auf diese Schutzziele auswirken kann. Außerdem erfassen sie in der Schutzbedarfsanalyse die Kritikalität von Ressourcen. Dabei wird die Kritikalität pro Schutzziel eigens bewertet. In der Strukturanalyse stellen Schutzziele die Abhängigkeiten zwischen Stammdaten dar. Außerdem werden Sie an vielen anderen Elementen zur Kennzeichnung und Klassifizierung verwendet.

HITGuard wird mit herstellerspezifischen Schutzzielen ausgeliefert, die sich an unterschiedlichen Standards und Normen orientieren. Die drei Schutzziele Vertraulichkeit, Verfügbarkeit und Integrität leiten sich aus Normen der Informationssicherheit (zB ISO/IEC 27001) ab und sind bereits beim ersten Start im System angelegt und aktiviert:

• Vertraulichkeit: Nur Befugte können die Informationen einsehen.
• Verfügbarkeit: Wer die Informationen benötigt, kann auf sie zugreifen.
• Integrität: Die Informationen sind fehlerfrei.

Die herstellerspezifischen Schutzziele Recovery Time Objective (RTO) und Recovery Point Objective (RPO) betreffen Wiederherstellzeiten und Datenverlust, also das Business Continuity Management. Mehr dazu erfahren Sie Hier. RTO und RPO sind standardmäßig nicht aktiviert. Um Sie zu aktivieren, setzen sie einfach die Häkchen bei „Aktiv“ und „Anzeige im Graph“. Dann müssen Sie noch unter Administration> Managementsysteme die beiden Schutzziele Ihrem gewünschten Managementsystem hinzufügen. Planen Sie diese beiden Schutzziele nicht zu verwenden, so lassen Sie sie einfach deaktiviert. Da eine spezielle Programmierung hinter diesen Schutzzielen steht, können sie nicht für andere Zwecke verwendet werden.

Manche herstellerspezifischen Schutzziele sind branchenspezifisch und daher nicht automatisch angelegt. Sie können diese aber importieren, indem sie rechts oben auf das kleine Dreieck im Plus-Button klicken. Dann können Sie Behandlungseffektivität, Patientensicherheit, und Authentizität importieren. Unter umständen ist das notwendig um eine Wissensdatenbank zu importieren.

Als Expert-Benutzer können Sie weitere Schutzziele mit dem Plus-Button hinzufügen und bearbeiten. Links oben können Sie mit Drag and Drop die Sortierreihenfolge anpassen. In dieser Reihenfolge werden die Schutzziele nicht nur auf dieser Seite, sondern auch in der Schutzbedarfsanalyse gelistet.

Überblick über die Seite der Schutzziele

Achtung!: Sie sollten ihre Schutzziele vor der Arbeit mit HITGuard fertig definieren und einpflegen. Schutzbedarfsanalysen und die Strukturanalyse bauen darauf auf, sodass Änderungen an Schutzzielen im Nachhinein mit großem Mehraufwand verbunden sind.

Eintrittswahrscheinlichkeiten

Eintrittswahrscheinlichkeit und Schadensausmaß bilden die beiden Achsen der Risikomatrix (siehe unten). Die Eintrittswahrscheinlichkeit bestimmt, wie wahrscheinlich es ist, dass ein bestimmtes Ereignis eintritt. Die Abbildung unten zeigt die Seite zum Bearbeiten der Eintrittswahrscheinlichkeiten.

Maske der Eintrittswahrscheinlichkeiten

Sie können die Klassen an Eintrittswahrscheinlichkeiten frei definieren. Um eine neue Klasse hinzuzufügen, klicken Sie auf den Plus-Button. Zum Löschen klicken Sie auf den Mülleimer-Button. Klicken sie auf eine Klasse, können Sie ihren Namen und ihre Beschreibung anpassen. Außerdem können sie unter „Mindestens einmal in“ definieren, wie oft Sie den Eintritt eines Ereignisses in dieser Klasse in einem gewissen Zeitraum erwarten.

Risikofaktor

Der Risikofaktor wird verwendet, um später eine Risikokennzahl für ein spezifisches Risiko zu errechnen. Dabei wird der Risikofaktor der gewählten Eintrittswahrscheinlichkeit mit dem Risikofaktor des gewählten Schadensausmaßes multipliziert.

Die Risikokennzahl dient dazu die Risiken vergleichbar zu machen. Je höher die Risikokennzahl, desto größer die Bedeutung des Risikos.

Faktisch:

Diese Checkbox kennzeichnet, dass diese Eintrittswahrscheinlichkeit keinen potenziellen, sondern einen bereits eingetretenen, („faktischen“) Schadensfall beschreibt. Das Häkchen kann nur bei einer einzelnen Eintrittswahrscheinlichkeit gesetzt werden, sinnvollerweise die größte. Später, bei der Bewertung, wird diese Eintrittswahrscheinlichkeit im Drop-Down entsprechend gekennzeichnet.

Beispiel für eine Skala mit sechs Eintrittswahrscheinlichkeiten

Eintrittswahrscheinlich- keitsklassen	Definition
Extrem selten	Mindestens ein Mal in 30 Jahren
	Es ist sehr unwahrscheinlich, dass unbeabsichtigte Auswirkungen auftreten.
Sehr selten	Mindestens ein Mal in 10 Jahren
	Es ist nicht wahrscheinlich, dass unbeabsichtigte Auswirkungen auftreten.
Selten	Mindestens ein Mal in 3 Jahren
	Es können hin und wieder unbeabsichtigte Auswirkungen auftreten.
Wahrscheinlich	Mindestens ein Mal jährlich
	Es ist wahrscheinlich, dass unbeabsichtigte Auswirkungen auftreten.
Häufig	Mindestens ein Mal monatlich
	Unbeabsichtigte Auswirkungen treten häufig auf.
Sehr häufig (faktisch)	Mindestens ein Mal wöchentlich oder mehr
	Unbeabsichtigte Auswirkungen treten sehr häufig bzw. nahezu immer auf.

Achtung! Die Größe der Risikomatrix muss fertig konfiguriert sein, bevor Sie mit der Arbeit im System beginnen. Die betrift die Anzahl der Eintrittswahrscheinlichkeiten und Schadensausmaßklassen. Namen, Farben, Kriterien und andere Einstellungen kann man im Nachhinein noch anpassen, die Anzahl der Klassen nicht.

Kriterien für Schadensausmaße

Beispiel: Kriterien für Schadensausmaße

Diese Seite bietet ihnen Voreinstellungen, mit denen Sie die Schadensausmaße (siehe unten) näher definieren können. Ein Schaden muss nicht zwingend monetärer Natur sein, sondern kann auch als Effektivitätsverlust, Imageschaden oder Patientenschaden bestimmt werden. Daher bietet HITGuard die Möglichkeit Kriterien für Schadensausmaße frei zu konfigurieren. Diese Kriterien werden dann wiederum auf Schadensausmaßklassen verbunden und dadurch für Schutzbedarfsanalysen verwendet werden.

Schadensausmaße

Beispiel: Schadensausmaß Hoch

Schadensausmaße werden in Klassen unterteilt. Diese Schadensausmaßklassen orientieren sich an der Risikotragfähigkeit des Unternehmens. Die höchste Schadensausmaßklasse sollte daher den maximalen Schaden abbilden, den das Unternehmen gerade noch tragen kann.
In der Abbildung sehen Sie die Seite für die Konfiguration von Schadensausmaßklassen.

Wenn eine Datenklasse einem Schadensausmaß zugeordnet ist, kann das Schadensausmaß nicht gelöscht werden. Wenn Sie beim initialen Einrichten von HITGuard ein Schadensausmaß nicht löschen können, liegt das oft daran, dass noch eine Datenklasse mit dem Schadensausmaß verbunden ist. Ändern Sie die Zuweisung der Datenklasse, lässt sich das Schadensausmaß löschen. Später, wenn andere Elemente (zB ein Risiko) das Schadensausmaß verwenden, kann das Schadensausmaß gar nicht mehr gelöscht werden.

Achtung! Die Größe der Risikomatrix muss fertig konfiguriert sein, bevor Sie mit der Arbeit im System beginnen. Die betrift die Anzahl der Eintrittswahrscheinlichkeiten und Schadensausmaßklassen. Namen, Farben, Kriterien und andere Einstellungen kann man im Nachhinein noch anpassen, die Anzahl der Klassen nicht.

Es ist möglich in zwei Managementsystemen unterschiedliche Schadensausmaßklassifikationen zu verwenden. In der Abbildung oben wurden zwei Schadensausmaßklassen, „Standard“ und „Datenschutz“ hinzugefügt. Möchten Sie so eine zweite Schadensausmaßklasse verwenden, dann müssen Sie die zusätzliche Klassifikation für Schadensausmaß und Nutzen mit dem obersten Plus-Button anlegen. Danach müssen Sie neue Schadensausmaßklassen mit dem unteren Plus-Button hinzufügen. Achtung: Um die neu erstellte Klassifikation nutzen zu können, müssen Sie sie unter "Risikomanagement → Einstellungen" dem gewünschten Managementsystem zuweisen.
Monetärer Schaden:

Hier wird definiert, wie hoch ein monetärer Schaden einer Klasse ausfällt.

SBA Kantengewicht:

Dieser Wert drückt die Abhängigkeit von Assets aus. Er wird von HITGuard in der Strukturanalyse für Abhängigkeitsbeziehungen verwendet. Führt man eine Schutzbedarfsanalyse durch, bewertet man diese Abhängigkeitsbeziehungen mit Schadensausmaßklassen. HITGuard wird die Schadensausmaße dann automatisch in die Prozentwerte des SBA-Kantengewichts übertragen. Dann trägt HITGuard diese Prozentwerte in den Abhängigkeitsbeziehungen ein. Das wirkt sich später auf Analysen in der Strukturanalyse aus.

Es ist empfehlenswert die Prozentwerte gleichmäßig von 100% abfallen zu lassen. Hier ein Beispiel:

Schadensausmaßklasse	SBA Kantengewicht
Unbedeutend	10%
Gering	20%
Moderat	40%
Hoch	60%
Katastrophal	100%

Risikofaktor:

: Der Risikofaktor wird verwendet, um später eine Risikokennzahl für ein spezifisches Risiko zu errechnen. Dabei wird der Risikofaktor der gewählten Eintrittswahrscheinlichkeit mit dem Risikofaktor des gewählten Schadensausmaßes multipliziert.

Die Risikokennzahl dient dazu die Risiken vergleichbar zu machen. Je höher die Risikokennzahl, desto größer die Bedeutung des Risikos.

Beispielhafte Verteilung von Risikofaktoren auf einer Farbskala von Grün nach Rot.

Dieser Risikofaktor dient weiters als Kriterium für die farbliche Hinterlegung der Schadensausmaßklasse in Schutzbedarfsberichten. Auf einer Farbskala von grün nach rot, ergibt der niedrigste Risikofaktor die Farbe Grün, der höchste Risikofaktor die Farbe Rot. Dazwischen liegende Risikofaktoren liefern Farben entsprechend Ihrer relativen Position auf der von grün nach rot verlaufenden Farbskala.

Kriterium hinzufügen:

Hier können Sie Kriterien, die Sie zuvor unter „Kriterien für Schadensausmaße“ erstellt haben (siehe oben) zuweisen. Zudem sollten Sie beschreiben welche Ausprägung das Kriterium bei der jeweiligen Schadensklasse hat. Beim Beispiel „Gesundheitsschäden“ müssten sie angeben, welche Arbeitsverletzungen in ein „Niedriges Schadensausmaß“, welche in ein „Hohes Schadensausmaß“ einzuordnen wären.

Beispiele für Schadensausmaßklassen:

Schadensausmaßklasse	Definition
Gering	Monetärer Schaden: > 5.000 Euro und <= 25 Euro
	Patientenschaden: geringe und kurzzeitige Unannehmlichkeiten
	Effektivitätsverlust: kein oder sehr begrenzter Einfluss auf Operationen/Prozeduren
	Daten- und Systemsicherheit: Bekanntwerden einer entsprechenden Bedrohung oder Schwachstelle hat vernachlässigbaren Einfluss
Moderat	Monetärer Schaden: > 25.000 Euro und <= 100.000 Euro
	Patientenschaden: zeitlich begrenzte und geringere Verletzungen, medizinische Intervention erforderlich
	Effektivitätsverlust: sehr begrenzter oder belästigender Effekt auf Operationen/Maßnahmen
	Daten- und Systemsicherheit: Offenlegung sensibler Informationen könnte negative (finanzielle) Folgen haben und möglicherweise Ressourcenaufwand zur Beseitigung benötigen.
Katastrophal	Monetärer Schaden: > 10 Millionen Euro
	Patientenschaden: Tod
	Effektivitätsverlust: geplante Operationen/Prozeduren nicht mehr durchführbar
	Daten- und Systemsicherheit: Kann zu vollständiger Offenlegung sensibler Informationen führen

Kriterien für Nutzen

Wie bei den Kriterien für Schadensausmaßklassen können Sie hier qualitative Definitionen für Nutzenkategorien erstellen. Ein Nutzen muss nicht zwingend monetärer Natur sein. Er kann auch durch Effektivitätsgewinn, Imageverbesserung oder Patientengesundheit bestimmt werden. Aus diesem Grund bietet HITGuard die Möglichkeit Kriterien für Nutzen frei zu konfigurieren. Diese Kriterien können dann wiederum auf Nutzen gemapped und dadurch für Schutzbedarfsanalysen verwendet werden.

Kriterien für Nutzen können unter "Risikomanagement → Risikopolitik → Kriterien für Nutzen" definiert werden.

Beispiel: Kriterien für Nutzen

Nutzen

Nutzen werden in Klassen unterteilt. Diese orientieren sich an der Fähigkeit des Unternehmens, Chancen auszunutzen. Der höchste Nutzen sollte sich daher an dem maximalen, für das Unternehmen erreichbaren, Nutzen orientieren.

Sofern Sie bei den Schadensausmaßen (siehe oben) bereits eine Neue Klassifikation erstellt haben, ist diese auch hier verfügbar. Oben auf der Seite können Sie zwischen den beiden Klassifikationen wechseln. In der Abbildung unten haben wir wieder das Beispiel „Standard“ und „Datenschutz“ verwendet. Mit dem Plus-Button können Sie neue Nutzenklassen erstellen.

Beispiel: Nutzen Sehr groß

Monetärer Nutzen:

Hier wird definiert, wie hoch ein Nutzen dieser Klasse monetär gemessen wird.

Chancenfaktor:

Der Chancenfaktor ist das Gegenstück zum Risikofaktor. Auch er dient als Multiplikator für die Berechnung der Risikokennzahl einer Chance. Da der Chancenfaktor negativ ist, ist auch die ermittelte Risikokennzahl negativ, wenn der Risikofaktor der gewählten Eintrittswahrscheinlichkeit mit dem Chancenfaktor des gewählten Nutzens multipliziert wird.

Die Risikokennzahl dient zur Reihung der Risiken und Chancen. Je höher die Risikokennzahl (also je weiter entfernt von Null) desto größer die Bedeutung der Chance.

Kriterium hinzufügen:

Hier können Sie die bereits erstellten Kriterien für Nutzen hinzufügen. Zudem sollten Sie beschreiben welche Ausprägung das Kriterium bei der jeweiligen Nutzenklasse hat.

Schutzzielausprägungen

Dieser Punkt ist für Sie nur relevant, wenn Sie eine zweite Schadensausmaßklassifikation unter Risikopolitik > Schadensausmaße erstellt haben und diese nutzen wollen. Der Menüpunkt ist überhaupt nur sichtbar wenn mindestens zwei Schadensausmaßklassifikationen existieren.
Da dieselben Schutzziele in verschiedenen Klassifikationen andere Namen haben können, ist es möglich Schutzziele für die jeweiligen Klassifikationen hinsichtlich ihrer Benennung zu konkretisieren. So kann das Schutzziel "Vertraulichkeit" im Kontext der Datenschutz Klassifikation auch „Privatsphäre“ genannt werden (siehe Abbildung). Dadurch wird überall dort, wo das Schutzziel angewandt wird, die Schutzzielausprägung der Schadensausmaßklassifikation des Managementsystems Datenschutz - also die Bezeichnung "Privatsphäre" - angezeigt.

Schutzzielausprägungen

Schutzbedarf

Der Schutzbedarf eines Assets (einer Ressource oder einer Datenkategorie) gibt an wie kritisch das Asset für die Organisation ist. In der Risikopolitik kann man Anzahl und Farbe der Schutzbedarfe konfigurieren. Außerdem hat man einen Prozentbalken, an dem man die Bandbreite jedes Schutzbedarfes festlegen kann.

Beispiel: Schutzbedarf Hoch

Die Bandbreite am Prozentbalken steuert die Zuteilung der Schutzbedarfsklassen: In HITGuard orientiert sich die Schutzbedarfsklasse an dem Grad der Abhängigkeit, der in der Abhängigkeitsbeziehung der Strukturanalyse hinterlegt ist. Dieser Wert stammt für gewöhnlich aus einer Schutzbedarfsanalyse bzw. dem SBA-Kantengewicht. Die zuvor definierten Schadensausmaßklassen fallen je nach Höhe Ihres SBA Kantengewichtes in unterschiedliche Schutzbedarfsklassen (siehe auch oben bei Schadensausmaße). Sie können für jede Schutzbedarfsklasse eine eigene Bandbreite an Prozentwerten definieren, die dann die jeweiligen SBA-Kantengewichte aufnehmen.

In der Strukturanalyse ermittelt HITGuard über alle eingehenden Schutzziel-Beziehungen je Asset (Ressource bzw. Datenkategorie) die Kantenabhängigkeit in Prozent mit dem höchsten SBA-Wert. Damit ermittelt er über die eingestellte Bandbreite die zugehörige Schutzbedarfsklasse aus.

Die Farbe dient der Darstellung in der Strukturanalyse und in Übersichtslisten. Kritischere Assets sollten Farben wie Rot zugewiesen bekommen, die alle Benutzer leicht als kritisch/wichtig erkennen können.

Beispiele für Schutzbedarfsklassen:

• Normal: Die Schadensauswirkungen sind begrenzt und überschaubar.(0-30% SBA Kantengewicht)
• Hoch: Die Schadensauswirkungen können beträchtlich sein.(30-70% SBA Kantengewicht)
• Sehr Hoch: Die Schadensauswirkungen können ein existentiell bedrohliches, katastrophales Ausmaß erreichen.(70-100% SBA Kantengewicht)

Risikomatrix

Die Risikomatrix ergibt sich aus der Kombination von Schadensausmaß oder Nutzen (vertikal) und Eintrittswahrscheinlichkeit (horizontal). In den jeweiligen Zellen der Matrix werden die jeweiligen Risikofaktoren multipliziert, um die Risikokennzahl oder Chancenkennzahl zu erhalten. Je größer die Risikokennzahl, desto kritischer ist ein Risiko und umso dringender sollte es behandelt werden, um schwerwiegende Folgen zu verhindern. Je niedriger die Chancenkennzahl (d.h., je weiter im Minusbereich) desto größer ist eine Chance und umso eher sollte sie ausgenutzt werden, um Gewinn daraus zu schlagen. Im Dashboard werden die Risiken oft nach der Risikokennzahl gereiht, zB im KPI Top Risiken/Chancen.

Haben sie eine Zelle mit einem Klick ausgewählt, können Sie mit den Einstellungen unter der Matrix eine Farbe dafür festlegen. Damit steuern Sie in welcher Farbe HITGuard ein solches Risiko in unterschiedlichen KPIs und der Strukturanalyse anzeigt. Die Farben sollten sich an den Risikokennzahlen orientieren, d.h. Sie sollten eine Farbe nur über oder unter einem spezifischen Wert verwenden. Sonst kann es später, bei der Auswertung zu Unklarheiten kommen. Je kritischer und dringender, desto alarmierender sollte die Farbe sein.

Falls Sie unter Risikopolitik > Schadensausmaße (siehe oben) eine zweite Schadensausmaßklassifikation erstellt haben, entsteht hier auch eine zweite Risikomatrix. Diese können Sie mit eigenen Farben konfigurieren, die dann die Risiken in dem Managementsystem kennzeichnen werden, die die Klassifikation verwenden. Hinweis: Um eine neue Klassifikation in einem Managementsystem zu verwenden, müssen Sie es unter Risikomanagement > Einstellungen zuweisen.

Beispiel Risikomatrix

Achtung! Die Größe der Risikomatrix muss fertig konfiguriert sein, bevor Sie mit der Arbeit im System beginnen. Die betrift die Anzahl der Eintrittswahrscheinlichkeiten und Schadensausmaßklassen. Namen, Farben, Kriterien und andere Einstellungen kann man im Nachhinein noch anpassen, die Anzahl der Klassen nicht.

Datenklassen

Die Datenklassifikation gibt vor wie Daten, abhängig von ihrer Klassifizierung, zu handhaben sind. Dies richtet sich nach der Vertraulichkeit der Daten und dem damit einhergehenden erwünschtem Schutzniveau.

Die Anzahl der Kategorien, der Name der Datenklasse sowie deren Beschreibung sind frei definierbar. Eine neue Klasse kann über den „Plus Button“ erstellt werden.

Beispiel: Klasse "Streng vertraulich"

Sie können außerdem kennzeichnen, welches Schadensausmaß entstehen würde, wenn Daten dieser Klassifikation offengelegt werden würden. Dazu können Sie im Drop-down unten das zugehörige Schadensausmaß auswählen. Existieren mehrere Schadensausmaßklassifikationen, so müssen Sie darauf achten die richtige Klassifikation zu wählen.

Achtung: Wenn eine Datenklasse einem Schadensausmaß zugeordnet ist, kann das Schadensausmaß nicht gelöscht werden. Wenn Sie beim initialen Einrichten von HITGuard ein Schadensausmaß nicht löschen können, liegt das oft daran, dass noch eine Datenklasse mit dem Schadensausmaß verbunden ist. Ändern Sie die Zuweisung der Datenklasse, lässt sich das Schadensausmaß löschen. Später, wenn andere Elemente (zB ein Risiko) das Schadensausmaß verwenden, kann das Schadensausmaß gar nicht mehr gelöscht werden. Beispiel:

Datenklasse	verbundene Schadensausmaßklasse
Öffentlich	Sehr Gering
Intern	Mittel
Vertraulich	Groß
Geheim	Sehr Groß

Abilities to Control

Die Abilities to Control werden verwendet, um Maßnahmen- und Kontrollensets, die bereits zur Risikobehandlung und -steuerung eines Risikos implementiert wurden, zu bewerten. Damit kann man angeben, wie erfolgreich die bisherige Behandlung war. Mehr zum Kontext der Verwendung ist hier zu finden.

Hier in der Risikopolitik können Sie die zur Bewertung verfügbaren Abilities to Control verwalten. Eine neue Ability to Control kann über den "Plus" Button erstellt werden. Über den "Mülleimer" Button können bestehende gelöscht werden.

Standardmäßig werden folgende Abilities to Control angeboten:

Ability to Control	Definition
nicht relevant	Die Fähigkeit zur Steuerung des Risikos durch das zugewiesene Set an Maßnahmen und Kontrollen ist nicht relevant.
initial	Die Fähigkeit zur Steuerung des Risikos durch das zugewiesene Set an Maßnahmen und Kontrollen ist in einem frühen Entwicklungsstadium.
gemanagt	Die Fähigkeit zur Steuerung des Risikos durch das zugewiesene Set an Maßnahmen und Kontrollen kann erfolgreich durchgeführt werden.
definiert	Die Fähigkeit zur Steuerung des Risikos durch das zugewiesene Set an Maßnahmen und Kontrollen ist reproduzierbar und kann nach einem angepassten Standardprozess abgehandelt werden.
gemessen	Die Fähigkeit zur Steuerung des Risikos durch das zugewiesene Set an Maßnahmen und Kontrollen ist anhand einer statistischen Kontrolle messbar.
optimiert	Die Fähigkeit zur Steuerung des Risikos durch das zugewiesene Set an Maßnahmen und Kontrollen ist anhand einer statistischen Kontrolle messbar und kann die Arbeitsweise verbessern.

Abilities to Control

Kategorien von Risiken/Chancen und Auswirkungen

Hier können Sie Kategorien definieren, um die erkannten Risiken und Chancen zu verwalten. Mit diesen Kategorien können Sie später im Grid filtern, oder die Ansicht eines KPIs auf die Risiken oder Chancen dieser Kategorie einschränken.

Risikopolitik → Kategorien von Risiken/Chancen und Auswirkungen

Mit dem "Plus" Button können neue Kategorien angelegt werden. Sie können jederzeit umbenannt werden. Nur Kategorien, die nicht bereits in einem Element (Risiko, Chance, oder Auswirkung) verwendet werden, können auch gelöscht werden. Bei den Kategorien, die zugewiesen sind, ist der "Löschen" Button deaktiviert.

Kategorien in der Übersicht der Risiken und Chancen

Einzelne Risiken, Chancen und Auswirkungen können einer oder auch mehreren Kategorien zugewiesen und danach gruppiert werden.

Kriterien für Auswirkungen

Beispiel: Kriterien für Auswirkungen

Auswirkungen spielen nur im Add-on Modul „ESG“ eine Rolle. HITGuard bietet Ihnen hier die Möglichkeit Kriterien für Auswirkungen frei zu konfigurieren. Diese Kriterien können dann wiederum Auswirkungen zugewiesen werden, um sie zu kennzeichnen oder zu kategorisieren.

Klassifikationen für Auswirkungen

Auswirkungsklassen

Die Auswirkungsklassen beschreiben den Umfang (Scale), den Geltungsbereich (Scope) und die Abhilfe (Remedy, bei negativen Auswirkungen) einer Auswirkung. Sie werden dafür genutzt, positive und negative Auswirkungen auf das Unternehmen von außen und nach außen durch das Unternehmen zu bewerten. Anhand von Kriterien können zusätzliche Details zu den einzelnen Auswirkungen erfasst werden.

Für jede der drei Klassifikationen können Auswirkungsklassen definiert werden.

Kriterium hinzufügen:

Hier können die bereits erstellten Kriterien zu einer Auswirkungsklasse hinzugefügt werden. Wie bei den Kriterien für Schadensausmaße sollte hier im Kontext der Klasse beschrieben werden welche Umstände auftreten muss um das Kriterium für die Auswirkungsklasse zu erfüllen.

Auswirkungsfaktor:

Aus den Auswirkungsfaktoren der Auswirkungsklassen und dem Risikofaktor der Eintrittswahrscheinlichkeit wird die Auswirkungskennzahl ausgerechnet. Wie die Risikokennzahl weist diese aus, wie groß oder klein die Auswirkung des Unternehmens auf seine Umwelt ist.