Berichte für das Risikomanagement/de

HITGuard bietet unter "Risikomanagement → Berichte" die Möglichkeit verschiedenste Berichte für das Risikomanagement zu generieren.

Berichtauswahl

Um einen Bericht zu erstellen, entscheidet man sich zuerst für einen Berichttyp. Anschließend wird noch ausgewählt, zu welchen Daten der Bericht generiert wird (z.B. Risiken oder Überprüfungen). Die meisten Berichte verfügen zusätzlich über Berichtsoptionen mit denen der Inhalt des Berichts noch spezifischer eingeschränkt und/oder erweitert werden kann.

Sprachen:
Wissensdatenbanken können durch hinterlegte Übersetzungen für verwendete Wissensdatenbanken in verschiedenen Sprachen vorliegen. Um z.B. einen Bericht mit den englischen Texten zu generieren, muss über das Flaggen-Icon rechts oben am Bildschirm, neben dem Abmelde-Button, die Sprache gewechselt werden. Dadurch werden alle Inhalte für die Berichte in der gewünschten Sprache geladen, sofern eine Übersetzung in dieser Sprache für die Wissensdatenbank vorhanden ist.

Downloadoptionen:
Die Berichte stehen als PDF oder DOCX Datei zum Download zur Verfügung. Zum Generieren und Herunterladen muss bei einem Bericht auf den pinken Button geklickt werden. Anschließend kann ausgewählt werden, in welchem Format man den Bericht herunterladen möchte.

Es gibt beim Generieren auch die Option, die Berichte mit Revisionsinformationen zu generieren und zu archivieren. Dadurch kann der Bericht jederzeit von Experten unter "Administration → Berichtsarchiv" eingesehen, neu generiert sowie erneut heruntergeladen werden. Mehr Information dazu finden Sie unter "Administration → Berichtsarchiv".

Beim Generieren von Berichten mit Revisionsinformation im Archiv hat man ebenso die Möglichkeit, den Bericht gleich per E-Mail an verschiedene Empfänger zu senden. Mehr Information dazu finden Sie im Berichtsarchiv und unter "Administration → Textbausteine".

Merkverhalten der Berichtsoptionen: Einige der Berichtsoptionen sind bei multiplen Berichten wiederzufinden. Bei diesen wird die getroffene Auswahl innerhalb des Managementsystems und für den einzelnen Benutzer gespeichert und auch bei den anderen Berichten angewandt. Selektiert man beispielsweise die Option "Inhaltsverzeichnis", ist diese Option infolgedessen auch bei den anderen Berichten, wo sie vorkommt, schon selektiert.

Lizenzen:
Ist keine gültige Lizenz von HITGuard vorhanden, dann wird dies bei den Berichten in der Fußzeile angezeigt! Um dies zu ändern, muss unter "Administration → Lizenzierung" von einem Experten oder einem Administrator eine Lizenz angefordert/eingespielt werden.

Es werden folgende Berichte im Bereich Risikomanagement von HITGuard angeboten:

Risiken

Allgemeiner Risikobericht

In diesem Bericht werden Details zu Risiken dargestellt. Zusätzlich werden die Risiken in einer Risikomatrix nach ihrer Kritikalität positioniert.

Zu den einzelnen Risiken können die zu ergreifenden bzw. die bereits ergriffenen Maßnahmen und Kontrollen dargestellt werden. Bei Bedarf kann auch die zeitliche Entwicklung der einzelnen Risiken dargestellt werden. Dasselbe gilt für die Abweichungen, die zu den Risiken erkannt wurden.

Achtung: Nur Benutzern mit der Rolle "Compliance Manager" werden auch Maßnahmen und Kontrollen aus den anderen Managementsystemen angezeigt.

Risikobericht Beispiel: Risiken ohne Details zu M/K inkl. zeitlicher Entwicklung

Risikobericht erstellen:

Um einen Risikobericht zu generieren müssen Sie zu "Risikomanagement → Berichte → Risiko → Allgemein" navigieren. Dort gibt es mehrere Möglichkeiten einen Risikobericht zu generieren:

1. Risiken: Dieser Bericht enthält die Details zu allen ausgewählten Risiken. Es können nur Berichte zu Risiken von Managementsystemen, zu denen man selbst zugeteilt ist, erstellt werden. (Ausnahmen sind Compliance Manager, diese können Berichte zu allen Risiken in allen Managementsystemen generieren)
2. Strukturelemente: Dieser Bericht enthält alle Risiken (des aktuellen Managementsystems), die den ausgewählten Strukturelementen zugewiesen sind.
3. Verantwortliche(r) (nur Compliance Manager): Ein Bericht, der alle Risiken anführt für die das ausgewählte Team oder der/die ausgewählte Verantwortliche zuständig ist.

Zum Generieren der Berichte muss auf den jeweiligen pinken Button geklickt werden.

Berichtsoptionen

Mit den Berichtsoptionen kann spezifiziert werden in welchem Status sich Maßnahmen/Kontrollen befinden müssen, um im Bericht angeführt zu werden.

Weiters kann entschieden werden, ob die zeitliche Entwicklung der Risiken im Bericht angezeigt werden soll und ob auch die zum jeweiligen Risiko zugewiesenen Abweichungen mit angedruckt werden sollen.

Risikobericht erstellen

Brutto-Netto-Risikobericht

In diesem Bericht werden Details zur Entwicklung einer Risiko dargestellt. Der Fokus des Berichts liegt daher auf dem Aspekt des Brutto-Netto-Risiko, das anhand von Maßnahmen und Kontrollen verwaltet wird.

Zu den einzelnen Risiken werden alle zu ergreifenden bzw. bereits ergriffenen Maßnahmen und Kontrollen dargestellt. Das Bruttorisiko sowie die möglichen Szenarien des Nettorisikos können gesondert dargestellt werden. Bei Bedarf kann auch die zeitliche Entwicklung der einzelnen Risiken dargestellt werden.

Achtung: Nur Benutzern mit der Rolle "Compliance Manager" werden auch Maßnahmen und Kontrollen aus den anderen Managementsystemen angezeigt.

Brutto-Netto-Risikobericht Beispiel: Brutto- und Nettorisiko mit Matrizen dargestellt, keine Details zu M/K

Brutto-Netto-Risikobericht erstellen:

Um einen Brutto-Netto-Risikobericht zu generieren müssen Sie zu "Risikomanagement → Berichte → Risiko → Brutto-Netto-Risiko" navigieren. Dort gibt es die Möglichkeit, den Bericht zu einer ausgewählten Risiko in verschiedenen Ausprägungen zu generieren. Es können nur Berichte zu Risiken von Managementsystemen, zu denen man selbst zugeteilt ist, erstellt werden. (Ausnahmen sind Compliance Manager, diese können Berichte zu allen Risiken in allen Managementsystemen generieren)

Zum Generieren der Berichte muss auf den pinken Button geklickt werden.

Berichtsoptionen

Mit den Berichtsoptionen kann spezifiziert werden, wie genau der Bericht aufgebaut sein und was er beinhalten soll.

• Bruttorisiko: Druckt die Eintrittswahrscheinlichkeit und das Schadensausmaß des ursprünglichen Bruttorisikos an.
• Behandlung des Bruttorisikos: Druckt die Maßnahmen und Kontrollen an, die der Behandlung des Bruttorisikos dienen.
• Ability to Control: Druckt beim Bruttorisiko auch die Ability to Control der behandelnden Maßnahmen und Kontrollen an.
• Behandlung des aktuellen Risikos: Druckt die Maßnahmen und Kontrollen an, die der Behandlung des aktuellen Risikos dienen.
• Nettorisiko mit Best/Most Likely/Worst Case: Druckt die Eintrittswahrscheinlichkeit und das Schadensausmaß der ausgewählten Szenarien des Nettorisikos an. Es muss dafür mindestens ein Szenario selektiert sein.
• Risikomatrizen: Fügt zu den ausgeschriebenen Information des Brutto- und Nettorisikos auch die jeweilige Matrix als Bild hinzu.

Die restlichen Berichtsoptionen steuern den Detailgehalt der Berichtsinhalte.

Brutto-Netto-Risikobericht erstellen

Schutzbedarf

In diesem Bericht werden wahlweise die Ergebnisse aus einer oder mehreren Schutzbedarfsanalysen dargestellt. Es werden Gestaltungsmöglichkeiten bzgl. der Zusammenfassung der Ergebnisse und etwaiger Details dazu zur Verfügung gestellt. Es bietet sich zudem die Möglichkeit, einen Anhang mit ausführlichen Erklärungen zur Grundlage der Einstufung der Schutzbedarfsanalysen zu erzeugen.

Schutzbedarf Bericht erstellen:

Um einen Schutzbedarf Bericht zu generieren navigieren Sie zu "Risikomanagement → Berichte → Schutzbedarf". Anschließend wählen Sie die Schutzbedarfsanalysen, für welche Sie den Bericht generieren wollen, und konfigurieren diesen über die Berichtsoptionen.

Zum Generieren des Berichtes muss der pinke Download Button geklickt werden. Dies ist für diesen Bericht nur im PDF Format möglich.

Berichtsoptionen:

• Zusammenfassung: Durch das Aktivieren dieser Option wird Ihnen im Bericht eine Zusammenfassung aller Ergebnisse als Kreuzdiagramm angedruckt.

• Details zur Zusammenfassung: Zusätzlich zum Kreuzdiagramm werden im oberen Abschnitt der Zusammenfassung all jene Interviews aufgelistet, die als Datenquelle für das Kreuzdiagramm dienen.

• Interviewergebnisse: Zusätzlich zum Kreuzdiagramm eines einzelnen Interviews wird die Begründung zu den Bewertungen der einzelnen Schutzziele angedruckt.

• Inhaltsverzeichnis: Entscheidet ob das Inhaltsverzeichnis angedruckt wird oder nicht.

• Anhang mit Erklärungen: Dieser Bericht enthält Berechnungen von Statistiken, Kennzahlen oder andere Inhalte mit Erklärungsbedarf. Standardmäßig wird daher ein Anhang mit Erläuterungen generiert. Wenn dies nicht gewünscht ist, kann diese Berichtsoption deaktiviert werden.

Berichte für Schutzbedarfsanalysen erstellen

Abweichungsanalysen

In diesem Bericht werden wahlweise die Ergebnisse aus einer oder mehreren Überprüfungen dargestellt. Achten Sie bei der Auswahl der Überprüfungen darauf, dass diese nach dem ausgewählten Analysezeitraum eingegrenzt werden. Eine Vielzahl an Berichtsoptionen hilft Ihnen dabei, die Berichte so zu konfigurieren, dass Sie Ihrem Bedarf entsprechend dargestellt werden.

Abweichungsbericht Beispiel: Überprüfungen ohne Vorschläge ZR 5

Abweichungsbericht Beispiel: Verantwortliche mit Vorschlägen ZR 3

Abweichungsbericht Beispiel: Organisationseinheit alle Prüffragen ohne Vorschläge ZR 2

Abweichungsanalysen Bericht erstellen:

Um einen Abweichungsanalysen-Bericht zu generieren navigieren Sie zu "Risikomanagement → Berichte → Abweichungsanalysen". Anschließend gibt es je nach ihrer Rolle folgende Möglichkeiten:

1. Überprüfungen: Dieser Bericht enthält alle Informationen über die ausgewählten Überprüfungen. Bei der Auswahl werden nur Überprüfungen des aktuellen Managementsystems im ausgewählten Analysezeitraum (rechts bei den Berichtsoptionen) angezeigt.
2. Verantwortliche(r) (nur Compliance Manager): Dieser Bericht enthält alle Überprüfungen, für die das ausgewählte Team oder der Verantwortliche zuständig ist.
3. Organisationseinheit (nur Compliance Manager): Dieser Bericht enthält alle Überprüfungen, die innerhalb einer Organisationseinheit angelegt wurden. Bei der Auswahl werden nur Organisationseinheiten angezeigt, für die im aktuellen Managementsystem und im ausgewählten Analysezeitraum Überprüfungen existieren.

Es ist möglich, einen Bericht über mehrere Analysezeiträume zu erstellen. Dafür muss rechts bei den Berichtsoptionen der Analysezeitraum geändert werden. Dadurch stehen nun die Überprüfungen des gewählten Analysezeitraum zur Auswahl.

Achtung: Wählen Sie einen neuen Analysezeitraum, werden die Überprüfungen aus den vorherigen nicht mehr angezeigt, bleiben aber selektiert.

Zum Generieren des Berichtes muss auf den pinken Download Button geklickt werden.

Berichtsoptionen

• Managementsystem (nur Compliance Manager): Diese Option steuert, aus welchem Managementsystem die Elemente, die zur Auswahl stehen, kommen. Dadurch kann auch ein Managementsystem übergreifender Bericht erzeugt werden.
• Analysezeitraum: Diese Option steuert, aus welchem Analysezeitraum die zur Auswahl stehenden Überprüfungen kommen.
• Target Score: Diese Option gibt an, ab wann eine Prüffrage als Abweichung gilt. Ist die Beantwortung unter dem eingestellten Wert, handelt es sich um Abweichungen.
• Behandlungsplan nach Feststellungsart: Mit dieser Option kann eine kurze Übersicht aller Maßnahmen und Kontrollen zum Anfang des Berichtsinhalts hinzugefügt werden, gruppiert nach Hinweisen/Empfehlungen/Nebenabweichungen/Hauptabweichungen.

Die restlichen Optionen spezifizieren, welche Informationen von den Prüffragen angezeigt werden und welche Bedingungen Prüffragen erfüllen müssen, damit sie im Bericht angezeigt wird.

Es kann auch ausgewählt werden, dass die mit den Prüffragen verknüpften Maßnahmen/Kontrollen angedruckt werden.

Abweichungsanalysebericht erstellen

Konformität

Konformitätstyp auswählen

Hier können Berichte zur Darstellung des Grades der Standard/Norm-Erfüllung bzw. Erfüllung von Abweichungsanalysen erstellt werden.

Diese Berichte geben für jedes Prüfobjekt bzw. jedes Normkapitel einen durchschnittlichen Score an. Dieser durchschnittliche Score wird wie folgt berechnet:

• bei Prüfobjekten:

Alle Prüffragen werden gleich gewichtet, d.h. wenn ein Prüfobjekt 10 Prüffragen hat, von denen 5 mit Score 3, 3 mit Score 4 und 2 mit Score 2 beantwortet wurden, so ergibt sich der durchschnittliche Score aus: (5*3+3*4+2*2)/10 und beträgt 3,1.

• bei Standard- oder Norm-Kapitel:

Es wird zwischen unteren und oberen Kapitel Ebenen unterschieden.

• Auf unterster Ebene mappen Normkapitel nur auf Prüfobjekte, wobei alle Prüfobjekte gleich gewichtet werden. Das bedeutet, dass der Durchschnitt von den einzelnen Prüfobjekten wie oben beschrieben berechnet wird und anschließend werden die Durchschnitte der Prüfobjekte aufsummiert und mit der Anzahl an Prüfobjekten dividiert. Sprich ein Kapitel mit 3 Prüfobjekten die jeweils einen Durchschnitt von 2.5, 3.3 und 4.1 hat einen Durchschnitt von (2.5+3.3+4.1)/3 also 3,3.
• Auf oberen Ebenen mappen Kapitel auf Unterkapitel und auch potenziell auf Prüfobjekte. Der durchschnittliche Score des Oberkapitels ergibt sich hierbei aus der Summe der Durchschnitte der direkten Unterkapitel und der Summe der direkt gemappten Prüfobjekte. Das bedeutet, hat ein Oberkapitel 2 Unterkapitel, die jeweils einen Durschnitt von 4 aufweisen, und 3 Kapitel, die mit 2, 3 und 4 beantwortet wurden, dann ergibt sich der durchschnittliche Score für das Oberkapitel aus: (4+4+2+3+4)/5 er beträgt also 3,4.

Konformitätsbericht nach Überprüfungen

---

In diesem Bericht soll die Erfüllung der Voraussetzungen anhand einzelner Überprüfungen grafisch dargestellt werden. Die Erfüllung der Anforderungspunkten wird visuell in Form von Spinnendiagrammen, Tortendiagrammen oder Tachometern dargestellt.

Konformitätsbericht nach Überprüfungen erstellen:

Je nach Rolle gibt es unterschiedliche Möglichkeiten diesen Bericht zu generieren:

1. Überprüfungen: Es kann ein Konformitätsbericht zu den ausgewählten Überprüfungen generiert werden.
2. Verantwortliche: (nur Compliance Manager) Ein Konformitätsbericht bei dem alle Überprüfungen von einem Verantwortlichen/Team mit der jeweiligen Erfüllung angeführt sind.
3. Organisationseinheit (nur Compliance Manager): Ein Konformitätsbericht bei dem alle Überprüfungen der ausgewählten Organisationseinheit mit der jeweiligen Erfüllung angeführt sind.

Konformitätsbericht Beispiel: Überprüfungen

Konformitätsbericht Beispiel: Verantwortlicher

Berichtsoptionen

• Managementsystem (nur Compliance Manager): Diese Option steuert, aus welchem Managementsystem die Überprüfungen, die zur Auswahl stehen, kommen. Dadurch kann auch ein Managementsystem übergreifender Konformitätsbericht erzeugt werden. (Verhalten siehe Analysezeitraum)
• Analysezeitraum: Diese Option steuert, aus welchem Analysezeitraum die Überprüfungen, die zur Auswahl stehen, kommen. Durch diese Option kann auch ein Konformitätsbericht über mehrere Analysezeiträume erstellt werden. Wechselt man den Analysezeitraum, werden die Überprüfungen, die in einem anderen gewählt wurden nicht entfernt. Sie werden nur im jeweiligen Analysezeitraum angezeigt.
• Target Score: Diese Option gibt an, ab wann eine Prüffrage als Abweichung gilt. Ist die Beantwortung unter dem eingestellten Wert, handelt es sich um Abweichungen (beeinflusst die Darstellung im Bericht).
• Behandlungsplan nach Feststellungsart: Mit dieser Option kann eine kurze Übersicht aller Maßnahmen und Kontrollen zum Anfang des Berichtsinhalts hinzugefügt werden, gruppiert nach Hinweisen/Empfehlungen/Nebenabweichungen/Hauptabweichungen.

Mit den restlichen Optionen kann zusätzlich konfiguriert werden, welche Prüffragen angedrückt werden, ob nicht abgeschlossene Überprüfungen inkludiert werden (relevant für Compliance Manager bei Auswahl von Verantwortlichen/Organisationseinheit), wie das Inhaltsverzeichnis aufgebaut ist und ob der Titel des Audits (wenn vorhanden) angezeigt wird.

Konformität nach Überprüfung

Konformitätsbericht nach Standards und Normen

---

In diesem Bericht soll die Erfüllung der Voraussetzungen in den einzelnen Anforderungsbereichen des Standards grafisch dargestellt werden. Die Erfüllung der Anforderungspunkte wird visuell in Form von Spinnendiagrammen, Tortendiagrammen oder Tachos dargestellt. Nach Auswahl eines Standards können Sie auch aus einer Liste der dafür relevanten Wissensdatenbanken und deren Versionen all jene auswählen, die in die Datengrundlage des Berichts mit einbezogen werden sollen.

Für die Darstellung werden Fragen, die mit Ja, Nein oder Teilweise beantwortet wurden, zu Scores umgewandelt. "Nein" entspricht Score 1, "Teilweise" Score 3 und "Ja" entspricht Score 5.

Konformitätsbericht nach Standards und Normen erstellen:

Zuerst muss die gewünschte Norm oder der Standard ausgewählt werden zu dem ein Konformitätsbericht generiert werden soll. Im Anschluss muss gewählt werden, welche Wissensdatenbanken für den Bericht berücksichtigt werden sollen.

Die ausgewählten Wissensdatenbanken bilden die Basis für die Auswertungen im Bericht. Es werden nur Wissensdatenbanken angezeigt, die ein Mapping auf den ausgewählten Standard/Norm besitzen und mindestens ein Prüfobjekt (einer Abweichungsanalyse) dieses Mapping besitzt. Liegt ein Prüfobjekt in mehreren Versionen vor, wird nur das mit der höchsten Version berücksichtigt. Falls auch auf eine OrgEh eingeschränkt wird, wird die höchste Version des Prüfobjektes hergenommen, welches mit der OrgEh verknüpft ist. Zusätzlich ist zu beachten, dass die Überprüfungen nicht im Status "Entwurf" sein dürfen, ansonsten werden die betroffenen Wissensdatenbanken nicht aufgelistet.

Berichtsoptionen

• Managementsystem (nur Compliance Manager): Diese Option steuert, für welches Managementsystem der Konformitätsbericht erstellt werden soll. Ohne die Rolle Compliance Manager, kann der Konformitätsbericht nur für das aktuelle Managementsystem generiert werden.
• Analysezeitraum: Diese Option steuert für welchen Analysezeitraum der Konformitätsbericht erstellt werden soll. Dies sorgt dafür, das nur Prüfobjekte die bis inklusive des ausgewähltem Analysezeitraums berücksichtigt werden. Prüfobjekte von neueren Analysezeiträumen (neu erstellt oder neu bewertet) werden im Bericht dadurch nicht berücksichtigt.
• Zeitraum: Zusätzlich zum Analysezeitraum kann der Zeitraum auf bestimmte Daten eingeschränkt werden.
• Target Score: Diese Option gibt an, ab wann eine Prüffrage als Abweichung gilt. Ist die Beantwortung unter dem eingestellten Wert, handelt es sich um Abweichungen (beeinflusst die Darstellung im Bericht).
• Prüffragen: Diese Optionen dienen zum Konfigurieren, welche Prüffragen und Überprüfungen im Bericht angedruckt werden.
• Target Score am Deckblatt: Diese Option gibt an, ob der gewählte Target Score am Deckblatt des Berichts angedruckt wird.
• Nur abgeschlossene Überprüfungen: Diese Option entscheidet, ob alle Überprüfungen berücksichtigt werden oder nur jene, die abgeschlossen sind.
• Gemappte Normkapitel inkludieren: Diese Option entscheidet, ob auch Prüfergebnisse in die Auswertung mitaufgenommen werden, die zu weiter gemappten Normkapiteln in Beziehung stehen. Das betrifft sowohl etwaige Vorgänger- und Nachfolgeversionen der Norm als auch andere thematisch in Bezug stehende Normen.
• Organisationseinheit: Durch diese Option kann der Konformitätsbericht auf die ausgewählte Organisationseinheit und die in der Hierarchie darunter befindliche Organisationseinheiten eingeschränkt werden. Dadurch sind für die Auswertung im Bericht auch nur noch Prüfobjekte die mit der gewählten OrgEh in Verknüpft sind relevant.
• Form der Auswertung

• Tabellarische Auswertung
• Tabellarische Auswertung + graphische Auswertung der Hauptkapitel
• Graphische Auswertung der Hauptkapitel
• Graphische Auswertung der Hauptkapitel & Unterkapitel inkl. Prüffragen

• Nicht anwendbare Kapitel: Durch diese Option können die Kapitel die für das ausgewählte Managementsystem nicht anwendbar sind aus dem Konformitätsbericht ausgeschlossen werden.

Konformität nach Standard oder Norm

Standards und Normen

Hier können Berichte über Standards und Normen generiert werden.

Bericht für Standards und Normen auswählen

Die Kapitelabdeckung bei den Berichten wird folgendermaßen berechnet:

Szenario	Kapitel
Szenario 1:	Kapitel 1 - ohne Maßnahme Kapitel 1.1 - mit Maßnahme Kapitel 1.2 - mit Maßnahme Die Abdeckung von Kapitel 1 beträgt 100%, da alle untergeordneten Kapitel Maßnahmen zugeteilt haben.
Szenario 2:	Kapitel 1 - mit Maßnahme Kapitel 1.1 - ohne Maßnahme Kapitel 1.2 - ohne Maßnahme Die Abdeckung von Kapitel 1 beträgt 100%. Da die Maßnahme zum übergeordneten Kapitel zugewiesen ist, zählt sie auch für die untergeordneten Kapitel.
Szenario 3:	Kapitel 1 - ohne Maßnahme Kapitel 1.1 - mit Maßnahme Kapitel 1.2 - ohne Maßnahme Die Abdeckung von Kapitel 1 beträgt 50%, da nur die Hälfte der untergeordneten Kapitel Maßnahmen zugeteilt haben.

Statement of Applicability (SOA)

---

In diesem Bericht wird dargestellt, welche Kapitel des Standards/der Norm im Managementsystem "anwendbar" bzw. "nicht anwendbar" sind. Dazu findet sich auch die Begründung zur jeweiligen Anwendbarkeit und die mit den Kapiteln verknüpften Maßnahmen und Kontrollen.

• Donut-Diagramme zeigen die Anzahl und den Status zugewiesener Maßnahmen und Kontrollen. Die Gesamtzahl der Kapitel in der Auswertung entspricht der Anzahl der Kapitel auf der untersten Ebene. Wurde eine Maßnahme bzw. Kontrolle einem Kapitel zugewiesen, so wird sie auch allen seinen Unterkapiteln zugerechnet. Hat also ein Überkapitel eine Maßnahme oder Kontrolle zugeteilt, verhält es sich genauso, als wenn alle Unterkapitel diese Maßnahme oder Kontrolle zugeteilt hätten.
• In den Donut-Diagrammen wird dabei der Geltungsbereich (Scope) des Standards/der Norm berücksichtigt. Wurde dieser eingeschränkt, werden Kapitel, die als nicht anwendbar markiert wurden, nicht berücksichtigt. Dies kann durch Aktivieren der Option "Nicht anwendbare Kapitel in die Statistik aufnehmen" aufgehoben werden.

Die Datenbasis kann dabei auf einen früheren Analysezeitraum eingeschränkt werden. Es werden dann nur Maßnahmen und Kontrollen berücksichtigt, die in dem gewählten Analysezeitraum bereits existierten.

Durch die Option "Gemappte Normkapitel inkludieren", kann die Datenbasis auf gemappte Normkapitel ausgeweitet werden. Dies bedeutet, dass, wenn der Standard S1 ein Kapitel K hat, welches auf Standard S2 Kapitel K mapped (S1.K => S2.K) und vom Standard S1 ein Bericht generiert wird, im Bericht auch Maßnahmen und Kontrollen mit einbezogen, die auf Standard S2 Kapitel K mappen. Dieses Verhalten gilt genauso für die von S2.K gemappten Kapitel.

Maßnahmen:	Grün = Abgeschlossene Maßnahmen Orange = Ausgesetzte Maßnahmen Blau = Offene Maßnahmen

Maßnahmen zu Kapiteln:	Rot = Kapitel ohne Maßnahmen Blau = Kapitel mit offenen Maßnahmen Grün = Kapitel mit erledigten Maßnahmen

Kontrollen zu Kapiteln:	Orange = Ausgesetzte Kontrollen zu Kapiteln Grün = Aktive Kontrollen zu Kapiteln Rot = Kapitel ohne Kontrollen

Statement of Applicability (SOA) erstellen

Zum Generieren eines SOA muss zuerst eine Norm/ein Standard ausgewählt und das SOA über die Berichtsoptionen konfiguriert werden. Zum Generieren wird auf den pinken Download Button geklickt.

Berichtsoptionen

• Managementsystem (nur Compliance Manager): Diese Option steuert, für welches Managementsystem das SOA generiert wird.
• Analysezeitraum: Diese Option steuert, aus welchem Analysezeitraum die Maßnahmen und Kontrollen, die im SOA berücksichtigt werden, kommen.

Die restlichen Optionen ermöglichen es, noch weiter zu konfigurieren, was in den Bericht mit aufgenommen wird. Die Auswahl "Statistik" bestimmt beispielsweise, ob die Donut-Diagramme angezeigt werden sollen.

Statement of Applicability

Management Summary

---

In diesem Bericht finden Sie einen Management-Überblick von Maßnahmen und Kontrollen, die einem Standard/einer Norm zugewiesen wurden:

• Donut-Diagramme zeigen die Anzahl und den Status zugewiesener Maßnahmen und Kontrollen. Die Gesamtzahl der Kapitel in der Auswertung entspricht der Anzahl der Kapitel auf der untersten Ebene. Wurde eine Maßnahme bzw. Kontrolle einem Kapitel zugewiesen, so wird sie auch allen seinen Unterkapiteln zugerechnet. Hat also ein Überkapitel eine Maßnahme oder Kontrolle zugeteilt, verhält es sich genauso, als wenn alle Unterkapitel diese Maßnahme oder Kontrolle zugeteilt hätten.
• Ein Balkendiagramm zeigt die Anzahl der Maßnahmen und Kontrollen nach Hauptkapiteln an. Die Anzahl entspricht der Summe der Maßnahmen bzw. Kontrollen, die dem Hauptkapitel und jedem darunter befindlichen Kapitel zugewiesen sind. Eine mehrmals zugewiesene Maßnahme bzw. Kontrolle wird je Hauptkapitel nur einmal gezählt.
• Der Bericht berücksichtigt dabei den Geltungsbereich (Scope) des Standards/der Norm. Wurde dieser eingeschränkt, werden Kapitel, die als nicht anwendbar markiert wurden, nicht berücksichtigt. Dies kann durch Aktivieren der Option "Nicht anwendbare Kapitel in die Statistik aufnehmen" aufgehoben werden.

Die Datenbasis kann dabei auf einen früheren Analysezeitraum eingeschränkt werden. Es werden dann nur Maßnahmen und Kontrollen berücksichtigt, die in dem gewählten Analysezeitraum bereits existierten.

Management Summary Beispiel Bericht

Management Summary erstellen

Zum Generieren einer Management-Summary muss zuerst eine Norm/ein Standard ausgewählt und der Bericht über die Berichtsoptionen konfiguriert werden. Zum Generieren muss anschließend nur auf den pinken Download Button geklickt werden.

Berichtsoptionen

• Managementsystem (nur Compliance Manager): Diese Option steuert, für welches Managementsystem die Management Summary generiert wird.
• Analysezeitraum: Diese Option steuert, aus welchem Analysezeitraum die Maßnahmen und Kontrollen, die in der Management Summary berücksichtigt werden, kommen.

Die restlichen Optionen ermöglichen es, noch weiter zu konfigurieren, was in den Bericht mit aufgenommen wird. Die Auswahl "Statistik anzeigen" bestimmt beispielsweise, ob die Donut-Diagramme angezeigt werden sollen.

Management Summary

Strukturanalyse

Hier können Berichte zur RTO und RPO Erfüllung generiert werden. Mehr Information zu RTO und RPO finden Sie unter "Risikomanagement → Strukturanalyse".

Bericht für RTO oder RPO auswählen

RTO-Erfüllung

Dieser Bericht zeigt, ob die aus den diversen Schutzbedarfsanalysen (SBAs) abgeleiteten Anforderungen an die Ressourcen hinsichtlich der maximal vertretbaren Wiederanlaufzeit jeweils erfüllt werden können oder nicht.

Der Bericht kann ohne Einschränkung auf eine Ressource erstellt werden. Dann wird dargestellt wie gut die, aus allen SBAs abgeleiteten Anforderungen an alle involvierten Ressourcen hinsichtlich der maximal vertretbaren Wiederanlaufzeit erfüllt werden.

Wenn der Bericht auf eine Ressource (z.B. eine bestimmte Hardware-Komponente) eingeschränkt wird, werden nur Ressourcen, die diese Ressource benötigen (z.B. bestimmte Applikationen und Datenbanken), um funktionstüchtig arbeiten zu können in die Auswertung mit einbezogen. Es werden dann nur SBAs betrachtet die Anforderungen an diese Ressourcen definieren.

RTO-Erfüllungsbericht erstellen

Zum Generieren eines RTO-Erfüllungsbericht muss zuerst die Ressource, für die die RTO-Erfüllung analysiert werden soll, ausgewählt werden und der Bericht über die Berichtsoptionen konfiguriert werden.

Zum Generieren muss anschließend nur auf den pinken Download Button geklickt werden.

Berichtsoptionen

Dieser Bericht enthält Berechnungen von Statistiken, Kennzahlen oder andere Inhalte mit Erklärungsbedarf. Standardmäßig wird daher ein Anhang mit Erläuterungen generiert. Wenn dies nicht gewünscht ist, kann dies über die Berichtsoption "Anhang mit Erklärungen andrucken" deaktiviert werden.

Es kann ebenfalls entschieden werden, ob erfüllte oder nicht erfüllte Anforderungen im Bericht aufscheinen sollen oder nicht.

Außerdem kann konfiguriert werden, wieviel Information zu den relevanten Ressourcen im Bericht angedruckt wird.

RTO Bericht erstellen

RPO-Erfüllung

Dieser Bericht zeigt, ob die aus den diversen Schutzbedarfsanalysen (SBAs) abgeleiteten Anforderungen an die Ressourcen hinsichtlich des maximal vertretbaren Datenverlusts jeweils erfüllt werden können oder nicht.

Der Bericht kann ohne Einschränkung auf eine Ressource erstellt werden. Dann wird dargestellt wie gut die, aus allen SBAs abgeleiteten Anforderungen an alle involvierten Ressourcen hinsichtlich des maximal vertretbaren Datenverlusts erfüllt werden.

Wenn der Bericht auf eine Ressource (z.B. eine bestimmte Hardware-Komponente) eingeschränkt wird, werden nur Ressourcen, die diese Ressource benötigen (z.B. bestimmte Applikationen und Datenbanken), um funktionstüchtig arbeiten zu können in die Auswertung mit einbezogen. Es werden dann nur SBAs betrachtet die Anforderungen an diese Ressourcen definieren.

RPO-Erfüllungsbericht erstellen

Zum Generieren eines RPO-Erfüllungsbericht muss zuerst die Ressource, für die die RPO-Erfüllung analysiert werden soll, ausgewählt werden und der Bericht über die Berichtsoptionen konfiguriert werden.

Zum Generieren muss anschließend nur auf den pinken Download Button geklickt werden.

Berichtsoptionen

Dieser Bericht enthält Berechnungen von Statistiken, Kennzahlen oder andere Inhalte mit Erklärungsbedarf. Standardmäßig wird daher ein Anhang mit Erläuterungen generiert. Wenn dies nicht gewünscht ist, kann dies über die Berichtsoption "Anhang mit Erklärungen andrucken" deaktiviert werden.

Es kann ebenfalls entschieden werden, ob erfüllte oder nicht erfüllte Anforderungen im Bericht aufscheinen sollen oder nicht.

Außerdem kann konfiguriert werden, wieviel Information zu den relevanten Ressourcen im Bericht angedruckt wird.

RPO Bericht erstellen