Seminar DORA IKT-Risikomanagement und Governance

Beschreibung

Ein belastbarer IKT-Risikomanagementrahmen verbindet Geschäftsleistungen, technische Abhängigkeiten und konkrete Steuerungsentscheidungen. Das Seminar entwickelt diese Verbindung anhand eines Finanzunternehmens mit mehreren Fachbereichen und ausgelagerten IT-Leistungen. Bearbeitet werden Zuständigkeiten, Richtlinien, Risikobewertungen und die Wirksamkeit ausgewählter Kontrollen.

Die Fallstudie folgt einem vollständigen Arbeitszyklus: Eine Leistung wird abgegrenzt, ihr Unterstützungsbedarf erfasst, Risiken werden bewertet und Maßnahmen zugeordnet. Anschließend werden Veränderungen und Kontrollbefunde in die Bewertung zurückgeführt. Dabei wird begründet, welche Anforderungen für die jeweilige Unternehmenskategorie gelten und wie bestehende Managementsysteme weitergenutzt werden können.

Lernziele

• Einen zusammenhängenden IKT-Risikomanagementrahmen mit klaren Verantwortlichkeiten entwerfen.
• Geschäftsfunktionen, Informationswerte, IKT-Assets und Dienstleisterbeziehungen verknüpfen.
• Risiken, Maßnahmen und verbleibende Risiken anhand einheitlicher Kriterien dokumentieren.
• Kontroll- und Managementberichte mit nachvollziehbaren Bewertungsgrundlagen erstellen.

Seminarinhalte

Inhaltsübersicht: Geltungsbereich und Governance; Inventar und Funktionszuordnung; Risikoanalyse und Bewertung; Kontrollen und Maßnahmen; Veränderungen und Überprüfung; Berichte und Zusammenarbeit.

Geltungsbereich und Governance

• Organisationsgrenzen und Verbindungen zum unternehmensweiten Risikomanagement bestimmen.
• Operative Verantwortung, unabhängige Kontrolle und interne Revision angemessen trennen.
• Voraussetzungen für den vereinfachten Rahmen und sonstige Erleichterungen prüfen.

Inventar und Funktionszuordnung

• Geschäftsfunktionen, Prozesse, Daten, Anwendungen und Infrastruktur konsistent erfassen.
• Kritikalität und Abhängigkeiten einschließlich externer Leistungen dokumentieren.
• Datenverantwortliche, Aktualisierungsereignisse und Qualitätskontrollen festlegen.

Risikoanalyse und Bewertung

• Bedrohung, Schwachstelle, Eintrittsannahme und Auswirkung auseinanderhalten.
• Szenarien für Altsysteme, Änderungen, Cloud-Abhängigkeiten und Kontrollausfälle entwickeln.
• Bewertungsskalen, Risikotoleranz und nachvollziehbare Akzeptanzentscheidungen anwenden.

Kontrollen und Maßnahmen

• Richtlinienziele in überprüfbare organisatorische und technische Kontrollen übersetzen.
• Kontrollverantwortliche, Prüffrequenz, Nachweise und Abweichungsbehandlung definieren.
• Maßnahmen mit Budget, Abhängigkeiten, Frist und Wirksamkeitskriterium verbinden.

Veränderungen und Überprüfung

• Änderungsprojekte, Vorfälle und Testergebnisse als Neubewertungsanlässe nutzen.
• Regelmäßige Überprüfung des Rahmens und die zugehörige Berichterstattung vorbereiten.
• Erkannte Schwächen in Richtlinien, Schulungsplanung und Betriebsverfahren zurückführen.

Berichte und Zusammenarbeit

• Risikokennzahlen und Kontrollkennzahlen mit verlässlichen Datenquellen aufbauen.
• Anforderungen an Eskalation, Freigabe und Managemententscheidungen konkretisieren.
• Freiwilligen Bedrohungsinformationsaustausch hinsichtlich Zweck, Teilnehmerkreis und Vertraulichkeit organisieren.

Praxisworkshop

1. Den Geltungsbereich der Fallstudie abgrenzen und eine Verantwortungsmatrix erstellen.
2. Eine kritische Geschäftsleistung bis zu Anwendungen und Dienstleisterabhängigkeiten modellieren.
3. Drei Risikoszenarien anhand einer vorgegebenen Bewertungsmethodik bearbeiten.
4. Kontrollsteckbriefe und einen priorisierten Maßnahmenplan entwickeln.
5. Neue Informationen aus einem simulierten Vorfall einarbeiten und Bewertungen aktualisieren.
6. Einen kompakten Managementbericht erstellen und im gegenseitigen Review prüfen.