Inhärentes vs. Restrisiko.

Dasselbe Risiko zu zwei Zeitpunkten betrachtet

Inhärentes Risiko und Restrisiko sind nicht zwei verschiedene Risiken. Sie sind dasselbe Szenario, gemessen an zwei Punkten: bevor Ihre Kontrollen wirken, und nachdem sie gewirkt haben. Das inhärente Risiko ist die rohe Exposition, das Maß an Eintrittswahrscheinlichkeit und Auswirkung, dem Sie ausgesetzt wären, wenn die relevanten Kontrollen fehlten oder vollständig versagten. Das Restrisiko ist das, was übrig bleibt, sobald die Kontrollen umgesetzt sind und wie vorgesehen wirken.

Sie nebeneinander zu lesen, ist der ganze Sinn der Sache, denn die Differenz zwischen beiden ist der sichtbare Wert Ihres Kontrollumfelds. Eine große Differenz besagt, dass die Kontrollen ihren Beitrag leisten; eine geringe Differenz besagt, dass Sie Aufwand für eine geringe Reduktion betreiben und nach dem Grund fragen sollten.

Diese Werte als Paar zu behandeln, ändert, wie Sie Mittel einsetzen. Wenn zwei Szenarien ein ähnliches Restniveau aufweisen, eines aber von einem weit höheren inhärenten Niveau ausging, leistet das Kontrollset, das es niedrig hält, Schwerstarbeit und verdient Schutz im Budget. Das Szenario, das sich vom inhärenten zum Restrisiko kaum bewegt hat, ist dasjenige, das es zu überprüfen gilt: Entweder ist die Kontrolle schwach, es ist die falsche Kontrolle, oder das Risiko war nie so exponiert, wie die Bewertung behauptete.

Was Auditoren und Normen erwarten

Die Differenz zwischen inhärentem Risiko und Restrisiko ist der Ort, an dem die Assurance liegt, daher muss sie begründet und nicht behauptet werden. Ein Auditor liest das Register und verlangt von jedem Restwert drei Dinge: welche Kontrollen ihn reduziert haben, ob diese Kontrollen tatsächlich wirken statt nur dokumentiert zu sein, und wer das Verbleibende akzeptiert hat. Dieser letzte Punkt ist wichtig. Das Restrisiko wird von einem namentlich benannten Verantwortlichen mit der Befugnis, es zu tragen, akzeptiert, und diese Akzeptanz muss innerhalb des Risikoappetits der Organisation liegen. Ein Restniveau, das den Appetit übersteigt, ist kein abgeschlossener Eintrag; es ist ein offener Punkt, der weitere Behandlung, Transfer oder eine bewusste, dokumentierte Ausnahme verlangt.

Diese Logik ist in den wichtigsten Rahmenwerken verankert. ISO 31000 fasst das Risikomanagement als iterative Schleife auf, in der die Behandlung das Risiko verändert und das veränderte Risiko anschließend neu bewertet wird, was genau dem Übergang vom inhärenten Risiko zum Restrisiko entspricht. ISO/IEC 27005 wendet dasselbe Denken auf das Informationssicherheitsrisiko an und verlangt ausdrücklich, dass das Restrisiko bewertet und vom Management förmlich akzeptiert werden muss, bevor ein System in Betrieb geht oder im Produktivbetrieb bleibt.

Die NIST-Leitlinien zur Risikobewertung tragen die identische Unterscheidung zwischen dem Risiko, dem eine Organisation ausgesetzt ist, und dem Anteil, der nach Anwendung der Reaktionen verbleibt. Keine dieser Normen behandelt das Restrisiko als eine Zahl, die man einmal berechnet und ablegt.

Es in der Praxis gut machen

In einem funktionierenden Register sollte jede Zeile es einem Leser erlauben, die inhärente Bewertung, die angewandten Kontrollen, die Restbewertung und den namentlich benannten Verantwortlichen, der sie akzeptiert hat, nachzuvollziehen. Halten Sie die Bewertungsmethode zwischen inhärentem Risiko und Restrisiko konsistent, damit beide wirklich vergleichbar sind; wenn Sie Auswirkung und Eintrittswahrscheinlichkeit auf jeder Stufe unterschiedlich bewerten, bedeutet die Differenz nichts. Bewerten Sie das Restrisiko jedes Mal neu, wenn sich eine Kontrolle ändert, verschlechtert oder bei Tests als unwirksam erweist, denn das Restrisiko ist nur so aktuell wie die Kontrollen, die dahinterstehen. Ein Restwert, der vor zwei Audits festgelegt und nie überprüft wurde, ist Dekoration, keine Assurance.

Das Urteil, das sich auszahlt, besteht darin, das Restrisiko mit dem Appetit und der Behandlung zu verknüpfen. Sobald das Restrisiko auf oder unter dem Appetit liegt, ist die Akzeptanz vertretbar und der Verantwortliche unterzeichnet. Liegt es darüber, hält der ehrliche Eintrag die Differenz und den Plan zu ihrer Schließung fest, anstatt die Zahl abzurunden, damit die Seite ordentlich aussieht. Diese Disziplin ist es, die ein Register von einem Compliance-Artefakt in ein Werkzeug verwandelt, das der Vorstand tatsächlich nutzen kann, um Aufmerksamkeit zuzuteilen.