BDWS: Partner für Luftsicherheit

26
räume“ bei der Einstufung nach „Gefühl“ oder „Fakten“. Dieses logische
„Korsett“ führte beispielsweise dazu, dass Risiken aus Bränden mit Gefährdungen
für Personen/Mitarbeiter stets als höchstes Risiko („Menschenleben“)
eingestuft wurden. Details sind den nachstehenden Tabellen
zu entnehmen.
Von entscheidender Bedeutung ist dabei auch, dass die bereits vorhandenen
präventiven Schutzvorkehrungen und -maßnahmen (Regularien,
Techniken, Standards, Anweisungen, Versicherungen usw.) einzeln
analysiert und bewertet wurden. Somit wurden objektive, einer
in-/externen Prüfung standhaltende Kriterien definiert und festgelegt.
Die Ergebnisse wurden in eine Matrix aufgenommen.
Dabei wurden als „Nebenprodukt“ auch in einigen Fällen bei der Definition
der Risiken erkannt, wo noch Handlungsbedarf besteht. Diese
Maßnahmen konnten dabei konkret beschrieben und mit Terminen
und Zuständigkeiten beauftragt werden. Diese Punkte wurden in einer
Übersicht zur Nachverfolgung aufgelistet.
Bei diesen – teilweise lebhaften Diskussionen – wurde auch der
WIRTSChAFT UND POLITIK
1 | 2011
„Grundsatz“ bei der Bewertung von Risiken angewendet. Dies bedeutet
Risiken
• vermeiden
• verringern
• abwälzen (z. B. durch Versicherungen)
• tragen.
Wichtig ist dabei, dass diese Priorisierung transparent und nachvollziehbar
ist. Die Ergebnisse sind somit anschaulich und in der Bewertung
an den bewährten Methoden der IT-Risiken ausgerichtet.
Diese logische und konsequente Systematik wurde nach Entwicklung
der Grundlagen dem Bereich Risikocontrolling vorgestellt und bestätigt.
Wesentliches Ziel war es dabei, dass sich das Konzept mit seinem
Aufbau und Elementen in die übergeordnete Risiko-Architektur des
Hauses einfügt.
Im weiteren Verlauf wurde auch der Weg gewählt, die „Security-“ und
die IT-Risiken künftig in einem Jahresbericht zusammen zu fassen und
dem Vorstand vorzulegen.
Der Vorstand wird somit in die Lage versetzt, einen umfassenden,
nach der gleichen Systematik erstellten Überblick über die Risiken (Risikolandkarte)
zu erhalten und ggf. daraus Maßnahmen und Beschlüsse
abzuleiten.
Schließlich wurde das Konzept Mitte 2009 dem Vorstand vorgelegt
und von diesem verabschiedet. Bei dieser Gelegenheit wurde im Übrigen
die im Haus existente Sicherheitsstrategie im Teilaspekt Unternehmenssicherheit
geringfügig modifiziert. In der Folge wurde an den einzelnen
erkannten und deklarierten Handlungsaktivitäten weiter gearbeitet.
2010 - Fortentwicklung
Anfang 2010 wurde erstmals der Jahresbericht für alle Risikobereiche
dem Vorstand zur Kenntnisnahme und Bewertung vorgelegt. Das Ergebnis
bestätigte dieses Vorgehen.
Im weiteren Verlauf (etwa halbjährlich) erfolgt eine Durchsicht der
einzelnen offenen Punkte und Bewertungskriterien. Dazu werden die
aktuellen Schäden aus der sog. Schadenfall-Datenbank herangezogen.
Im Ergebnis zeigen sich dann vereinzelte Neueinstufungen, wenn
sich die Gegebenheiten verändern. Aber auch hier wird deutlich: die
Neueinstufungen sind konkret nachvollziehbar und stellen somit eine
objektive Bewertung dar. Dieses inzwischen anerkannte Verfahren bietet
darüber hinaus die Möglichkeit, die Nachbereitung der einzelnen
Punkte zu verfolgen, bei denen während der Bewertungen Handlungsbedarf
für evtl. Einzelmaßnahmen erkannt und veranlasst wurde.
Ein weiterer potenzieller Vorteil ergibt sich aus der evtl. geringeren
Eigenkapitalunterlegung durch die nachvollziehbare, systematische risikoorientierte
Ausrichtung des Kreditinstitutes. Schließlich bildet dieses
Vorgehen einen Ansatz, den Sachversicherungsschutz zu optimieren.
Fazit
Die Vorgehensweise, Inhalte, Strukturen und einzelne Elemente haben
sich bewährt. Die Vorteile – nach der Grundlagenarbeit – werden
nach und nach immer deutlicher: notwendige Veränderungen können
schnell systematisch erkannt und umgesetzt werden. Die Risikoberichte
sind leicht erstellbar und bieten eine solide Basis für Entscheidungen,
z. B. auch durch den Vorstand im Rahmen des Jahresberichtes.
Aus Sicht der Frankfurter Sparkasse kann dieses Modell auch anderen
Branchen empfohlen werden unter dem Aspekt, dass die Risikostrategie
und das konzeptionelle Vorgehen sowie die Systematik des „Ganzheitlichen
Sicherheitskonzeptes“ grundsätzlich übertragbar sind.