STOP.LI · Berichte · Führung
Management
Risk Report.
Der Risikobericht an Geschäftsleitung und Risikoausschuss: Informationssicherheits- und Cyberrisiken im Vergleich zur genehmigten Risikotoleranz, mit Behandlungsstand, Akzeptanzen und den nötigen Entscheiden.
Auf einen
Blick.
AdressatGeschäftsleitung, RisikoausschussBei Banken und Wertpapierhäusern in der Schweiz stellt die Risikokontrolle diesen Bericht.
RhythmusQuartalsweise oder halbjährlichZusätzlich ad hoc, wenn ein Risiko die Toleranz überschreitet oder ein wesentlicher Verlust eintritt.
ZweckRisikoprofil gegen ToleranzDer Bericht zeigt, wo das Unternehmen ausserhalb seiner Risikotoleranz liegt und was dagegen beschlossen werden muss.
Aufbau
des Berichts.
| Abschnitt | Inhalt | Leitfrage |
|---|---|---|
| Zusammenfassung | Gesamtrisikoprofil, Veränderung zur Vorperiode, Risiken ausserhalb der Toleranz. | Liegen wir innerhalb unserer Risikotoleranz? |
| Risikoprofil | Top-Risiken als Szenario mit Ursache, Ereignis und Auswirkung; inhärente und residuale Bewertung; Trend. | Welche Risiken bestimmen unser Profil? |
| Vergleich mit der Toleranz | Je Risiko oder Risikokategorie: Toleranz, aktuelle Bewertung, Risikokennzahlen mit Schwellen. | Wo überschreiten wir die Toleranz? |
| Risikobehandlung | Massnahmen mit Eigner, Termin und erwarteter Risikoreduktion; Verzug und Ursache. | Wirken die beschlossenen Massnahmen? |
| Akzeptanzen | Neue, ablaufende und abgelaufene Risikoakzeptanzen mit akzeptierender Stelle und Befristung. | Sind Restrisiken bewusst und befristet akzeptiert? |
| Schlüsselkontrollen | Zusammenfassung der Wirksamkeit der Schlüsselkontrollen aus Kontrolltests. | Können wir uns auf unsere Kontrollen verlassen? |
| Ereignisse und Verluste | Wesentliche interne und externe Ereignisse, Verluste und Beinahe-Verluste. | Was ist passiert und was folgt daraus? |
| Neue Risiken | Aufkommende Risiken aus Technologie, Bedrohungslage, Regulierung und Dienstleistern. | Was kommt auf uns zu? |
| Erbetene Entscheide | Behandlungsentscheide, Akzeptanzen, Budget, Anpassung der Toleranz. | Was soll entschieden werden? |
Bewertung
nachvollziehbar.
Damit Bewertungen zwischen Perioden und Bereichen vergleichbar sind, legt der Bericht seine Methode offen. Diese Elemente gehören in jede Risikobeschreibung.
| Element | Anforderung | Warum |
|---|---|---|
| Szenario | Ursache, Ereignis und Auswirkung auf eine Geschäftsleistung in einem Satz. | Ohne Szenario lässt sich ein Risiko weder bewerten noch behandeln. |
| Skalen | Eintritt und Auswirkung je mit definierter Skala, Auswirkung möglichst in Geld, Ausfallzeit oder Anzahl Betroffener. | Gleiche Skalen machen Risiken vergleichbar. |
| Inhärent und residual | Bewertung vor und nach bestehenden Kontrollen. | Zeigt, wie stark das Profil von Kontrollen abhängt. |
| Toleranz | Genehmigte Toleranz je Risikokategorie, mit Risikokennzahlen überwacht. | Erst die Toleranz macht aus einer Bewertung einen Handlungsbedarf. |
| Eigner | Eine benannte Person mit Entscheidungsbefugnis, nicht die Sicherheitsfunktion. | Wer das Risiko trägt, entscheidet über seine Behandlung. |
Deutschland
und Schweiz.
Gemeinsamer Aufbau für beide Rechtsräume. Die Tabelle zeigt, welche Vorgaben den Bericht wo prägen; wo keine Vorgabe besteht, steht das ausdrücklich.
| Rechtsraum | Grundlage | Bedeutung für den Bericht | Fundstelle |
|---|---|---|---|
| FinanzCH | Die Risikokontrolle berichtet dem Oberleitungsorgan mindestens jährlich und der Geschäftsleitung mindestens halbjährlich über die operationellen Risiken, deren Vergleich mit der Risikotoleranz und wesentliche interne Verluste. Zu IKT- und Cyberrisiken gehören Entwicklung, Effektivität der Schlüsselkontrollen und wesentliche Ereignisse. | Gliederung nach der obersten Stufe der Risikokategorisierung; Toleranzvergleich ist Pflichtinhalt. | FINMA-RS 2023/1, Rz 39–41 ↗ |
| FinanzD | Das Leitungsorgan legt die Toleranzschwelle für das IKT-Risiko fest; die Strategie für die digitale operationale Resilienz bestimmt sie im Einklang mit der Risikobereitschaft. | IKT-Risiken gegen diese Toleranzschwelle berichten; Kennzahlen aus der Strategie verwenden. | Art. 5 Abs. 2 Bst. d, Art. 6 Abs. 8 Bst. b DORA ↗ |
| Deutschland | Risikomanagementmassnahmen müssen geeignet, verhältnismässig und wirksam sein; massgeblich sind unter anderem Risikoexposition, Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen. | Der Bericht begründet die Verhältnismässigkeit mit der Risikobewertung. | § 30 Abs. 1 BSIG ↗ |
| Schweiz | Für Unternehmen ohne Aufsicht gibt es keine spezifische Vorgabe. Die Oberaufsicht des Verwaltungsrats setzt eine angemessene Risikoinformation voraus. | Der Bericht ist Teil dieser Informationsbasis. | Art. 716a OR ↗ |
| Norm | Risikomanagement wird aufgezeichnet und berichtet; Informationssicherheitsrisiken werden nach einem festgelegten Prozess beurteilt und behandelt. | Methode und Skalen dokumentieren. | ISO 31000, Abschnitt 6.7; ISO/IEC 27005 ↗ |
Häufige
Fehler.
FehlerHeatmap ohne SzenarioEin Punkt auf einer Matrix ohne Beschreibung lässt keinen Entscheid zu.
FehlerNur inhärente SichtWer Kontrollen nicht einrechnet, überzeichnet; wer nur residual bewertet, verdeckt Abhängigkeiten.
FehlerToleranz fehltOhne genehmigte Toleranz bleibt offen, ob gehandelt werden muss.
FehlerMassnahmen statt WirkungDer Bericht zeigt, wie sich das Risiko verändert hat, nicht nur, welche Projekte laufen.
Passende
Werkzeuge.
Diese Werkzeugklassen liefern Daten oder Nachweise für den Bericht. Einordnung und Produktvergleich stehen auf den verlinkten Seiten.
WerkzeugCyber Risk QuantificationMacht Risiken in Geldwerten und Bandbreiten vergleichbar.WerkzeugIntegrierte GRC-PlattformenHalten Risikoregister, Massnahmen und Verantwortliche zusammen.WerkzeugVendor Risk und TPRMLiefert die Risiken aus kritischen Lieferanten.WerkzeugExposure ManagementZeigt, welche Schwächen von aussen tatsächlich erreichbar sind.
Einordnung. Die Seite beschreibt Aufbau und Mindestinhalte des Berichts. Sie ersetzt keine Rechtsberatung; ob und in welcher Rolle ein Regelwerk gilt, hängt vom Geltungsbereich ab. Weiter: Board Briefing →, Kontrolltestbericht →, CISO Monatsbericht →.