3.4.3. Darstellung und Reporting

Das zusammenfassende Reporting der identifizierten Risiken wird auch „Heat-Map“ genannt. Diese ermöglicht es, beliebig viele Risiken konsolidiert darzustellen und ist deshalb auch für das Management-Reporting geeignet. Sie ist für die Darstellung von allgemeinen Unternehmensrisiken weit verbreitet (Atkinson & Jourdan, 2008). Bei dieser Art der Darstellung wird die Schadensentdeckung (Exposure) nur indirekt über die angenommene Eintrittswahrscheinlichkeit berücksichtigt. Abbildung 10 illustriert die Darstellung der Heat-Map. Eine Heat-Map kann das Risikoportfolio eines Geschäftsbereichs, bezogen auf einen Businessprozess oder das der gesamten Organisation zusammenfassen.

Abbildung 10: Beispiel einer „Heat-Map“ für Informationsrisiken in der die Schadenshöhe gegen die Eintrittswahrscheinlichkeit dargestellt wird.

Mit Hilfe der Heatmap können die vier prinzipiellen Optionen der Risikostrategie veranschaulicht werden. Neben der Möglichkeit, Risiken auf Grund von geringer Schadenshöhe und Eintrittswahrscheinlichkeit zu akzeptieren (Risk 1), können Risiken durch Gegenmaßnahmen miniert werden (Risk 2). Hier stehen die Optionen „Mitigate“ und „Transfer“ zur Verfügung. Bei „Mitigate“ geschieht dies durch geeignete technische und organisatorische Maßnahmen, bei der Option „Transfer“ wird das Risiko übertragen. So kann z.B. der zu Grunde liegende Businessprozess angepasst werden, auf einen anderen (externen) Partner oder auf eine Versicherung übertragen werden. Offensichtliche Risiken mit hohem Schadenspotential liegen in der Heatmap im oberen rechten Quadraten und sollten grundsätzlich vermieden werden (Risk 3).

Ein Nachteil dieser Darstellung ist, dass die Aufwände für schadensreduzierende Maßnahmen nicht direkt in diese Darstellung eingehen. Die Höhe dieser Aufwände ist allerdings sicherlich sehr relevant für eine mögliche Investitionsentscheidung. Hierbei kann es sich um einen „quick win“ handeln oder aber um eine Ausgabe die in keinem Verhältnis zum Nutzen steht. Diese Betrachtung ist separat durchzuführen (siehe Kapitel 3.5.4).

Obwohl die Darstellung eines Risikos auf einer Heat-Map eher qualitativer Natur ist, ist die Heat-Map eine nützliche Entscheidungsgrundlage ob Einzelrisiken gehäuft auftreten oder wie die Gesamtrisiko-Situation zu beurteilen ist.