IT Audit & Cyber Risk:

In den vergangenen Jahren habe ich an zahlreichen Gesprächen mit Verwaltungsräten, CEOs, CFOs, Wirtschaftsprüfern und Technologieteams teilgenommen. Erstaunlicherweise beginnen diese Diskussionen oft mit derselben Frage:

"Sind wir sicher?"

So verständlich diese Frage auch ist, ich bin nicht überzeugt, dass sie die richtige ist.

Risiken verstehen statt sie vermeiden zu wollen

Keine Organisation kann sämtliche Technologie- oder Cyberrisiken vollständig eliminieren. Das Ziel sollte nicht sein, risikofrei zu werden. Vielmehr geht es darum, zu verstehen, wo das Unternehmen Risiken ausgesetzt ist, zu entscheiden, welche Risiken akzeptabel sind, und sicherzustellen, dass die Verantwortlichkeiten klar geregelt sind. Genau dieser Denkweise folgt der ITRA-Ansatz für Technologie- und Cyber-Governance.

Allzu oft konzentrieren sich Unternehmen auf Kontrollen, Tools und Compliance-Anforderungen und verlieren dabei das Gesamtbild aus den Augen. Sie betrachten Cybersicherheit getrennt von Lieferanten, Lieferanten getrennt von Resilienz, Resilienz getrennt von KI und KI wiederum getrennt von Governance. Das Ergebnis ist meist dasselbe: viele Diskussionen, viele Berichte, aber kein konsolidierter Überblick über die Risiken, die für das Unternehmen tatsächlich von Bedeutung sind.

Was ich am häufigsten beobachte, ist nicht ein Mangel an Technologie.

Es ist ein Mangel an Klarheit.

Die Fragen, die wirklich entscheidend sind

Wer trägt die Verantwortung für das Risiko?

Wer ist befugt, die Entscheidung zu treffen?

Wer akzeptiert das Restrisiko?

Diese Fragen sind häufig schwieriger zu beantworten als jede technische Bewertung.

Wie ich meinen Kunden oft sage:

"Das eigentliche Risiko liegt häufig nicht in der Technologie selbst. Das eigentliche Risiko besteht darin, dass niemand weiss, wer die Verantwortung für die Entscheidung trägt."

Warum Cyberrisiken in den Verwaltungsrat gehören

Dies wird insbesondere im Bereich der Cybersicherheit deutlich. Viele Unternehmen betrachten Cyberrisiken noch immer als reines IT-Thema. 

Tritt jedoch ein schwerwiegender Sicherheitsvorfall ein, sind die Folgen selten rein technischer Natur.

Der Betrieb kommt zum Stillstand. 

Umsätze werden beeinträchtigt.

Kunden verlieren das Vertrauen.

Das Management verbringt Tage mit der Bewältigung der Krise.

Die Diskussion verlagert sich damit unmittelbar vom Serverraum in den Verwaltungsrat.

Deshalb sollten Cyberrisiken wie jedes andere Geschäftsrisiko behandelt werden. Technologie-Teams spielen dabei eine zentrale Rolle, doch die Verantwortung muss über die IT hinausgehen. Es braucht Unterstützung durch die Geschäftsleitung, klare Governance-Strukturen und eindeutig definierte Verantwortlichkeiten. Dies gewinnt zunehmend an Bedeutung, da Unternehmen immer stärker von Cloud-Diensten, externen Dienstleistern, digitalen Plattformen und Lösungen im Bereich der künstlichen Intelligenz abhängig sind.

Ein IT Audit sollte Entscheidungen ermöglichen, nicht nur Feststellungen liefern

Ein weiterer verbreiteter Irrtum ist die Annahme, dass ein IT Audit in erster Linie Feststellungen oder Findings liefern sollte.

Meiner Ansicht nach sollte eine erfolgreiche Prüfung vor allem Entscheidungen ermöglichen.

Das Management benötigt keinen 100-seitigen Bericht, der jede einzelne Schwachstelle dokumentiert. Es braucht vielmehr ein praxisnahes Verständnis dafür, wo Handlungsbedarf besteht, wo investiert werden sollte, wo die Governance gestärkt werden muss und ebenso wichtig, wo Zeit und Ressourcen nicht eingesetzt werden sollten.

Die zentralen Fragen jeder Beurteilung

Eine aussagekräftige Beurteilung sollte einige grundlegende Fragen beantworten:

• Was sind unsere bedeutendsten Risiken?
• Welche Risiken könnten wesentliche Auswirkungen auf das Unternehmen haben?
• Sind die Verantwortlichkeiten klar definiert?
• Setzen wir die richtigen Prioritäten?
• Sind wir mit unserem aktuellen Risikoniveau beziehungsweise unserer bestehenden Risikoexponierung zufrieden?

Technologie braucht klarere Entscheidungen

Wenn diese Fragen nach einem Audit unbeantwortet bleiben, hat dieses nur einen begrenzten Mehrwert geschaffen. Eine Beobachtung hat sich im Laufe meiner Karriere immer wieder bestätigt:

"Technologie braucht nicht mehr Diskussionen. Sie braucht klarere Entscheidungen."

Die Organisationen, die Technologie- und Cyberrisiken am wirksamsten steuern, sind nicht zwangsläufig jene mit den grössten Sicherheitsbudgets oder den fortschrittlichsten Werkzeugen. Vielmehr sind es diejenigen Organisationen, in denen die Führungsebene die Risiken versteht, Verantwortlichkeiten klar definiert sind, Entscheidungen dokumentiert werden und Prioritäten mit den Unternehmenszielen übereinstimmen.

Governance, Verantwortung und fundierte Entscheidungen

Letztlich geht es bei IT Audits und dem Management von Cyberrisiken nicht um Technologie.

Es geht um Governance.

Es geht um Verantwortung.

Es geht um fundierte Entscheidungen.

In einem Umfeld, in dem jede Organisation auf Technologie angewiesen ist, werden diese Fähigkeiten zunehmend genauso wichtig wie die Technologie selbst.