LB

Question 1

Wie sieht das umfassende Regelwerk der IT aus?

Accepted Answer

Gesetzliche Regelungen Unternehmenseigene Vorgaben (CoC, Passwortrichtlinie, Social Media Guideline) Vertragliche Vereinbarungen (Zusicherungen von Qualitätskriterien gegenüber Kunden, Vorgaben durch Zertifiierungsstellen) In regelmässigen Abständen evaluieren und im Fall von Rahmenbedinungsänderungen modifzieren.

Question 2

Was sind die Aufgaben der IT-Compliance?

Accepted Answer

Compliance in Software Compliacne in Infrastruktur und Technik Compliance bei Zugriffsverwaltung Compilacne bei der Anschaffung und Entsorgung von IT-Systemen

Question 3

Wie sieht die GRC der IT-Compliance aus?

Accepted Answer

Wichtiger Bestandteil der innerbetrieblichen Compliance Struktur: IT Governance (achtet auf IT-Risiken, forciert IT-RM, angemessenes IT-RM forviert IT-G) IT Governnance (beschreibt alle Aspekte, die für die Errichtung einer IT-Compliance nötig sind, verantwortungsvolle IT-C erzwingt IT-) IT-Risiko (Risikosystematik und Klassifikation - ständiges Risikobewusstsein erzeugt das Bewusstsein der IT-C, gute IT-C schützt wirkungsvoll gegegnüber bestimmten IT-Risiken) IT-Compliance (Unternehmenskuiltur- und Ethik)

Question 4

Wie wird eine Complianceorganisation aufgebaut?

Accepted Answer

Es sind unternehmensspezifische Rahmenbedingungen, wie Grad der Zentralisierung und Unternehmenskultur zu berücksichtigen. Grds. kommen 3 Organisationsformen dafür infrage: - Übertragung der Compliance Aufgaben an eine etablierte Institution - Bildung eines Compliance-Komitees - Autonome Compliance Organisation

Question 5

Was sind die Vorteile bei Übertragung der Compliance an eine Rechtsabteilung?

Accepted Answer

Die Vorteile bei der Übertragung auf die Rechtsabteilung bestehen darin, dass dieseAbteilung unabhöngig von den operativen Einheiten ist und eine große Nöhe zumVorstand aufweist. Die Unabhöngigkeit ist die Voraussetzung, dass alle brisanten The-meri aufgegriffen werden, da eine Verstrickung in diese Vorfölle nicht besteht. DieVorstandsnöhe hat den Vorteil, dass über alle Themen gesprochen werden kann undauch die erforderlichen Sanktionen und Maßnahmen ergriffen werden. Vorausge-setzf wird allerdings, dass die Geschöftsleitung nicht selbst in die Vorgänge involviertis+. Ein weilerer Vorteil besteht in der Sachkunde, da eine Reihe von Compliance-Themen rechtliche Themen sind. Regeleinhaltung setzt Regelkenntnis voraus, unddiese Voraussetzung isf bei der Rechtsabteilung gegeben.

Question 6

Was sind die Nachteile bei der Übertragung der Compliance auf die Rechtsabteilung?

Accepted Answer

Die Nachteile bei der Übertragung der Compliance-Organisation an die Rechts-abteilung bestehen darin, dass die Rechtsabteilung mit anderen Aufgaben belas-fet ist, woraus sich ein Prioritötenproblem ergeben könnte. Zudem kann sich einInteressenproblem ergeben, wenn die Rechtsabteilung bezüglich der erforderli-chen Regelungen falsch beraten hatte. Sie müsste dann im Nachhinein ihre Arbeitinfrage stellen. Ein Teil der Arbeit könnte von der Rechtsabteilung auch nicht geleistet werden, wenn es sich um Prozessablöufe handelt. Hier ist betriebswirt-schaftliches Prozessdenken gefragt, über das die Rechtsab+eilung nicht verfügt.Eine weilere Gefahr könnte aus der Service-Funktion der Rechtsabteilung enfste-hen. Als Folge der Mandantennähe, die die Rechtsabteilung auszeichnet, wöreeirie Unterstützung der betroffenen Stellen denkbar und keine rückhaltlose Aufklö-rung, die «;)eforderl ist. Wird von der Rechtsabteilung erworlel, dass sie Miförbeiterin schwierigen Situationen unabhöngig berafen soll, w6re die Rechtsabteilungnicht geeignet, die Compliance-Aufgabe zu übernehmen.

Question 7

Was sind die Vorteile bei der Übertragung der Compliance auf die Interne Revision?

Accepted Answer

Bei eirier Übertragung der Compliance-Organisation an die Interne Revision ergibtsich ebenfalls eine Reihe von Vorteilen. So wören die Regelerstellung und die Prü-fung der Einhaltung der Regelungen in einer Hand. Hinzu kommt das Prozessden-ken der Internen Revision. Für die Beurteilung des Kontrollsystems (IKS) und des Risi-komanagementsystems (RMS) sind die Ablöufe mit ihren Risiken und Kontrollennachzuvollziehen. Dabei werderi die Schwachstellen aufgedeckt und Lücken iden-tifiziert. Ein weilerer Vor+eil, der auch bei der Rechtscib+eilung gegeben wor, ist dieVorstandsnöhe der Internen Revision. Alle Themen können angesprochen werden,die erforderlichen Maßnahmen werden umgesetzt, und die Konsequenzen werdenoffengelegt.

Question 8

Was sind die Nachteile bei der Übertragung der Compliacne auf die Interne Revision?

Accepted Answer

Die Nachteile, die sich aus einer Übertragung an die Interne Revision ergeben, be-stehen einmal in der mangelnden rechtlichen Ausbildung in einem Feld, das durchreguiatorische Vorschriften geprägt ist. Auch hier ist davon auszugehen, dass Inte-ressenkonflikte aus der Falschberatung entstehen können, wos sich in diesem FCI??auf die Empfehlungen oder Beratungen der Internen Revision bezüglich der Rege-lungen des IKS oder RMS bezieht. Nach der Art, wie die Interne Revision ihre Aufga-ben erledigt, können sich als weiterer Nachteil Schwellenöngste der betroffenenStellen ergeben. Sie werden die Unterstü+zung der Internen Revision nicht in An-spruch nehmen, wenn sie daraus nachteilige Sanktionen durch die Interne Revisionzu erwarten hfüten. Wird vom Leiter der Internen Revision verlangt, dass er die Com-pliance-Funktion unabhöngig prüfen soll, würde er für die Lei+ung der Compliance-Organisation ausscheiden.

Question 9

Was ist autonome Compliance-Organsiation und deren Richtlinien-Kompetenzen?

Accepted Answer

Bei dieser Form werden die drei Aufgobenstellungen Prävemion, Aufdeckung undReaktion vom Compliance-Management wahrgenommen. Die Institution Compli-ance besitzt in diesem Fall die Richtlinienkompetenz für alle Compliance-Fragen.Dazu gehören die Einrichtung des Whistleblowings, die Vorgabe von Regeln zu Ethikund Werten, die Analyse von Compliance-Verstößen, die Schulung und das Trai-ning bezüglich Compliance im Gesamtunternehmen und die jöhrliche Berichter-stattung Ober Compliance-Sachverhalte. Das Compliance-Management wird die Tätigkeiten aus den anderen Bereichen, wie Rechtsabteilung, Interne Revision usw.nicht an sich ziehen. Dafür fehlen z.T. die Voraussetzungen und die Kenntnisse. DerCompliance Officer besitzt aber die Richtlinienkompetenz. Er wird mit den anderen Abteilungen Lösungen entwickeln und diese dann auch vorgeben. Ein IT-Compliance Officer ist in dieser Organisation eher nicht vorzufinden. Diese Organisationsform wird für Großunternehmen infrage kommen.

Question 10

Wie sieht die Compliane-Organisation in KMUs aus?

Accepted Answer

CO: Der Compliance Officer ist für alle ComplianceMaßnahmen verantwortlich und vollamtlicherTräger der Compliance-Aufgaben. Er ist der Un-ternehmensführung direkt unterstellt und hatRichtlinienkompetenz gegenüber den anderenbetroffenen Bereichen, wie Buchhaltung, Ein-kauf usw. Aufspaltung der C-Aufgaben: Die Compliance-Aufgaben werden in Einzelauf-gaben zerlegt und von unterschiedlichen Mitar-beitern als Nebenaufgabe wahrgenommen, wiez. B. vom Assistenten der Geschöftsleitung oderdem Buchhalter und dem Geschöftsführer. Diezentrale Verantwortung bleibt bei der Ge-schäftsführung. Sie muss auch die Abgrenzungder Kompetenzen und die Koordination der Tö-tigkeiten der verschiedenen Stellen durchführen. Erweiterung der C-Aufgaben: Dem Compliance Officer werderi neben seineneigentlichen Aufgaben weilere Aufgaben zuge-wiesen. Die Compliance-Aufgaben werden umdie Tötigkeiten der Internen Revision, des Con-trollings/Rechnungswesens oder der Rech+sbe-ratung (wenn es sich um einen Juristen handelt)erweitert. Hinsichtlich seiner gesamten Aufga-ben ist der Compliance Officer der Geschöfts-führung unterstellt Outsourcing der C-Aufgaben: Die Compliance-Tätigkeiten werden nicht durchMitarbeiter des Unternehmens selbst, sondernvon einer externen Stelle, z.B. einer Kanzlei durch-geführt. Im Verlrag mit dem externen Dienstleis-ter müssen der Aufgabenumfang (Compliance-Aufgaben), die Koordination durch die Ge-schöftsführung, die Kosten (Festpreis oder nachLeistung) und die Kompetenzen festgelegf werden.

Question 11

Wie sieht der Bericht an den Aufsichtsrat aus?

Accepted Answer

Das direkte Reporting einer Unternehmensfunktion an den Aufsichtsrat ist nachdeutschem Recht nicht üblich. Allerdings hat der Aufsichtsrat nach § ]111 Abs. 1 AktG die Geschäftsführung zu überwachen. Da die Einhaltung aller gesetzlichenBestimmungen und unternehmensinternen Richtlinien eirie Geschöftsführungsaufgabe ist, hat der Aufsichtsrat bzw. der von ihm beauftragte Prüfungsausschussauch die Sicherstellung der Compliance zu überwachen. In welchem Detaillie-rungsgrad dies erfolgt, ist abfü5ngig von der Risikolage des Unternehmens. Der Prü-fungsausschuss darf sich im Normalfall auf die Berichterstattung des Vorstands ver-lassen, die er jedoch kritisch zu hinterfragen hat. Dazu gehören auch die Anforderung von ergänzenden Berichten sowie die Diskussion von möglichen Alternativen. Liegen Anhaltspunkte für erhebliche Schwachstellen oder Unregelmößigkeiten vor. ist der Prüfungsausschuss verpflichtet, mit allen ihm zur Verfügung stehenden Mi+-teln diesen Sachverhalten nachzugehen.Für Kreditinstitute ergibt sich eine andere Situation. Hier ist die Compliance-Funktionverpflichtet, die Berichte auch an das Aufsichtsorgan weiterzugeben. In der MaRiskvom September 2017 heißt es unter AT 4.4.2 Ziff. 7:,,Die Compliance-Funktion hat mindestens jährlich sowie anlassbezogen der Ge-schäftsleitung über ihre Tätigkeit Bericht zu erstatten. Darin ist auf die Angemessen-heit und Wirksamkeit der Regelungen zur Einhaltung der wesentlichen rechtlichenRegelungen und Vorgaben einzugehen. Ferner hat der Bericht auch Angaben zumöglichen Defiziten sowie zu Maßnahmen zu deren Behebung zu enthalten. DieBerichte sind auch an das Aufsichtsorgan und die Interne Revision weiterzuleiten."In der MaComp (05/2018) hat dagegen die Berichters'föttung an das Aufsichtsor-gan nur Ober den Vorstand zu erfolgen (BT ] .2.2 Ziff.3).

Question 12

WIe sieht der Bericht an den Vorsitzenden Vorstand aus?

Accepted Answer

Diese Form haben Siemens und ABB gewählt. Damit wird die Bedeutung der Funk-tion Compliance intern wie auch extern herausgestellt. Es kann C)15 eine Fraud-Prö-vention aufgefasst werden. Erforderlich ist eine Verlrelung im Vorstand aber nicht.Sie ist auch in der Praxis auf Sonderfölle beschränkt. Der Image-Schaden ist ganzerheblich, wenn ein Compliance-Vorstand, wie bei Thyssen Krupp, bei anstehen-den Problemen nicht richtig durchgegriffen hat. Seilschaften und blinde Loyalitö+seien wichtiger geweseri als unternehmerischer Erfolg. ,,Es wurde eine Kul+ur ge-pflegt, in der Abweichungen und Fehlentwicklungen lieber verschwiegen als korri-giert wurden. Zudem habe offenbar bei einigen die Ansicht vorgeherrscht, dassRegeln, Vorschriften und Gesetze nicht für alle gelten." So der Vorstandsvorsitzendevon Thyssen-Krupp Hiesinger laut Handelsbla+t vom ] L12.2C)12.

Question 13

Wie sieht der Bericht an den Vorstand oder Geschäftsführer aus?

Accepted Answer

Es handelt sich um die zweitbeste Möglichkeit. Die Unabhängigkeit bei der Unter-suchung und die Durchsetzung von Findings werden eingeschrönkt, da die Berei-che, denen die Compliance-Funktion unterstellt ist nich+ unbedingt an einer lü-ckenlosen Aufdeckung und Dokumentation von Compliance-Verstößen interes-siert sind, die im eigenen Bereich angefallen sind.

Question 14

Welche vier Zielsetzungen werden mit einem Ethik-Kodex verfolgt?

Accepted Answer

1. Er vermittelt allen Mitarbeitern die im Unternehmen akzeptierten Werte. Dieswird auch als Orientierungsfunktion bezeichnet. Insofern ist der Code das ,,Geländer", an dem sich die Berufsangehörigen in den alltäglichen Dilemrno-Situ-ationen festhalten und orientieren können. 2. Er begründet Grundsfüze, an denen der Einzelne sein eigenes Verhalten beur-feilen kann. Dies wird als Legifimationsfunktion bezeichnet. Der Code schafffTransparenz hinsichtlich der Werte, denen sich der Mitarbeiter verpflichtet fühlt. 3. Er zeigt auf, welche Folgen sich aus einer Missachtung des Werlesyslems erge-ben. Dabei handelt es sich um die Sanktionsfunktion, aus der der Berufsange-hörige ablesen kann, wie abweichendes persönliches Verhalten geahndet wird. 4. Er kommuniziert das Wertesystem nach außen und verdeutlicht Dritten (Auftrag-gebern, Kunden u.s.w.), welches Verhalten sie von den Mitarbeitern erwartenkönnen, und welches sie nichf verlangen dürfen. Dies wird als Identifikations-funktion gesehen, da für den Mitorbeiter spezifische V4erle gelten, die zu eirierAbgrenzung von anderen Unternehmen führen.

Question 15

Welche Themen werden mit einem Ethik-Kodex noch behandelt?

Accepted Answer

- Sicherstellung der Einhaltung von Geselz und Ethik mit Lieferamen und Sub-umernehmen - Erklärung zur Annahme und Vergabe von Geschenken; Einladung zu Bewirtungen und sonsfigen Vorteilen - Umgang mit Interessenkonflikten (Vorrang der Unternehmensinteressen vorprivaten Interessen) - Umgang mit Spenden und Sponsoring - Vermögensschutz des Unternehmens, Nebentätigkeiten - Regeln für das Hinweisgebersystem (Whistleblowing).

Question 16

Wie sieht die Aufsichtspflicht nach § 130 OWIG aus?

Accepted Answer

Zu den erforderlichen Aufsichtspflichten gehören unstrittig Organisationspflich+en,d.h. bei,Delegafion von Aufgaben müssen geeignete zuverlössige Personen be-stellt und überwacht werden. Aufgaben müssen lückenlos delegiert vverderi, Zu-stöndigkeifen sollen klar abgegrenzt sein. Weiterhin gehören Auswahlpflichten und Instruktionspflichten zu den erforderli-chen Aufgaben. Der Geschöftsleiter darf auch nicht auf die ordnungsgemäßeGeschäftsabwicklung vertrauen, d.h. er muss die Mitarbeiter auch überwachen.Die Ük»erwachungspflicht verlangt von der Geschäftsleitung pröventive Kontrol-len, d.h. es genügt nicht, wenn der Geschöftsleiter immer erst nach Entdeckungeiner Zuwiderhandlung tätig wird. Stichprobenartige überraschende Kontrollensind 6rforderlich, damit Mitarbeitern gezeigt wird, dass mit der Entdeckung vonZuwiderhandlungen zu rechnen ist. Schließlich gehören zur Aufsicht auch Sank+ionspflichten, wenn wiederholt Zuwi-derhandlungen stattfinden.

Question 17

Wie sieht die Haftung im Innenverhältnis aus?

Accepted Answer

Voraussetzungen einer Innenhaftung nach den organisa+ionsrechtlichen Gene-ralklauseln sind:e das Vorliegen einer Pflichtverletzunge ein Schaden der Gesellschaf+bKausalitöt zwischen Pflichtverletzung und Schaden und das Verschulden des Geschäftsleiters. Anspruchsgrundlage sind §§ 93 Abs. 2 AktG bzw. § 43 Abs. 2, 64 GmbHG. DerPflichtenkatalog des Vorstands bzw. des Geschäftsführers gegenüber der Gesell-schaft beschreibt somif dessen Haf+ungsmöglichkeiten im Innenverhöltnis.

Question 18

Wie entsteht eine Haftung der Geschäftsleitung?

Accepted Answer

Eine Haftung der Geschäftsleitung entsteht, wenn eine unternehmerische Ent-scheidung pflichtwidrig ist und zu einem Schaden der Gesellschaft führt. Unter-nehmerische Aktivitäten sind risikobehaftet. Der Geschäftsleiter kann nicht jedesRisiko vermeiden, und nicht jedes eingetretene Risiko führt zu eirier Schodenser-satzpflicht. Der Geschöftsleiter ist ober zur Errichtung eines angemessenen Risikokontrollsys-tems verpflichtet. Er muss ein geeignetes System installieren, um Risiken frühzeitigerkennen zu können und Gegenmaßnahmen zu ergreifen.Die Sorgfaltspflichten eines Vorstands einer AG und eines Geschöftsführers einerGmbH laufen insoweit gleich. Der Gesetzgeber hat dabei die Ausgestaltung desjeweils erforderlichen Überwachungs- bzw. Risikomanagement-Systems im We-sentlichen offengelassen, sodass die Unternehmens- und Beratungspraxis hier ge-eignete Maßnahmen selbst organisieren muss. Die Frage, ob ein Compliance-System im Unternehmen existieren muss, steht demnach fast, allerdings bestehtbezüglich der Frage, wie es ausgestaltet sein kann, unternehmerische Gestal-tungsfreiheit Neben der bereits erwöhnten Legalitätspflicht trifft den Vorstand der AG bzw.Geschöftsführer der GmbH auch die Legalitätskontrollpflicht, d.h. der Geschöf+s-leiter hot auch zu kontrollieren, ob das eingerichtete CMS wirksam ist. Der Ge-schöftsleiter muss also ein funktionierendes CMS schaffen und dessen Effizienz lau-fend prüfe

Question 19

WIe haftet ein Geschäftsleiter?

Accepted Answer

Ein Geschäftsleiter haftet unzweifelhaft strafrechtlich, wenn er unmittelbar in eigener Person einen Straftatbestcind verwirklicht. Denkbar ist aber auch die Verwirklichung von Straftatbeständen durch Mittäterschaft oder Teilnahme an Straftaten anderer Personen.Unklar ist jedoch derzeit noch die Rechtslage, inwieweit sich ein Geschäftsleiter durch Unterlassen strafbar macht. Gem. § 13 StGB ist ein Unterlassen nur strafbar, wenn den Unterlassenden einerechtliche Pflicht zur Abwendung einer Straftat trifft (Garantenpflicht). Konkret geht es also um die Frage, ob sich ein Vorstand bzw. Geschäftsführer wegen Beihilfe durch Unterlassen strafbar macht, wenn sich Mitarbeiter des Unternehmens strafbar machen und er es unterlässt, hiergegen einzuschreiten. 130 Abs 1 OWIF Haftung Betriebsinhaber 9 Abs 1 OWIG Haftung Organte

Question 20

Wie sieht die Aufsichtspflicht aus?

Accepted Answer

130 OWIG: Organisationspflicht (Delegation von Aufgaben an geeignete zuverlässige Personen) Auswahlpflicht (Mitarbeiter überwachen, instruieren, Stichproben machen) Instruktionspflicht Überwachungspflicht Sanktionspflicht

Question 21

Wie sieht die Haftung im Innenverhältnis aus?

Accepted Answer

Voraussetzungen: Vorliegen einer PFlichtverletzung Schaden der Gesellschaft Kausalität zwischen Pflichtverletzung und Schaden Verschulden des Geschäftsleiters 93 Abs 2 AktG, 43 Abs. 2, 64 GmbHG

Question 22

Wann entseht eine Haftung der Geschäftsleitung?

Accepted Answer

Eine Haftung der Geschäftsleitung entsteht, wenn eine unternehmerische Ent-scheidung pflichtwidrig ist und zu einem Schaden der Gesellschaft führt. Unter-nehmerische Aktivitäten sind risikobehaftet. Der Geschäftsleiter kann nicht jedesRisiko vermeiden, und nicht jedes eingetretene Risiko führt zu eirier Schodenser-satzpflicht.Der Geschöftsleiter ist ober zur Errichtung eines angemessenen Risikokontrollsys-tems verpflichtet. Er muss ein geeignetes System installieren, um Risiken frühzeitigerkennen zu können und Gegenmaßnahmen zu ergreifen.

Question 23

Nenne die 5 Komponenten des IKS.

Accepted Answer

Control Environment (Kontrollumfeld) Risk Assessment (Risikobewertung) Control Activities (Kontrollaktivitàten) Informationen und Communikation Monitoring (Ueberwachung)

Question 24

Was sind die Grundlagen eines RMS?

Accepted Answer

Ist als Prozess zu betrachten, es gibt kein Endergebnis im eigentlichen Sinne, sonder ist zu überarbeiten und zu erneuern. Wird durch Management und Mitarbetier initiiert, es handelt sich nicht um blosse Grundsätze, Vorschriften und Anweisungen, sondern betrifft jeden im Unternehmen. Hängt von der Unternehmensstrategie ab, erst nach formulierter Unternehmensstrategie lässt sich Risikomanagement-System bilden. Muss das gesamte Unternehmen einbeziehen, jede Unternehmensebene, jede Geschäftseinheit, um unternehmensweiten Überblick zu bekommen. Hat die Aufgabe, Risiken so zu managen, damit Risikoeignung dem Unternehmen entspricht. Muss auf die Unternehmensziele und deren Erreichung ausgerichtet sein. Stellt mehr Sicherheit für Unternehmensführung dar, womit diese ein Instrument zur Verfügung hat, das erlaubt Entscheidung treffen zu können, ohne das es zu spät ist.

Question 25

Wie sehen die Risikosteuerungsmassnahmen aus?

Accepted Answer

Risikovermeidung (Verzicht bzw. Aufgabe risikobehafteter Aktivitäten) Risikoüberwälzung (Reduzierung von Eintrittswahrscheinlichkeit oder Schadenshöhe durch Überwälzung von Teilen der Risiken auf Dritte) Risikoverminderung (Reduzierung von Eintrittswahrscheinlichkeit und/oder Schadenshöhe der Risiken durch effektive Stuerungs- und Überwachungsmassnahmen) Risikoakzeptanz (Bewusste Annahme von Risiken ohne Massnahmen zur Beeinflussung von Eintrittswahrscheinlichkeit oder Schadenshöhe)

Question 26

Was sind Control Activities?

Accepted Answer

Überprüfung und Überarbeitung Konkrete Regelungen und Massnahmen des Managements für zielorientierte Umsetzung der Risikosteuerungsmassnahmen Auf allen Unternehmensebenen für sämtliche Einheiten, Funktionen und Prozessen (Implementierung) Soll-Vorgaben um angestrebte Risikoaktzeptanz zu erreichen. Effektive Risikosteuerung durch zeitnahme Umsetzung der Risikosteuerungsmassnahmen.

Question 27

Welchen Prozessschritte behinhaltet ZAWAS (angemessene Sicherungsmassnahmen):

Accepted Answer

- Verarbeitungstätigkeit beschreibe- rechtliche Grundlagen prüfen- Strukturanalyse durchführen- Risikoanalyse vornehmen- Massnahmen auswählen- Restrisiko bewerten- Massnahmen konsolodieren- Massnahmen realisieren

Question 28

WIe baut man ein eigenes IT CMS auf?

Accepted Answer

Aufbau auf Grundlage eines IT RM mit Fokus auf Risiken Phasen durchlaufen: - Risikoidentifizierung - Risikoanalyse - Risikobewertung - Risikobehandlung - Risikoüberwachung

Question 29

Welche Gefährdungen bei Risikoszenarien (Identifizierung von Risiken) können vorliegen?

Accepted Answer

Risikoszenarien (risk scenarios) dokumentieren.Regelmässige Durchführung und Überprüfung vornehmen. Gefährdungen (threats) zuerst in Kategorien unterteilen, welche sind: - Elementare Gefährdungen- Höhere Gewalt- Organisatorische Mängel- Menschliche Fehlhandlungen- Technisches Versagen- Vorsätzliche Handlungen

Question 30

Wie sollten Schwachstellen gehandhabt werden?

Accepted Answer

Schwachstellen (vulnerabilities) analog zu Gefährdungen in Kategorien teilen, die sind: - Mangelhafte Schutzmassnahmen- Schwächen in der physikalischen Sicehrehit- mangelhfafte organisatorische Massnahmen- mangelhaftes Bewusstsein (Awaremess) und menschliche Fehler- nicht ausreichende technische Massnahmen- ungenügende oder fehlende Erkennung von Sicherheitsvorfällen Für jede Gefährdung sollte mindest 1 Schwachstelle gegeben sein.

Question 31

Wie erfolgt die Analse von Risiken?

Accepted Answer

Quantitative Bewertung ohne Erfahrungswerte und statistische Werte nur unzureichend, daher zu Beginn RMS mit qualitativen Bewertungen aufbauen. In späteren Phasen kann qualitative Bewertung durch qantitative Erfahrungswerte unterstützt werden.

IT-CO (Subject) / LB (Lesson)