❓ Die Frage, die Governance verdrĂ€ngt

Welche Ebene der Organisation soll diese Risikoentscheidung treffen? Die Frage klingt banal. Sie wird erstaunlich selten gestellt.

Stattdessen landet alles beim Management — oder jede Einheit entscheidet still fĂŒr sich. Beides kann teuer sein.

🔍 Warum jede Ebene anders schaut

Jedes Teil-System einer Organisation verfolgt ein eigenes Ziel. Das Entwicklungsteam will schnell liefern. Die Sicherheitsabteilung will AngriffsflĂ€chen minimieren. Die Unternehmensleitung will strategische Vorhaben realisieren und regulatorische Anforderungen erfĂŒllen. Jedes Ziel ist legitim.

Risiko ist immer relativ zu einem Ziel. Was das eine Team als kritisch einstuft, ist fĂŒr das andere Hintergrundrauschen — weil das eigene Ziel nicht bedroht ist. Verschiedene Ziele erzeugen verschiedene RisikoeinschĂ€tzungen, auch bei identischem Sachverhalt.

Der Sicherheitswissenschaftler Jens Rasmussen hat das 1997 prĂ€zise beschrieben: Jede Organisationsebene steht unter eigenen DrĂŒcken — wirtschaftlichen, regulatorischen, operativen. Ohne explizit gesetzte Grenzen driften Systeme in gefĂ€hrliches Terrain. Nicht durch schlechte Absichten. Sondern weil jede Ebene lokal rational handelt und das Gesamtbild unsichtbar bleibt.

⚡ Zwei Pathologien, eine Ursache

Fehlen klare ZustÀndigkeiten, entstehen zwei typische Dysfunktionen.

Alles eskaliert: Das Management entscheidet ĂŒber Patch-Zyklen und Zugriffsrechte. Kontext fehlt. Entscheidungen verzögern sich — oder werden zurĂŒck nach unten delegiert, ohne klaren Rahmen.

Nichts eskaliert: Teams lösen Risiken lokal, ohne zu wissen, ob das Thema organisationsweite Tragweite hat. Risiken akkumulieren sich unsichtbar. Der Vorstand erfĂ€hrt es beim nĂ€chsten Audit — oder beim nĂ€chsten Incident.

🎯 SubsidiaritĂ€t als Designprinzip

Der Begriff stammt aus der Staatstheorie: Entscheidungen gehören auf die niedrigste Ebene, die das Thema kompetent beurteilen und verantworten kann. Was dort nicht gelöst werden kann, geht eine Stufe höher — nicht weiter.

Auf Risikomanagement ĂŒbertragen heißt das: Jede Organisationsebene braucht einen definierten Handlungsspielraum. Was entscheidet sie selbst? Was eskaliert sie — und an wen? Was braucht sie dafĂŒr an Informationen und Befugnissen?

Das ist kein Kompetenzentzug fĂŒr das Management. Es ist seine Entlastung.

Gut funktionierende Risikogovernance erkennt man nicht daran, dass das Management viel entscheidet. Man erkennt sie daran, dass wenig eskaliert werden muss.

📚🔍