Wo niemand die CTO Rolle hat, wird Risiko nicht gemanagt, sondern verteilt.

Wenn niemand die CTO Rolle hat, heisst das nicht, dass niemand über Risiko entscheidet. Es entscheiden mehrere, jeder aus seinem Fach und jeder für sich. Der IT Partner sagt, was technisch tragbar ist. Die Finanzen sagen, was ins Budget passt. Der Anwalt sagt, was im Vertrag üblich ist. Alle drei machen ihre Arbeit korrekt. Was keiner von ihnen macht, ist die Summe zu bilden und genau dort sitzt das Risiko, das ein Unternehmen später überrascht.

Jede Fachstelle beurteilt ihren Ausschnitt und dazwischen bleibt etwas liegen.

Ein Muster, das uns in dieser Form immer wieder begegnet: Ein Betrieb führt ein neues Branchensystem ein, rund CHF 45'000 über drei Jahre. Der IT Partner prüft, ob die Umgebung reicht und sagt zu Recht ja. Die Finanzen prüfen die jährliche Rate und sagen zu Recht ja. Der Anwalt liest den Vertrag und findet ihn branchenüblich. Was niemand prüft: dass die Daten bei einem Anbieter ausserhalb der Schweiz liegen, dass der Export der eigenen Daten im Vertrag nicht geregelt ist und dass die Kündigungsfrist zwölf Monate beträgt. Jede dieser drei Fragen liegt knapp neben dem Fach, das gefragt wurde.

Das ist kein Vorwurf an die Beteiligten. Ein IT Partner wird für den Betrieb bezahlt und nicht dafür, Vertragsklauseln zu lesen. Ein Anwalt prüft, was ihm vorgelegt wird und nicht, ob die Firma dieses System überhaupt braucht. Wer nur seinen Ausschnitt sieht, kann auch nur seinen Ausschnitt verantworten. Dasselbe Muster erzeugt die Werkzeuge, die im Betrieb laufen, ohne dass jemand sie bewilligt hat und die wir in In fast jedem Unternehmen läuft KI, die niemand bewilligt hat beschrieben haben.

Verteiltes Risiko wird an dem Tag sichtbar, an dem sich nichts mehr entscheiden lässt.

Solange nichts passiert, kostet ein verteiltes Risiko nichts und deshalb fällt es nicht auf. Sichtbar wird es an drei Tagen. Am Tag, an dem ein Kunde oder ein Auditor nach der Datensicherheit fragt und die Antwort bei drei Leuten in drei Fächern liegt. Am Tag, an dem ein System ausfällt und sich herausstellt, dass die Wiederherstellung nie jemand ausprobiert hat. Am Tag, an dem ein Vertrag stillschweigend um ein Jahr weiterläuft, weil die Frist in keinem Kalender stand.

An allen drei Tagen ist der Entscheid längst gefallen. Er wurde nur nie als Entscheid behandelt, sondern als etwas, das sich von selber ergeben hat. Der Unterschied zwischen einem gemanagten und einem verteilten Risiko ist nicht, ob es eintritt. Der Unterschied ist, ob vorher jemand gesagt hat: Dieses Risiko gehen wir bewusst ein und dafür haben wir diesen Grund.

Bewusst eingehen ist dabei eine legitime Antwort. Kein Unternehmen kann jedes Risiko schliessen und der Versuch kostet mehr, als er bringt. Eine Zweitleitung ins Internet für einen Betrieb, der einen Tag offline überleben kann, ist herausgeworfenes Geld. Die Frage ist nie, ob ein Risiko besteht, sondern ob jemand es beziffert und dann entschieden hat, es zu tragen.

Das Minimum ist eine Liste auf einer Seite und kein Managementsystem.

Wir empfehlen keinem KMU ein Risikomanagement nach Norm. Was ein Unternehmen ohne CTO Rolle braucht, ist eine Liste mit fünf bis fünfzehn Einträgen und pro Eintrag vier Zeilen:

• Was passieren kann, in einem Satz und ohne Fachsprache.
• Was es auslöst: Stillstand in Tagen, Kosten in Franken, Meldepflicht ja oder nein.
• Was heute dagegen getan wird und wann das zuletzt jemand überprüft hat.
• Wer entscheidet, ob das reicht.

Der erste Durchgang dauert einen halben Tag, wenn die richtigen Leute im Raum sind, also jemand aus dem Betrieb, jemand aus den Finanzen und der IT Partner. Danach genügen zwei Stunden pro Quartal. Der Nutzen liegt nicht im Dokument. Er liegt in dem Moment, in dem zum ersten Mal jemand einen Eintrag liest und sagt, dass er damit nicht leben will und dann eine Zahl dagegenhält.

Diese Liste ersetzt keine Fachmeinung. Sie sorgt dafür, dass die Fachmeinungen an einem Ort zusammenkommen und dass die Lücken dazwischen einen Namen bekommen.

Ohne benannte Person bleibt die Liste ein Dokument.

Der Teil, der in KMU am häufigsten fehlt, ist die letzte Zeile: wer entscheidet. Solange dort niemand steht, wandert jeder Eintrag zurück in das Fach, aus dem er gekommen ist und die Liste ist nach einem Jahr veraltet. Die Rolle muss nicht CTO heissen und keine Vollzeitstelle sein. Sie muss eine Person sein, die alle Ausschnitte anschauen darf, die Zahlen der Geschäftsleitung vorlegt und die es aushält, ein Risiko bewusst offen zu lassen. Was diese Rolle im Alltag tatsächlich entscheidet, steht in Ein CTO entscheidet, was gebaut, gekauft und gelassen wird.

In vielen Betrieben übernimmt das faktisch der Geschäftsführer, neben allem anderen. Das funktioniert für die ersten Einträge und hört dort auf, wo eine Beurteilung Erfahrung mit Verträgen, Infrastruktur und Datenschutz gleichzeitig verlangt. Für diesen Punkt lohnt sich ein Blick von aussen und wie günstig der im Verhältnis zum Projekt ist, haben wir in Ein externer Blick kostet einen Bruchteil dessen, was ein falscher Entscheid kostet aufgeschrieben.

Wer die Liste und die benannte Person hat, wird von einem Ausfall, einem Fragebogen oder einer Vertragsverlängerung nicht mehr überrascht. Das Risiko ist deswegen nicht kleiner. Es ist nur entschieden.