Ein Risiko, das benannt ist, ist schon halb erledigt.

Wer in einem KMU nach den grössten Risiken fragt, bekommt fast immer dieselben drei Antworten: ein Ausfall der IT, ein Cyberangriff, ein Datenverlust. Alle drei sind richtig und alle drei sind bekannt. Weil sie bekannt sind, ist in der Regel auch etwas dagegen getan worden: ein Backup, eine Firewall, eine Versicherung. Was ein Unternehmen dann tatsächlich trifft, steht auf keiner Liste. Nicht weil es jemand verschwiegen hätte, sondern weil nie jemand gefragt hat, ob es überhaupt eine Frage wäre.

Ein unbekanntes Risiko ist kein grosses Risiko, sondern ein Risiko ohne Besitzer.

Ein bekanntes Risiko hat drei Dinge: eine Massnahme, einen Betrag und eine Person, die dafür geradesteht. Ob die Massnahme reicht, lässt sich bestreiten, aber es gibt jemanden, mit dem man darüber reden kann. Ein unbekanntes Risiko hat nichts davon. Keine Massnahme, keinen Betrag und niemanden, der es je abgewogen hat.

Der Unterschied zeigt sich am Tag des Schadens. Fällt ein Server aus, den der Betrieb einen Tag lang entbehren kann, ist das unangenehm und war entschieden. Fällt die eine Person aus, die weiss, wie der nächtliche Import der Bestellungen läuft, ist es derselbe Stillstand, nur hat ihn nie jemand entschieden. Deshalb ist Benennen bereits der halbe Weg: Ein Risiko, das auf einer Liste steht, wird zu einer Frage von Geld und Aufwand. Solange es nicht dort steht, ist es eine Frage von Glück.

In einem KMU sitzen die unbekannten Risiken fast immer an denselben vier Orten.

Wir schauen diese vier Orte in jedem Mandat zuerst an, weil in fast jedem Betrieb dort etwas liegt:

• Austritte: Wer geht, nimmt Wissen mit, das in keinem Dokument steht. Drei Monate Kündigungsfrist klingen nach viel und sind es nicht, wenn in dieser Zeit auch noch das Tagesgeschäft läuft.
• Einzelwissen: Ein Ablauf, den genau eine Person beherrscht, ist ein Ausfall mit Ankündigung. Häufig hängt er an einer Tabelle mit Makros, die seit Jahren zuverlässig läuft und die sonst niemand öffnet.
• Auslaufende Verträge: Eine Verlängerung, die stillschweigend greift, ist ein Entscheid, den niemand getroffen hat. Bei einem System für CHF 9'600 im Jahr und zwölf Monaten Verlängerung sind das CHF 9'600, die nicht mehr zur Diskussion stehen.
• Vergessene Systeme: Ein Server unter dem Pult, ein Werkzeug auf der Kreditkarte einer Mitarbeiterin, eine alte Website mit einem Login, das noch funktioniert. Sie laufen, also fallen sie nicht auf.

Alle vier haben eine Eigenschaft gemeinsam: Sie kosten nichts, solange nichts passiert. Was im Alltag nie weh tut, wird auch nie zum Thema. Der vierte Punkt ist zusätzlich der Ort, an dem heute die Werkzeuge landen, die niemand bewilligt hat und das haben wir in In fast jedem Unternehmen läuft KI, die niemand bewilligt hat im Detail beschrieben.

Eine Inventur macht sichtbar, was niemand absichtlich versteckt hat.

Dafür braucht es kein Projekt. Es braucht einen halben Tag, die richtigen Leute im Raum, also jemanden aus dem Betrieb, jemanden aus den Finanzen und den IT Partner und drei Fragen zu jedem System und jedem Ablauf, der genannt wird. Wer kann das ausser dir? Was passiert, wenn es drei Tage nicht geht? Wann läuft der Vertrag dazu aus?

Der beste Einstieg sind nicht die Server, sondern die Buchhaltung. Auf dem Kontoauszug und den Kreditkartenabrechnungen steht, was ein Unternehmen tatsächlich bezahlt und dort tauchen die Abonnemente auf, die in keiner Liste der IT stehen. Wie daraus ein Verzeichnis wird, das nach sechs Monaten noch stimmt, steht in Ein Nutzungsverzeichnis ist in zwei Stunden gebaut.

Zwei Antworten aus dieser Runde sind erfahrungsgemäss unbequem. Die erste betrifft die Wiederherstellung: Ein Backup, das nie zurückgespielt wurde, ist eine Vermutung und welche drei Fragen das klären, haben wir aufgeschrieben. Die zweite betrifft die Frage, wer im Ernstfall Auskunft geben kann. Sobald ein Kunde oder ein Auditor nach der Datensicherheit fragt, zeigt sich, wie viel im Betrieb aufgeschrieben ist und wie viel in Köpfen liegt.

Benannt heisst nicht geschlossen, sondern entschieden.

Am Ende einer solchen Inventur stehen typischerweise fünf bis fünfzehn Einträge und ein Teil davon bleibt offen. Das ist kein schlechtes Ergebnis. Kein KMU kann jedes Risiko schliessen und der Versuch kostet mehr, als er bringt. Eine zweite Internetleitung für einen Betrieb, der einen Tag ohne auskommt, ist herausgeworfenes Geld.

Was sich ändert, ist die Art des Entscheids. Vorher hat das Unternehmen das Risiko getragen, ohne es zu wissen. Nachher trägt es dasselbe Risiko, weil jemand eine Zahl danebengestellt und gesagt hat, dass sie tragbar ist. Damit dieser Schritt überhaupt stattfindet, braucht es eine Person, die alle Bereiche anschauen darf und die Zahlen der Geschäftsleitung vorlegt. Warum diese Rolle in vielen KMU fehlt und was das Minimum dafür ist, steht in Wo niemand die CTO Rolle hat, wird Risiko nicht gemanagt, sondern verteilt.

Der halbe Tag ist der günstigste Teil der ganzen Übung. Er kostet einen Vormittag und ein paar unbequeme Antworten. Was er ersetzt, ist der Moment, in dem eine Kündigung, eine Rechnung oder ein Fragebogen zeigt, dass die Frage längst offen war und niemand sie gestellt hat.