Restrisiko bewusst akzeptieren: Ausnahmen revisionssicher dokumentieren
Anforderungen, die bewusst nicht umgesetzt werden, können im ISMS Cockpit als begründete Ausnahme mit akzeptiertem Restrisiko dokumentiert werden. Eine solche Ausnahme wird aus dem Erfüllungsgrad herausgenommen und zählt weder als erfüllt noch als offen. Befristete Ausnahmen lösen zum Ablaufdatum automatisch eine Überprüfung aus, sodass keine Ausnahme unbemerkt bestehen bleibt. Für Audits ist es empfehlenswert, die genehmigende Person sowie kompensierende Maßnahmen als Auflagen zu erfassen.
Manche Anforderungen lassen sich – aus wirtschaftlichen oder technischen Gründen – bewusst nicht (vollständig) umsetzen. Statt eine solche Anforderung offen zu lassen, dokumentieren Sie im ISMS Cockpit eine begründete Ausnahme und akzeptieren das verbleibende Restrisiko revisionssicher.
Risikoakzeptanz öffnen:
Öffnen Sie die betreffende Anforderung und klicken Sie im Abschnitt „Risikoakzeptanz / Ausnahme" auf „Bearbeiten". Es öffnet sich das Fenster „Risikoakzeptanz (Ausnahme)".
Ausnahme dokumentieren:
Füllen Sie die Felder aus: „Begründung" (warum das Restrisiko bewusst akzeptiert wird), „Genehmigt von" (die Person, die die Ausnahme genehmigt), „Befristet bis" (das Ablaufdatum – leer lassen für eine unbefristete Ausnahme) und optionale „Auflagen" beziehungsweise kompensierende Maßnahmen. Klicken Sie auf „Risiko akzeptieren".
Wirkung auf den Erfüllungsgrad:
Eine dokumentierte Ausnahme nimmt die Anforderung aus dem Erfüllungsgrad heraus – sie zählt weder als erfüllt noch als offen, sondern als „akzeptiert". So verzerrt eine bewusste Entscheidung Ihre Kennzahlen nicht.
Automatische Wiedervorlage:
Befristen Sie die Ausnahme, wird zum Ablaufdatum automatisch eine Überprüfung erstellt. So stellt die Plattform sicher, dass keine Ausnahme unbemerkt dauerhaft bestehen bleibt.
Tipp: Halten Sie unter „Genehmigt von" stets die tatsächlich entscheidungsbefugte Person fest und hinterlegen Sie kompensierende Maßnahmen als Auflagen – beides sind typische Prüfpunkte in Audits.
Stichwörter: Risikoakzeptanz, Ausnahme, Restrisiko, ISMS Cockpit, revisionssicher, Erfüllungsgrad, Auflagen
Zusammenfassung: Anforderungen, die bewusst nicht umgesetzt werden, können im ISMS Cockpit als begründete Ausnahme mit akzeptiertem Restrisiko dokumentiert werden. Eine solche Ausnahme wird aus dem Erfüllungsgrad herausgenommen und zählt weder als erfüllt noch als offen. Befristete Ausnahmen lösen zum Ablaufdatum automatisch eine Überprüfung aus, sodass keine Ausnahme unbemerkt bestehen bleibt. Für Audits ist es empfehlenswert, die genehmigende Person sowie kompensierende Maßnahmen als Auflagen zu erfassen.
Änderungen und Irrtümer können vorkommen. Die Angaben in diesem Artikel wurden sorgfältig zusammengestellt, erheben jedoch keinen Anspruch auf Vollständigkeit oder Richtigkeit.