Thermische Risikokarte

1) Zweck und Wert

Die Risk Heatmap ist ein visuelles Tool zur Bewertung und Kommunikation von Risiken in der Matrix „Wahrscheinlichkeit × Auswirkungen“, das an Kontrollen, Metriken und Aktionspläne gebunden ist.

• eine einheitliche Sprache der Priorisierung (Business, Tech, Rechtsblöcke);
• transparente Entscheidungen über SARA/Investitionen;
• Verfolgung der Dynamik (vor/nach Maßnahmen), Bereitschaft „audit-ready“.

2) Taxonomie und Abdeckungsbereich

• Regulatory/Licenses, Privacy/Data, IB/Process, Payments/AML/KYC, Operations/Availability, Marketing/Responsible Advertising, Vendors/VRM.

• Jurisdiktionen/Märkte, Geschäftsbereiche/Produkte, Services/Plattformen, Kritische Anbieter.

3) Wahrscheinlichkeits- und Einflussskalen

3. 1 Wahrscheinlichkeit (Beispiel einer 5-stufigen Skala)

1. Selten (alle> 3 Jahre/p <5%)

2. Niedrig (alle 1-3 Jahre)

3. Durchschnitt (jährlich)

4. Hoch (vierteljährlich)

5. Sehr hoch (monatlich/häufiger)

3. 2 Einfluss (multifaktoriell)

• Finanzen: direkte Verluste/Strafen/Chargeback.
• Lizenzen/Rechtliche Konsequenzen: Suspendierung, Verbote, Untersuchungen.
• Datenschutz/Daten: Umfang der PII, Mitteilungen, aufsichtsrechtliche Maßnahmen.
• Betrieb/Aptime: MTTR, SLO, vereitelte Releases, RTO/RPO.
• Reputation: Medien, soziale Netzwerke, Affiliate-Sanktionen.
• Skala 1-5 mit klaren Schwellen (z.B. 1: <€10k, 5:> €1m).

4) Scoring und Risikostufen

Individuelles Risiko: „Score = Likelihood × Impact“ (1-25).

• 20-25 - Kritisch (rot)
• 12-19 - Hoch (orange)
• 6-11 - Mittel (gelb)
• 1-5 - Niedrig (grün)
• Restrisiko: nach Berücksichtigung der aktuellen Kontrollen (Wirksamkeit durch ToD/ToE/CCM bestätigt).
• Zielrisiko (Target): nach geplanten Maßnahmen; das Datum der Erreichung wird festgelegt.

5) Datenquellen und Kommunikation mit den Kontrollen

GRC-Register: Risikobeschreibungen, Eigentümer, aktuelle/gezielte Bewertungen.
CCM/Metriken: Passrate der Kontrollregeln, Vorfälle, KRI.
Vendors/VRM: Zertifikate, SLAs, Vorfälle, Änderungen an Datenstandorten.
Finanzen/Zahlungen: Geldbußen, Chargeback-Verhältnis, Fraud Loss%.
Alle Werte, die Skalen beeinflussen, müssen evidence-Links (Protokolle/Berichte) und Zeitstempel haben.

6) Aggregation und Konsolidierung

Bottom-up: von Dienstleistungen/Jurisdiktionen zu Domains und Unternehmen.
Aggregationsregeln: Maximum nach Impact, Perzentil nach Likelihood oder gewichteter Median (nach Geschäftsvolumen).
Einzelne Schichten (Layers): Inherent (ohne Kontrollen), Residual (mit Kontrollen), Target (nach CAPA).
Teilen Sie korrelierende Risiken (z. B. allgemeine infrastrukturelle Schwachstellen) und unabhängige Risiken.

7) Visualisierung

Matrix 5 × 5 mit Farbcodierung; interaktive Risikopunkte mit Pop-up-Karten (Beschreibung, Besitzer, Kontrollen, CAPA).
Layer-Schalter: Inherent/Residual/Target.
Filter: Gerichtsbarkeit, Produkt, Domäne, Anbieter, Zeitraum.
Trends „vorher/nachher“ Maßnahmen und „Drift“ (Drift) in 30-90 Tagen.

8) Rollen und RACI

9) KRI und Eskalationsschwellen

• Datenschutz: dsar_response_p95, Löschung durch TTL, Beschwerden/Ombudsmann.
• Sicherheit: Sicherheitslücken p95 TTR, Anteil kritischer „roter“ CCM-Regeln, SoD-Verstöße.
• Zahlungen: Chargeback-Verhältnis, Fraud Loss%, Win-Rate-Einsprüche.
• Operationen: SLO Breach Rate, p1/p2 Vorfälle, RTO/RPO Tests.
• Eskalationen: Amber beim Verlassen der Warnschwellen, Rot ist die obligatorische CAPA und „Stop-the-Line“ für kritische Bereiche.

10) Entscheidungsfindung und Kommunikation mit der CAPA

Für jeden „roten“ Punkt ist ein Aktionsplan erforderlich: Korrektiv/Präventiv, Eigentümer, Laufzeit, Budget, KPIs des Erfolgs.

• Critical: CAPA ≤ 30 Tage, Re-Audit in 60-90 Tagen; Ausschuss - wöchentlich.
• High: CAPA ≤ 60 Tage, Beobachtung 90 Tage.
• Mittel/Niedrig: in den Quartals-/Halbjahresplan.
• Wenn eine Senkung nicht möglich ist - waiver mit Ablaufdatum und Kompensationskontrollen.

11) Dashboards (Minimum)

Heatmap-Ansicht: aktuelle Matrix + Residual-/Target-Ebenen.
Risikotrend: Punktedynamik, „vor/nach CAPA“.
Kontrollen Linkage: Pass-Rate CCM auf Risiken, „rote“ Tore.
Regulatory Exposure: Risiken nach Jurisdiktionen und Lizenzen.
Vendor Risk: Heatmap kritischer Anbieter (Zertifikate, SLAs, Incidents).
Audit-Readiness: completeness evidence/Hash-Belege für Risiken.

12) Leistungskennzahlen

Risk Reduction Index: ∆ des gewichteten Durchschnitts des Risiko-Score nach Quartalen.
On-time CAPA:% der Maßnahmen auf Zeit (nach Severity).
Repeat Findings (12 Monate): Anteil der Wiederholungen an den damit verbundenen Risiken.
Evidence Completeness:% der Risiken mit vollständigem Evidenzpaket.
Drift After Fix: Fälle von Rückkehr in die „rote“ Zone nach 30-90 Tagen.
Deckung: Der Anteil des Geschäftsvermögens/der Jurisdiktionen, der auf der Karte abgebildet ist.

13) SOP (Standardverfahren)

SOP-1: Initialisierung der Methodik

Die Festlegung von Skalen und Schwellenwerten → im Ausschuss vereinbart → im Repository festgelegt werden (Versionierung).

SOP-2: Quartalszyklus

Input/KRI-Erfassung → Neuberechnung der Bewertungen → Reviews durch die Eigentümer → Ausschussentscheidungen → Veröffentlichung von Dashboards → Export von „Audit Pack“.

SOP-3: Auslösender Vorfall

Bei Critical/High ist der Vorfall ein ungeplantes Kartenupdate, eine Bindung an die CAPA und ein Re-Audit-Plan.

SOP-4: Wendorskreis

VRM-Umfrage/Zertifikate → Risikoaktualisierung von Lieferanten → Bestätigung von Spiegelmaßnahmen (Vendor Mirror).

SOP-5: Archiv und Beweise

Heatmap-Snapshots (PDF/PNG/CSV) + Hash-Quittungen → WORM-Archiv → Links in GRC.

14) Artefaktmuster

14. 1 Risikokarte (Ausschnitt)

ID/Name, Inhaber, Domäne/Gerichtsbarkeit

Likelihood/Impact/Inherent/Residual/Target

Kontrollen (ID, Metriken, CCM-Regeln)

KRI und Istwerte

CAPA/waivers, Termine, Budget, KPIs

Evidence-Links und Hash-Belege

14. 2 Skalenpolitik (Auszug)

Likelihood:
1: p<5% / >3y
3: annual
5: monthly+
Impact (finance):
1: <€10k
3: €100k–€300k
5: >€1m
Escalation:
Critical: CAPA≤30d; Committee weekly
High: CAPA≤60d; Committee bi-weekly

14. 3 Vorher/Nachher-Bericht

Screenshots von heatmap (Residual vs Target)

Tabelle ∆ - Änderungen nach Risiko

Abgeschlossene CAPAs, Nachhaltigkeitsmetriken

15) Antipatterns

„Schönes Bild“ ohne Bezug zu Kontrollen/KRI und CAPA.
Fuzzy-Skalen → die Manipulation von Schätzungen.
Keine Versionierung/Nachweis von Punkteänderungen.
Zusammenfassung nicht vergleichbarer Risiken ohne Aggregationsregeln.
Seltene Updates → Die Karte spiegelt nicht die Realität wider.
Waivers ohne Fristen und Ausgleichsmaßnahmen.

16) Reifegradmodell (M0-M4)

M0 Ad-hoc: einmaliges Bild, keine Methoden/Metriken.
M1 Geplant: harmonisierte Skalen, vierteljährliche Aktualisierungen.
M2 Verwaltet: Bündelung mit Kontrollen/KRI, CAPA, Dashboards, WORM-Archiv.
M3 Integriert: Automatische Neuberechnung (CCM), Policy-/Assurance-as-Code, Slices nach Jurisdiktionen/Anbietern.
M4 Continuous Assurance: Predictive KRIs, Szenariomodellierung, „what-if“, Empfehlungen für Prioritäten.

17) Verwandte Artikel wiki

Risikobasiertes Audit (RBA)

KPIs und Compliance-Kennzahlen

Kontinuierliche Compliance-Überwachung (CCM)

Pläne zur Behebung von Verstößen (CAPA)

Re-Audits und Kontrolle der Ausführung

Richtlinien- und Regelwerk

Compliance Roadmap

Compliance-Leitfaden für Partner/VRM

Summe

Die Risiko-Heatmap ist kein Report, sondern ein Kontrollmechanismus: einheitliche Skalen, Kommunikation mit Kontrollen und KRIs, regelmäßige Updates, nachweisbare Lösungen und Nachhaltigkeitskontrollen nach den Maßnahmen. Dieser Ansatz macht die Priorisierung objektiv, beschleunigt die Ausschussentscheidungen und unterstützt die ständige „audit-ready“ -Bereitschaft.