Was bedeuten Ihre Einzelrisiken in Summe für Ihre Unternehmensziele? Die CRISAM® Methode führt Risiken aus Unternehmen, Projekten und Geschäftsprozessen zu Gesamtrisiken zusammen und berechnet, wie hoch die daraus entstehende Gefährdung ist. So setzen Sie Maßnahmen gezielt dort an, wo sie am meisten bewirken.
| Bereich | Risiken | Erwartungswert | VaR 95 | |
|---|---|---|---|---|
| Strategie | 9 | 1,52 | 3,10 | |
| Organisation | 8 | 0,64 | 1,30 | |
| Prozesse | 17 | 1,38 | 2,70 | |
| Infrastruktur | 14 | 0,82 | 1,90 | |
| Gesamtunternehmen | 48 | 4,36 | 7,90 |
Seit zwei Jahrzehnten setzen Unternehmen unterschiedlicher Größe und Branche im In- und Ausland auf CRISAM®.
Die CRISAM® Methode (Corporate Risk Application Method) ist ein modularer Ansatz zur Risikoanalyse. Sie führt Einzelrisiken aus Strategie, Organisation, Prozessen und Infrastruktur zu Gesamtrisiken zusammen und berechnet, welche Gefährdung daraus für Ihre Unternehmensziele entsteht. Das sechsstufige Prozessmodell folgt der ISO 31000 und dem PDCA-Zyklus.
Ein einzelnes Risiko hat für sich genommen wenig Aussagekraft. Erst im Zusammenspiel wird sichtbar, wie Schäden entstehen, in welcher Höhe sie auftreten können und wie sie sich auf Ihre Unternehmensziele auswirken. Deshalb bewertet CRISAM® Risiken nicht isoliert, sondern in ihrem Zusammenwirken.
Die Methodik ist im System hinterlegt. Sie müssen sie weder selbst entwickeln noch im Audit eigens begründen.
Ein Risiko ist in CRISAM® eine unerwartete Abweichung von einer erwarteten oder geplanten Situation.
| Risiko | Bereich | EW |
|---|---|---|
| Markteintritt verzögert sich | Strategie | 620 |
| Rohstoffpreis steigt | Prozesse | 480 |
| Ausfall Rechenzentrum | Infrastruktur | 410 |
| Lieferant fällt aus | Prozesse | 360 |
| Schlüsselpersonal fehlt | Organisation | 300 |
| Ransomware-Angriff | Infrastruktur | 260 |
CRISAM® basiert auf einem sechsstufigen Prozessmodell. Es betrachtet Ihr Unternehmen gleichzeitig aus zwei Richtungen: top-down und bottom-up.
Top-down leiten Sie Risiken aus Strategie und Zielen ab. Bottom-up werden Einzelrisiken aus Prozessen und Infrastruktur erfasst und zu einem Gesamtbild verdichtet. Beide Richtungen beziehen sich auf dieselben vier Bereiche. So wird kein Risiko doppelt gezählt und keines übersehen.
Das Prozessmodell erfüllt die Anforderungen der internationalen Norm ISO 31000 und bildet die Prozessschritte des PDCA-Zyklus nach Deming ab.
Ziele, Märkte und Planung
Struktur, Rollen und Verantwortung
Geschäfts- und Unterstützungsprozesse
IT, Gebäude, Anlagen und Lieferanten
Risikomanagement ist keine einmalige Bestandsaufnahme. Die CRISAM® Methode schließt jeden Durchlauf mit einer Überprüfung ab, deren Ergebnisse in die nächste Planung einfließen.
Ziele, Bereiche und Bewertungsmaßstab festlegen.
Risiken erfassen, bewerten und Maßnahmen einleiten.
Wirkung der Maßnahmen und Gesamtrisiko auswerten.
Erkenntnisse in den nächsten Zyklus übernehmen.
Auf Fragen des Vorstands antworten Sie mit einer fundierten Analyse statt mit einer Schätzung. Die Analysen und Standard-Reports sind im System hinterlegt. Wie sie in Dashboards und Berichte einfließen, zeigt die Seite Reporting.
Wie lange darf ein Prozess ausfallen, und was kostet jeder Ausfalltag? Die Business Impact Analyse beantwortet das für jeden Prozess, bewertet nach Verfügbarkeit, Integrität und Vertraulichkeit.
| Prozess | Verfügbarkeit | Integrität | Vertraulichkeit | Max. Ausfallzeit | Schaden je Tag | |
|---|---|---|---|---|---|---|
| Produktion Werk Süd | 8 h | 1,10 Mio. € | ||||
| Auftragsabwicklung | 24 h | 420 Tsd. € | ||||
| Einkauf und Beschaffung | 48 h | 90 Tsd. € | ||||
| Kundenservice | 24 h | 60 Tsd. € | ||||
| Finanzbuchhaltung | 72 h | 45 Tsd. € | ||||
| Lohn- und Gehaltsabrechnung | 72 h | 35 Tsd. € | ||||
| Vertrieb und Angebotswesen | 72 h | 30 Tsd. € | ||||
| Personalverwaltung | 120 h | 10 Tsd. € |
Jede Maßnahme wird mit ihren Kosten dem Risiko gegenübergestellt, das sie senkt. Im Vergleich von Brutto- und Nettorisiko sehen Sie sofort, wo Ihr Budget am meisten bewirkt.
| Maßnahme | Einmalig | Laufend p. a. | Risikoreduktion |
|---|---|---|---|
| Absicherung über Termingeschäfte | 180.000 € | 64.000 € | −2,4 Mio. € |
| Netztrennung Produktion | 310.000 € | 72.000 € | −0,9 Mio. € |
| Zweitlieferant qualifizieren | 95.000 € | 28.000 € | −1,1 Mio. € |
| Derivative Finanzinstrumente | 40.000 € | 22.000 € | −0,4 Mio. € |
| Frühzeitige Behördenabstimmung | 25.000 € | 12.000 € | −0,3 Mio. € |
| Lagerreichweite ausbauen | 130.000 € | 40.000 € | −0,2 Mio. € |
| Summe | 780.000 € | 238.000 € | −5,3 Mio. € |
Wie verändert sich das Ergebnis, wenn der Rohstoffpreis um zehn Prozent steigt? Die Sensitivitätsanalyse ordnet Ihre Treiber nach ihrer Wirkung, beginnend mit dem stärksten.
| Rohstoffpreis | −20 % | −10 % | Plan | +10 % | +20 % |
|---|---|---|---|---|---|
| EBIT | 43,6 | 39,8 | 36,0 | 31,9 | 27,6 |
| Abweichung zum Plan | +7,6 | +3,8 | 0,0 | −4,1 | −8,4 |
Der Soll-Ist-Abgleich mit einer Norm zeigt, wo Sie stehen und wo die größten Lücken liegen. Im Beispiel ISO/IEC 27001:2022 sehen Sie das je Themenbereich und je Kontrollziel.
| Kontrollziel | Ist | Soll | Abweichung |
|---|---|---|---|
| A.8.8 Handhabung technischer Schwachstellen | 2 | 4 | −2 |
| A.5.30 IKT-Bereitschaft für Business Continuity | 2 | 4 | −2 |
| A.5.19 Informationssicherheit in Lieferantenbeziehungen | 2 | 4 | −2 |
| A.8.16 Überwachungstätigkeiten | 3 | 4 | −1 |
| A.6.3 Sensibilisierung und Schulung | 3 | 4 | −1 |
Die Risikomatrix zeigt für jedes Feld die Anzahl der Brutto- und Nettorisiken. Die Wirkung der Maßnahmen erkennen Sie am Vergleich der beiden Werte.
| Klasse | Brutto | Netto |
|---|---|---|
| Risikoklasse 1 | 1 | 2 |
| Risikoklasse 2 | 22 | 24 |
| Risikoklasse 3 | 7 | 4 |
| Risikoklasse 4 | 0 | 0 |
| Gesamt | 30 | 30 |
| Aus Klasse 3 herausgeholt | 3 |
| In Klasse 1 und 2 neu | 3 |
Ein Nachweis lässt sich für mehrere Regelwerke nutzen. Die Compliance Valuation stellt den Erfüllungsgrad je Norm und Regulativ nebeneinander dar.
| Regelwerk | Q3 2025 bis Q2 2026 | Offen |
|---|---|---|
| ISO/IEC 27001:2022 | 23 | |
| NIS-2 | 19 | |
| DORA | 31 | |
| DSGVO | 9 | |
| BSI IT-Grundschutz | 14 | |
| Summe | 96 |
Statt einer einzelnen Planzahl sehen Sie die Bandbreite möglicher Ergebnisse. Die Szenarioanalyse simuliert für jedes Jahr der Mittelfristplanung, wie sich Ihre Risiken auf das Planergebnis auswirken.
Ein großer Schaden hat selten nur eine Ursache. Die Fehlerbaumanalyse zerlegt ihn in einzelne Ereignisse und zeigt, wo eine Maßnahme am meisten bewirkt.
| Ursache | Verknüpfung | Wahrscheinlichkeit | |
|---|---|---|---|
| Ausfall der Produktionssteuerung | UND aus zwei Ereignissen | 0,96 % | |
| Ausfall eines Hauptlieferanten | Einzelereignis | 0,90 % | |
| Stromausfall über 24 Stunden | Einzelereignis | 0,25 % |
Eine standardisierte Grundlage, die Sie in allen GRC-Disziplinen einheitlich anwenden.
Das Prozessmodell und die Bewertung folgen anerkannten Standards für das Risikomanagement.
Über 20 Bewertungs- und Aggregationsmethoden der ISO/IEC 31010 stehen zur Verfügung.
Dieselbe Methode bildet die Grundlage für Risikomanagement, Informationssicherheit und Compliance.
Die CRISAM® Methode (Corporate Risk Application Method) ist ein modularer Ansatz zur Risikoanalyse. Sie führt Einzelrisiken aus Strategie, Organisation, Prozessen und Infrastruktur zu Gesamtrisiken zusammen und berechnet, welche Gefährdung daraus für Ihre Unternehmensziele entsteht. Das sechsstufige Prozessmodell folgt der ISO 31000 und dem PDCA-Zyklus.
Ein Risiko ist in CRISAM® eine unerwartete Abweichung von einer erwarteten oder geplanten Situation. Einzelrisiken werden zu Gesamtrisiken zusammengeführt, anschließend bewertet CRISAM® ihre potenzielle Gefährdung.
Das sechsstufige Prozessmodell betrachtet die vier Bereiche Strategie, Organisation, Prozesse und Infrastruktur aus zwei Richtungen. Top-down leiten Sie Risiken aus Strategie und Zielen ab, Bottom-up werden Einzelrisiken aus Prozessen und Infrastruktur zum Gesamtbild verdichtet.
Business Impact Analyse, Kosten-Nutzen-Analyse, Sensitivitätsanalyse, Gap-Analyse, Portfolio-Analyse, Compliance Valuation, Szenarioanalyse und Fehlerbaumanalyse. Hinzu kommen Standard-Reports für Ihre Berichterstattung.
Das Prozessmodell erfüllt die Anforderungen der ISO 31000 und bildet die Prozessschritte des PDCA-Zyklus nach Deming ab. Für Bewertung und Aggregation stehen über 20 Methoden der ISO/IEC 31010 zur Verfügung.
Im Demo-Termin zeigen wir Ihnen die CRISAM® Methode an einem Beispiel aus Ihrer Branche.
Bleiben wir in Kontakt
Telefon
Newsletter
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen
