Ein RMF (Risikomanagement-Rahmenwerk) ist das Verfahren, das beschreibt, wie eine Organisation Risiken betrachtet, analysiert und reduziert. Es gibt Organisationen den Rahmen und die Werkzeuge an die Hand, um mögliche Bedrohungen auf allen Ebenen einer Organisation systematisch anzugehen.
Ein Risikomanagement-Framework ist ein wichtiger Überblick darüber, wie Risiken strukturiert und gemanagt werden können. Es hilft dabei, klare Prozesse zur Priorisierung von Risiken zu etablieren, fördert die Verantwortlichkeit und ermöglicht eine verbesserte Ressourcenzuweisung. Auf diese Weise können Organisationen ihre Risiken kontrollieren, anstatt nur auf sie zu reagieren, und ihre Vermögenswerte durch die Ausrichtung der Teams auf ihre strategischen Pläne schützen.
Was ist ein Risikomanagement-Framework?
Das Framework besteht im Wesentlichen aus einem strukturierten Prozess zur Identifizierung, Analyse, Reaktion und Überwachung von Risiken im gesamten Unternehmen. Es bietet einen Rahmen, der die Art und Weise steuern kann, wie ein Unternehmen Risiken verwaltet, und schafft einheitliche Prozesse, Verantwortlichkeiten und Steuerungsrahmen.
Das RMF dient als Wegweiser für den strukturierten Umgang mit Unsicherheiten. Durch die Identifizierung potenzieller Bedrohungen und Chancen können Organisationen fundierte Entscheidungen treffen, die damit verbundenen Risiken anhand ihrer potenziellen Auswirkungen und Wahrscheinlichkeit priorisieren und Maßnahmen zur Minderung dieser Risiken mit geeigneten Kontrollen ergreifen. Ein effektives RMF stimmt die Risikomanagementaktivitäten auf die Geschäftsziele der Institution ab und hilft ihr gleichzeitig, die gesetzlichen Compliance-Anforderungen zu erfüllen.
Warum ist ein Risikomanagement-Rahmenwerk so wichtig?
Ohne einen strukturierten Ansatz neigen Organisationen dazu, auf Bedrohungen zu reagieren, sich aber nicht auf sie vorzubereiten. Ein Risikomanagement-Framework wandelt einen reaktiven Ansatz in eine proaktive Strategie um und verbessert so die Widerstandsfähigkeit und Leistungsfähigkeit der Organisation.
Ein Risikomanagement-Framework sorgt auf allen Ebenen und in allen Abteilungen der Organisation für Einheitlichkeit hinsichtlich der Messung, Priorisierung und Reaktion auf Risiken für das Unternehmen. Standardisierung bedeutet, dass Risiken anhand derselben Kriterien bewertet werden, unabhängig davon, wer die Bewertung durchführt und wo im Unternehmen das Risiko entsteht.
Wenn alle dieselbe "Risikosprache" sprechen und identische Protokolle verwenden, verbessert sich die Kommunikation erheblich, Redundanzen werden beseitigt und blinde Flecken, die sonst durch uneinheitliche Ansätze entstehen könnten, werden gemindert. Diese Einheitlichkeit ist für Unternehmen mit komplexen Strukturen oder Niederlassungen an mehreren Standorten oder in mehreren Ländern von großem Vorteil.
Wichtige Komponenten eines Risikomanagement-Rahmenwerks
Die Komponenten des Risikomanagement-Rahmenwerks bilden die Schritte und die Struktur für den gesamten Risikomanagementprozess und sind somit das Rückgrat des Rahmenwerks und seiner Methodik.
Risikoidentifizierung
Die Risikoidentifizierung ist der systematische Prozess des Auffindens, Erkennens und Beschreibens von Risiken, die die Erreichung von Zielen beeinträchtigen könnten. Zu diesen Techniken können Brainstorming-Sitzungen, die Analyse historischer Daten, Branchen-Benchmarking und strukturierte Interviews mit Stakeholdern gehören.
Eine effektive Risikoidentifizierung umfasst die systematische Untersuchung von Betriebsprozessen, um sich entwickelnde Risiken zu erkennen, unabhängig davon, ob diese bekannt oder unbekannt, intern (Prozesse, Systeme, Personen) oder extern (Marktveränderungen, regulatorische Entwicklungen, Wettbewerbsrisiken) sind, einschließlich neuer, aufkommender und systemischer Risiken. In der Regel verfügt eine Organisation über ein Risikoregister oder einen Risikokatalog, der als Ausgangspunkt für Analyse- und Behandlungsmaßnahmen dient und als Verzeichnis der identifizierten Risiken fungiert.
Risikobewertung und -analyse
Nach der Identifizierung der Risiken besteht der nächste Schritt darin, diese hinsichtlich ihrer potenziellen Auswirkungen auf das Projekt und der Wahrscheinlichkeit ihres Eintretens zu analysieren. Diese Komponente verwendet sowohl qualitative Methoden (Skalen für hoch/mittel/niedrig) als auch quantitative Ansätze (mathematische Personen-Metrik-Skalen) zur Bewertung von Risiken. Die Analyse bewertet die direkten Auswirkungen eines eintretenden Risikos sowie die nachgelagerten Auswirkungen, die Geschwindigkeit (wie schnell sich das Ereignis auswirken würde) und die Abhängigkeiten zwischen den Risiken.
Die Bewertung liefert den Kontext, der für Unternehmen entscheidend ist, um zu entscheiden, wo sie Abhilfemaßnahmen priorisieren müssen, sodass sie Ressourcen zunächst den größten Risiken zuweisen können, ohne dabei weniger bedeutende, aber dennoch relevante Bedrohungen außer Acht zu lassen.
Strategien zur Risikominderung
Sie besteht aus der Planung und Umsetzung von Maßnahmen zur Minderung der Risiken, die während der Bewertung als erheblich identifiziert wurden. Diese Strategien lassen sich im Allgemeinen in vier Kategorien einteilen: Akzeptieren (das Risiko tolerieren), Vermeiden (die Aktivität, die das Risiko verursacht, einstellen), Übertragen (das Risiko durch Versicherungen oder Verträge übertragen) oder Kontrollieren (Maßnahmen zur Begrenzung der Auswirkungen oder der Wahrscheinlichkeit ergreifen).
Eine gute Risikominderungsplanung besteht nicht nur in der Auswahl einer Strategie, sondern auch in der Umsetzung von Aktionsplänen mit Verantwortlichkeiten, Zeitplänen, Ressourcenanforderungen und Erfolgskriterien. Der Teil der Risikominderung verbindet die Risikobewertung mit praktischen Maßnahmen und wandelt die Analyse in konkrete Maßnahmen zur Risikominderung um.
Überwachung und Berichterstattung
Dieses Element befasst sich mit der Überwachung von Risikomanagementaktivitäten und der Berichterstattung von Risikoinformationen an Stakeholder. Die Überwachung ist die kontinuierliche Überprüfung bestehender Risiken und Risikominderungsprozesse, die häufig durch einige Key Risk Indicators (KRIs) erleichtert wird, die Frühwarnzeichen für schwankende Risikoniveaus hervorheben können.
Durch regelmäßige Berichterstattung wird sichergestellt, dass wichtige Risikoinformationen in einem Format, das den Bedürfnissen der jeweiligen Entscheidungsträger am besten entspricht, an diese weitergeleitet werden: Risikodetails und -kennzahlen für Risikospezialisten und Power-User sowie Dashboards und Warnmeldungen auf hoher Ebene für Führungskräfte.
Kontinuierliche Verbesserung
Ein ausgereiftes Risikomanagement-Framework umfasst Prozesse zur kontinuierlichen Überprüfung und Verbesserung der Risikomanagementaktivitäten. Dieser Teil umfasst regelmäßige Bewertungen der Wirksamkeit des Frameworks, Lehren aus Risikoereignissen und Änderungen, um das interne und externe Umfeld der Organisation widerzuspiegeln. Dazu können die Verwendung von Branchen-Benchmarks, die Durchführung von Reifegradbewertungen oder die Einholung qualitativer Beiträge von wichtigen Stakeholdern gehören.
Schritte zur Implementierung eines Risikomanagement-Rahmenwerks
Für die Implementierung eines Risikomanagement-Rahmenwerks in der Organisation ist ein schrittweiser Ansatz erforderlich. Die Komplexität der Umsetzung hängt von der Größe und Reife der Organisation ab, aber diese einfachen Schritte können die Grundlage für ein solides Rahmenwerk schaffen.
Kontext festlegen
Der erste Schritt bei der Umsetzung eines Risikomanagement-Rahmenwerks ist das Verständnis des externen und internen Umfelds der Organisation. Dazu gehört die Festlegung der Grenzen des Rahmens: Welche Teile der Organisation werden abgedeckt und welche Arten von Risiken werden behandelt? In dieser Phase müssen Organisationen ihre Risikobereitschaft und ihre Toleranzschwellen klar formulieren, einschließlich der Festlegung, wo sie die Grenze für akzeptable Risiken ziehen.
Risiken identifizieren
Der nächste Schritt besteht darin, dass Organisationen nach Festlegung des Kontexts methodisch Risiken identifizieren, die sich auf ihre Ziele auswirken könnten. Dazu gehören partizipative Bewertungen unter Verwendung von Techniken wie Workshops, Interviews, Umfragen und Dokumentenprüfungen. Stakeholder aller Ebenen und Funktionen sollten in die Identifizierung von Lücken einbezogen werden, um verschiedene Perspektiven zu berücksichtigen. Jedes identifizierte Risiko sollte in einem standardisierten Format in einem Risikoregister dokumentiert werden, zusammen mit einer kurzen Beschreibung des Risikos und seiner möglichen Ursachen und Auswirkungen. Damit ist die Grundlage für alle weiteren Maßnahmen im Risikomanagement geschaffen.
Risiken analysieren und bewerten
Sobald die Risiken identifiziert sind, müssen Unternehmen diese analysieren und bewerten, um ihre Bedeutung zu verstehen. Je nach Organisation und den verfügbaren Daten können Risiken mit qualitativen oder quantitativen Methoden analysiert werden, bei denen die Wahrscheinlichkeit des Eintretens jedes Risikos und seine potenziellen Auswirkungen bewertet werden. Bewerten Sie anschließend die analysierten Risiken anhand von Risikokriterien (wie im obigen Risikomanagementplan definiert). Auf diese Weise wird ermittelt, welche Risiken behandelt werden müssen und in welcher Reihenfolge. In dieser Phase werden in der Regel Risikomatrizen oder Risiko-Heatmaps erstellt, die die Risiken nach ihrer Schwere darstellen.
Entwicklung von Risikobehandlungsplänen
Unternehmen sind verpflichtet, auf der Grundlage der Ergebnisse der Risikobewertung umfassende Behandlungspläne zur Minderung hoher Risiken zu erstellen. Solche Pläne müssen die Behandlung (Vermeidung, Übertragung, Minderung oder Akzeptanz), Maßnahmen, Verantwortlichkeiten, Ressourcenbedarf, Zeitpläne und Ergebnisse umreißen. Es muss auch eine Kosten-Nutzen-Analyse durchgeführt werden, damit der Aufwand für die Risikobehandlung die entsprechende Risikominderung nicht bei weitem übersteigt. Diese Pläne sollten nach ihrer Entwicklung von den relevanten Interessengruppen formell genehmigt und in die Unternehmensprozesse und Projektpläne integriert werden.
Überwachen, überprüfen und verbessern
Schließlich sollten Mechanismen zur Überwachung und Überprüfung sowohl der Risiken als auch der Leistung des Risikomanagement-Rahmens eingerichtet werden. Organisationen müssen außerdem regelmäßige Berichtszyklen festlegen und wichtige Risikoindikatoren erfüllen, um die Veränderung des Risikoniveaus zu überwachen. Bei regelmäßigen Überprüfungen sollte bewertet werden, ob die Risikobehandlungen wie geplant angewendet werden und die beabsichtigten Ergebnisse liefern. Dazu gehört auch, gewonnene Erkenntnisse zu identifizieren und zu dokumentieren, das Risikoregister zu überarbeiten, wenn neue Risiken identifiziert werden oder sich bestehende Risiken weiterentwickeln, und das Rahmenwerk selbst auf der Grundlage der gewonnenen Erkenntnisse zu aktualisieren.
Beliebte Risikomanagement-Rahmenwerke
Obwohl Organisationen maßgeschneiderte Risikomanagementmethoden entwickeln können, entscheiden sich viele dafür, bestehende Rahmenwerke, die die besten Praktiken der Branche zusammenfassen, zu übernehmen oder anzupassen. Diese Rahmenwerke bieten konkrete Methoden und Strukturen, die die Implementierungszeit verkürzen und die Vollständigkeit gewährleisten können.
Das NIST Regional Risk Management Framework (NIST RMF)
Das NIST Risk Management Framework ist ein Rahmenwerk, das sich speziell mit Risiken für die Informationssicherheit und den Datenschutz befasst und vom National Institute of Standards and Technology entwickelt wurde. Wenn Sie nicht viel Zeit haben, finden Sie in NIST SP 800-53 einen siebenstufigen Ansatz, der diese Prozesse in die Definition von Informationssystemen, die Auswahl und Installation von Kontrollen, die Bewertung der Wirksamkeit von Kontrollen, die Autorisierung von Systemen und die regelmäßige Leistungsüberwachung unterteilt. Das NIST RMF, das ursprünglich für US-Bundesbehörden entwickelt wurde, hat aufgrund seines umfassenden Charakters und seines klaren Implementierungsmechanismus in unzähligen Branchen breite Anwendung gefunden.
Risikomanagement-Rahmenwerk – ISO 31000
Die internationale Norm enthält Grundsätze, Rahmenwerke und Prozesse für das Management von Risiken jeglicher Art. Während sich spezifische Nachhaltigkeitsrahmenwerke auf bestimmte Risikobereiche konzentrieren, ist ISO 31000 für alle Arten von Organisationen relevant, unabhängig von ihrer Größe oder Branche. Das Rahmenwerk identifiziert auch mehrere Merkmale, die für ein effektives Risikomanagement vorhanden sein sollten.
COSO Enterprise Risk Management (ERM)
Das COSO Enterprise Risk Management-Rahmenwerk verfolgt einen governance-zentrierten Ansatz für das Management aller Risiken in einer Organisation. Im Jahr 2017 wurde das Rahmenwerk unter dem Namen "Enterprise Risk Management" aktualisiert und hebt die Wechselbeziehungen zwischen Risiko, Strategie und Wertschöpfung hervor. COSO ERM umfasst fünf miteinander verbundene Komponenten (Governance und Kultur, Strategie und Zielsetzung, Leistung, Überprüfung und Überarbeitung sowie Information, Kommunikation und Berichterstattung), die auf 20 Grundsätzen basieren.
Faktoranalyse des Informationsrisikos (FAIR)
Was das FAIR-Framework von anderen Risikomethoden unterscheidet, ist die Betonung der quantitativen, finanzorientierten Risikoanalyse. Anstelle einer überwiegend subjektiven Herangehensweise ist FAIR ein quantitatives Modell zum Verständnis, zur Analyse und zur Messung von Informationsrisiken in finanzieller Hinsicht. Es zerlegt Risiken in messbare und berechenbare Elemente und ermöglicht es Unternehmen, Cyber- und Betriebsrisiken in monetärer Hinsicht zu artikulieren, beispielsweise durch die Berechnung der potenziellen Auswirkungen verschiedener Bedrohungsszenarien in Form einer finanziellen Verlustwahrscheinlichkeit.
Herausforderungen bei der Implementierung eines Risikomanagement-Frameworks
Obwohl die Vorteile eines Sicherheitsrisikomanagement-Frameworks beträchtlich sind, kann die erfolgreiche Implementierung für Unternehmen eine Herausforderung darstellen. Wenn man sich dieser Herausforderungen bewusst ist, kann man Lösungen entwickeln, um sie erfolgreich zu bewältigen.
Mangelnde Akzeptanz innerhalb der Organisation
Die Sicherung eines authentischen Engagements auf allen Managementebenen ist eine der größten Hürden bei der Einführung eines Risikomanagement-Frameworks. Ohne sichtbare Unterstützung durch die Führungsspitze neigen Risikomanagement-Initiativen dazu, bei der Umsetzung zu versanden. Führungskräfte betrachten Risikomanagementaktivitäten möglicherweise als reine Verwaltungsaufgaben, die von der "echten Arbeit" ablenken, während die Mitarbeiter an der Basis möglicherweise nicht verstehen, wie sie dazu beitragen können. Diese Herausforderung äußert sich in passivem Widerstand, begrenzter Teilnahme an Risikobestimmungssitzungen und oberflächlicher Compliance ohne tiefgreifendes Engagement.
Ressourcen- und Budgetbeschränkungen
Die Implementierung eines vollständigen Risikomanagement-Frameworks ist kostspielig und erfordert Personal, Fachwissen, Technologie und Schulungen. Diese Anforderungen werden von Unternehmen oft unterschätzt, was zu einer unsachgemäßen Zuweisung von Ressourcen führt. In den meisten Fällen sind Risikomanagement-Teams unterbesetzt, unzureichend geschult und schlecht ausgestattet, um ihre Aufgaben effektiv zu erfüllen. Budgetbeschränkungen können zu Kompromissen in wichtigen Bereichen wie der Gründlichkeit der Risikobewertung oder der Überwachungskapazität führen.
Komplexität der Risikolandschaften
Aktuelle Risikokarten sind nur ein Teil des Puzzles, da moderne Unternehmen einem umfangreicheren und komplexeren Umfeld miteinander verbundener Risiken ausgesetzt sind. Die zunehmende Komplexität der Geschäftswelt, sei es durch technologische Fortschritte, die Globalisierung der Märkte, gegenseitige Abhängigkeiten in Lieferketten oder das Tempo des Wandels im regulatorischen Umfeld, führt zu einer Vielzahl von Risiken mit nichtlinearen Ursache-Wirkungs-Beziehungen.
Aktualisierung des Rahmens
Risikomanagement ist kein Endziel, sondern ein fortlaufender Prozess, der in mehreren Iterationen angegangen, aktualisiert und bearbeitet werden muss. Fast alle Unternehmen richten anfängliche Rahmenwerke ein, aber nur wenige sind in der Lage, diese über einen längeren Zeitraum aufrechtzuerhalten und relevant zu halten. Einige Erweiterungen bringen Veränderungen mit sich, aber da sie auch Veränderungen bei externen Faktoren mit sich bringen, werden sie schließlich veraltet und irrelevant. Wenn Organisationen wachsen, neue Märkte erschließen, neue Technologien implementieren oder sich neuen Bedrohungen gegenübersehen, ändern sich ihre Risikoprofile.
Bewährte Verfahren für den Aufbau eines Risikomanagement-Rahmens
Die Erstellung eines relevanten Risikomanagement-Rahmens ist keine Plug-and-Play-Vorlage. Unternehmen, die in der Lage sind, ihre Rahmenwerke zu implementieren und aufrechtzuerhalten, verfolgen einige gemeinsame Best Practices.
Klare Ziele und einen klaren Umfang festlegen
Die Grundlage für ein effektives Risikomanagement-Framework ist das Verständnis und die Definition dessen, was Sie im Hinblick auf die Gesamtziele des Unternehmens erreichen möchten. Bevor sie sich mit den Details der Umsetzung befassen, müssen Unternehmen ihre Ziele für das Risikomanagement festlegen, sei es eine größere operative Widerstandsfähigkeit, eine bessere Entscheidungsfindung, die Einhaltung gesetzlicher Vorschriften oder der Schutz bestimmter Vermögenswerte.
Beziehen Sie Stakeholder aus dem gesamten Unternehmen ein
Risikomanagement kann nicht als isolierte Aktivität betrachtet werden. Die Stakeholder aus verschiedenen Ebenen und Funktionen müssen frühzeitig im Rahmen des Entwicklungsprozesses des Rahmens von den Organisationen identifiziert und einbezogen werden. Dazu können die Führungskräfte gehören, die die Strategie steuern und Unterstützung signalisieren, das mittlere Management, das operative Einblicke liefert und bei der Umsetzung hilft, Fachexperten, die Kenntnisse über Risiken in ihrem Bereich bereitstellen, und Mitarbeiter an vorderster Front, die operative Risiken oft aus nächster Nähe miterleben.
Verwendung standardisierter Methoden
Obwohl die Risikolandschaft jedes Unternehmens unterschiedlich ist, müssen Sie bei der Erstellung eines Risikomanagement-Rahmenwerks nicht bei Null anfangen. Durch die Übernahme oder Anpassung anderer bewährter Methoden wie NIST RMF, ISO 31000, COSO ERM oder FAIR verfügen Sie über ein bewährtes Rahmenwerk mit Referenzleitlinien, das Ihre Umsetzung erheblich beschleunigen wird. Diese Standards bieten bewährte Methoden, eine gemeinsame Sprache und detaillierte Leitlinien, die auf den Best Practices der Branche basieren.
Integrieren Sie das Risikomanagement in Ihre Geschäftsprozesse
Um sicherzustellen, dass das Risikomanagement nicht zu einer separaten Compliance-Maßnahme verkommt, müssen Unternehmen es in bestehende Geschäftsprozesse integrieren und keine separaten Systeme schaffen. Dazu gehört die Einbettung von Risikoüberlegungen in die strategische Planung, das Projektmanagement, die Beschaffung, die Produktentwicklung und andere operative Aktivitäten.
Das Rahmenwerk regelmäßig bewerten und überarbeiten
Das Geschäftsumfeld, die Organisationsstruktur und die Risikolandschaft entwickeln sich ständig weiter, was ein entsprechendes Risikomanagement-Rahmenwerk erforderlich macht. Unternehmen müssen formelle Prozesse für die regelmäßige Überprüfung und Aktualisierung aller Teile des Rahmens einrichten, von Methoden zur Risikoidentifizierung über Bewertungskriterien und Strategien zur Risikominderung bis hin zu Berichtsformaten.
Fazit
Die Einführung eines soliden Risikomanagement-Rahmens ist für Unternehmen, die in der heutigen dynamischen und komplexen Geschäftswelt tätig sind, ein Muss. Unternehmen können ihre Vermögenswerte schützen, die Geschäftskontinuität sicherstellen und fundierte strategische Entscheidungen treffen, indem sie diese Rahmenwerke nutzen, die strukturierte Methoden zur Identifizierung, Bewertung und Minderung von Risiken bieten. Ein strukturiertes und gut verwaltetes Risikomanagement-Framework bietet greifbare Vorteile in Bezug auf operative Widerstandsfähigkeit, Vertrauen der Stakeholder und Wettbewerbsvorteile.
Die Implementierung eines Risikomanagement-Frameworks kann effektiv erfolgen, erfordert jedoch Engagement, Ressourcen und die Fokussierung auf Risiken bei allen Aktivitäten. Auch wenn es immer Herausforderungen geben wird, bieten die in diesem Leitfaden beschriebenen Best Practices einen Weg, um diese Herausforderungen zu bewältigen und nachhaltige Risikomanagementfähigkeiten zu erreichen. Indem sie das Risikomanagement nicht mehr als Compliance-Belastung, sondern als Beitrag zur strategischen Umsetzung betrachten, können Unternehmen Unsicherheiten in Chancen verwandeln, Veränderungen vorantreiben, Entscheidungen unter Berücksichtigung von Risiken treffen, die digitale Transformation ermöglichen und die Widerstandsfähigkeit entwickeln, um in einer sich ständig verändernden Welt nicht nur zu überleben, sondern zu gedeihen.
"Häufig gestellte Fragen zum Risikomanagement-Rahmenwerk
Ein Risikomanagement-Framework ist ein strukturierter Ansatz zur Identifizierung, Bewertung, Reaktion und Überwachung von Risiken innerhalb einer Organisation. Es bietet eine systematische Methodik und Werkzeuge für das Management von Unsicherheiten, die sich auf die Geschäftsziele auswirken könnten.
Die Implementierung erfolgt in fünf wesentlichen Schritten: Festlegung des Kontexts (Definition von Umfang und Zielen), Identifizierung von Risiken, Analyse und Bewertung von Risiken, Entwicklung von Behandlungsplänen sowie Überwachung und Überprüfung der Ergebnisse. Beginnen Sie mit der Unterstützung durch die Geschäftsleitung, beziehen Sie die Stakeholder während des gesamten Prozesses mit ein und konzentrieren Sie sich auf die schrittweise Integration in bestehende Geschäftsprozesse.
Im Bereich Cybersicherheit hilft ein Risikomanagement-Framework Unternehmen dabei, schutzbedürftige digitale Ressourcen zu identifizieren, potenzielle Bedrohungen und Schwachstellen zu bewerten, geeignete Sicherheitskontrollen zu implementieren und deren Wirksamkeit kontinuierlich zu überwachen. Frameworks wie NIST RMF bieten spezifische Leitlinien für das Cybersicherheits-Risikomanagement über den gesamten Systementwicklungszyklus hinweg.
Risikomanagement-Frameworks sollten mindestens einmal jährlich einer formellen Überprüfung unterzogen werden, wobei Bereiche mit hohem Risiko kontinuierlich überwacht und Aktualisierungen bei wesentlichen organisatorischen Veränderungen (z. B. Fusionen, regulatorische Änderungen) vorgenommen werden sollten.
