Verantwortung ohne Entscheidungsmacht ist kein Risikomanagement. Es ist die Vorbereitung eines Sündenbocks.

Verantwortung ohne Entscheidungsmacht ist kein Risikomanagement. Es ist die Vorbereitung eines Sündenbocks. Das Muster wiederholt sich in vielen Unternehmen, nicht nur im Bereich Cybersicherheit. Jemand bekommt "volle Verantwortung" für ein Risikothema – Cyber, Compliance, Qualität, Datenschutz. Dann wird das Budget gekürzt. Ausnahmen werden gegen seine ausdrückliche Einschätzung genehmigt. Projekte gehen in Produktion ohne seine Freigabe. Auf dem Papier trägt er die Verantwortung. Im Ernstfall trägt er die Schuld. Das ist kein Fachproblem. Es ist ein Führungsproblem. Verantwortung und Entscheidungsmacht müssen zusammenliegen. Wer für ein Risiko verantwortlich gemacht werden soll, muss auch die Möglichkeit haben, dieses Risiko tatsächlich zu steuern. Das bedeutet konkret: die Möglichkeit, Ausnahmen zu blockieren statt nur zu kommentieren. Die Möglichkeit, Budget-Umpriorisierungen auszulösen, wenn ein Risiko einen definierten Schwellenwert überschreitet. Die Möglichkeit, ein dokumentiertes Bekenntnis zu verlangen, wenn jemand ein bekanntes Risiko bewusst akzeptiert – mit Namen, nicht anonym. Fehlt diese Entscheidungsmacht, hat man keine Verantwortung vergeben. Man hat eine Rolle geschaffen, die im Normalbetrieb unsichtbar ist und im Krisenfall sichtbar – aber nur als Adresse für Vorwürfe. Das betrifft nicht nur große Unternehmen mit CISO und Compliance-Abteilung. Es betrifft jeden Betrieb, der Risikomanagement einführt, ohne zu klären, wer tatsächlich Entscheidungen treffen darf, wenn Risiken mit Budgets, Deadlines oder Bequemlichkeit kollidieren. Eine Risikoanalyse, die niemand stoppen kann, ist ein Dokument. Kein Steuerungsinstrument. Die eigentliche Frage für jede Führungsebene ist deshalb nicht, wer formal für ein Risiko zuständig ist. Die Frage ist: Wer kann tatsächlich Nein sagen, wenn eine Entscheidung ein definiertes Risikoniveau überschreitet? Und wer unterschreibt namentlich, wenn dieses Risiko bewusst akzeptiert wird? Wenn die Antwort auf beide Fragen unklar ist, hat das Unternehmen kein Risikomanagement. Es hat eine Risikoliste.