CIO und CRO rücken zusammen

Aufgabe des Teams rund um den CRO ist es zunächst einmal, die bestehende Sicherheits-Strategie - beziehungsweise das, was davon da ist - auf Herz und Lunge zu prüfen. Implementierte Software muss regelmäßig auf den neuesten Stand gebracht werden. Außerdem müssen die Unternehmensbereiche priorisiert werden, die als Erstes zu schützen sind. Und: Jede neue Compliance-Regelung muss berücksichtigt werden.

Ein Blick auf die Zahlen, die Aberdeen erhoben hat, lassen diese Vorstellung von einem Muster-Unternehmen allerdings mehr als Vision denn als Realität erscheinen: Siebzig Prozent der Befragten sind technisch offenbar nicht gerüstet, denn sie wollen erst einmal Lösungen für ein automatisiertes Risiko-Management kaufen.

Erst ein Viertel der Unternehmen hat einen CRO eingesetzt

Cross-funktionale Teams zur Wahrung der Unternehmenssicherheit bestehen in 38 Prozent der befragten Firmen. Ein dezidierter CRO ist erst in rund einem Viertel der Unternehmen im Einsatz.

Dass dessen Rolle noch nicht eindeutig definiert ist, zeigen die unterschiedlichen Etiketten, die dem Kürzel CRO aufgeklebt werden. So gilt der CRO in 90 Prozent der großen Konzerne (ab einem Jahresumsatz von einer Milliarde US-Dollar) als Leader, in den mittleren Unternehmen (50 Millionen bis zu einer Milliarde US-Dollar Jahresumsatz) schreiben ihm nur 57 Prozent diese Rolle zu. Häufig wird von ihm erwartet, als Unterstützer und Integrator zu fungieren. Eher selten wird er als Taktiker oder Technik-Master betrachtet.

43 Prozent aller Befragten halten es für richtig, dass der Chief Risk Officer an den CEO berichtet, 23 Prozent denken, er soll an den CFO berichten.