Geschäftsbericht 2024 – ÖBB-Infrastruktur AG

ÖBB-Infrastruktur Aktiengesellschaft Konzernlagebericht | Konzernabschluss 22 Durch die Umsetzung von Maßnahmen im Bereich Information Security, abgestimmt mit der ÖBB Holding AG, wird die Segmentierung von Netzzonen in der ÖBB-Infrastruktur AG durchgeführt, um sicherzustellen, dass zukünftig die IT-Services für den Eisenbahnbetrieb von allen weiteren IT-Services getrennt und somit abgesichert werden. Schrittweise wird der Grad der Information-Security hin zu einer nachhaltig besseren Resilienz gegenüber bestehender oder neuer (Cyber-) Bedrohungen gesteigert und die Vorbereitung auf die Cybersicherheits-Richtlinie NIS2 (Sicherheit für Netz- und Informationssysteme) durchgeführt. Durch den konsequenten Ausbau des Datennetzes wurden die technischen Grundlagen für die Netzwerksegmentierung (Datennetztrennung) hergestellt. Damit einhergehend ist die Erhöhung der Datennetzsicherheit (Trennung der betrieblichen Netzsegmente von Office-Netzsegmenten), welche durch den bereits umgesetzten Ausbau von Systemen für die Netzwerksicherheit weiter gestärkt wird. Dies schafft auch die Voraussetzung für eine zunehmende Nutzung von hybriden Cloudservices, die aufgrund der Flexibilität und Skalierbarkeit eine Voraussetzung für zahlreiche Digitalisierungsvorhaben bilden. Die ÖBB-Infrastruktur AG arbeitet hier gemeinsam mit dem ÖBB Konzern an den Rahmenbedingungen und Basis für eine zunehmende sinnvolle Nutzung und Management dieser neuen Möglichkeiten. B.2. Wesentliche Risiken und Ungewissheiten Das Chancen- und Risikomanagement begleitet die relevanten Geschäftsprozesse und Finanzpositionen der wesentlichen Konzernunternehmen und versteht sich so als ein wichtiges Instrument der Unternehmensführung. Chancen und Risiken sind im ÖBB Konzern grundsätzlich als Ereignisse oder Entwicklungen definiert, die zu einer positiven oder negativen Ergebnisabweichung gegenüber den Planungsannahmen führen können. Die Überarbeitung des Chancen- und Risikoportfolios erfolgt synchron zur jeweiligen Planung. Eine Konzernrichtlinie und ein konzernweit verbindliches Chancen- und Risikomanagement-Handbuch definieren die Mindestanforderungen für alle einbezogenen Unternehmenseinheiten. Das oberste Ziel der Risikopolitik ist die Absicherung der Unternehmenstätigkeit. Risiken sollen nur dann bewusst eingegangen werden, wenn ihre Dimension abschätzbar ist und mit der erwarteten Steigerung der Erträge und des Unternehmenswerts einhergehen. An den Prüfungsausschuss des Aufsichtsrats werden einerseits die jeweils aktuellsten Chancen- und Risikoreports, andererseits die Ergebnisse der Überprüfung der Funktionsfähigkeit des Chancen- und Risikomanagementsystems durch die Wirtschaftsprüfer:innen, die im Zuge der Jahresabschlussprüfung gemäß Regel 14.3.8.5 des Public-Corporate- Governance-Kodex überprüft werden, jährlich berichtet. Somit soll gewährleistet sein, dass sich der Aufsichtsrat ein kontinuierliches Bild von der Effizienz und der Effektivität des implementierten Systems machen kann. Der regelmäßige Dialog mit dem Prüfungsausschuss bietet darüber hinaus die Möglichkeit, neue risikobezogene Themen top down zu identifizieren und im Rahmen des Risikomanagements weiterzubehandeln. Um formal eine stärkere Verzahnung risikonaher Funktionen (Risikomanagement, IKS, Compliance, Prozessmanagement etc.) voranzutreiben, wurde 2017 zudem ein „Governance, Risk and Compliance”-Komitee eingerichtet. Im ÖBB Infrastruktur-Konzern ist zur Sicherstellung des professionellen Umgangs mit Chancen und Risiken sowie zur laufenden Umsetzung des Risiko- und Chancenmanagementprozesses die Funktion eines Konzern-Risikomanagers eingerichtet: Er ist für den Chancen- und Risikomanagementprozess im Konzern bzw. in der Gesellschaft verantwortlich. Im Konzern führt er die Chancen- und Risikokonsolidierung und -aggregation durch und ermittelt dessen Gesamt- Chancen- und Risiko-Position, die jeweils mit den Risikoakzeptanz- und Risikotragfähigkeitsgrenzen abgeglichen wird. Gegebenenfalls werden daraus weiterer Handlungsbedarf abgeleitet und Maßnahmen initiiert. Der Risikomanager berichtet an den Vorstand sowie an den Konzern-Chancen- und Risikomanager, er legt den Chancen-/Risikobericht inkl. der Risikopriorisierung sowie der relevanten Steuerungsmaßnahmen vor und übernimmt Beratungs- und Schulungsaufgaben. Darüber hinaus sind in allen Geschäftsbereichen, Stabstellen und in allen wesentlichen Beteiligungen dezentrale Risikomanager und -ansprechpartner definiert, welche die risikoverantwortlichen Führungskräfte („Risk Owner ” ) bei der Erfassung der Chancen und Risiken im jeweiligen Verantwortungsbereich unterstützen.