Vom IKS zur Berechtigungsprüfung

ipg ag Tel. +41 52 245 04 74 information process group Fax +41 52 245 04 73 Jägerstrasse 2 www.ipg-ag.com CH-8406 Winterthur info@ipg-ag.com Vom IKS zur Berechtigungsprüfung „Stehen Verwaltungsräte, Geschäftsführer und leitende Angestellte bereits mit einem Bein im Gefängnis?“ Inhalt 1. Einführung 2 2. Framework für Geschäftsrisiken im Zusammenhang mit der IT 3 2.1. Plan 4 2.2. Do 4 2.3. Check 4 2.4. Act 4 3. Umsetzung einer Berechtigungsprüfung 4 3.1. Plan 5 3.2. Do 5 3.3. Check 5 3.4. Act 6 3.5. Plan 2. Runde 6 4. Erfahrungen aus einem konkreten Projekt 6 5. Wo kann ipg unterstützen 7 Vom IKS zur Berechtigungsanalyse Bericht von Claudio Fuchs, Senior IAM Consultant ipg ag ipg ag Tel. +41 52 245 04 74 information process group Fax +41 52 245 04 73 Jägerstrasse 2 www.ipg-ag.com CH-8406 Winterthur info@ipg-ag.com Abstract Geschäftsprozesse sind vermehrt von IT Mitteln abhängig und können oftmals nur noch von Spe- zialisten verstanden werden. Die Verantwortung liegt jedoch bei den leitenden Angestellten, insbe- sondere bei der Geschäftsleitung und dem Verwaltungsrat. Im fachlich komplexen IT-Umfeld ist es für diese Organe allerdings kaum mehr möglich, alle Mechanismen zu verstehen. Zudem werden ihnen immer strengere gesetzliche Vorschriften auferlegt, wodurch sie auch persönlich haftbar gemacht werden können. Bei schweren Vergehen droht im schlimmsten Fall die strafrechtliche Verfolgung. Wer jetzt an den Schutz der Organhaftpflichtversicherung denkt, der irrt. Hier werden die Grenzen der Organhaft- pflichtversicherung überschritten. Übertrieben formuliert könnte man sagen, jeder der ein Verwal- tungsrats- oder Geschäftsleitungsmandat annimmt, riskiert bereits mit einem Bein im Gefängnis zu stehen. Aktiengesellschaften sind seit dem 1. Januar 2008 verpflichtet, ein internes Kontrollsystem einzu- führen. Dies bringt einem Unternehmen ein gewisses Mass an Mehraufwand, gibt dem Verwal- tungsrat, der Geschäftsleitung und den leitenden Angestellten aber die Chance, ihre Sorgfalts- pflicht zu belegen und sich so gegen mögliche Haftungsansprüche zu schützen. Die Verträglichkeit gegenüber gesetzlichen Vorschriften und gesellschaftlichen Wertvorstellungen nennt man auf Neu-Deutsch auch „Compliance“. Aus diesen Gründen wird das Thema Compliance in Zukunft an Bedeutung gewinnen. Weiter wird es vermehrt auch für die Gewährung von Unter- nehmenskrediten sowie der Gewinnung von Kundenaufträgen relevant werden. 1. Einführung Seit dem 1. Januar 2008 sind Schweizer Aktiengesellschaften verpflichtet, ein internes Kontroll- system (IKS) aufzubauen. Dies wurde in Art. 728 OR gesetzlich verankert. Die Revisionsstelle muss einerseits die Existenz eines IKS prüfen und anderseits dem Verwaltungsrat über die Fest- stellungen bezüglich IKS melden. Somit sind die Mitglieder des Verwaltungsrats in der Verantwortung und haben für eine systemati- sche Kontrolle der Geschäftstätigkeiten zu sorgen. Natürlich können sie nach Art. 716b OR die Geschäftsführung delegieren, machen die entsprechenden Personen dann aber höchstens zu „Mittäter“, denn nach Art. 717 OR haben sie die Geschäftsführung mit „aller Sorgfalt“ zu erfüllen. Je griffiger und effizienter die internen Kontrollen sind, je mehr sind der Verwaltungsrat und die Geschäftsleitung entlastet und kommen somit ihrer Sorgfaltspflicht nach. Nebst diesem regulatori- schen Druck bleibt natürlich auch die moralische Verpflichtung, sein Bestes für das Gedeihen des Unternehmens zu geben. Zudem geben gute Kontrollen eine bessere Einsicht in das Unterneh- men. Diese Transparenz verbessert die Einschätzung und erhöht die Reaktionsgeschwindigkeit für die Entscheidungsträger. Für die konkrete Umsetzung eines internen Kontrollsystems verfügt die Schweizer Treuhandkam- mer über einen Prüfungsleitfaden mit Schichtenmodell. Man geht davon aus, dass abhängig von der Art und Grösse eines Unternehmens die IT einen wesentlichen Anteil zur Unterstützung der Geschäftstätigkeiten hat - Tendenz steigend. Vom IKS zur Berechtigungsanalyse Bericht von Claudio Fuchs, Senior IAM Consultant ipg ag Seite 2/8 ipg ag Tel. +41 52 245 04 74 information process group Fax +41 52 245 04 73 Jägerstrasse 2 www.ipg-ag.com CH-8406 Winterthur info@ipg-ag.com Das Schichtenmodell kennt die folgenden Ebenen:  Geschäftsprozesse (1) 1  IT-Anwendungen (2)  IT-Basissysteme (3) 2  IT-Infrastruktur (4) 3 4 2. Framework für Geschäftsrisiken im Zusammenhang mit der IT Die Erarbeitung von Kontrollen zur Reduktion der Geschäftsrisiken ist komplex und umfangreich, was viele von der Umsetzung abhalten mag. Vor allem kleinere und mittlere Unternehmen nehmen daher Bezug auf ein bereits schon bestehendes Framework. Der Standard ISO 27001 ist beispielsweise ein Vorgehensmodell, um mit den Risiken im Zusam- menhang mit der IT umzugehen. Vorgängig sollte bekannt sein, welche Geschäftsprozesse im Unternehmen vorhanden sind und wie die IT Landschaft zur Unterstützung dieser Prozesse aus- sieht. Im oben erwähnten ISO Standard spricht man hier von ISMS „Information Security Management System“ und dies ist in dem Sinne nichts anderes als ein stetiger Prozess zur Handhabung der Risiken. Die damit verbundene Methodik heisst „Plan-Do-Check-Act“.  Begleiten, anpassen  IT-Sicherheitspolitik und verbessern  Scope und Abgrenzung  Massnahmen und Kontrollziele definieren  Kontrolle der  Umsetzen der Massnahmen Wirksamkeit und  Schulen und sensibilisieren Umsetzung der der Beteiligten Massnahmen Vom IKS zur Berechtigungsanalyse Bericht von Claudio Fuchs, Senior IAM Consultant ipg ag Seite 3/8 ipg ag Tel. +41 52 245 04 74 information process group Fax +41 52 245 04 73 Jägerstrasse 2 www.ipg-ag.com CH-8406 Winterthur info@ipg-ag.com 2.1. Plan Erstellen Sie eine grobe IT-Sicherheitspolitik. Diese soll aufzeigen, welche regulatorischen Anfor- derungen bestehen und wie die Verantwortlichkeiten rund um die IT- Sicherheit im Unternehmen festgelegt sind. Weiter können erste Massnahmen und auch Kontrollziele zur Überprüfung dieser Massnahmen definiert werden. Diese Kontrollziele können Sie für ihr IKS verwenden, womit diese dann auch von der Revisionsstelle eingesehen werden können. 2.2. Do Betreiben Sie Ihre IT-Mittel wie gewohnt und setzen Sie getroffene Massnahmen um. Sensibilisie- ren Sie Ihre Mitarbeiter und machen Sie bekannt, dass die Unternehmensprozesse periodisch überprüft werden. 2.3. Check Prüfen Sie regelmässig wie es um die Qualität Ihrer IT gestützten Prozesse steht. Kontrollieren Sie auch die Wirksamkeit der Kontrollen selber. 2.4. Act Verwenden Sie die Resultate der Prüfungen um einen besseren Einblick in das Unternehmen zu bekommen. Handeln Sie mit der angebrachten Priorität, wenn die Prüfziele nicht erreicht werden, ansonsten könnte Ihnen die Nicht-Erfüllung der Sorgfaltspflicht vorgeworfen werden. 3. Umsetzung einer Berechtigungsprüfung Berechtigungen haben einen wichtigen Stellenwert in Unternehmen, um unbefugte Zugriffe zu ver- hindern. Sie reduzieren das Risiko, dass z.B. vorsätzlich vertrauliche Daten eingesehen werden oder Finanztransaktionen zum persönlichen Vorteil eines Mitarbeiters ausgelöst werden.