Echtzeit-Informationen für Governance, Risk und Compliance - Ein White Paper von Bloor Research

White Paper Echtzeit-Informationen für Governance, Risk und Compliance Ein White Paper von Bloor Research Verfasser: Philip Howard Datum der Veröffentlichung: Juli 2008 Die große Frage ist, wie alle Daten von all den verschiedenen Speicherorten zu den Entschei- dungsträgern gelangen können, und zwar in einem zeitlichen Rahmen, der für diese zur Erfüllung ihrer Aufgaben optimal ist. Philip Howard Echtzeit-Informationen für Governance, Risk und Compliance Seite 1 Zusammenfassung Es ist eigentlich klar, dass ein Unternehmen bei der betrieblichen Abläufe möglichst effizient zu überwachen. In Ausführung von Geschäftsprozessen oder beim Treffen manchen Fällen bedeutet das, dass Informationen sofort bei operativer bzw. strategischer Entscheidungen darauf Eintreten eines Ereignisses (also in „Echtzeit“) vorliegen angewiesen ist, dass dem Prozess oder Entscheidungsträger müssen oder nur Verzögerungen von ein paar Sekunden vollständige, genaue und zuverlässige Informationen oder Minuten akzeptabel sind. In anderen Umgebungen (oft vorliegen, und zwar zu dem Zeitpunkt, zu dem sie benötigt im gleichen Unternehmen) ist die Bereitstellung der werden. Im Folgenden konzentrieren wir uns auf die relevanten Informationen vielleicht erst in Stunden, Wochen Bereitstellung von Informationen „zu dem Zeitpunkt, zu dem oder Monaten erforderlich. Es gibt also ein Spektrum von sie benötigt werden“. Das wird auch als Informationen „zur Latenzen für die Bereitstellung von Daten und es müssen rechten Zeit“ bezeichnet. Insbesondere geht es um Systeme vorhanden sein, die die verschiedenen Latenzen Echtzeit-Informationen in Bezug auf GRC (Governance, Risk bedarfsgerecht handhaben. Und genau das ist gemeint, und Compliance). wenn wir davon sprechen, dass Informationen „zur rechten Zeit“ bereitgestellt werden müssen. Im Vorfeld sollten jedoch zwei Fragen geklärt werden. Zunächst gilt es, die Beziehungen zu verstehen, die zwischen In diesem Artikel betrachten wir zunächst die Anforderungen „Risk“ einerseits und „Governance“ und „Compliance“ in Bezug auf GRC, wobei wir den Schwerpunkt insbesondere andererseits bestehen. Dieser Frage werden wir im auf „Risk“ legen, außerdem besprechen wir die Gefahren nächsten Abschnitt nachgehen. (Risiken!) und Kosten, die entstehen, wenn Informationen nicht genau dann vorliegen, wenn sie benötigt werden. Bei der zweiten Frage geht es darum, was es heißt, Danach gehen wir auf Herausforderungen ein, die der Informationen „zur rechten Zeit“ bereitzustellen. rechtzeitigen Bereitstellung von Informationen oft im Wege Informationen müssen in einem zeitlichen Rahmen stehen. Anschließend betrachten wir, wie die Lösung von vorliegen, der es dem Unternehmen ermöglicht, seine Informatica für Informationen zur rechten Zeit in diesem Arbeit zu erledigen, Entscheidungen zu treffen und seine Zusammenhang helfen kann. © 2008 Bloor Research Ein White Paper von Bloor Echtzeit-Informationen für Governance, Risk und Compliance Seite 2 Governance, Risk und Compliance Bevor wir auf die technischen Aspekte der Bereitstellung von Ähnlich fallen eine Reihe von Kategorien, die als IT- Informationen zur rechten Zeit eingehen, ist es wichtig, die Risiken bezeichnet werden, streng genommen nicht in Begriffe zu verstehen, die den verschiedenen Elementen von den Aufgabenbereich des Risk Management. So werden Governance, Risk und Compliance zugrunde liegen, sowie die zum Beispiel Hochverfügbarkeitslösungen nicht zur Art und Weise, wie sie zueinander in Beziehung stehen. Bewältigung oder Minderung von Risiken implementiert, sondern dazu, sie auszuschalten. Man könnte argumen- Risk tieren, dass dies in die Kategorie der Risikominderung fällt (genau wie die präventive Betrugsbekämpfung). Es gibt einen Unterschied zwischen „Risk“ und „Risk Management“. Um diesen Unterschied zu verstehen, Mit anderen Worten, es gibt einen Unterschied zwischen müssen wir zunächst untersuchen, was mit „Risk“ gemeint Risk Management und Risikominderung. Eine Kombination ist. Aus Managementperspektive können wir Risk in ist möglich, wenn alle Risikofaktoren bekannt sind und die quantifizierbare und nicht quantifizierbare, allgemeine und potenziellen Kosten für das Unternehmen quantifiziert spezifische Risiken unterteilen. werden können. Wenn die potenziellen Kosten nicht quantifizierbar sind, wird die Risikominderung (in Form Betrachten wir aber zunächst den Begriff „Risk Management“. von Ausschaltung von Risiken) meist als eigenständige Versicherungsgesellschaften bieten Lebensversicherungen Funktion eingesetzt. auf der Basis statistischer Durchschnittswerte an, die aus Sterblichkeitstabellen gewonnen werden, statt zu versuchen, Schließlich gilt es auch zu beachten, dass es zwei verschie- Einzelpersonen als Individuen zu bewerten. Dies ist für dene Formen des Risk Management gibt. Eine bezieht Versicherungsgesellschaften nicht nur einfacher, sondern sich auf Aufgaben, die sich genau auf mathematische es wäre auch gar nicht anders möglich, da niemand alle Modelle abbilden lassen – wie zum Beispiel die Liquidität –, Risikofaktoren kennen kann, die die Lebenserwartung einer während sich die andere auf Prozesse bezieht, bei denen die bestimmten Person beeinflussen können. Hierin liegt eine Bewertungen zum Risk Management nicht so transparent wichtige Unterscheidung: Kennt man alle Risikofaktoren, die sind (z. B. Compliance nach Sarbanes-Oxley). bei einer Entscheidung zu berücksichtigen sind, kann man sie speziell für den jeweiligen Fall bewerten. Andernfalls ist Compliance man gezwungen, auf statistische Daten oder bekannte Muster aus der Vergangenheit zurückzugreifen. Bei der Compliance geht es um die Einhaltung von gesetzlichen Bestimmungen, Branchenvorschriften oder Die andere Frage ist, ob Risikofaktoren überhaupt quantifiziert internen Richtlinien zur Governance (siehe nächsten werden können. Und tatsächlich lautet die Antwort, dass dies Abschnitt). Sie umfasst die Definition und Umsetzung von oft nicht möglich ist. Dagegen ist es möglich, Schätzungen zu Richtlinien und Prozessen, mit denen diese gewährleistet erstellen, beispielsweise auf der Basis der Meinungen werden kann. Compliance sollte auch Testverfahren verschiedener Leute. In manchen Fällen – zum Beispiel bei beinhalten, mit denen die ordnungsgemäße Umsetzung der der Garantieanalyse – können dabei zusätzliche Techniken wie Kontrollen überprüft wird. Textmining erforderlich sein (weil Garantieansprüche oft unstrukturierte Daten enthalten), um das Risiko von Zu den externen Compliance-Anforderungen gehören Produktrückrufen bestimmen zu können. Arbeitsgesetze, Anti-Diskriminierungsgesetze, Vorschriften zu Gesundheit und Arbeitsschutz, Steuergesetze und andere Ein weiterer einschränkender Faktor ist die Tatsache, dass Vorschriften, die das Unternehmen einhalten muss. die eigene Gefährdung oft nicht akkurat quantifiziert werden GRC-Projekte haben oft Vorschriften wie Sarbanes-Oxley, kann. Wie lassen sich zum Beispiel die Kosten (insbesondere HIPAA, Basel II, verschiedene Datenschutzgesetze (je nach im Voraus) des Ansehensverlusts durch ein Fiasko wie die Land), Vorschriften zur Verhinderung von Geldwäsche (AML: Eröffnung von Terminal 5 des Flughafens Heathrow Anti-Money Laundering) und die Richtlinie über Märkte für quantifizieren, wo es zu riesigen Warteschlangen, Bergen Finanzinstrumente (MiFID) zum Gegenstand. Darüber hinaus von zurückgebliebenem Gepäck und vielen Tausend plant die Europäische Union die Einführung von EuroSOX verärgerten Passagieren kam? (eine europäische Version von Sarbanes-Oxley) und Solvency II (eine Art Basel II für den Versicherungssektor). Nach dem Bei näherer Betrachtung des Begriffs „Risk“ sind zunächst jüngsten Debakel um Subprime-Kredite hat die Bank für mehrere Punkte zu berücksichtigen. Ein Risikomanagement Internationalen Zahlungsausgleich weitere Vorschläge zur ist nur möglich, wenn alle jeweils relevanten Risikofaktoren Regulierung des Bankwesens unterbreitet, die über die bekannt sind und bewertet werden können. Basel-II-Regularien hinausgehen. Wie jedoch zu Beginn dieses Abschnitts erwähnt, gibt es Im Allgemeinen ist das Risiko bei Nichteinhaltung derartiger einen Unterschied zwischen Risk und Risk Management. Es Vorschriften indirekt.