Zeitnahe, zuverlässige Daten: Schlüssel zu Governance, Risk & Compliance (GRC)

w h i t e pa p e r Zeitnahe, zuverlässige Daten: Schlüssel zu Governance, risk & Compliance (GrC) Dieses Dokument enthält vertrauliche, unternehmenseigene und geheime informationen („vertrauliche informationen“) der informatica Corporation und darf ohne vorherige schriftliche Genehmigung von informatica weder kopiert, verteilt, vervielfältigt noch auf andere weise reproduziert werden. es wurde alles unternommen, um die Genauigkeit und Vollständigkeit der in diesem Dokument enthaltenen informationen sicherzustellen. Dennoch können Druckfehler oder technische Ungenauigkeiten nicht vollständig ausgeschlossen werden. informatica übernimmt keine Verantwortung für Verluste, die aufgrund der in diesem Dokument enthaltenen informationen entstehen können. Die hierin enthaltenen informationen können sich ohne vorherige ankündigung ändern. Die Berücksichtigung der in diesem Dokument besprochenen produktmerkmale in neuen Versionen oder Upgrades von informatica-Softwareprodukten sowie der Zeitpunkt der Veröffentlichung dieser Versionen oder Upgrades liegt im alleinigen ermessen von informatica. Diese ausgabe wurde im Mai 2008 veröffentlicht. white paper Inhaltsverzeichnis Zusammenfassung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2 Einführung zu GRC – Governance, Risk & Compliance . . . . . . . . . . . . . . . . . 3 Trends in Bezug auf GRC . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4 GRC weiterhin Thema auf der Tagesordnung bei Vorstandssitzungen . . . . . . 5 Daten haben oberste Priorität . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 Daten: Das Herz von GRC . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7 Optimaler Einsatz von Informatica für GRC . . . . . . . . . . . . . . . . . . . . . . . . . 8 Informatica – zeitnahe, zuverlässige, vollständige Daten aus der Praxis . . .12 Das Bild ist komplett . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .14 Zeitnahe, zuverlässige Daten – Schlüssel zu Governance, risk & Compliance (GrC) 1 Zusammenfassung Neue tendenzen im modernen, turbulenten Geschäftsleben sind schwer vorhersehbar. Unternehmen sind mehr denn je mit etlichen rechtlichen, regulativen und unternehmenseigenen richtlinien konfrontiert. Zudem haben anforderungen hinsichtlich der wertschöpfungskette auswirkungen auf fast alle Geschäftsbereiche. Die Frage ist nun: wie können Unternehmen in einer derart massiv regulativen Umgebung risiken steuern, effizient verwalten, die Unternehmensleistung fördern und schließlich das Vertrauen der aktionäre festigen? Viele Unternehmen verfolgen einen breiteren, besser integrierten ansatz beim Verwalten von verknüpften strategischen planungsaktivitäten und Unternehmensrisiken. im wesentlichen ist dieser ansatz ein programm zu Governance, risk & Compliance (GrC), weg von der gängigen Feuerwehrmethode, wertvolle ressourcen zu kanalisieren und die Verwaltung isoliert auf bestimmte regulative Zwänge zu konzentrieren. Die GrC-Strategie hingegen ist auf Nachhaltigkeit, Konsistenz, effizienz und transparenz für die vielfältigen GrC-prozesse im Unternehmen ausgelegt. Durch einsatz einer integrierten GrC-Strategie können Unternehmen proaktiv zwei größere Kapitalrenditen erzielen. erstens können alle regulatorischen und geschäftsbezogenen risiken gezielt angesteuert und Compliance zu einem günstigeren preis erzielt werden. Und zweitens hilft ein integrierter CrG-ansatz vor dem hintergrund des mit dem taktischen Compliance Management verstrickten wettbewerbs, sich von der Masse abzuheben und agiler zu werden, denn Geschäftsprozesse werden optimiert, und bei der entscheidungsfindung werden clevere Strategien angewendet. Der weg zu einer vereinheitlichten GrC-Strategie ist bisweilen recht holprig. informationen sind zwar die „währung“ des neuen Jahrtausends, doch sind die für GrC so grundlegenden Daten in einer komplexen it-Umgebung über eine reihe von Unternehmenssystemen zerhackt. Unternehmen müssen die informationen irgendwo finden (Stichwort Zugriff), bereinigen, zusammenfügen (integrieren) – und, eigentlich ganz naheliegend, den vorliegenden informationen auch trauen können. Und hier kommt informatica ins Spiel. informatica definiert den Standard für die integration von Unternehmensdaten, Datenqualität und komplexe Datenumwandlungen mit einer skalierbaren, flexiblen und vollständigen Lösung. Und diese hilft Unternehmen bei den folgenden aufgaben: • transparentere GrC-aktivitäten mit vollständigen, zuverlässigen informationen • flexiblere abläufe und weniger risiken durch echtzeitdaten • preiswertere erstellung zeitnaher, zuverlässiger GrC-Daten und dabei bessere Unternehmensleistungen • einhaltung von prüfverfahren- und Dokumentationsbestimmungen • kostenwirksame einhaltung von Branchenstandards und Definitionen 2 white paper Einführung zu GRC – Governance, Risk & Compliance Unternehmenskomplexität, zusammen mit immer mehr Vorschriften und Druck auf dem Markt, zwingt Unternehmen dazu, Governance, risk & Compliance strukturiert anzugehen. Das Ziel: effektives Definieren, Verwalten und Überwachen der Geschäftsvorgänge, sowohl in- als auch extern. Die herausforderung: einzeln haben diese Komponenten verschiedene Bedeutungen im Unternehmen. Die Variationen erscheinen endlos und umfassen Corporate Governance, it Governance, finanzielle risiken, strategische risiken, operationale risiken, it risiken, Corporate Compliance, Sarbanes-Oxley (SOX) Compliance, Beschäftigungs-/Lohn-Compliance und Datenschutz-Compliance. Um GrC als Gesamtheit zu definieren, muss jede einzelne Komponente sauber definiert werden. Governance Bei Governance handelt es sich um Kultur, richtlinien, prozesse, Gesetze und institutionen, die die Struktur definieren, durch die Firmen geführt und verwaltet werden.1 es gibt die folgenden drei Governance-Bereiche, die häufig im Zusammenhang mit GrC genannt werden: Corporate Governance Dazu gehören die verschiedenen prozesse, Gepflogenheiten, richtlinien, Gesetze und institutionen, die die Führung, Verwaltung und Kontrolle von Unternehmen betreffen.Bestimmte Gesetze wie Sarbanes-Oxley wurden entwickelt, um Corporate Governance-praktiken für börsennotierte Unternehmen in den USa umzusetzen.im europäischen Finanzdienstleistungssektor dient die MiFiD (Market in Financial instruments Directive, richtlinie über Märkte für Finanzinstrumente) zur ebnung grenzübergreifender handelsbeziehungen. IT-Governance eine Unterdisziplin der Corporate Governance mit Fokus auf it-Systeme und deren performance und risk Management. Das zunehmende interesse an it Governance ist teilweise durch Compliance- initiativen wie Sarbanes-Oxley in den USa oder Basel ii für globale Finanzeinrichtungen begründet sowie durch das zunehmende Bewusstsein, dass it-projekte schnell außer Kontrolle geraten können und die Leistung eines Unternehmens massiv beeinflussen können. Data Governance hierunter fallen prozesse, richtlinien, Standards, Organisation und techniken zum Verwalten und Sicherstellen, dass Unternehmensdaten verfügbar, abrufbar, hochwertig, konsistent, prüfbar und sicher sind. 1 „topic Overview: Governance, risk, and Compliance“, Chris McClean und Michael rasmussen, Forrester 2007 Zeitnahe, zuverlässige Daten – Schlüssel zu Governance, risk & Compliance (GrC) 3 Risk Verschiedene koordinierte aktivitäten zum Steuern und Kontrollieren eines Unternehmens hinsichtlich der Umsetzung von Chancen. Gleichzeitig sollen die negativen Konsequenzen von ereignissen verringert werden. Branchenspezifische praktiken zum risk Management umfassen z. B. Maßnahmen gegen Geldwäsche, Kreditrisiko- und Betrugsmanagement in Finanzdiensten; produkthaftpflicht und Supply-Chain-Management in der herstellung; sowie Betrug und einkommensicherung im telekommunikationssektor. Compliance hierbei handelt es sich um die nachweisliche einhaltung externer Gesetze und Vorschriften sowie Unternehmensrichtlinien und -verfahren. Compliance Management steht für die koordinierten aktivitäten, die zur einhaltung intern und extern erforderlicher Beschränkungen erforderlich sind. Beispiele hierfür sind Sarbanes-Oxley, hipaa, Sepa und Basel ii. Trends in Bezug auf GRC Governance, risk & Compliance sind nicht länger Domänen einzelner Geschäftsbereiche. Unternehmen aller Branchen haben ihre GrC-Systeme ausgefeilt und weiten ihre initiativen aus, um risk Management und Compliance integriert und aus Unternehmenssicht anzugehen.2 Dieser aspekt wird von Forrester als „risikoignoranz“ bezeichnet. im jüngsten Forrester- Bericht „Demystifying enterprise risk Management“3 wird festgestellt, dass risikoignoranz zum risiko-eisberg führe. Dort liege das eigentliche risikopotenzial unter wasser und sei nicht sichtbar. auf höherer Führungsebene ist risiko auf Unternehmensebene nicht sichtbar, da es in Unternehmenssilos gepflegt wird, die nicht miteinander kommunizieren.