Schutzmechanismen installieren - Leitfaden zu Governance, Risk und Compliance

32 hintergrund: Prozesse/Revision LEITFADEN ZU GOVERNANCE, RISK UND COMPLIANCE VERÖFFENTLICHT SCHUTZMECHANISMEN INSTALLIEREN Unternehmen müssen sich zunehmend des Themas Governance, Risk und Compliance (GRC) annehmen. Um dafür gerüstet zu sein, hat die gleichnamige DSAG-Arbeitsgruppe einen Leitfaden erarbeitet. Der fol- gende Artikel gibt einen Überblick über Inhalte und Empfehlungen des praxisorientierten Ratgebers. Michael Treffeisen, blaupause-Redaktion Der Gesetzgeber hat in den vergan- Für die Unternehmen heißt das, Kontroll- WAS IST GRC? genen Jahren durch neue oder verschärfte strukturen und präventive Schutzmechanis- Regelungen dafür gesorgt, dass die Sicher- men zu installieren. „In einem Telekommu- • Governance bezeichnet das Steue- stellung einer verantwortungsbewussten, nikationsunternehmen kann schon die un- rungs- und Regelungssystem im Sinn transparenten und risikominimierenden Un- berechtigte Einsicht in Preiskalkulationen von Strukturen (Aufbau- und Ablauf- ternehmensführung (Corporate Governance) zu einem Wettbewerbsrisiko führen. Daher organisation). Es wird häufig für Or- auf der Prioritätenliste vieler Unternehmen muss klar geregelt sein, wer auf welche Da- ganisationen (etwa einer Gesellschaft steht. Der von einem Autorenteam der Ar- ten zugreifen darf“, erläutert Siegfried Filla, oder eines Betriebs) verwendet. beitsgruppe Governance, Risk und Compli- Sprecher der Arbeitsgruppe GRC. Den • Beim Risikomanagement wird über- ance (GRC) im Arbeitskreis Revision/Risiko- Schwerpunkt des Leitfadens bildet daher prüft, ob IT- oder operative Risiken, die management erstellte Best-Practice-Leitfa- die Einführung eines risikoorientierten und den Fortbestand des Unternehmens den führt an, welche gesetzlichen Regelun- wirksam zu kontrollierenden Zugriffs- und gefährden können, erkannt, vermieden, gen die Unternehmen einhalten müssen Berechtigungsmanagements anhand von abgemildert oder auf Dritte übertra- und welche Anforderungen sich aus diesen SAP BusinessObjects Access Control. Das gen werden können. ergeben. So verpflichtet etwa das Bilanz- Dokument beschreibt anschaulich, wie SAP- • Das Compliance Management stellt rechtsmodernisierungsgesetz (BilMoG) Un- Anwender mit der GRC-Lösung die Verwal- sicher, dass geltende Gesetze, getroffe- ternehmen bestimmter Rechtsformen (ins- tung von Benutzerrollen und Zugriffsrech- ne Vereinbarungen oder Best-Practice- besondere Kapitalgesellschaften und kapital- ten standardisieren und zugleich verhindern Standards eingehalten werden. marktorientierte Unternehmen), ein internes können, dass bestimmte Aufgaben von ein Kontrollsystem (IKS) und Risikomanagement- und derselben Person oder Organisations- system (RMS) für die Einhaltung der gesetz- einheit erledigt werden (Funktionstrennungs- lichen Bestimmungen und unternehmens- prinzip). Dazu ein anschauliches Beispiel: internen Richtlinien (Compliance) einzurich- Frau Müller aus der Beschaffung darf die ten. Bei Verstößen drohen Schadensersatz- Bestellung von wichtigen Fertigungsteilen Dieser ist wiederum nicht berechtigt, die forderungen, Geldbußen, Strafverfahren und nur aufgeben, nicht aber genehmigen. Das Zahlung anzuweisen, da dies Frau Schulze nicht zuletzt bleibende Imageschäden. ist Sache des verantwortlichen Meisters. aus der Buchhaltung obliegt. Kein reines IT-Thema Die im Leitfaden aufgeführten Szena- rien beruhen dabei auf der Projekterfahrung von Unternehmen aus unterschiedlichen „Die GRC-Verantwortlichen stehen vor der Heraus- Branchen und Größen. „Großen Wert haben forderung, sowohl gesetzliche Anforderungen und wir auf eine möglichst breite Abdeckung ge- fachliche Richtlinien als auch unternehmensinterne legt. Wir wollten erfolgversprechende und zugleich allgemeingültige Empfehlungen Vorgaben IT-gestützt umsetzen zu müssen. Ein Best- aussprechen, damit möglichst viele Unter- Practice-Leitfaden kann Konzernen wie auch mittel- nehmen profitieren können“, so Siegfried ständischen Unternehmen entscheidend helfen.“ Filla. Eine dieser Empfehlungen lautet, GRC nicht als reines IT-Thema zu betrachten. Siegfried Filla, Sprecher der Arbeitsgruppe GRC Demnach sollen bei einem Einführungspro- jekt GRC-Verantwortliche, Management, 03-10 DSAG blaupause 33 ARBEITSGRUPPE GRC In der Arbeitsgruppe GRC im Arbeitskreis Fachbereichsleiter, Mitarbeiter und externe • Sollkonzeption Revision/Risikomanagement sind derzeit Experten gemeinsam aktiv werden. So kön- (Business Blueprint & Design), rund 350 Personen aus großen und mit- nen Organisationsabteilungen helfen, ent- • Realisierung (Implementierung) und telständischen Unternehmen registriert. sprechende Prozesse für die Vergabe von • Produktionsvorbereitung (Rollout). Sie tauschen sich regelmäßig zu GRC- Berechtigungen aufzusetzen, und Schlüs- Themen wie Zugriffsschutz, internes Kon- selpersonen aus den Fachbereichen eine Zu guter Letzt gibt der Leitfaden wichtige trollsystem und Risikomanagement aus. vermittelnde Rolle zwischen IT und Endan- Hinweise, wie SAP BusinessObjects Access Sprecher der Arbeitsgruppe ist Siegfried wendern einnehmen. Auch die Mitglieder Control in SAP NetWeaver Identity Manage- Filla von der PricewaterhouseCoopers AG. des Top-Managements eines Unternehmens ment integriert werden kann, um z. B. Da- sind gefordert, das Projekt konsequent zu ten von Drittsystemen einzubinden und Be- unterstützen. Ihre Aufgabe besteht darin, nutzeridentitäten einheitlich zu verwalten. die Projektziele und die Erwartungshaltung Viele der in dem fast 100-seitigen Dokument klar zu kommunizieren und damit die Mitar- Umfassendes Nachschlagewerk enthaltenen Best Practices beruhen auf den beiter auf die organisatorischen Verände- „Die GRC-Verantwortlichen stehen vor Erfahrungen von Mitgliedern der Arbeitsgrup- rungen vorzubereiten. der Herausforderung, sowohl gesetzliche pe und den Autoren selbst. In monatelanger Anforderungen und fachliche Richtlinien als Arbeit ist so eine praxisbezogene Anleitung Die Handlungsempfehlung dokumentiert auch unternehmensinterne Vorgaben IT- von Mitgliedern für Mitglieder entstanden. aber nicht nur, wer aufgrund welcher Rechte gestützt umsetzen zu müssen. Ein Best- und Pflichten das Projekt unterstützen soll- Practice-Leitfaden kann Konzernen wie auch Der „Leitfaden zur Einführung der SAP te. Sie staffelt das gesamte Projekt in vier mittelständischen Unternehmen entschei- BusinessObjects GRC-Lösungen“ kann auf verschiedene Hauptphasen: dend helfen“, ist Siegfried Filla überzeugt. der DSAG-Homepage auf der Seite der Ar- • Projektvorbereitung Die Autoren haben mit der Unterstützung beitsgruppe GRC unter www.dsag.de/ag/grc (Strategie & Planung), der Arbeitsgruppe ganze Arbeit geleistet. heruntergeladen werden.