(IT) Compliance/(IT) Governance

Software testen: Ein immer wieder brisantes Thema bei der Softwareerstellung ist die Testdatenbereitstellung oder -aufbereitung. Gerne werden hierzu Echtdaten benutzt, da diese Daten selbstverständlich der Komplexität der Realität am nächsten kommen und im Verhältnis leicht und kostengünstig zu beschaffen sind. Noch dazu lassen sich ganze Testsysteme durch einfache Kopie des Produktivsystems aufbauen und immer wieder aktualisieren.

Das Bundesministerium der Finanzen hat am 14.11.2014 die „Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD)“ veröffentlicht.

Eine besondere Verschärfung haben die Anforderungen an die IT durch die GoBD erfahren. Viele Unternehmen stehen nun der Herausforderung gegenüber ihre IT in der Form anzupassen, dass die Grundsätze des BMF-Schreibens erfüllt werden. Darüber hinaus wurde auch im Detail geregelt, in welchem Umfang eine ordnungsmäßige Verfahrensdokumentation vorgehalten werden sollte.

Erschwert wird die Umsetzung dann, wenn ein Unternehmen Dienstleister einsetzt oder sogar Prozesse ausgelagert hat. Wie kann in solchen Fällen gewährleistet werden, dass Themen wie Datensicherheit, Aufbewahrung, Nachvollziehbarkeit, Datenzugriff oder Unveränderbarkeit eingehalten werden?

Ist es wirklich nötig, ein Gesetz zu erlassen, um die Unternehmen und Verwaltungen dieses Landes zu mehr Sicherheits­aufwendungen im Bereich der digitalen Infrastruktur zu animieren?

Die Bundesregierung hat, durch das Bundesministerium des Inneren, einen der elementaren Bausteine ihrer „Digitalen Agenda“, vorgestellt am 20.08.2014, am 19.08.2014 als Referentenentwurf  veröffentlicht – das „IT-Sicherheitsgesetz“ (Entwurf eines Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz)).

Dokumentation der Geschäftsprozesse, um interne, aufsichtsrechtliche bzw. gesetzliche Vorgaben zu erfüllen: Mehrwertverbundene Tätigkeit oder lästige Pflichtaufgabe?

Die Meinungen gehen oft auseinander und die Frage ist in Einzelfällen nicht einfach zu beantworten. Die Dokumentation der Aufbau- und Ablauforganisation ist grundsätzlich mit einem Mehrwert verbunden und sollte immer aktuell vorhanden sein. Sie kann jedoch das Ziel verfehlen, wenn in einem Unternehmen ein „Dokumentationswahn“ ohne strukturiertes Vorgehen herrscht und der Durchblick verloren geht bzw. die notwendigen Kapazitäten nicht vorhanden sind, um die Anforderungen umzusetzen. Die Begleiterscheinungen sind dann oft die folgenden:

• fehlende Aktualisierung in einem sich schnell wandelnden Umfeld
• Organisationen erstellen ohne klare Vorgaben Dokumentationen mit unterschiedlicher Struktur und Umfang
• fehlende Ordnung und Transparenz, da in den Dokumenten nicht auf Schnittstellenpapiere verwiesen wird
• zentrale, wesentliche Punkte verlieren sich in langen und umfangreichen Ausführungen
• Mitarbeiter werden von der Vielzahl an Dokumenten „erschlagen“, da eine zielgruppengerechte Verteilung nicht stattfindet
• fehlende Abgrenzungen zwischen Papieren führen dazu, dass Themen doppelt aufgegriffen werden und mit unterschiedlichen Ständen oder widersprüchlich vorliegen
• Dokumente können nicht aufgefunden werden bzw. die aktuelle Version ist nicht eindeutig erkennbar

Die Grundlage für die Vermeidung der eben aufgeführten Punkte bildet ein effektives Rahmenwerk für Dokumentenerstellung und -verwaltung (Richtlinienmanagement), welches in einfacher Ausprägung Nachfolgendes berücksichtigt:

Cloud Computing ist ein wachsendes Geschäftsfeld, welches die klassischen Strukturen und bestehenden Geschäftsmodelle in der IT nachhaltig verändern wird. Herausforderungen stellen insbesondere die Themen Finanzplanung (für Anbieter) und Governance (für Endkunden) dar.

Der nachfolgende Beitrag soll die beiden Prüfungs- bzw. Berichtsstandards nicht im Detail untersuchen und analysieren, sondern dem Leser einen Überblick verschaffen, in welchem Kontext diese Begrifflichkeiten zu sehen sind und was sich dahinter verbirgt.

Im Zuge der immer stärkeren Fokussierung auf interne Kontrollsysteme stellt sich die Frage, wie die Prozesse und internen Kontrollen bei Shared-Service Centern oder Outsourcing-Dienstleistern geprüft und beurteilt werden sollen. Immer öfter stellt sich die Frage nach einer "Zertifizierung" nach PS 951, ISAE 3402 oder auch SSAE 16.