Risk, Governance & Compliance

Das Bundesministerium der Finanzen hat am 14.11.2014 die „Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD)“ veröffentlicht.

Eine besondere Verschärfung haben die Anforderungen an die IT durch die GoBD erfahren. Viele Unternehmen stehen nun der Herausforderung gegenüber ihre IT in der Form anzupassen, dass die Grundsätze des BMF-Schreibens erfüllt werden. Darüber hinaus wurde auch im Detail geregelt, in welchem Umfang eine ordnungsmäßige Verfahrensdokumentation vorgehalten werden sollte.

Erschwert wird die Umsetzung dann, wenn ein Unternehmen Dienstleister einsetzt oder sogar Prozesse ausgelagert hat. Wie kann in solchen Fällen gewährleistet werden, dass Themen wie Datensicherheit, Aufbewahrung, Nachvollziehbarkeit, Datenzugriff oder Unveränderbarkeit eingehalten werden?

Mit der Frage der Implementierung eines Risikomanagementsystems (RMS) beschäftigen sich derzeit viele Unternehmen. Zunehmende Anforderungen an Compliance und Governance-Systeme stellen Unternehmen vor die Pflicht eine Methodik zu implementieren, um u. a. ihre Risiken angemessen zu identifizieren und zu steuern.

Während große Unternehmen auf ressourcenbindende Lösungen zurückgreifen, haben kleine und mittelständische Unternehmen nicht die Möglichkeiten in eine komplexe und kostenintensive Lösung zu investieren.

Für diese Unternehmen, die eine sehr kostengünstige und ressourcenschonende Lösung suchen, wurde das compliance-net Risk Management Starter Pack entwickelt. Das Paket basiert auf gängigen Office-Produkten und beinhaltet folgende Komponenten, die für ein effektives RMS empfohlen werden können:

• Risikomanagement – Tool zur Erhebung, Bewertung, Steuerung, Überwachung und Dokumentation der Risiken
• Vorlage für eine Risikostrategie, die aus der individuellen Geschäftsstrategie abgeleitet werden kann
• Vorlage für einen Risikobericht an Geschäftsleitung, Aufsichtsrat und anderen Adressaten
• Dokumentation des kompletten RMS, inkl. der technischen Lösung

Ist es wirklich nötig, ein Gesetz zu erlassen, um die Unternehmen und Verwaltungen dieses Landes zu mehr Sicherheits­aufwendungen im Bereich der digitalen Infrastruktur zu animieren?

Die Bundesregierung hat, durch das Bundesministerium des Inneren, einen der elementaren Bausteine ihrer „Digitalen Agenda“, vorgestellt am 20.08.2014, am 19.08.2014 als Referentenentwurf  veröffentlicht – das „IT-Sicherheitsgesetz“ (Entwurf eines Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz)).

Dokumentation der Geschäftsprozesse, um interne, aufsichtsrechtliche bzw. gesetzliche Vorgaben zu erfüllen: Mehrwertverbundene Tätigkeit oder lästige Pflichtaufgabe?

Die Meinungen gehen oft auseinander und die Frage ist in Einzelfällen nicht einfach zu beantworten. Die Dokumentation der Aufbau- und Ablauforganisation ist grundsätzlich mit einem Mehrwert verbunden und sollte immer aktuell vorhanden sein. Sie kann jedoch das Ziel verfehlen, wenn in einem Unternehmen ein „Dokumentationswahn“ ohne strukturiertes Vorgehen herrscht und der Durchblick verloren geht bzw. die notwendigen Kapazitäten nicht vorhanden sind, um die Anforderungen umzusetzen. Die Begleiterscheinungen sind dann oft die folgenden:

• fehlende Aktualisierung in einem sich schnell wandelnden Umfeld
• Organisationen erstellen ohne klare Vorgaben Dokumentationen mit unterschiedlicher Struktur und Umfang
• fehlende Ordnung und Transparenz, da in den Dokumenten nicht auf Schnittstellenpapiere verwiesen wird
• zentrale, wesentliche Punkte verlieren sich in langen und umfangreichen Ausführungen
• Mitarbeiter werden von der Vielzahl an Dokumenten „erschlagen“, da eine zielgruppengerechte Verteilung nicht stattfindet
• fehlende Abgrenzungen zwischen Papieren führen dazu, dass Themen doppelt aufgegriffen werden und mit unterschiedlichen Ständen oder widersprüchlich vorliegen
• Dokumente können nicht aufgefunden werden bzw. die aktuelle Version ist nicht eindeutig erkennbar

Die Grundlage für die Vermeidung der eben aufgeführten Punkte bildet ein effektives Rahmenwerk für Dokumentenerstellung und -verwaltung (Richtlinienmanagement), welches in einfacher Ausprägung Nachfolgendes berücksichtigt:

Cloud Computing ist ein wachsendes Geschäftsfeld, welches die klassischen Strukturen und bestehenden Geschäftsmodelle in der IT nachhaltig verändern wird. Herausforderungen stellen insbesondere die Themen Finanzplanung (für Anbieter) und Governance (für Endkunden) dar.

Der nachfolgende Beitrag soll die beiden Prüfungs- bzw. Berichtsstandards nicht im Detail untersuchen und analysieren, sondern dem Leser einen Überblick verschaffen, in welchem Kontext diese Begrifflichkeiten zu sehen sind und was sich dahinter verbirgt.

Im Zuge der immer stärkeren Fokussierung auf interne Kontrollsysteme stellt sich die Frage, wie die Prozesse und internen Kontrollen bei Shared-Service Centern oder Outsourcing-Dienstleistern geprüft und beurteilt werden sollen. Immer öfter stellt sich die Frage nach einer "Zertifizierung" nach PS 951, ISAE 3402 oder auch SSAE 16.