Sie sind hier: Home » Fachartikel » Hintergrund

Im Wust neuer Compliance-Anforderungen gefangen?


Compliance im Bankensektor: Mit einem Programm-gestützten IT-Planungsprozess sind fast alle Hausaufgaben bereits unabhängig von den konkreten Compliance-Richtlinien erledigt
Chancen für Verbesserungen: Bei der Realisierung der Compliance-Richtlinien werden Schwächen im IT-Bereich aufgedeckt, die Sicherheit der Informationssysteme verbessert und Kernaufgaben neu definiert


Von Dr. Bostjan Praprotnik, Managing Consultant bei alfabet

(14.07.09) - Für Banken und Finanzunternehmen hat die Einhaltung von Compliance-Richtlinen Top-Priorität. In keiner anderen Branche werden so hohe Anforderungen gestellt. Zu den aktuellen Bestimmungen zählen beispielsweise die MiFID, die das Kreditwesengesetzes (KWG) verschärft, die Euro-SOX und Basel II. Die strikte Ausrichtung an Compliance-Bestimmungen und ein sauberes IT-Risiko-Management sind dabei keine IT-, sondern eine Chefsache. Denn verantwortlich für die Einhaltung ist das Management der Finanzunternehmen. Wie aber gelingt es Bankvorständen, dieser Aufgabe gerecht zu werden und den Überblick zu behalten, ohne das Compliance-Rad immer wieder neu zu erfinden? IT-Planung ist eine Möglichkeit, gesetzliche Vorschriften durch Standardisierung der IT-Prozesse kosteneffizient zu stemmen.

Besonders Banken und zunehmend auch Versicherungen stehen unter enormem Druck Kosten zu sparen. Das wirkt sich auch sehr schmerzhaft auf die IT-Abteilungen aus. Gefährlich dabei sind Budgetkürzung ‚aus dem Bauch heraus’, die immer dann erfolgen müssen, wenn das Management keine Transparenz hat, um die Auswirkungen und die tatsächliche Durchschlagskraft von IT-Projekten zu messen. Ohne ein adäquates IT-Management, das genau diese Informationslücke schließt, können keine intelligenten IT-Budgetentscheidungen getroffen werden.

Ähnlich verhält es sich auch bei Änderungen im Rahmen von Compliance-Anforderungen. Um die gesetzlichen Vorgaben zu erfüllen, genügt es nicht, möglichst viele neue IT-Projekte zu starten und Investitionen in Software zu tätigen. Für die nachhaltige Umsetzung der Richtlinien ist es wesentlich, einen genauen Überblick über die vorhandene IT-Landschaft zu haben und zu gewährleisten, dass Betriebskosten für die IT nicht ständig wachsen und dadurch den Raum für neue Projekte abschnüren. Die zentralen Stichworte und Wünsche der CxOs lauten dabei: Standardisierung, Konsolidierung und Harmonisierung aller IT-Lösungen.

Jede neue gesetzliche Anforderung bietet auch Verbesserungs-Chancen. Bei der Realisierung der Compliance-Richtlinien werden Schwächen im IT-Bereich aufgedeckt, die Sicherheit der Informationssysteme verbessert und Kernaufgaben neu definiert. Ein wesentlicher Punkt für die erfolgreiche Umsetzung von neuen Richtlinien ist die Bereitstellung einer technischen und funktionalen Transparenz über die IT-Infrastruktur, die die Wahrscheinlichkeit des Projekterfolgs fördert.

Das bedeutet, die Mitarbeiter auf der Business-Seite sollen, ebenso wie die IT-Architekten, Entwickler und Administratoren, verstehen, wie der Lebenszyklus der IT Architektur ist, welche Unterstützung für das Business bzw. dessen Geschäftsprozesse erbracht wird und für welche Aspekte sie verantwortlich sind. Das erfordert die Dokumentation aller IT-Elemente, die mit einer bestimmten Compliance-Anforderung im Zusammenhang stehen. Diese Vorgehensweise führt zu einer stufenweise aufbaubaren Wissensplattform.

Die Vorteile dieser Plattform liegen auf der Hand. So wird einmalig und für alle Abteilungen und Ansprechpartner verbindlich definiert, was die wesentlichen Elemente der IT Architektur sind und wie sie einheitlich benannt werden. Diese gemeinsame Sprache und Terminologie spart unzählige Diskussions- und Abspracherunden und ermöglicht eine gemeinsame Projektplanung ohne IT-Latein und Fachchinesisch.

(K)ein Berg an Forderungen
Denkt man an alle Bestimmungen und Gesetzesänderungen, dann kommt einem die immer neue Ausrichtung der IT-Landschaft tatsächlich als endloser Anforderungsberg vor. Aber das Rad der IT-Planung und -Kontrolle muss keinesfalls jedes Mal neu erfunden werden. Mit einem etablierten und Programm-gestützten IT-Planungsprozess haben Management und IT-Entscheider fast alle Hausaufgaben bereits unabhängig von den konkreten Compliance-Richtlinien erledigt.

Für Finanzunternehmen ist es sehr lohnend und mittelfristig kostensparend, sich mit diesem Ansatz für die IT-Planung und das Alignment von Business und IT zu beschäftigen. Gerade wenn neue Anforderungen gestellt werden, ist der richtige Zeitpunkt dafür. Wie ein ERP-System in Bezug auf Prozesse erfasst die IT-Planungssoftware die gesamte Enterprise Architektur und zeigt auf, wie die IT unterschiedliche Businessbereiche unterstützt. Auf dieser Basis gelingt es, die IT wie ein Geschäft zu verwalten und zu verstehen, wie IT-Projekte die Geschäftsanforderungen umsetzen bzw. wo Handlungsbedarfe existieren. Dazu nutzt die IT-Planung, die von Marktbeobachtern und Analysten auch als Enterprise Architecture Management Software bezeichnet wird, die folgenden Methoden, die auch bei der Erfüllung der Compliance-Richtlinien eingesetzt werden.

Basis ist ein umfassendes Inventar aller IT-Artefakte mit einer einheitlichen Objektdefinition, die die Hinterlegung von benötigten (vordefinierbaren) Attributen ermöglicht. Dieses Inventar zeigt Abhängigkeiten zwischen Business, Anwendungs- und physikalischer Ebene des Unternehmens und gibt an, welche Prozesse und Organisationen von welchen IT-Anwendungen unterstützt werden. Das Inventar bietet eine größere Kontrolle über Ereignisse, die Einfluss auf die Konformität haben könnten. Genau für diesen Part des IT-Risikomanagements und des Monitorings ist der Vorstand oder Geschäftsführer eines Unternehmens persönlich haftbar.

Risikomanagement bedeutet die systematische Bewertung aller IT-Gefahrenpotenziale sowie die Steuerung der zugehörigen Reaktionen. Eine Aufgabe, die nicht nur wegen der nationalen und internationalen Gesetzgebung relevant ist. Auch aus rein betriebswirtschaftlicher Sicht ist es wichtig, die mit der IT verbundenen Gefährdungspunkte aufzudecken und geeignete Maßnahmen zur Schadensminimierung zu ergreifen.

Die Umsetzung einer neuen Compliance-Richtlinie kann durch Änderungen in den gesetzlichen Bestimmungen, aber auch durch Akquisitionen oder interne Neuausrichtungen, wie den Wechsel des Börsenplatzes, sehr schnell erforderlich werden. In diesem Fall beginnt man als erstes mit der Erfassung der Änderungsbedarfe im Bereich der Business-Anforderungen. Für diese Aufgabe ist die Auswirkung auf die betroffene Architektur (Geschäftsprozess, Applikationen…) von entscheidender Bedeutung. Dies unterstützt die Enterprise Management Software durch die jederzeit verfügbaren Informationen aus dem Basisinventar. Als zweites folgt eine genaue Bewertung der Auswirkungen, die die zu realisierenden Änderungen auf bestehende Business-Prozesse und IT-Elemente haben werden.

Eine weitere extrem hilfreiche Methodik für die Compliance-Planung ist Visualisierung. Gute IT-Planungssoftware bietet Roadmapping-Funktionalitäten, die zukünftige Projekte und den aktuellen Bebauungsplanung grafisch darstellen. Mit diesen Visualisierungstechniken entsteht eine umfassende Planungsplattform, die ein schnelles Verständnis für die Business-orientierte Analyse einer Änderung auf die IT-Umgebung ermöglicht. So kann mit Hilfe der Bebauungsplanung beispielsweise sofort ermittelt werden, inwiefern ein Compliance-relevanter Prozess von der Einführung einer neuen Auftragsannahme-Applikation beeinflusst wird.

Änderungsmanagement: ein Prozess im Compliance-Mittelpunkt
Ein zentraler Bereich zur Gewährleistung der gesetzlichen Anforderungen ist das Änderungsmanagement, eine Kernfunktion der IT-Planung. Es ermöglicht die Verfolgung, beispielsweise zur Einhaltung der SOX-Konformität, wenn neue Applikationen implementiert oder vorhandene Applikationen geändert werden. Exaktes Änderungsmanagement ist der Schlüssel zur Gewährleistung der Genauigkeit interner Kontrollverfahren und gewährleistet die externe Verantwortungsfunktion von CxOs. Mit geeigneter Tool-Unterstützung wird die Programmänderungsverwaltung am besten in der Architektur dokumentiert. Eine Architektur-basierte, strategische IT-Planung bietet einen Prozess für die Integration der IT-Governance in die IT-Entwicklung.

IT-Compliance-Lösungen: kein Buch mit sieben Siegeln für die Business-Seite
Ein so gesteuertes Management der Unternehmensarchitektur trägt entscheidend dazu bei, IT-Standards zu definieren und umzusetzen. In der IT-Planungs-Software hinterlegen die Verantwortlichen die Richtlinien für die Entwicklung und Betrieb der IT-Lösungen. Genau um diese konsequente und transparente Umsetzung von Standards geht es bei allen Compliance-Anforderungen. Wer hier seine Unternehmens- IT bereits standardisiert hat, kann neue Anforderungen schnell umsetzen.

Außerdem ist ein guter Planungsprozess in hohem Maß kollaborativ und umfasst viele Interessengruppen wie Architekturen, Entwickler und die Entscheider aus dem Management. Auch bei der Umsetzung von Compliance-Anforderungen geht es darum, unterschiedliche Bereiche zu integrieren. Von der Anforderungserfassung über die Projektplanung bis zur Realisierung und dem Monitoring der Produktion wird eine integrierte IT-Planungssoftware benötigt, die nötige Compliance-Schritte unterstützt. Damit wird die Umsetzung von Richtlinien für Banken zu einem ganz normalen IT-Projekt. Die Entscheider auf der Business-Seite erhalten ein Werkzeug, mit dem Sie Ihre IT-Landschaft verstehen lernen und trotz neuer Anforderungen Kosten sparen. (alfabet: ra)

alfabet: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Hintergrund

  • Datennutzung und ethische Verantwortung

    Große Datenmengen und die Erkenntnisse, die darin verborgen liegen, sind aus der deutschen Wirtschaft nicht mehr wegzudenken. Wie eine Bitkom-Umfrage ergab, sammelt die überwiegende Mehrheit der Unternehmen bereits Informationen, um sie zu analysieren und die Ergebnisse zur Optimierung interner Prozesse und zur Steigerung des Geschäftswerts zu nutzen. Gleichzeitig übersehen jedoch die meisten, dass mit diesem Erfolg eine neue Verantwortung einhergeht.

  • Entzug der Rechtsgrundlage

    Das vom Europäischen Gerichtshof (EuGH) gefällte Urteil "Schrems II" vom 16. Juli 2020 ist in aller Munde, da es nicht unerhebliche Auswirkungen auf denUmgang und den Schutz von Personendaten in international tätigen Unternehmen hat. Welche praktischen Folgen hat die Rechtsprechung des EuGH auf den internationalen Datentransferaber im Detail? Mit dem Urteil des Europäischen Gerichtshofes Mitte letzten Jahres wurde die als Privacy Shield bekannte Rahmenvereinbarung zwischen den USA und der EU für ungültig erklärt. Demnach dürfen personenbezogene Daten von EU-Bürgern nur an Drittländer außerhalb des Europäischen Wirtschaftsraums übermittelt werden, wenn sie in diesem Drittland einen im Wesentlichen gleichwertigen Schutz genießen wie in der EU. Für die USA hat der EuGH ein solches Schutzniveau verneint.

  • Aufsichtsbehörden machen Ernst

    Der Datenschutz wurde durch die im Mai 2018 in Kraft getretene EU-Datenschutz-Grundverordnung (DSGVO) europaweit geschärft und die Rechte der Betroffenen gestärkt. Die Aufsichtsbehörden sind mittlerweile aktiv geworden und verhängen teils empfindliche Strafen, wenn Unternehmen und Konzerne mit dem Schutz der User- und Kundendaten zu lax umgehen. Unternehmen, die online Leads und Kunden generieren, sollten deswegen ein Auge auf die Details haben und nur mit seriösen Partnern zusammenarbeiten, die eine DSGVO-konforme Verarbeitung von Daten nachweisen können. Das Inkrafttreten der DSGVO im Mai 2018 rollte wie eine Schockwelle durch die Welt des Online-Business und der Leadgenerierung. Denn die europäische Datenschutzgrundverordnung hat den Schutz personenbezogener Daten ausgeweitet und verschärft. Ziel war es, ein europaweit gleich hohes Schutzniveau zu erreichen, die Verfahren gegen Verstöße zu vereinfachen und den Datenschutz dem technischen Fortschritt der Digitalisierung anzupassen.

  • Was ist ein Selbst-Audit & warum ist es notwendig?

    Eine der üblichen Fallen, in die Unternehmen tappen, ist die Annahme, dass Cybersicherheitslösungen über Standard-Risikobewertungen gepflegt und gemanagt werden. Eine gefährliche Annahme, denn die rasche technologische Entwicklung und der Einsatz dieser Technologien in der Wirtschaft hat den Bereich einer allgemeinen Risikobewertung längst überschritten. Hier beschäftigen wir uns mit einigen Schritten, die nötig sind, um eine eingehende, weitreichende Sicherheitsrisikobewertung zu erstellen, die für genau Ihr Unternehmen gilt. Eine Cybersicherheitsbewertung spielt eine entscheidende Rolle, beim Wie und Warum man bestimmte Technologien in einem Unternehmen einsetzt. Anhand eines Assessments lassen sich Ziele und Parameter festlegen, die Ihnen die Möglichkeit geben.

  • Mit Analytik Betrug erkennen

    Zahlungsanweisungen über SWIFT gelten im Allgemeinen als sicher. Doch es gibt Schlupflöcher im System, durch die es Kriminelle regelmäßig schaffen, Betrug zu begehen. Banken nutzen vermehrt KI-Tools wie User Entity Behaviour Analytics (UEBA) um sich und ihre Kunden zu schützen. SWIFT ist eine Plattform, die selbst keine Konten oder Guthaben verwaltet und über die Finanzinstitute aus aller Welt Finanztransaktionen unter einander ausführen. Ursprünglich wurde die Plattform lediglich gegründet, um Treasury- und Korrespondenzgeschäfte zu erleichtern. Das Format entpuppte sich in den Folgejahren jedoch als sehr sicher und praktisch, sodass immer mehr Teilnehmer die Plattform nutzten. Neben Notenbanken und normalen Banken wird Swiftnet heute auch von Großunternehmen, Wertpapierhändlern, Clearingstellen, Devisen- und Geldmaklern und zahlreichen weiteren Marktteilnehmern genutzt.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen