Informationstechnologie

Beherrschen Sie die IT-Risiken und -Kontrollen, um eine bessere Performance zu erzielen?

Das Entscheidungsgebiet IT-Compliance-Management konsolidiert Informationen aus verschiedenen Compliance-Initiativen. In der Regel setzt dies drei Informationsquellen voraus:

• Software für das Management des Compliance-Programms, beispielsweise die Software, die für Sarbanes-Oxley genutzt wird. Damit kann die IT-Abteilung sicherstellen, dass Compliance-Aufgaben durchgeführt und die Projektmeilensteine erreicht werden.
• Informationen aus den Kontrollen selbst. Von den 34 IT-Prozessen in vier Bereichen, die bei COBIT genutzt werden, ist nur eine Teilmenge für Sarbanes-Oxley erforderlich, insbesondere was die Sicherheits- und Zugriffskontrollen, das Änderungs- und Release-Management und die Behandlung von Vorfällen und Problemen anbetrifft. In den meisten Fällen ist es für diese Kontrollen nötig, große Datenmengen zu prüfen und Ausnahmen bei etablierten Prozeduren zu markieren.
• Metadaten. Die Unternehmen haben meist manuelle interne Kontrollen. Ca. zwei Drittel oder mehr sind „Detective Controls“, die der Aufdeckung von Mängeln dienen, im Gegensatz zu den zuverlässigeren „Preventive Controls“, deren Ziel die Verbeugung ist. Detective Controls beinhalten die Prüfung von Transaktions-Datensätzen im Detail und im Überblick. Sie benötigen ein klares Buchungsprotokoll, das die Quelle der Informationen mit den gültigen Definitionen und Unternehmensregeln verknüpft. Die Überwachung und Analyse, welche Metadaten in welche Berichte einfließen und wer Zugriff darauf hat, schafft eine zuverlässigere Kontrollumgebung.

Zur Unterstützung dieser Analyse ermöglicht Ihnen das Entscheidungsgebiet IT-Compliance-Management, Planungsziele und Scorecarding-Kennzahlen für Elemente des Performance-Managements zu definieren wie zum Beispiel:

• Compliance-Erfüllung (%)
• Compliance-Kosten (€)
• Erhebliche Mängel (#)
• Gesetzliche Compliance (%)
• Kontrollen und Ausnahmen (#)
• Gebühren für externe Revision und Kosten für das Outscourcing der Innenrevision (€)

Mit einem Performance-Managementsystem in diesem Entscheidungsgebiet können Sie diese Zielvorgaben und Kennzahlen anhand einer Reihe von Dimensionen analysieren wie zum Beispiel:

• Anwendungssoftware-Typ
• Infrastrukturumgebung
• Kontrollverantwortlicher und Kontrollhäufigkeit
• Finanzkonto
• IT-Kontrollprozesse (COBIT)
• Transaktionsstatus

Das Entscheidungsgebiet IT-Compliance-Management in der Praxis

Als IT-Experte können Sie mit dem Entscheidungsgebiet IT-Compliance-Management Fragen formulieren wie:

• Kontrollen: Reduzieren wir die Zahl manueller Kontrollen für eine bestimmte Anwendung, oder werden es mehr und erhöhen entsprechend den Bedarf an Ressourcen?
• Compliance-Erfüllung: Gibt es einen einheitlichen Trend bei den jeweiligen Kontrollverantwortlichen in Bezug auf die Erfüllung der Compliance-Anforderungen?
• Gebühren für externe Revision: Kommt es zueinem Anstieg der externen Gebühren, wenn wir unseren internen Ressourcenaufwand reduzieren? Wie hoch sind die Gesamtkosten?