Nachhaltigkeit bei GRC-Projekten

80 DSAG hintergrund GRC g Tipps für die Praxis 81 Nachhaltigkeit prozesse zu stark beeinflusst wird? In der systems Compliance möglichst im Stan- Glossar Abstimmung der Prozesse mit den entspre- dard abzudecken. Speziell der integrierte chenden Compliance-Anforderungen, d.h. Ansatz für SAP-Applikationen, der durch SOX Abschnitt 302 schreibt Strafen für den der Implementierung der Controls und de- die Einbindung von Virsa verfolgt wird, be- Fall vor, dass Chief Executive Officer (CEO) ist gefragt ren Nachprüfbarkeit, steckt der eigentliche findet sich derzeit in der Reifephase. Eine und Chief Financial Officer (CFO) wissent- Aufwand eines solchen Projekts. Zusätzlich Automatisierung und Monitoring-Fähigkeit lich oder fahrlässig unrichtige Angaben muss eine einheitliche Vereinbarung zum solcher Tools wird zunehmend wichtiger. gemacht haben. Chief Information Officer eingesetzten Tool-Portfolio getroffen wer- Zusätzliche Produkte drängen auf den (CIO) werden in diesem Zusammenhang den, um ein Lösungs-Patchwork innerhalb Markt, was an Zeiten erinnert, in denen im dazu aufgefordert, die Zuverlässigkeit und des Unternehmens und entsprechende Re- Berechtigungskonzept-Umfeld jedes Tool Sicherheit der Systeme zu gewährleisten. Was gilt es, bei GRC-Projekten zu beachten? Für eine erfolgreiche Umsetzung ist ein gemeinsames dundanzen zu vermeiden. Außerdem zählen willkommen war, was einigermaßen Trans- Grundverständnis Voraussetzung. Ein weiterer Erfolgsfaktor besteht in der Vorgabe des Managements „Aufklärung – Aufklärung – Aufklärung“ zu parenz versprach. SOX Abschnitt 404 bezieht sich auf die hinsichtlich einer „permanenten“ oder „Audit-Stichtags-bezogenen“ Vorgehensweise. den Aufgaben, die es zu erfüllen gilt. Denn: Dokumentation und Bewertung von Kon- Ein Internes Kontrollsystem (IKS) gab es in Ein Grund mehr, weshalb eine klare trollmechanismen. Das Management wird Otto Schell, Sprecher des Arbeitskreises Globalization, ehemaliger Sprecher der Arbeitsgruppe Security, einer Art und Weise schon immer. Durch Linie und umfassende Positionierung sei- hiermit verpflichtet, Erklärungen über die und SAP Program Manager bei General Motors Powertrain Europe die Prozessabwicklung innerhalb einer Sys- tens SAP zu diesem Thema erwartet wer- Einführung angemessener, interner Kon- temlandschaft ist die Komplexität jedoch den können. Zudem steht die Prozess-Au- trollmechanismen zur Finanzberichterstat- gestiegen, nicht aber die individuelle Ver- ditierung erst am Anfang und muss schnell tung abzugeben. sollten GRC-Projekte als permanente und antwortung oder die Integrität, die voraus- nachkommen, da die SAP-Basis aufgrund nicht als kurzfristige, auf Audits abzielende gesetzt werden muss. vergangener Fokussierung seitens der Au- Aktivitäten angesehen werden. Dann erst ditoren zunehmend erschöpft ist und man lässt sich im Unternehmen ein dauerhaftes Klare Linie seitens SAP gewünscht sich Richtung Business-Applikation aus- Bewusstsein dafür etablieren. Genau hier sollte GRC mit SAP anset- richtet. Eine Komplettierung der Produkt- zen. Sehr schnell muss eine integrierte portfolios ist daher dringend angeraten, In engem Zusammenhang stehen da- Produktplattform etabliert werden, um mit von der Anfrage einer Benutzerberechti- bei die Effektivität des Kontrollsystems und der Einführung und Nutzung eines Standard- gung bis hin zur Prozesskonformität. der damit verbundene unternehmensinter- ne Aufwand. Ratsam ist es, ein Team zu Anzeige etablieren, das sich ausschließlich um Com- pliance-Fragestellungen kümmert. Damit werden „Hauruck-Aktionen“ vermieden und wird Nachhaltigkeit in das Thema gebracht. Das Team kann außerdem als „interner Berater“ für die verschiedensten internen Audits agieren. Damit sind auch die wich- tigsten Forderungen seitens SOX und der Auditoren erfüllt: das Monitoring des Sys- tems, periodische Reviews von Zugriffen oder die Dokumentation von Prozesserwei- terungen.