SOX-Compliance ‑ nur Last oder auch Chance für die IT?

„SOX-Compliance – nur Last oder auch Chance für die IT?“ Die erstmaligen Erlangung der SOX Compliance bedeutet für die IT die Einrichtung von Prozessen, die es in diesem Ausmaß vorher nicht gab. Der frühzeitige Einbezug der IT in das SOX- Compliance-Projekt spielt somit eine Schlüsselrolle, die nach der Erlangung der SOX--Compliance keineswegs endet: Der aus der SOX-Compliance nachfolgend oft resultierende Kostensenkungs- druck verlangt von der IT die Offenlegung ihrer Potenziale für weitere Leistungssteigerungen. Welche IT-Systeme stehen im SOX-Fokus? Aber auch die darunter liegende IT-Infrastruktur ist in die SOX-Compliance einzubeziehen, da sie Unternehmen mit einer Notierung an der US- die Basis für einen ordnungsgemäßen Betrieb Börse unterliegen sie dem Sarbanes-Oxley-Act der Applikationen darstellt (s. Abb. 1). Hierzu (SOX), auch wenn das nur auf die Konzernmut- gehören alle Ebenen der IT-Infrastruktur, wie ter zutrifft. Somit müssen sich auch viele deut- Datenbanken, Betriebssysteme und Netzwerke. sche Unternehmen der Herausforderung der Die Überprüfung der Kontrollabläufe in den „IT SOX-Compliance stellen. Im Kern bedeutet General Controls“ erfolgt unter folgenden Kern- SOX-Compliance die Sicherstellung der Richtig- aspekten: keit der erstellen Finanzberichte. • Entwicklungsprozesse Die Finanzberichterstattung basiert auf den Ge- • Änderungsmanagement schäftsprozessen, die wiederum in den Busi- • Systembetrieb ness-Applikationen abgebildet sind. Damit steht • Zugriff auf Daten und Anwendungen zunächst das gesamte Anwendungsspektrum im • Kontrollmechanismen Bereich der Kerngeschäftsprozesse im Fokus der SOX-Compliance. Hierbei sind oft alle Busi- Es reicht hierbei nicht aus, die Sicherheit und ness-Applikationen bis hin zum Beispiel zu Data- Richtigkeit der implementierten Prozesse zu be- Warehouse-Anwendungen, die für die Finanzbe- legen. SOX-Compliance bedeutet vor allem auch richte relevante Informationen auswerten. die Installation von Kontrollprozeduren, die eine Umgehung der sicheren und ordnungsgemäßen Für die Überprüfung der ordnungsgemäßen Ab- Prozesse ausschließen und somit nachweisen läufe der Informationsverarbeitung in all diesen können, dass sie nicht umgangen werden kön- Anwendungen werden im Rahmen des SOX- nen. Compliance-Projekts Kontrollprozesse installiert. In der SOX-Terminologie sind diese die Applika- Hierzu ein Beispiel aus der Praxis: Der Nach- tionen betreffenden Kontrollprozesse als „IT Ap- weis, dass der Antrag auf Änderung von Zugriffs- plication Controls“ definiert (s. Abb. 1). rechten wie von der Abteilungsleitung und der IT-Leitung vorher genehmigt auch zeitnah richtig Die Kontrollprozesse in den „IT Application und vollständig durchgeführt wurde, reicht nicht Controls“ sind im Rahmen der SOX-Compliance aus. Es müssen wirksame Kontrollprozesse an- zu überprüfen auf: gewendet werden, die ausgehend von den im System erfolgten Änderungen der Zugriffsrechte • Vollständigkeit per Rückverfolgung sicherstellen, dass diese • Genauigkeit den sicheren Prozess wie dokumentiert durch- • Richtigkeit laufen haben. • Berechtigung • Verteilung der Verantwortung Welchen Zusammenhang hat dieses Beispiel mit der Ordnungsmäßigkeit der Finanzberichte? Der Fokus der „IT Application Controls“ liegt al- Führen wir uns folgendes Szenario vor Augen: lerdings nicht nur auf den dedizierten Business- Ein Mitarbeiter verlässt das Unternehmen und Anwendungen. Soweit zum Beispiel in Projekt- seine Zugangsberechtigung wird nicht zeitnah management-Tools Vorgänge abgebildet sind, gelöscht. Er könnte nun als ein Externer auf die aus denen Daten in die Finanzberichte fließen, IT-Systeme des Unternehmens zugreifen und sind diese ebenfalls in die SOX-Compliance ein- geschäftsschädigende Transaktionen durchfüh- zubeziehen. ren, die zu fehlerhaften Berichten führen. Abb. 1:” IT Application Controls” und “IT General Controls” (Quelle: IT Governance Institute®) Welchen Einfluss hat die Risikobewertung? on abgestimmt vornehmen. Ansonsten besteht die Gefahr, dass erst der Abschlussprüfer auf- Auch wenn zunächst die gesamte IT im Fokus deckt, welche Anwendungen und Systeme zu der SOX-Compliance steht, so sind nicht alle wenig oder manchmal auch zu stark in die SOX- Anwendungen und Systeme der IT gleicherma- Compliance einbezogen wurden. Das kann zu ßen relevant. Erst eine Risikoabschätzung auf einem Nacharbeitsaufwand führen, der in einer Basis einer detaillierten Ist-Aufnahme der IT- Größenordnung liegt, der einem Neubeginn des Systeme und IT-Prozesse liefert die Basis für die SOX-Compliance-Projektes gleichkommt. Eingrenzung der IT-Landschaft auf die SOX- Compliance. Diese ergibt sich aus der Abwä- Welche Rolle spielt die IT-Organisation? gung der möglichen Auswirkungen von hypothe- tischen Schadenereignissen sowie von der ein- Der IT-Leiter in einem Unternehmen spielt allein geschätzten Wahrscheinlichkeit für das tatsäch- schon deswegen eine Schlüsselrolle in SOX- liche Eintreffen. Das Ergebnis hieraus ist der Ka- Compliance-Projekten, weil die gesamte IT- talog der für die SOX-Compliance relevanten „IT Landschaft im Hinblick auf Risiko-reduzierende Application Controls“ sowie „IT General Controls“ Kontrollprozesse durchleuchtet wird. Soweit der eines Unternehmens. IT-Verantwortliche über seine Verantwortung für den IT-Bereich hinaus eine Funktion auf der E- Ein Praxisbeispiel hierzu: Der IT-Prozess des bene der Unternehmensführung ausübt, muss er Lizenzmanagements kann bei Mängeln in den des Weiteren dem SOX-Abschnitt 302 („Section Kontrollabläufen zwar zu unerwarteten und auch 302“) besondere Beachtung schenken. Der sehr hohen Kosten führen, aber in der Erwägung SOX-Abschnitt 302 sieht Strafsanktionen vor für der möglichen Schadenauswirkungen trotzdem den Fall, dass wissentlich oder aber auch fahr- als nicht wesentliches Risiko für den Finanzla- lässig falsche Angaben gemacht werden. CIO’s gebericht eingeschätzt werden, so dass dieser sind in diesem Zusammenhang verpflichtet, die IT-Prozess nicht in den „Control Catalog“ für die Zuverlässigkeit und Sicherheit der IT-Systeme SOX-Compliance aufgenommen wird. und der IT-Organisation zu garantieren. Die Festlegung des SOX-„Control Catalog“ muss jedes Unternehmen individuell auf seine Situati- Abb. 2: Zuverlässigkeit der Kontrollprozesse (Quelle: IT Governance Institute®) Die Prüfungsbasis für den Auditor sind die Test- Das bedeutet die Einrichtung von Prozessen, die pläne des Unternehmen, die die Überprüfung- es in diesem Ausmaß vorher nicht gab - mit an- sprozeduren der Kontrollabläufe minuziös genau deren Worten: Eine dauerhafte Kostensteigerung beschreiben müssen. Diese können in dem für hält Einzug. Dieser Mehraufwand kann durch ein die SOX-Compliance geforderten Detaillierungs- umfangreiches Reengineering im IT-Bereich auf grad nur von den Mitarbeitern erstellt werden, ein akzeptables Maß zurückgeführt werden, in- die in den entsprechenden IT-Prozessen im ope- dem die Zahl der erforderlichen SOX-Testpläne rativen Tagesgeschäft involviert sind, da nur sie durch konsequente Standardisierungsmaßnah- die nötigen Detailkenntnisse in den Abläufen ha- men in den IT-Prozessen aufgrund Reduzierung ben. Daraus ergibt sich die Notwendigkeit, die der Systemvielfalt minimiert wird. erforderlichen Kapazitäten bei den betroffenen Mitarbeitern bereits zu Beginn des SOX- Es ist darüber hinaus zu empfehlen, dass die Compliance-Projekts zur Verfügung zu stellen. SOX-Compliance-getriebene IT-Optimierung Um die SOX-Konformität der Testpläne sicher- nicht nur mit Fokus auf Kostensenkung betrieben zustellen, ist eine umfangreiche Schulungsmaß- wird sondern hierbei gleichermaßen die Chance nahme für diese Mitarbeiter unumgänglich. An- ergriffen wird, zu einer Steigerung des Wert- sonsten kann die Bestätigung der SOX- schöpfungsbeitrags der IT für das Unternehmen.