Prüfung und Beratung. Governance - Risk - Compliance.

Transkript

1 Prüfung und Beratung Governance - Risk - Compliance

2 Prüfung und Beratung Flexibel und individuell Die IBS Schreiber GmbH kann auf langjährige Erfahrungen im Prüfungs- und Beratungsumfeld zurückblicken. Unsere Mitarbeiter bieten Ihnen gesamtheitliche und professionelle Prüfungs- und Beratungsleistungen mit der Zielsetzung, Ihre IT- und SAP -Systeme zu sichern, Ihre Unternehmensprozesse wirtschaftlich zu gestalten und Ordnungsmäßigkeit (Compliance) zu gewährleisten. Unsere Prüfungs- und Beratungsleistungen haben sich wegen unserer hohen Flexibilität erfolgreich im Markt etabliert - wir unterstützen Sie ganz individuell. Langjährige Praxiserfahrung zeichnen die IBS-Prüfer und IBS-Berater aus. Dies beweist sich neben zahlreichen Stammkunden, die vom IBS betreut werden, auch in zahlreichen Veröffentlichungen: Buchreihe OPSAP: Ordnungsmäßigkeit und Prüfung von SAP -Systemen Handbuch der Datenprüfung Handbuch der Baurevision IBS-Prüfmanuals u.a.m. Die Prüfungen können zu jedem Zeitpunkt von Ihnen begleitet werden. Bei der Prüfung werden alle relevanten Vorschriften und Standards (GoBD, IDW PS330, IDW RS FAIT, HGB, AO, SAP Sicherheitsleitfäden etc.) beachtet. Darüber hinaus richten wir uns nach Best Practice Richtlinien und nicht zuletzt Ihren unternehmenseigenen Vorgaben. Auf den nachfolgenden Seiten finden Sie einen Auszug unser Prüfungs- und Beratungsdienstleitungen. Jede Prüfung / Beratung wird jedoch individuell mit dem Auftraggeber abgestimmt. Treten Sie für konkrete Informationen einfach mit uns in Kontakt: consulting@ibs-schreiber.de 2

3 Prüfung in SAP -Systemen In SAP -Systemen werden meist ein Großteil, wenn nicht sogar alle Unternehmenswerte verwaltet. Hierbei geht es um Finanzen, Human Capital oder Know-how. Natürlich ist es da wichtig, dass alle Abläufe reibungslos funktionieren. Ebenso wichtig ist es jedoch, dass die damit verbundenen Risiken minimiert werden. Eine umfassende Systemprüfung deckt Schwächen auf und ermöglicht Ihnen, die Systemsicherheit effizient zu erhöhen. Folgende Dienstleistungen gehören zu unserem Standard-Angebot: Prüfung der Systemsicherheit Alle sicherheitsrelevanten Systemeinstellungen und Abläufe werden analysiert und bewertet. Hierbei geht es in erster Linie darum, die Basiskomponenten des SAP -Systems zu analysieren. Berechtigungsprüfung in den Modulen In den Modulen müssen Funktionstrennungen eingehalten werden. Die Arbeitsbereiche der einzelnen Mitarbeiter können über SAP Berechtigungen gezielt abgegrenzt werden. Die Komplexität des Berechtigungskonzeptes bringt es jedoch mit sich, dass eine regelmäßige Prüfung sehr aufwendig ist. Oftmals mangelt es bei den vergebenen Berechtigungen an Transparenz. Die Prüfung wird von uns mit unserer Prüfsoftware CheckAud for SAP Systems durchgeführt. Schnell und effizient können so die vergebenen Berechtigungen transparent dargestellt werden. Anschließend werden die Ergebnisse von IBS-Experten bewertet. Prozessprüfung in den Fachbereichen Die Abläufe im SAP -System sind naturgemäß sehr komplex. In die Werteflüsse können trotz aufwendigen Berechtigungskonzepts viele Mitarbeiter eingreifen. Hier ist es also hilfreich, zu analysieren, ob alle Prozesse effizient und effektiv gestaltet sind, ob die Möglichkeiten von SAP ausgeschöpft werden und ob die internen Kontrollen ausreichend sind. Diese Prüfung wird häufig in Verbindung mit einer Berechtigungsprüfung durchgeführt. 3

4 Prüfung in SAP -Systemen Portalprüfung Das SAP -Portal ist technisch grundsätzlich anders aufgebaut als ein klassisches SAP -System. Hinzu kommt, dass über das Portal Daten in das Intranet oder sogar das Internet transportiert werden können. Aus diesem Grund verdient es besondere Aufmerksamkeit. Möglicher Ablauf einer Prüfung in SAP -Systemen Analyse und Bewertung der Soll-Vorgaben: Dokumentationen und Verfahrensanweisungen zu den Prozessen Berechtigungsdokumentationen, Datenschutzanweisungen und Datensicherungskonzepte Betriebliches internes Kontrollsystem (IKS). Prüfung am SAP -System: Scannen des SAP -Systems mit der Prüfsoftware CheckAud Prüfung von Berechtigungen, sowohl auf Einzelaktionen als auch auf Berechtigungen für sensible Kombinationen und ganze Geschäftsprozesse inkl. angrenzender Module Ordnungsmäßigkeit der Prozesse Technische Absicherung des Produktivsystems

5 Prüfung in SAP -Systemen Auswertungen: Detaillierte Auswertungen und Dokumentation der Analysen Management-Summary zur Gesamteinschätzung der Analyseergebnisse Aufzeigen der Schwachstellen und Risiken Maßnahmenkatalog mit Empfehlungen zur Behebung der Schwachstellen und zur Verbesserung der Sicherheit und Transparenz in den Prozessen Abgleich der Vorgaben des IKS mit dem Ist-Zustand des SAP -Systems. Durch den Einsatz von CheckAud erhalten Sie genaueste und umfassende Informationen zu den Berechtigungsstrukturen. Durchführung: Vereinbarung über die zu prüfenden Systeme, Module, Teilbereiche, Prozesse und organisatorischen Verfahren Terminabstimmung für die Vor-Ort-Termine und die Berichtserstellung Durchführung der Interviews und der Analysen vor Ort Erstellung und Abstimmung des Berichtes Abschlusspräsentation

6 Beratung / Unterstützung in SAP -Systemen Während einer Prüfung werden Maßnahmen empfohlen. Anschließend entscheidet das Unternehmen, welche Maßnahmen in welchem Zeitrahmen umgesetzt werden (können). Fehlen hier Kapazitäten, so unterstützen wir gerne bei der Umsetzung. Folgende Dienstleistungspakete können wir Ihnen empfehlen: Voranalyse zum Berechtigungskonzept Sind im Berechtigungskonzept grobe Mängel festgestellt worden, stellt sich oft die Frage, ob die Rollen bereinigt werden können oder ob es wirtschaftlicher ist, das Konzept neu aufzusetzen. In wenigen Tagen analysieren wir das bestehende Konzept und empfehlen Ihnen eine RoadMap für das weitere Vorgehen, inkl. Zeitplanung, Meilensteinen und internem / externem Aufwand. Wichtige Faktoren hierbei sind, die: Nutzbarkeit, Erweiterbarkeit, Flexibilität, Transparenz und natürlich Prüfbarkeit. 6

7 Beratung / Unterstützung in SAP -Systemen Bereinigung der Rollen Sie haben sich entschieden, die Rollen aufzuteilen um die Berechtigungen gezielter vergeben zu können oder der Wirtschaftsprüfer hat Verstöße gegen Funktionstrennungen festgestellt, die ohne Rollenanpassung nicht zu bereinigen sind. Hierbei unterstützen wir Sie gern. Schnell und Zielgerichtet. Genau auf Ihre Bedürfnisse angepasst. Implementierung von Berechtigungskonzepten Projekte zur Implementierung von SAP -Berechtigungen stellen eine große Herausforderung dar. Hier treffen die betriebswirtschaftlichen Anforderungen der Unternehmung mit den komplexen technischen SAP Berechtigungen zusammen. Der konzeptionelle Überbau stellt eine entscheidende Komponente dar. Für den Erfolg des Projektes ist es wichtig, dass seitens der Projektmitarbeiter ein hohes Wissen zu den Prozessen im SAP -System und zur technischen Abbildung der zugehörigen Berechtigungen vorhanden ist. Profitieren Sie von unserer langjährigen Projekt-Erfahrung u.a. zu folgenden Themen: Konzeption und Dokumentation des Berechtigungskonzeptes Festlegen der Verantwortlichkeiten (Dateneigentümer) Konzeption eines Antrags- und Freigabeverfahrens Einrichtung interner Kontrollen Arbeitsplatzanalysen und Rollen-Design Technische Abbildung der Rollen und des zugehörigen Customizing Produktivnahme inklusive eventueller nachträglicher Anpassungen Unser Ziel ist es, Ihre Berechtigungen transparent zu gestalten und eine große Flexibilität für spätere Anpassungen zu erhalten. Um das Konzept in das Unternehmen zu integrieren werden die Dateneigentümer und die Prozessverantwortlichen geschult. 7

8 Datenanalyse Die Daten eines Unternehmens sind ein wichtiges Fundament für eine erfolgreiche Geschäftstätigkeit. Sie müssen nicht nur durch Berechtigungen ausreichend geschützt sein. Die Mitarbeiter, die mit diesen Daten arbeiten, müssen sorgfältig mit ihnen umgehen, Inkonsistenzen und Redundanzen vermeiden. Ist dies immer allen bewusst? Die Datenanalyse ermöglicht uns, risikorelevante Faktoren wie die Qualität der Geschäftsprozesse, die Wirksamkeit des Internen Kontrollsystems (IKS) sowie die Durchführung von dolosen Handlungen aus den Daten herauszulesen. Ziele der Datenanalyse: Schutz vor finanziellen Verlusten oo Durch dolose Handlungen oo Durch Risiken in den Geschäftsprozessen Nachweis der Wirksamkeit bestehender Kontrollen Prüfung, ob Verfahrensanweisungen korrekt umgesetzt werden Kurz: Erhöhung der Datenqualität Die IBS Schreiber GmbH verfügt über langjährige Erfahrung in diesem Bereich und bietet hierzu ein umfangreiches Dienstleistungsangebot an. Dazu gehört auch die jährliche Jahresfachkonferenz Datenanalyse im Prüfungswesen. Kontaktieren Sie uns: 8

9 IT-Prüfungen Ein weiterer Geschäftsbereich der IBS beschäftigt sich mit folgenden Prüfungsgebieten: IT-Organisation Wie steht es um die Effizienz der IT-Administration? Den IT-Risiken, die sich aus mangelnder Organisation ergeben, zu begegnen ist ein komplexes Thema. In einigen Unternehmen wurde es lange Zeit vernachlässigt. Werden Workarounds geschaffen und die Lücken somit notdürftig gestopft, entstehen eigene, nicht prüfbare Prozesse, die viel Optimierungspotential bietet. Schwerpunkte der Prüfung können sein: IT-Organisation nach ITIL IT-Sicherheitspolitik nach ISO Outsourcing Service-Level-Agreements Lassen Sie uns einmal drüber schauen! IT-Infrastruktur Die IT-Infrastruktur bildet die Basis zu den IT-gestützten Verfahren. Die Zugänge müssen nach außen ausreichend abgesichert werden. Aber auch innerhalb des Unternehmens sind Sicherheitsstandards unbedingt einzuhalten. Nicht autorisierter Zugriff kann schon rein lesend hohen Schaden anrichten. Zur Infrastruktur gehören unter anderem: Netzwerk (WLAN, Firewall, Schnittstellen nach außen) Betriebssystem (insbesondere auch virtuelle Umgebungen) Telekommunikation (VoIP, Mobil, klassisch) 9

10 IT-Prüfungen IT-Anwendung Die IT-Anwendungen unterstützen die Unternehmensprozesse. Stehen sie nicht zur Verfügung, geraten die Geschäftsprozesse ins Stocken. Besonders kritisch sind Fehlfunktionen, die nicht sofort auffallen. Individuell angepasst an die zu prüfende Anwendung werden hier Berechtigungen, Konfiguration und Schnittstellen geprüft. Durch eine Datenanalyse können gezielt Schwachstellen aufgedeckt werden. Mögliche IT-Anwendungen sind: Web Applikationen Datenbanken Unified Messaging Systeme Penetrationstest Unbefugter Zugriff auf Systeme und Daten Ihres Unternehmens, Know-how-Abfluss oder Verletzung von gesetzlichen Bestimmungen sind beispielhafte Gefahren, die durch unzureichende Absicherung des internen und externen Netzwerkes entstehen können. Um diese Risiken zu reduzieren und ein notwendiges Maß an Sicherheit und Funktionalität zu gewährleisten, kann Ihr Unternehmen bestehende IT-Systeme bezüglich ihrer Sicherheit durch Penetrationstests bewerten lassen. Individuell - nicht Standard IT-Systeme und Verfahren in Unternehmen unterscheiden sich voneinander - Strukturen und technische Organisationen sind ausschlaggebend für Ausprägungen und individuelle Prozesse. Daher ist es nicht sinnvoll, Penetrationstests in einem festen, einheitlichen Schema ablaufen zu lassen. Im Gegenteil. Ein Test sollte möglichst flexibel sein, je nachdem welches Kriterium entscheidend ist. Abhängig von der Perspektive, aus der der Test durchgeführt wird, der Aggressivität und Vorgehensweise des Prüfablaufs, dem Umfang der zu überprüfenden Systeme und der bereitgestellten Informationsbasis führen wir einen individuellen und zielgerichteten Penetrationstest durch. 10

11 IT-Forensik Mitarbeiter surfen unerlaubt oder übermäßig viel im Internet, vertrauliches Material ist in fremde Hände gelangt oder strafrechtliches Material ist in Ihrem Netzwerk aufgetaucht. Geschäftskritische Systeme stehen immer wieder still oder es besteht Verdacht auf Einbruch in die IT-Infrastruktur. Dies sind Szenarien, bei denen mit Methoden der IT Forensik nach Ursachen / Verursachern gesucht werden kann. Durch gerichtsfestes Erheben und Speichern der Daten bzw. Rekon struktion gelöschter Daten können zunächst Beweise gesichert werden. An dieser Stelle ist Experten-Know-how notwendig. Zögern oder unsachgemäße Sicherung können die Spuren für immer verwischen und eine Aufklärung unmöglich machen. Unsere IT-Spezialisten unterstützen Sie an dieser Stelle kompetent. Gerne beraten wir Sie bereits bei der Erstellung des Notfallplans. Sind hier die einzuleitenden Schritte bereits dokumentiert können Sie im Ernstfall schnell reagieren. Sie möchten mehr über unsere Leistungen im Bereich Prüfung & Beratung erfahren? Kontaktieren Sie uns gern unter consulting@ibs-schreiber.de oder rufen Sie uns an Tel.: Gern erstellen wir Ihnen ein individuelles und unverbindliches Angebot. 11

12 Wir können mehr für Sie tun: Seminare & Fachkonferenzen GRC-Software - CheckAud for SAP Systems Unterstützung im Bereich Datenschutz Sprechen Sie uns gern an! IBS Schreiber GmbH International Business Services for Auditing and Consulting Zirkusweg Hamburg Fon: Fax: consulting@ibs-schreiber.de