Information Governance

Transkript

1 Information Governance Aufgaben und Verantwortlichkeit der Organe im Umgang mit elektronischen Informationen Dr. iur. Bruno Wildhaber, CIP CISA CISM CGEIT KRM Managing Partner 1 Informationen verstehen - nutzen - optimieren - beherrschen Team: Dr. Bruno Wildhaber, Managing Partner Dr. Peter Neuenschwander, Managing Partner Dr. Daniel Burgwinkel, Partner Jürg Hagmann, Partner Daniel Spichty, Partner Mail: vorname.name@informationgovernance.ch 2 Das Kompetenzzentrum Records Management (KRM) ist 2002 aus den Arbeiten an der Revision der handelsrechtlichen Aufbewahrungspflichten (Art. 957 ff OR) und der Geschäftsbücherverordnung («GeBüV») hervorgegangen. Es versteht sich als Plattform für die Vermittlung von Knowhow und Dienstleistungen für alle Fragen der Information Governance. KRM Rotfluhstr Zollikon

2 Dr. Bruno Wildhaber Dr. Bruno Wildhaber war nach einer Grundausbildung als Elektroniker mehrere Jahre bei einem bedeutenden Hersteller von Informationssystemen tätig. Überzeugt, dass die Kombination Recht und IT zwar exotisch, aber damit umso interessanter sein könnte, durchlief er weitere Ausbildungen, die ihm 1993 den Doktortitel auf Grund einer Arbeit bei Prof. Forstmoser über "Informationssicherheit Rechtliche Grundlagen und Anforderungen an diepraxis" einbrachte. Im Rahmen dieser Arbeit wurden die ersten Umfragen zum Thema Elektronische Archivierung durchgeführt. Dr. Wildhaber war in der IT-Revisionsabteilung einer Schweizerischen Privatbank tätig und war von Präsident der ISACA. Als Geschäftsleitungsmitglied und Aktionär war er massgeblich am Aufbau eines der ersten europäischen Unternehmen auf dem Gebiet der Internet Sicherheit beteiligt. Seit März 1999 ist er als unabhängiger Unternehmensberater tätig. Seine unternehmerischen Schwerpunkte liegen in den Bereichen Information Governance, Risk und Information Management. Zu seinen Kunden zählen vorzugsweise Top 50 Unternehmen, welche sich im Spannungsfeld: Recht Corporate und IT Governance - Compliance bewegen. Bruno Wildhaber hat mehrere Unternehmen gegründet oder mitgegründet, u.a. das Kompetenzzentrum Records Management ( Compass Security ( Er ist Mitglied bei Mission 100, einer Vereinigung, welche sich auf die praktikable Umsetzung des Datenschutzes fokussiert (D). Heute berät er VR und GL Mitglieder beim Umgang mit grossen ICT-Investitionen mit Schwerpunkt Information Governance/Compliance/Risk Management /Security und entwickelt und begleitet RM/ ECM Programme. Er erstellt Gutachten zur Konformität von Lösungen/Systemen mit den anwendbaren nationalen und internationalen Vorgaben. Er ist Geschäftsführer des KRM und Hauptautor und Editor des Leitfadens Information Governance (2015). bruno.wildhaber@informationgovernance.ch 3 Agenda Wann beherrschen wir Information? Was ist Information Governance? Das CONFORMANCE / PERFORMANCE Dilemma VR Themen und Agenda Wo stehen wir heute? Umsetzung: Matrio Der veränderte Umgang mit Information: IT oder Information Governance? Weiterführende Informationen 4

3 Unsere Datenhaltung funktioniert wie ein WG - Kühlschrank 5 Nur wer Daten vernichten kann, beherrscht sie (speichern kann jede/r) 6

4 Information Governance ist darauf ausgerichtet, die informationsbezogene Risikobewältigung des Unternehmens zu optimieren. Beschreibt die Verfahren, Organisation und Technologien welche benötigt werden, um Informationen während ihres gesamten Lebenszyklus (Nutzen, Erfassen, Klassieren, Speichern, Löschen) in Übereinstimmung mit den strategischen Vorgaben des Unternehmens und den externen und internen Vorschriften aktiv zu bewirtschaften. Information Governance umfasst Teilbereiche des Information Managements, der IT-Governance und des Risk Managements. 7 Nutzen der Information Governance Wer Information Governance einführt, kann u.a. die folgenden Fragen beantworten: Welche Digitalisierungs-Vorhaben umsetzbar sind und was sie kosten Welche Bedeutung die Daten* = Informationen besitzen und wie sie erschlossen werden können. Welche Chance und Gefahren die Daten-Akkumulation -> Informationsgehalt ( Big Data ) erzeugt. Wo sich die Daten befinden. Wem die Daten gehören. Wer über die Daten bestimmt. Wie der Daten Lifecycle aussieht. Welchen Risiken die Daten ausgesetzt sind und welcher Schutzbedarf besteht. Wie die Daten geschützt werden können. Wie Daten exportiert/zurückgebracht werden können. Wie Datenschutzanforderungen umgesetzt werden können. Was die Datenhaltung wirklich kostet und wie die Kosten optimiert werden können. Welche Kosten im Falle einer Suche nach Daten anfallen. 8

5 Information Governance aus Management - Sicht Neues Geschäfts modell (PERFORMANCE) Neue Regularien (CONFORMANCE) Kontrolle Gestaltung Kommunikation Teamentwicklung 9 Gesetzliche Grundlagen: Pflicht des VR Information Governance ist Teil der Corporate Governance Die wichtigsten Aufgaben des CH-Verwaltungsrats sind (OR 716ff. OR): Normative Funktion: Erstellen der notwendigen Vorgaben für die Unternehmensführung Erstellen von Strategische Vorgaben für die Entwicklung des Unternehmens, inkl. Einstufung der Rolle von Daten/Information Kontrolle und Überwachungstätigkeiten, inkl. Risiko Management Entwicklung der personellen Ressourcen und Teamentwicklung Kommunikation Der VR muss sich aus zwei Perspektiven um Information kümmern: Externe Sicht: Nutzung von Informationen zur Steuerung des Unternehmens Interne Sicht: Effiziente Nutzung von Information zur Wahrnehmung der Aufgabe als VR 10

6 Rolle der IG in der VR Agenda Kontrolle Innen Risiko Mgmt Compliance Mgmt Aussen Bewertung der ext. Risiken Gestaltung Innen Knowledge Management Arbeitsmitteleinsatz Aussen Lageeinschätzung Strategieentwicklung Kommunikation Innen Board Information System VR Information Mgmt Aussen Vernetzung mit peers Krisen Kommunikation Teamentwicklung / HR Innen Ausbildung Change Management Aussen Profilbildung Vernetzung nach: Hilb, Martin; Corporate Governance (Swiss Board School), 11 VR Herausforderungen Every Business is an Information Business Es droht die Vernichtung ganzer Wertschöpfungsketten Was der Musikindustrie passiert ist, kann fast jeder Industrie passieren (Bsp. Ersatzteilgeschäft bedroht durch 3D Druck) On Demand Economy Ressourcenbeizug nur für konkrete Aufgabe Abbau von fixen Strukturen und Ressourcen (Technologie, Personal, Wissen) Beherrschung des Information-Business durch Betreiber von Sirenen Servern Lesenswert: Who owns the future (J. Lanier, 2013) Race Against the machine (Erik Brynjolfsson und Andrew McAfee, 2011) Kontroll Gestaltu Kommu Team- 12

7 Typische Fragen bei digitalen Geschäftsmodellen Big Data, Social Media / Mobile Fintech, Industrie 4.0, Internet der Dinge... Neues Geschäfts modell (PERFORMANCE)??? Big Data: Dürfen wir Kundendaten speichern und auswerten?? Social Media - Mobile Müssen wir Chats archivieren? sollen wir wirklich die gesamte Geschäftskorrespondenz archivieren? Welche Datenschutzlinien gelten für die Schweiz und die Tochtergesellschaften im Ausland? CIO / Projektleiter? Der? Welche Daten aus dem Internet of things dürfen wir nutzen? Vertrieb hat ein Cloud-CRM gemietet, ist Datenhaltung im Ausland rechtskonform? 13 Konkrete Beispiele zu Datenschutz-Themen Immer online: Videostreaming und Online-Mitschneiden von Content durch Private und Organisationen Aggregation von Versichertendaten im Gesundheitsbereich (Health Apps, Fitness Apps) Mobilität am Draht: Die permanente Überwachung des Automobilisten newhnwnhvp und Die Drohne folgt Dir überall hin story/ Bargeldlos = Rechtlos Big Data = Information überall und über jede/n Profiling und Preisanpassungen in Online-Portalen 14

8 Wie sieht die Realität aus? 15 Keiner weiss, was drin ist. Keiner weiss,wie alt es ist. Keiner weiss, wer es gebracht hat. Keiner weiss, ob es noch geniessbar ist.. u.v.m. 16

9 Verhaltensmuster 1 17 Verhaltensmuster 2 18

10 Das Problem des Datenwachstums Das Datenwachstum ist erschreckend: 90% aller weltweiten Daten wurden in den letzten beiden Jahren erzeugt 40% Wachstum bedeutet, 15 Petabyte heute sind 39PB in 3 Jahren. 5% der Daten sind aus rechtlichen Gründen (Nachweis- und/oder Aufbewahrungspflichten) von Bedeutung, 25% aus betrieblichen Gründen und 2% betreffen aktuelle Rechtsfälle 1GB = ca. 10 Laufmeter Bücher 1TB = 1024GB 1PB = 1024TB = ca. 20 Millionen Archivschränke à 4 Schubladen gefüllt mit Text = 68% der Unternehmensdaten belasten die Systeme und kosten nur. Quellen: AIIM Information Governance Study 2013 and Forbes You Can't Keep All Your Data Forever, 'Forbes,'7/17/2012' 19 Recht Art. 958f Abs. 3 OR: Die Geschäftsbücher und die Buchungsbelege können auf Papier, elektronisch oder in vergleichbarer Weise aufbewahrt werden, soweit dadurch die Übereinstimmung mit den zugrunde liegenden Geschäftsvorfällen und Sachverhalten gewährleistet ist und wenn sie jederzeit wieder lesbar gemacht werden können. Wegfall der Aufbewahrungspflicht von Geschäftskorrespondenz seit Es gibt für 90% der CH- Unternehmen keinen Grund, Unterlagen physisch aufzubewahren Vorbehältlich Speziabestimmungen und gesetzlich geregelter Ausnahmen, macht ca. 2-10% des Gesamtvolumens aus. 20

11 Wie kann Information Governance im Unternehmen umgesetzt werden? Information Governance - Unternehmensweit Zusammenspiel von Top-Down- Vorgaben und Buttom-up- Lösungen Digitales Projekt 21 Was ist die MATRIO? Die beschreibt, wie die Information Governance entwickelt und gepflegt werden kann Was unterscheidet die MATRIO von anderen Ansätzen? Sie ist sowohl Top Down wie auch Bottom up einsetzbar. Damit eliminiert sie das Grundproblem der Information Governance Implementierung, nämlich die überlangen Einführungszeiten. Sie hat einen interdisziplinären Ansatz. Sie eliminiert Doppelspurigkeiten in den Organisationen durch die Verknüpfung verwandter Themen. Die MATRIO führt zu schnelleren und besseren Resultaten 22

12 IT-Governance (ITG) und Information Governance (IG) Business IT 23 IG und ITG: Der veränderte Umgang mit Information Themen Enterprise 1.0 Enterprise 2.0 Inhalt Transaktion Interaktion Steuerung / Governance Hierarchisch Kollaboration Kernelemente Fakten, Daten, Erkenntnisse, Ideen, Werte Wert Korrektheit, Vollständigkeit Geschwindigkeit, Verfügbarkeit Inhalt gesteuert, kontrolliert Autor dezentral, anonym, kommunal Typus Text, Bilder Konversationen, Interaktion Datenqualität Hoch, langzeit tief, transient Suchbarkeit Einfach, weil strukturiert Schwieriger, weil unstrukturiert Benutzerfreundlichkeit Nach Ausbildung, Support Erfahrung, Standards Zugriff Reguliert, kontrolliert Ad hoc Archivierung Langzeit transient Governance Fokus Sicherheit (physisch, logisch) Beherrschung der Datenmenge, Wert- und Risikoerkennung Governance Perimeter Umfassend, Organisation und Schnittstellen Kaum definierbar, starke Fremdbestimmung: risikobasiert 24

13 IT-Governance (ITG) und Information Governance (IG) Information Governance überträgt die Corporate Governance Grundprinzipien auf die Ressource Information IG ist technologieunabhängig und neutral IG ist abhängig von der Unternehmenskultur Schlüsseldisziplin der IG ist das Informationsmanagement Change Management ist Key IT Governance deckt einen wichtigen Teilbereich, nämlich die Conformance/ Performance der selbst erbrachten und gesteuerten IT Leistungen 25 Informationsmanagement 26

14 Herausgeber: Kompetenzzentrum Records Management «The Swiss Information Governance Competence Center» Einstieg in die Umsetzung 27 KRM Produkte Von Jacques Beglinger, Daniel Burgwinkel Beat Lehmann, Peter K. Neuenschwander und Bruno Wildhaber Leitfaden zur Compliance bei der Aufbewahrung von elektronischen Dokumenten in Wirtschaft und Verwaltung, mit Checklisten, Mustern und Vorlagen. Unter Einbezug des revidierten Datenschutzrechts. LEITFADEN INFORMATION GOVERNANCE mit Checklisten, Mustern und Vorlagen Die rasch fortschreitende Automatisierung der Geschäftsprozesse sowie neue Wege der elektronischen Kommunikation verändern die Unternehmenswelt. Die überarbeiteten Buchführungs- und Aufbewahrungsvorschriften und die Geschäftsbücherverordnung, die neuen Regelungen im Bereich der elektronischen Signatur und der elektronischen Rechnungstellung sowie das revidierte Datenschutzrecht stellen zusätzliche Anforderungen. Der Schritt von der herkömmlichen Aufbewahrung zum modernen Records Management schafft Mehrwerte und hilft auch KMU den Ansprüchen an IT-Governance und Information Compliance gerecht zu werden. Berücksichtigt das 2008 revidierte Datenschutzrecht. Mit projektorientiertem Umsetzungsteil. 2. aktualisierte und erweiterte Auflage Von Bruno Wildhaber Autoren: Daniel Burgwinkel, Jürg Hagmann, Stephan Holländer, Peter K. Neuenschwander, Dieter Schmutz, Daniel Spichty Herausgeber Kompetenzzentrum Records Management 1 Montag, 19. September Leitfaden Information Governance Leitfaden Records Management MATRIO Information Management (Digitalisierungsstrategie) 28