intersoftnews Sehr geehrte Damen und Herren,

Transkript

1 Lösungen für Versicherer Ausgabe 2 / August Sehr geehrte Damen und Herren, Heute schon tun, woran andere erst morgen denken, denn nur der Wandel ist beständig, diese klassische Erkenntnis gilt auch in unserer Zeit und das ganz besonders in der Versicherungsbranche. Themen wie Bürgerentlastungsgesetz, Solvency II und MA Risk VA sind momentan in aller Munde. Wie begegnen Versicherungsunternehmen diesen ständig neuen gesetzlichen Erfordernissen? Inhalt Holen Sie sich Anregungen aus unserem neuen Newsletter und informieren Sie sich über aktuelle, für Sie wichtige Neuigkeiten aus unserem Unternehmen - wir laden Sie herzlich ein: Grußwort des Vorstands 01 Fachbeitrag: IT-Governance 02 Interview: Jens Ringel, Versicherungsforen Leipzig, zu MaRisk 04 Produkt-News: SEPA 06 Das Bürgerentlastungsgesetz stellt Versicherungsunternehmen vor besondere organisatorische Herausforderungen. intersoft erweitert die spartenübergreifende Versicherungssoftware lifestream um drei Komponenten, die die Umsetzung der neuen Regularien einfach, transparent und ökonomisch effizient realisieren. Zahlreiche unserer namhaften Kunden im Bereich Krankenversicherung haben sich für unsere Lösung entschieden, die Software befindet sich bereits in der Installationsphase. Impressum 07 Auch Solvency II wird die Versicherungswirtschaft nachhaltig verändern. Ergänzend zur bisher primär quantitativ ausgerichteten Finanzaufsicht verlangt Solvency II im Rahmen der MA Risk VA -Verordnung ein umfassendes, risikoorientiertes Aufsichtssystem. Umfangreiche qualitative Anforderungen an das Risikomanagement müssen umgesetzt werden, das betrifft auch die Anforderungen an die IT. Besonders wichtig im Rahmen von MaRisk sind auch bei der Softwareauswahl die Sicherheit der Daten und die Orientierung an gängigen Standards. intersoft unterstützt und berät Sie kompetent bei der Umsetzung der MaRisk-IT-Anforderungen, sprechen Sie unsere Spezialisten an und lesen Sie dazu auch unser ausführliches Interview mit Herrn Jens Ringel, Geschäftsführer IT-Prozesse der Versicherungsforen Leipzig. Was Ihnen unser aktueller Newsletter noch bietet? Begegnen Sie den Themen SEPA und IT-Governance - und wie Sie sich damit nicht nur die Grundlage verschaffen, flexibel auf Markt- und Gesetzesänderungen zu reagieren, sondern auch einen entscheidenden Vorsprung. Wir wünschen Ihnen eine informative und aufschlussreiche Lektüre! Herzliche Grüße, Ulrich Reis, Carsten Holtmann und Georg Haupt Vorstand der intersoft AG 1

2 Fachbeitrag: Aktuelles zu Versicherungsbranche und IT IT-Governance - Die Unternehmens-IT als Businesspartner und Gestalter Versicherungsunternehmen agieren in einem attraktiven, aber auch schwierigen Marktumfeld. Der Bedarf an neuen Produkten fordert Fachbereiche und IT gleichermaßen. Sie haben gelernt, mit sich verändernden Geschäftsmodellen umzugehen. Kürzere Time-to-Market und Produktlebenszyklen werden durch schneller werdende Innovationszyklen ermöglicht. Aber wie reagiert die Unternehmens-IT auf die ständig wachsenden Anforderungen? Die Anforderungen an die Fachbereiche können nicht bewältigt werden, ohne die IT einzubinden. Und sie selbst kann die Anforderungen nur bewältigen, wenn sie diese nicht aus der IT-Perspektive, losgelöst von dem Unternehmen, sondern ganzheitlich aus der Business-Perspektive betrachtet. Diese Perspektive einzunehmen und damit die Anforderungen an die IT zu definieren und zu erfüllen, ist Aufgabe und Ziel der IT-Governance. Ableitung der Unternehmensstrategie Governance beginnt daher mit der Bewertung der Unternehmensstrategie mit Fokus auf den strategischen Geschäftszielen. Auf dieser Grundlage werden IT-Ziele definiert, die bindend für alle zu erbringenden IT-Leistungen sind. Zur Erreichung der Ziele werden Architektur, Prozesse und Projekte als Leistungserbringer eingesetzt (s. Abbildung 1). Konsolidierung von Fachprozessen und IT-Bebauung zu einer Unternehmensarchitektur Die Fachbereiche haben eigene Prozesse zur Abwicklung des Kerngeschäftes definiert. Diese finden sich in einer Prozesslandkarte wieder, die die Abhängigkeiten der Prozesse untereinander darstellt. Aus den Geschäftszielen ergeben sich Schwerpunkte im operativen Geschäft und damit Prioritäten in der Abwicklung einzelner Prozesse. Die Anwendungen, die diese Prozesse unterstützen, sind damit an die Priorisierung der Fachprozesse zu koppeln. Daraus kann ein Mapping in Form einer Matrix erstellt werden, aus dem die relevanten Anwendungen abgeleitet werden können. Die Anwendungen können somit in einem Ranking abgebildet werden. Kriterien sind neben der Priorität und Anzahl der zu unterstützenden Fachprozesse auch die Grundwerte Vertraulichkeit, Verfügbarkeit und Integrität: Eine Anwendung, die eine hohe Verfügbarkeit sicherstellen muss, ist anders zu bewerten als eine, die auch längere Ausfallzeiten oder geringere Leistungsparameter haben kann. Die Matrix aus priorisierten Geschäftsprozessen und Anwendungen bildet die Grundlage für die Konsolidierung der IT- Bebauung. Sie beantwortet die Fragen, welche Prozesse unzureichend durch die IT unterstützt werden und welche die bereitgestellten IT-Leistungen nicht voll ausschöpfen können. Bei zielgerichteter Aufarbeitung kann die Konsolidierung als Ergebnis eine einheitliche Unternehmensarchitektur haben, die eine feste Klammer um Fachbereiche und IT bildet (s. Abbildung 2). Das Projekt Office zentrale Steuerung aller IT-Projekte Die Anforderungen an die IT, die aus den Geschäftszielen abgeleitet werden, können nicht in allen Fällen durch das operative IT-Geschäft erfüllt werden. Um die IT-Architektur und die Geschäftsprozesse zu einer übergreifenden Unternehmensarchitektur zu verbinden, sind Projekte erforderlich: Einzelprojekte mit begrenztem Umfang und eingeschränkter Auswirkung, aber auch komplexe Programme, die mehrere Projekte zu einem großen Ganzen verbinden. Die Auswahl und Steuerung der Projekte ist dabei nicht weniger komplex als die Abwicklung derselben. Die Auswahl der erforderlichen Projekte wird abgeleitet aus dem Mapping zwischen Geschäftsprozessen und -zielen einerseits und der IT-Architektur andererseits. Der Auswahlprozess greift auf verschiedene Techniken zurück, wie das Brainstorming oder die Delphi-Methode. Das IT-Management kann auf der Basis der gesammelten Projektvorschläge diese mit Unterstützung des Projekt Office kategorisieren. Unterscheidungsmerkmale sind Fortsetzung auf der nächsten Seite >> 2

3 >> Fortsetzung von Seite 2 die Relevanz für die Zielerreichung und der Einsatz von Ressourcen. Hier gilt es, die in der Regel knappen Ressourcen nicht für Projekte zu verwenden, die die gemeinsamen Ziele der Fachbereiche und IT nur ungenügend oder gar nicht unterstützen. Kritische Erfolgsfaktoren Entscheidend für den Erfolg ist das Commitment zwischen der Unternehmensführung, den Fachbereichen und der IT. Das ist leichter gesagt als getan. Das Commitment muss als Identifikation mit den gemeinsamen Zielen des Unternehmens definiert werden. Daraus können Organisationsrichtlinien abgeleitet werden, die alle Bereiche des Unternehmens betreffen. Und damit die Grundlage für die Schaffung einer Unternehmensarchitektur bilden. Die Konsolidierung aller Prozesse von Fachbereichen und IT, die Schaffung einer einheitlichen Architektur sowie der zielgerichtete Einsatz von Ressourcen in Projekten ermöglichen nicht nur die Ausrichtung der IT an den Unternehmenszielen. IT-Governance gibt der IT die Möglichkeit, sich als Partner der Fachbereiche und Enabler der Geschäftstätigkeit zu verstehen. Panos Zarkadakis Ist die Auswahl der Projekte abgeschlossen, bleibt es die wesentliche Aufgabe des Projekt Office, die Projektleiter bei der Erreichung ihrer Ziele zu unterstützen. Dafür stellen sie Unternehmensstandards für das Projektmanagement bereit, nehmen die Stati aller Projekte auf und stellen so ein zentrales Risikomanagement für alle Projekte sicher. Als Werkzeug für das Projekt Office hat sich die Portfolio-Matrix etabliert, die auf einen Blick eine Bewertung aller Projekte zulässt. Panos Zarkadakis ist Senior Managing Consultant bei der intersoft AG und seit vielen Jahren in den Bereichen IT-Governance, IT-Projektorganisation und IT-Sicherheit tätig. 3

4 Interview Risikomanagement und IT Auswirkungen der MaRisk VA auf die Informationstechnologie Ein Interview mit Jens Ringel, Versicherungsforen Leipzig. intersoft: Wie sieht die Rolle der IT im Risikomanagement von Versicherungsunternehmen aktuell aus? Jens Ringel: Die IT spielt im Risikomanagement von Versicherungsunternehmen eine doppelte Rolle: Zum einen wirkt die IT als Unterstützer, was sich in zwei Formen materialisiert: Die IT kann einen Treiber für das Risikomanagement darstellen, aber auch ein Getriebener der fachlichen Anforderungen sein je nachdem, wie das Unternehmen und seine IT aufgestellt sind. Grundsätzliche Aufgaben der IT im Risikomanagement sind dabei die Bereitstellung der benötigten Daten und Systeme. Konkret bedeutet dies u.a. die Unterstützung bei der Informationsbereitstellung und Toolauswahl sowie der Dokumentation für die Standard- oder internen Modelle der Säule 1 und für das Risiko- und Finanzberichtswesen der Säule 3 von Solvency II. Ebenso zählen die Hilfe bei der systemgestützten Erstellung und Speicherung von Informationen für das qualitative Risikomanagement aus Säule 2 von Solvency II zum Aufgabenspektrum. Beispiele sind Risikotragfähigkeitsberechnungen und -limitinformationen, aber auch der Prozessdokumentationen sowie der im Rahmen des IKS (Internes Kontrollsystem) identifizierten und bewerteten Risiken und Kontrollen. Zusammengefasst unterstützt die IT das Handling aller für das Risikomanagement notwendigen Informationen: Datenbereitstellung, Datenaufbereitung, Datendarstellung. Jens Ringel, Geschäftsführer Kompetenzteam Prozesse, IT und Organisation Versicherungsforen Leipzig Eine weitere wichtige Funktion der IT ist in diesem Bereich die Sicherstellung der Datenqualität. Hierbei kann die IT selbst ein Risiko darstellen, aber auch ein Treiber und Garant für korrekte, vollständige und revisionssichere Daten sein. Zum anderen birgt die IT selbst Risiken. Diese entstehen z.b. durch Fehlbedienung und -entwicklung oder auch den Ausfall unternehmenskritischer Systeme. Mangelnde IT-Ressourcen stellen ebenfalls ein Risiko dar, beispielsweise bei der Entwicklung und Pflege der Systeme oder im Rahmen der Entwicklung von neuen Versicherungsprodukten. Schließlich existieren auch in der IT Themen wie Fraud aufgrund interner und externer krimineller Handlungen. intersoft: Welche Auswirkungen haben die MaRisk VA auf die IT in Versicherungsunternehmen? Jens Ringel: Im Rahmen der MaRisk VA werden verschiedene Risikokategorien genannt, die mindestens zu betrachten sind. Eine Kategorie stellen die operationellen Risiken dar. Diese Risiken realisieren sich in den Unternehmensprozessen und der Unternehmens-IT. In der IT bestehen seit langem Risikomanagementkonzepte, beispielhaft seien hier die verschiedenen ISO-Standards und das IT- Grundschutz-Handbuch des BSI (Bundesamt für Sicherheit in der Informationstechnik) benannt. Durch die MaRisk VA kommen aus der fachlichen Perspektive weitere Anforderungen an das Risikomanagement in der IT hinzu. intersoft: Sprechen wir noch einmal explizit über IT-Risiken: Welche Risiken können IT-Systeme selbst bergen? Und was für Lösungswege sind hierfür vorstellbar? Jens Ringel: Die IT selbst kann verschiedene Risiken beinhalten die, der Definition operationeller Risiken zufolge, aus vier wesentlichen Risikoquellen resultieren: Systeme, Menschen, interne Prozesse und externe Einflüsse, z.b. Risiken durch Angriffe von außen oder durch Fortsetzung auf der nächsten Seite >> 4

5 >> Fortsetzung von Seite 4 Naturkatastrophen, wie Überschwemmungen. Risiken im operativen IT-Betrieb entstehen z.b. durch Fehler in Wartung und Entwicklung bzw. Weiterentwicklung der Systeme oder durch interne oder externe Angriffe. Strategische IT-Risiken können sich aus Entscheidungen bzgl. eingesetzter Technologien, eine zu späte Ablösung alter Systeme oder die Auswahl ungeeigneter Outsourcing-Partner entwickeln. Ein Lösungsweg, um die IT-Risiken und ihre Auswirkungen gering zu halten, ist deren systematische Identifikation und Bewertung, gefolgt von einer Festlegung konkreter Maßnahmen, die entweder das Eintreten des Risikos und/oder dessen Auswirkungen im Sinne des Unternehmens positiv beeinflussen. Beispiele für solche Maßnahmen sind gespiegelte Rechenzentren, die Einhaltung abgestimmter Vorgehensmodelle zur Softwareentwicklung sowie ein ausgefeiltes Testmanagement. Die Beherrschung der IT-Risiken erfordert die regelmäßige Überprüfung der IT-Strategie und deren Konsistenz zur Unternehmensstrategie. intersoft: Was kann IT aktiv zum Risikomanagement beitragen? Wie sind IT-Systeme aufgebaut und in die Prozesse integriert, die über die Mindestanforderungen hinaus einen Beitrag zu effizientem Risikomanagement leisten? Was können (Standard-) Kernsysteme beitragen? Jens Ringel: Die IT kann durch vielfältige Maßnahmen sowohl ihre eigenen Risiken als auch die Risiken der Fachprozesse reduzieren. Ein Beispiel für eine solche Maßnahme ist z.b. die revisionssichere Historisierung von Transaktionen. Dies gilt vor allem für kritische Tätigkeiten wie Buchungen oder Auszahlungen. Eine intuitive und stringente Benutzerführung kann durch Pflichtfelder und die obligatorische Abarbeitung von Checklisten zum Abschluss von Geschäftsvorfällen operative Bearbeitungsfehler einschränken. Eine Vermeidung von Medienbrüchen bei denen ein Sachbearbeiter etwa per Hand Inhalte aus einem System in das andere überträgt durch standardisierte Schnittstellen sowie umfassende Berechtigungs- und Rollenkonzepte tun ihr übriges: Jeder Mitarbeiter macht nur das, wofür er wirklich berechtigt ist. Nehmen wir als Beispiel die operationellen Risiken im Schadenprozess: Ein Sachbearbeiter könnte eine Reserve falsch anlegen oder den Schaden doppelt erfassen. Ein gut gestaltetes Schadensystem fängt diese Risiken ab, beispielsweise durch Plausibilitätskontrollen. Dazu gehören auch korrekte Schnittstellen, Revisionssicherheit und intuitive Benutzerführung. Diese Anforderungen können vor allem durch standardisierte Software erfüllt werden. Diese hat den Vorteil, dass die Systeme gut dokumentiert, wartbar und erweiterbar sind und auf Standardtechnologien setzen. Moderne Standardsysteme sollten flexibel auf Geschäftsbedürfnisse reagieren. In den Versicherungsunternehmen wird zurzeit oft ein Großteil der zur Verfügung stehenden finanziellen und intellektuellen Ressourcen in die Pflege und Wartung von Altsystemen investiert, so dass für Neu- und Weiterentwicklungen selten genügend Kapazitäten bleiben. Wichtige Anforderungen sind deshalb die günstige Pflege und Weiterentwicklung der Systeme. So stellt sich die Frage, ob Neuerungen einfach in Systeme und Prozesse integriert werden können oder ob dafür ganze Menschenmassen in Bewegung gesetzt werden müssen. Das gilt z.b. auch in Bezug auf Risiken in der Produktentwicklung: Wenn ein neues Produkt auf den Markt gebracht werden soll, die IT dafür aber acht Monate benötigt, besteht acht Monate lang das Risiko, dass die Konkurrenz das Produkt vorher anbietet. Schnelle und unkomplizierte Reaktionen auf den Markt und die zeitnahe Einbindung neuer Produkte in die Bestands- und Leistungssysteme sowie die Umsetzung gesetzlicher Änderungen beugen solchen wettbewerbs- und marktbezogenen Gefahren vor. intersoft: Zum Schluss eine Frage zu den Versicherungsforen Leipzig: Was leisten Sie in Bezug auf das Thema Risikomanagement und die Umsetzung der MaRisk (VA), auch im Hinblick auf Versicherungs-IT? Jens Ringel: Wir beschäftigen uns seit einigen Jahren intensiv mit den Themen Solvency II und MaRisk VA. Im Moment planen wir die Durchführung zweier Forschungsprojekte: Eines zum Thema IT-Risikomanagement von Versicherungsunternehmen, das stark auf die Umsetzung der MaRisk VA in der IT ausgerichtet ist, und ein zweites Projekt zum Thema Risikosteuerung und Limitsystem. Außerdem bereiten wir zurzeit zwei Veranstaltungen vor. Am 16./17. September geht es bei einem Erfahrungsaustausch um die Umsetzung des Proportionalitätsprinzips in kleinen und mittelgroßen Versicherungsunternehmen es gilt ja eine an den unternehmensindividuellen Risikoverhältnissen ausgerichtete Anwendung der Vorschriften, die demnach bei kleineren Unternehmen anders gehandhabt wird als in großen Konzernen. Und für den Jahresbeginn 2011 ist eine Konferenz zur Thematik Risikomanagement im Rahmen der wertorientierten Steuerung geplant. Das Interview führte Kathrin Eckert 5

6 Produkt-News SEPA-Fähigkeit für lifestream-zahlungsverkehr SEPA (S PA) bedeutet Single Euro Payments Area und schafft innerhalb der EU einen einheitlichen Binnenmarkt für den Zahlungsverkehr. In lifestream-zahlungsverkehr, der In- und Exkassokomponente aus der Softwaresuite lifestream, ist die SEPA-Fähigkeit mit einem Höchstmaß an Flexibilität umgesetzt. Für Versicherungsunternehmen bedeutet die Umstellung auf ein einheitliches Zahlungssystem ein hohes Maß an Aufwand, wenn man bedenkt, dass Versicherungsbeiträge fast ausschließlich durch Lastschrift oder Überweisung gezahlt werden. Ein Versicherungsunternehmen kann sich den Anforderungen von SEPA nicht entziehen, denn eine Nutzung von SEPA-Komponenten wie BIC und IBAN durch Kunden ist nicht zu verhindern. lifestream-release R die SEPA-Fähigkeit für den Bereich der SEPA-Überweisung hergestellt. Dabei steht eine defensive SEPA- Strategie im Vordergrund. Mit Einführung des Releases R haben Kunden in lifestream-zahlungsverkehr die Möglichkeit, SEPA-Überweisungen einerseits selbst auszuführen (z.b. im Bereich Leistungsauszahlung) als auch SEPA-Überweisungen, die von den Banken übermittelt werden (z.b. Beitragszahlungen), maschinell zu verarbeiten. In diesem Zusammenhang stehen den Kunden zusätzliche Konfigurationsmöglichkeiten zur Verfügung, mit denen die Einführung der einzelnen Schritte von SEPA- Überweisungen zeitlich gesteuert werden kann. Somit erhalten intersoft-kunden bei der Einführung der SEPA-Überweisung ein Höchstmaß an Flexibilität. Marc Köpcke Dabei unterscheidet man zwischen einer defensiven und einer offensiven SEPA-Strategie. Die defensive Strategie beinhaltet lediglich die nötigsten Anpassungen in den Prozessabläufen und Systemen einer Versicherungsgesellschaft, um SEPA-fähig zu sein. Bei der offensiven SEPA-Strategie werden umfangreichere Investitionen an Systemen vorgenommen. Ziel ist es dabei, durch die Umstellung und Neugestaltung der Systeme aus strategischer Sicht effizienter zu werden. Die Wahl der Versicherungsunternehmen zwischen einer defensiven oder offensiven SEPA-Strategie hängt maßgeblich davon ab, ob man strategisch im Ausland wachsen will oder ob man Kooperationen mit ausländischen Gesellschaften anstrebt. Des Weiteren sind die Bereiche SEPA-Überweisung und SEPA- Lastschrift separat zu betrachten. Während die Rahmenbedingungen für SEPA-Überweisungen definiert sind, gibt es im Bereich der SEPA-Lastschrift vom Gesetzgeber noch zu regelnde Punkte. Da die intersoft AG ihren Kunden eine moderne und hoch aktuelle Anwendungssoftware bietet, wird bereits mit dem Die Abbildung zeigt die insgesamt 32 Teilnehmerländer, die zum 1. November 2009 die Richtlinie der EU, die Payment Services Directive (PSD), in nationales Recht umzuwandeln hatten. Marc Köpcke ist Produktmanager bei der intersoft AG. 6

7 Impressum Feedback, Bestellung, Abbestellung Herausgeber: intersoft AG Frankenstraße 18a Hamburg Tel. 040 / , Fax info@intersoft.de, Verantwortlich für den Inhalt: Ulrich Reis (Vorstandsvorsitzender) Redaktion: Ulrich Reis, Panos Zarkadakis, Marc Köpcke, Kathrin Eckert Gestaltungskonzept: rogies:design, Hamburg Urheberrechte: Nachdruck nach Abstimmung mit dem Herausgeber unter Angabe der Quelle. Unterlagen werden zur Verfügung gestellt. presse@intersoft.de ist unsere Kontaktadresse für Bemerkungen rund um den Newsletter. Feedback: Anmerkungen und Fragen zu unserem Newsletter sind jederzeit willkommen. Bestellung: Falls Sie diesen Newsletter aus zweiter Hand erhalten haben und ihn in Zukunft direkt bekommen möchten, senden Sie bitte eine mit dem Betreff Newsletter bestellen. Abbestellung: Möchten Sie diesen Newsletter zukünftig nicht mehr bekommen? Senden Sie eine mit dem Betreff Newsletter abbestellen. 7