Neue Compliance-Anforderungen an -Kommunikation. Eine Best-Practise-Empfehlung an die IT

Transkript

1 Neue Compliance-Anforderungen an -Kommunikation Eine Best-Practise-Empfehlung an die IT Version 2.0 Stand

2 Inhalt 1 Die Ausgangslage Erfolgsstory und Problem zugleich Eine Flut von Regelungen Wie ist der Status Quo heute in den Unternehmen? Ein bewährter Lösungsansatz aus Sicht der IT Konzentration auf das Wesentliche Schrittweise Umsetzung Eine Checkliste für die Auswahl eines Systems Zusammenfassung... 9 Mehr Informationen erhalten Sie auf oder fragen Sie uns direkt per an info@gftinboxx.com. Copyright 2007 GFT Solutions GmbH. Alle Rechte vorbehalten. Weitergabe und Vervielfältigung dieser Publikation oder von Teilen daraus sind, zu welchem Zweck und in welcher Form auch immer, ohne die ausdrückliche schriftliche Genehmigung durch GFT Solutions nicht gestattet. In dieser Publikation enthaltene Informationen können ohne vorherige Ankündigung geändert werden. Die von GFT Solutions oder deren Vertriebsfirmen angebotenen Softwareprodukte können Softwarekomponenten auch anderer Softwarehersteller enthalten. Die Angaben im Text sind unverbindlich und dienen lediglich zu Informationszwecken. Produkte können länderspezifische Unterschiede aufweisen. Hyparchiv, inboxx und weitere im Text erwähnte Produkte und Dienstleistungen von GFT Solutions sowie die entsprechenden Logos sind Marken oder eingetragene Marken der GFT Solutions in Deutschland und anderen Ländern weltweit. Alle anderen Namen von Produkten und Dienstleistungen sind Marken der jeweiligen Firmen. Gedruckt auf umweltfreundlichem Papier. 2 / 9

3 1 Die Ausgangslage 1.1 Erfolgsstory und Problem zugleich Heutzutage ist als gängige Kommunikationsform in den Unternehmen etabliert. Immer mehr Vorgänge werden heute bereits papierlos intern oder extern zwischen Geschäftspartnern per abgewickelt. Die wachsende Anzahl von s und die Nutzung auch für geschäftskritische Informationen stellen die Unternehmen vor neue technische- und gesetzliche Anforderungen. Nach Erhebungen von IDC sendet und empfängt ein durchschnittlicher Benutzer am Tag etwa 84 s. Dabei steigen die Nutzungszahlen weiter kontinuierlich an und -Kommunikation ersetzt immer mehr den klassischen Post-Papier-Weg. Tagtäglich erleben wir, wie unsere Kommunikation verbessert und Abstimmungsprozesse vereinfacht. Mit dem enormen Erfolg wachsen aber auch die Probleme dieses Kommunikationsweges. Neben Kosten und Systemstabilität tritt jedoch ein weiteres wichtiges Motiv für -Archivierung in den Vordergrund: Compliance. Die Nutzung von als vollwertiger Kommunikationsweg bringt neue gesetzliche und steuerrechtliche Anforderungen an die Aufbewahrung, Archivierung und den Umgang mit dem Medium mit sich. Dieses Whitepaper zeigt eine Best-Practise für den Umgang mit Compliance-Anforderungen bzgl. E- Mail für die IT auf. 1.2 Eine Flut von Regelungen Da -Kommunikation heute intern wie extern ein unverzichtbares Instrument geworden ist, stellt sich die Frage, wie dieser Kommunikationskanal in Bezug auf interne Compliance Richtlinien oder externe Gesetzgebung zu behandeln ist. Die Gesetzeslage ist dazu leider sehr vielschichtig. Zum einen gelten Anforderungen aus der nationalen Gesetzgebung wie in Deutschland das deutsche HGB oder steuerliche Gesetzgebungen wie GDPdU. Weiterhin unterliegen die Unternehmen lokalen Gesetzgebungen in den Zielmärkten wie z.b. dem Sarbanes-Oxley Act in den USA oder Regelung seitens Minefi in Frankreich. Dazu kommen branchen- oder funktionsbezogene Regelungen wie MiFID im Finanzdienstleistungsumfeld oder spezielle Regelungen für Investor-Relations-Mitarbeiter im Wertpapierhandelsgesetz. Darüber hinaus sind selbst auferlegte Regelungen wie z.b. der Corporate Governance Codex oder Basel II zu beachten. 3 / 9

4 Abb.: Verschiedene Quellen für Compliance-Anforderungen an -Kommunikation Die Fülle der Anforderungen ist unüberschaubar und im Einzelnen z.t. sogar widersprüchlich: Während das HGB die Form der Aufbewahrung dem Unternehmen überlässt, schränkt GDPdU dies für steuerlich relevante Informationen auf die originär elektronische Form ein. Hier nur einige Beispiele: HGB: s sind Handelsbriefe und als solche sechs Jahre aufzubewahren GDPdU: Originär elektronische Dokumente sind langfristig elektronisch auswertbar aufzubewahren Basel II: Banken müssen nachweisen, wann eine risikorelevante Information das Haus erreicht hat SOX: Die Einhaltung definierter Entscheidungswege ist zu dokumentieren An vielen Stellen werden zunächst die Fachabteilungen in den Unternehmen darüber zu befinden haben, wie die Regelungen umgesetzt werden können. Dennoch stellt sich die Frage, wie die IT mit diesem Wust an Anforderungen umgehen soll. Zusammenfassend ist jedoch festzuhalten, dass sich alle Experten darin einig sind, dass wesentliche Teile der -Kommunikation langfristig archiviert werden sollte. Die Analysten Carolyn DiCenzo 4 / 9

5 und Kenneth Chin von Gartner Research formulieren das treffend: An effective management policy is essential for organizations in today's litigious environment Wie ist der Status Quo heute in den Unternehmen? In den meisten Unternehmen ist die Handhabung dieses Problems noch sehr ungeordnet. Nutzer verwalten s mit hohem Aufwand weitgehend auf sich allein gestellt und löschen oder archivieren s nach eigenem Ermessen. Die Archivierung erfolgt meistens in Form von PST- oder NSF-Dateien, die für eine langfristige Aufbewahrung völlig ungeeignet sind. Beim Ausscheiden oder Wechsel von Mitarbeitern ist die - Kommunikation daher weitgehend eine Blackbox. Suche und Recherche nach -Kommunikation ist im Bedarfsfall aufwendig, zufällig und lückenhaft. Das Wiederherstellen von s aus Backups bindet im Fall der Fälle enorme Helpdesk und Administratoren-Ressourcen und kann Tage oder Woche dauern. Nutzer verbringen Stunden mit der manuellen Organisation ihrer Postfächer, um Größenbeschränkungen einzuhalten oder wichtige Informationen abzulegen. Gartner Research hat ermittelt, dass ein Unternehmen mit 1000 Mitarbeitern etwa $ pro Monat in das manuelle Management von s investiert. Trotz dieses enormen Aufwandes bleiben wesentliche Fragestellungen aus Sicht der Compliance ungelöst. Nachdem wir unser Ziel endgültig aus den Augen verloren hatten, verdoppelten wir unsere Anstrengungen. (Mark Twain) 1 Gartner Research, Carolyn DiCenzo, Kenneth Chin: Magic Quadrant for Active Archiving, 2007, / 9

6 2 Ein bewährter Lösungsansatz aus Sicht der IT 2.1 Konzentration auf das Wesentliche Wir haben die verschiedenen Anforderungen und Regelungen zum Thema Compliance umfassend untersucht. Die Anforderungen sind in zwei Gruppen zu unterschieden: Generelle Anforderungen bzgl. Archivierung und Suche sowie spezifische Anforderungen zu Prozessen, Strukturen und Kontrollmechanismen. Abb.: Aufteilung in zwei Anforderungsgruppen Nach unserer Einschätzung sollte die IT sich auf die generischen Anforderungen konzentrieren und den Fachseiten die spezifischen Anforderungen zur Klärung überlassen. Diese Einschätzung deckt sich auch mit den Empfehlungen von Gartner Research. The legal department and business units, not the IT organization, should set records retention schedules and design the processes for meeting them. The IT organization needs to automate these policies and processes. 2 Im Detail ergeben sich aus Compliance-Sicht daraus folgende Kernanforderungen: 1. Sichere Langzeitarchivierung aller eingehenden, ausgehenden und internen s inklusive Metadaten und Anhänge in einer revisionssicheren Form, die eine Wiederherstellung des Originalformats erlaubt. 2. Technisch und organisatorisch sicher skalierbares Modell - auch wenn sich das - Aufkommen alle 3 Jahre verdoppelt. 3. Leistungsstarke Suchfunktionen über alle s und Anhänge unabhängig vom Format. Mit diesen Kernfunktionen lassen sich alle Compliance-Anforderungen für -Kommunikation aus Sicht der IT erfüllen. 2 Gartner Research, Debra Logan: What IT Managers Should Do About Compliance, / 9

7 Es empfiehlt sich für die IT, eine Basisinfrastruktur einzuführen, die kurzfristig die Grundlage dafür schafft, Compliance-Anforderungen zu erfüllen. Im Mittelpunkt der Lösung sollte das Ziel stehen, dass notwendige Übel, also die Erfüllung gesetzlicher Vorgaben und selbstauferlegter Compliance Richtlinien, mit dem Angenehmen, d.h. der Nutzung von Verbesserungen in der IT und generellen Einsparungspotenzialen zu verbinden. 2.2 Schrittweise Umsetzung Daraus lässt sich ein sinnvolles Vorgehen in zwei Schritten ableiten: Schritt 1: Setzen Sie die Kernanforderungen aus Sicht der IT mittels einer geeigneten - Archivierungslösung um. Schritt 2: Nachdem die Fachseiten ihre Hausaufgaben gemacht und spezifische Prozesse und Strukturen formuliert haben, setzen Sie diese Anwendungen auf Ihre - Archivierungslösung auf. Schritt 1 sollten Sie sofort machen. Jede , die Sie heute nicht sicher archivieren, kann morgen entscheidend sein. Mit modernen -Archivierungslösungen wie inboxx kann dieser erste Schritt ohne großes Projekt innerhalb weniger Tage erfolgen. Damit erfüllt die IT-Abteilung die grundsätzlichen Anforderungen bezüglich Compliance und ist in der Lage, jederzeit und mit geringem Aufwand jede zu reproduzieren. Damit der zweite Schritt gemacht werden kann, sind zunächst die Fachseiten gefordert im Detail die gesetzlichen Anforderungen in Prozesse umzusetzen. Dazu wird viel organisatorische und rechtliche Detailarbeit geleistet werden müssen und Ergebnisse werden erst in Monaten oder gar Jahren vorliegen. Darüber hinaus werden sich die Details häufiger ändern und völlig neue Anforderungen hinzukommen. Damit wird dieser zweite Schritt quasi ein unaufhörlicher Adaptionsprozess für die Fachseiten werden. Aus diesem Grund kann kein verantwortlicher IT-Manager auf die Vorgaben der Fachseiten warten, um die ohnehin generischen Kernanforderungen umzusetzen. Er würde sich damit der Gefahr aussetzen, im Zweifelsfall für nicht reproduzierbare -Kommunikation verantwortlich gemacht zu werden. Da mit der Einführung einer -Archivierungskomponente erhebliche Einsparungen im Bereich der Infrastruktur und Administrationsaufwände verbunden sind, empfiehlt es sich darüber hinaus diese Technologie so schnell wie möglich im Unternehmen einzuführen. Auch wenn es gedanklich naheliegt, zeigt die Praxis, dass die Unternehmen nicht gut damit fahren, das Thema -Archivierung in der gleichen Weise anzugehen, wie das Thema Dokumentenmanagement. Dabei liegen die Gründe weniger in der Technologie begründet, als 7 / 9

8 vielmehr im Vorgehen. Klassische Enterprise Content Management Ansätze sind bei der - Kommunikation oft allein schon dadurch zum Scheitern verurteilt, dass sie in aufwändigen Abstimmungs- und Definitionsprozessen mit den Fachseiten über Ablagestrukturen, Indexierung, u.s.w. münden. 2.3 Eine Checkliste für die Auswahl eines Systems Insgesamt sind im Blick auf Compliance fünf wesentliche Kriterien bei der Auswahl einer Lösung für E- Mail-Archivierung zu beachten: Unterstützung von vollständigem Journaling und selektiver, regelbasierter Archvierung Die Unternehmen sind rechtlich gezwungen, Auflagen des Datenschutzes bezüglich privater s zu beachten. Je nach Situation und Handhabung von privaten s im Unternehmen müssen unterschiedliche Archivierungsrichtlinien berücksichtig werden. Ein vollständiges Journaling aller s ist daher im ersten Schritt aus betrieblichen Gründen nicht umsetzbar, auch wenn es langfristig als Ziel angestrebt werden sollte. Volltextsuche in allen Anhängen (auch gescannten Dokumenten mittels OCR) Viele Unternehmen erhalten aus Compliance-Sicht interessante Dokumente wie Verträge u.a. in gescannter Form entweder als Anhang an eine Mail, oder per Fax und interner Verteilung per . Im Gegensatz zu inboxx, unterstützen die meisten am Markt verfügbaren - Archivierungssysteme keine Volltextsuche in gescannten Dokumenten, weil sie nicht über eine integrierte OCR-Technologie verfügen. Damit wird aber der Grundgedanke von vollständiger Suche konterkariert, da wichtige Dokument nicht gefunden werden. Den Unternehmen bleibt dann im Zweifelsfall nicht erspart aufwändig manuell s mit relevanten Dokumenten zu suchen. Unterstützung mehrere -Infrastrukturen Mergers & Acquisitions sowie Migrationen zwischen verschiedenen Produktwelten führen häufig zu unterschiedlichen -Infrastrukturen in Unternehmen. Ein Archivierungsprodukt sollte daher ein breites Spektrum an Plattformen unterstützen. Minimum ist aus unserer Sicht ist die Unterstützung von IBM Lotus Notes, Microsoft Exchange, Novell GroupWise sowie SMTP- und IMAP-basierte Plattformen. Geringer Einführungsaufwand Bei der Auswahl eines Systems für -Archivierung ist die Geschwindigkeit der Einführung ein sehr maßgeblicher Faktor. Der Kern der Compliance-Anforderungen sollte innerhalb weniger Tage umgesetzt werden können. Ausbau zu vollwertigem Compliance-Archiv Die zugrundeliegende Archivierungsplattform sollte in der Lage sein, neben s auch 8 / 9

9 andere Formate und Medien wie Dokumente, Telefonaufzeichnungen, Video oder Online- Inhalte integriert zu archvieren. Nur damit kann einem langfristigen e-discoveryansatz erfolgreich Rechnung getragen werden. Diese fünf Kriterien sollten zwingend von der ausgewählten Lösung erfüllt werden. Andernfalls kann nicht davon ausgegangen werden, dass langfristig die Compliance-Anforderungen an das Unternehmen gedeckt werden können. 3 Zusammenfassung Das quantitative und qualitative Wachstum der -Kommunikation erfordert neue Wege im technischen und organisatorischen Management von s. Zahlreiche Compliance-Anforderungen erfordern schon heute eine lückenlose und sichere Archivierung von s. Da die Zahl der zu beachtenden Compliance-Regelungen schon heute selbst für kleinere Unternehmen beachtlich ist, macht es für die IT keinen Sinn, sich im Detail mit diesen Anforderungen zu beschäftigen, um zu einem Kriterienkatalog für die Auswahl einer -Archivierungssoftware zu kommen. Vielmehr sollte die IT ein Produkt auswählen, dass die in diesem Whitepaper genannten Kernanforderungen abdeckt. Bei der Auswahl des Produktes sollte insbesondere darauf geachtet werden, dass die Einführung ohne aufwändiges IT-Projekt erfolgen kann. 9 / 9