Compliance und Dokumenten-Management Dr. Ulrich Kampffmeyer 6. Dezember 2005

Transkript

1 IT Compliance Frankfurt, P R O J E C T C O N S U L T GmbH GmbH 1 Agenda GmbH 2 als Unterstützung zur Erfüllung von Compliance-Vorgaben Anwendungsfälle für den Einsatz: SOX, Basel II, CoBS, GDPdU und andere Grundsätze der elektronischen Archivierung Enterprise Content Management als Infrastruktur für Compliance Möglichkeiten und Grenzen des elektronischen Ausblick: Insellösungen vermeiden. Compliance ist eine durchgängige Anforderung 1

2 als Unterstützung zur Erfüllung von Compliance-Vorgaben GmbH 3 Archivierung von Daten und Dokumenten: keine neue Frage! GmbH 4 In der alten Bürowelt gab es stets die Fragen: Was kann weggeworfen werden? Im Ordner kann ich blättern und finde immer alles... Ein Büro ohne Papier ist genauso sinnvoll wie eine Toilette ohne Papier. (Unbekannt) In der neuen digitalen Welt folgende: Was muss gespeichert werden...und in welcher Form?...bevor es für immer verloren ist? Wie wird der Kontext einer Web-Transaktion sicher dokumentiert? Werden Dokumente mit Metadaten verbunden und die Verarbeitung dokumentiert? In absehbarer Zukunft werden die Benutzer mit einen komplexen Mix aus Datei-Typen umgehen müssen, die nicht nur von verschiedenen Quellen stammen, sondern auch an verschiedene Stellen versendet werden müssen. 2

3 2002 Copyright GmbH 2002 / Autorenrecht Copyright GmbH 2002 / Autorenrecht Elektronische Daten und Dokumente haben eine neue Qualität! GmbH 5 Der neue Dokumenten-Begriff Ein Dokument kann heute alles sein: GmbH 6 gescannte Faksimiles s mit Attachment Office-Dateien Host-Output Web-E-Business-Formulare Transaktionen dynamische HTML-Seiten digitale Video- und Ton-Aufzeichnungen dreidimensionale Vektorgebilde Datensätze mit zugewiesener Struktur elektronisch signierte Dateien Container mit beliebigen digitalen Komponenten etc. 3

4 Copyright GmbH 2002 / Autorenrecht Copyright GmbH 2002 / Autorenrecht Der Document Life-cycle GmbH 7 Der Dokumenten-Lebenszyklus Nutzung Erfassung Verwaltung Ausgabe GmbH 8 Elektr. Archivierung Speicherung 4

5 Copyright GmbH 2002 / Autorenrecht Elektronische Archivierung GmbH 9 Grundsätzlich dient die elektronische Archivierung zur langfristigen, sicheren, authentischen und unverfälschbaren elektronischen Speicherung von Daten, Informationen, Dokumenten, Content und Records. Unter elektronischer Langzeitarchivierung versteht man die Bereitstellung von Daten und Dokumenten über einen Zeitraum von mindestens 10 Jahren. Dies entspricht der Aufbewahrungsfrist von Handelsbriefen. Unter revisionssicherer elektronischer Archivierung versteht man Archivsysteme, die nach den Vorgaben von 239, 257 HGB, 146, 147 AO und GoBS beliebige Informationen sicher, unverändert, vollständig, ordnungsgemäß, verlustfrei reproduzierbar und datenbankgestützt recherchierbar verwalten. Anforderungen an unternehmensweite elektronische Archivsysteme GmbH 10 Speicherung aller Arten von Informationen Konsistente Langzeitspeicherung unveränderlicher Informationen Dienstekonzept Eigener Recherche-Client oder Integration in vorhandene Anwendungen Zentrale und verteilte Indexdatenbanken Modular ausbaubar Schutz für den Zugriff auf Informationen Sicherheit der Systeme Einfache Nutzbarkeit und einfacher Betrieb 5

6 2002 Copyright GmbH 2002 / Autorenrecht Funktionale Anforderungen GmbH 11 Grundfunktionen Erfassen Erschließen Verwalten Speichern Finden Zugänglich machen Sichern Reproduzieren Integrieren Copyright GmbH 2002 / Autorenrecht Migrieren Architektur von elektronischen Archivsystemen Archivsystem Management Archivsystem Speicher Index Datenbank GmbH 12 6

7 PROJECT CO NSULT 2002 Autorenrecht D r. Ulric h Kampff meyer Architektur von Archivsystemen Traditionelle Referenz-Datenbank Pointer GmbH 13 Referenz- Datenbank Jukebox Magnetplatte Bandarchiv Revisionssicherheit Revisionssicherheit ist eine Verfahrenseigenschaft und keine Produkteigenschaft Keine Zertifizierung von Produkten Revisionssicherheit ist nur für ein bestimmtes Unternehmen für eine bestimmte Zeit feststellbar GmbH 14 7

8 Sonderfall -Archivierung GmbH 15 Archivierung von s Rechtsregeln für die -Archivierung Archivierungspflicht für empfangene und abgesandte Handelsbriefe, 257 HGB. Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme GmbH 16 8

9 Anforderungen an eine -Archivierung (1) GmbH 17 Langzeitarchivierung aller in einer Mail enthaltenen Informationen, einschließlich Formatierungen, Rechteinformationen und Anhänge. Hohe Skalierbarkeit in Bezug auf Anzahl zu archivierender Mail und Datenvolumina. Wiederherstellen der archivierten Mails ohne Informationsverluste Wahlweise vollständiges oder teilweises Löschen von bereits archivierten s aus dem führenden Mailsystem (z.b. Löschen der Anhänge und/oder des Mailtextes) Anforderungen an eine -Archivierung (2) GmbH 18 Komprimierung der archivierten Dokumente Archivierung von signierten und verschlüsselten Maildokumenten Konvertierung der Anhänge und/oder des Mailtextes in Bild- bzw. Richtext Formate Single Instance Archivierung Elektronische Posteingangs- und Postausgangsbücher Statistische Auswertungsmöglichkeiten aller abrechnungsrelevanten Aktionen 9

10 Speichermedien GmbH 19 Der Gesetzgeber schreibt kein bestimmtes Speichermedium vor! GmbH 20 10

11 Standards von Speichermedien Digitale optische Speichermedien: WORM (Write Once Read Many) CD (Compact Disk) PROJECT CONSU LT 2002 Urheberrechte Dr. Ulri ch Kampffmeyer DVD (Digital Versatile Disk) Werden physikalische WORM-Medien überhaupt noch gebraucht? GmbH 21 WORM Speichermedien Traditionelle WORM (Write Once Read Many) GmbH 22 Lagerung in einer geschützten Cartridge True WORM sind physisch nur einmal beschreibbare Medien Soft WORM sind im Prinzip wiederbeschreibbare Medien Lesbarkeit der Daten bis 40 Jahre garantiert 5 ¼ ist am weitesten verbreitet Aufnahmekapazität bis zu 30 GB je Medium (UDO) Zugriff i.d.r. über SCSI (1,2-2,3 MByte/s), relativ gering Teure Medien (ca. 40 ) 11

12 WORM Speichermedien CD (Compact Disk) GmbH 23 CD-ROM (ist nur lesbar, nicht beschreibbar) CD-R (einmal beschreibbar, dann nur noch lesbar) CD-RW (ca fach beschreibbar, dann nur noch lesbar) CD-I (Interaktive Spiele etc.) Photo-CD CD-Extra (Audio -und Datenspur nebeneinander) Lesbarkeit der Daten Jahre Aufnahmekapazität bis zu 800 MB je Medium Zugriff über SCSI oder IDE (bis zu 10,8 MB/sek.) Günstige Medien (ca. 0,15 ) WORM Speichermedien DVD (Digital Versatile Disk) Gleiche Abmessung wie eine CD Zwei Schichten pro Seite (beidseitig) Verschiedene Formate, weitere zu erwarten Aufnahmekapazität bis zu 17 GB je Medium Zugriff über SCSI oder IDE (20,8 MB/sek.) Teurere Medien (ca. 5 ) GmbH 24 12

13 2002 Der Speichermanagement für die WORM: die Jukebox GmbH 25 Jukeboxen sind softwaregesteuerte, automatische Medienverwaltungssysteme für rotierende Speichermedien. Sie verwalten: online Medium befindet sich im Laufwerk nearline Medium befindet sich in der Jukebox und wird von der Steuersoftware automatisch gefunden und in ein freies Laufwerk eingelegt offline Medium muss auf Anforderung der Steuersoftware der Jukebox manuell zugeführt werden; anschließend wie Nearline WORM-Tapes GmbH 26 Von Sony (AIT) oder StorageTek (VolSafe) Auch für die allgemeine Bandsicherung nutzbar Hohe Sicherheit bei ordnungsgemäßem Rechenzentrumsbetrieb und der regelmäßigen Migration Aufnahmekapazität bis zu 512 GB je Medium (komprimiert) Zugriffsgeschwindigkeiten mit denen von herkömmlichen WORMs vergleichbar oder schneller Medien durch große Kapazität relativ günstig (120 ) 13

14 2002 Festplattenspeicher Z.B. Centera von EMC Einfaches Management Sehr schnell Datenzugriffe Unveränderbarkeit und Wahrung der Authentizität der Daten Wahrung der Integrität Replikation Ein 19inch Rack fasst bis zu 9,6TB (gespiegelt) GmbH 27 Anwendungsfälle für den Einsatz: SOX, Basel II, CoBS, GDPdU und andere GmbH 28 14

15 Was ist Compliance? Übereinstimmung mit und Erfüllung von rechtlichen und regulativen Vorgaben GmbH 29 Übereinstimmung GmbH 30 Es wird vorausgesetzt, dass es nachlesbare, definierte, offizielle Vorgaben gibt, die die Regeln enthalten, was zu tun ist Hier ist Übereinstimmung gefordert, ohne das die Regeln meistens eine technische Vorgabe enthalten, wie die Anforderung umzusetzen ist Es ist sinnvoll, da sich solche Vorgaben nicht an einer Technologie festmachen sollten, die in ein paar Jahren schon wieder obsolet ist Übereinstimmung ist statisch bezogen auf die Vorgabe 15

16 Erfüllung GmbH 31 Der Begriff Erfüllung impliziert zweierlei: Einmal, das die Anforderungen in einer Lösung umgesetzt werden müssen, und zum Zweiten, dass dies ein Prozess ist, keine einmalige Aktion Das Unternehmen oder die Organisation muss kontinuierlich für die Einhaltung der Vorgaben Sorge tragen Erfüllung geht dabei meistens über eine rein technische Lösung hinaus und beinhaltet auch organisatorische und Management-Aspekte Erfüllung ist dynamisch, ein ständig laufender, kontrollierter Prozess Rechtliche Vorgaben Gesetze oder behördliche Verordnungen, die bestimmte Unternehmen, Organisationen oder Personen verpflichten, die jeweils aufgeführten Regelungen einzuhalten Man kann sich nicht um die Erfüllung drücken, lediglich in Hinblick auf Auslegung, Umfang und Umsetzungsweise besteht Handlungsspielraum GmbH 32 16

17 Regulative Vorgaben Warum unterscheidet man zwischen rechtlich und regulativ? Es gibt eine Reihe von Vorgaben, die sich nicht auf Gesetze berufen wie z.b. Normen, Standards, Codes of Best Practice von Branchen oder andere Vorgaben Vielfach ergeben sich aus gesetzlichen Vorgaben für einen Anwendungsfall auch Auswirkungen und implizite Anforderungen für andere Fälle GmbH 33 Grundsätzlich Alle rechtlichen und gesetzlichen Vorgaben gelten auch in der elektronischen Welt! Die Anforderungen der DV-Welt sind jedoch häufig noch nicht oder nicht direkt enthalten und müssen daher adäquat abgeleitet werden GmbH 34 17

18 Unterschiede Direkte Auswirkungen HGB AO / GDPdU / GOBS Verrechnungspreisdokumentation Indirekte Auswirkungen Basel II (für Nicht-Banken ) BDSG GmbH 35 Regulative Vorgaben International USA Europa Deutschland ausgewählte Branchen GmbH 36 18

19 Basel II GmbH 37 Mit Basel II" ist die Neugestaltung der Eigenkapitalvorschriften der Kreditinstitute bezeichnet Der Basler Ausschuss für Bankenaufsicht eröffnete mit der Vorlage eines Konsultationspapieres im Juni 1999 die Diskussion, die am abgeschlossen wurde Ziel von "Basel II" ist es, die Stabilität des internationalen Finanzsystems zu erhöhen Dazu sollen die Risiken im Kreditgeschäft besser erfasst und die Eigenkapitalvorsorge der Kreditinstitute risikogerechter ausgestaltet werden Sarbanes Oxley Act von 2002 TOP auf der Prioritätenliste von CIO und CEO GmbH 38 Verabschiedet nach großen Finanz-Skandalen amerikanischer Unternehmen Vertrauen der Anlieger wieder stärker Einführung eines Internen Kontrollsystems (IKS) Section 404: detaillierte Dokumentation jedes signifikanten Geschäftsprozesses wie dieser initiiert, autorisiert, aufgezeichnet, durchgeführt und berichtet wird. Fokus: Alle Kontrollprozesse rund um die Rechnungslegung. Section 302: direkte Verantwortung des Managements eines Unternehmens 19

20 Sarbanes-Oxley-Act (SOX oder SOA) GmbH 39 Nach den beiden Leitern der Kommission benannt, die das Gesetz entworfen haben Das Gesetz findet Anwendung für alle Unternehmen, die an der New York Stock Exchange gelistet sind SOX hat die Aufgabe, die Transparenz und Nachvollziehbarkeit in den Unternehmen bei Prüfungen durch die SEC, Securities und Exchange Commission, zu verbessern Unternehmen werden verpflichtet, u.a. ein internes Kontrollsystem für die Rechnungslegung zu unterhalten, die Wirksamkeit der Systeme zu beurteilen und die Richtigkeit der Jahres- und Quartalsberichte beglaubigen zu lassen SOX wurde als Folge von Bilanzskandalen und Unternehmenszusammenbrüchen durch die USamerikanische Legislative 2002 erlassen und stellt die bedeutendste Änderung der US-Wertpapiergesetze seit 1933/34 dar Sarbanes-Oxley-Act GmbH 40,,... whoever knowingly alters, destroys, mutilates, conceals, covers up, falsifies or makes a false entry in any record, document or tangible object with intent to impede, obstruct or influence the investigation or proper administration of any matter within the jurisdiction of any department or agency of the United States or any case filed under title 11 or in relation to, or contemplation of any such matter of case, shall be fined under this title, imprisoned not more than 20 years, or both." (Quelle: Sarbanes-Oxley Act of 2002, Sec. 802, 1519) 20

21 Beispiele aus den Richtlinien der EU E-Commerce Elektronische Signatur Umsatzsteuer u.a. GmbH 41 Compliance in Europa Europa: das große, umfassende Ereignis wie der Sarbanes-Oxley Act (SOA) fehlt Keine industrieübergreifende Fokussierung auf Compliance Europäische Gerichte / EU diskutieren mehr Regularien, aber nichts zu SOA vergleichbares wurde implementiert 8. Direktive setzt Standard für Bilanzierungsrichtlinien von börsennotierten Unternehmen GmbH 42 21

22 2002 Compliance in Deutschland GmbH 43 Viele der neuen Regularien haben ihren Ursprung in der europäischen Gesetzgebung Mit etwas Zeitverzögerung wird jede Richtlinie der Europäischen Kommission in nationales Recht überführt, so dass es sich lohnt, immer einen Blick auf die Vorgaben und Entwicklungen Brüssels zu werfen Bereits durch die Richtlinien zum E-Commerce und zur elektronischen Signatur sind eine Reihe von Anforderungen für Compliance in Deutschland entstanden Verordnungen und Umsetzungsrichtlinien Überblick GmbH 44 GoBS Grundsätze ordnungsgemäßer DV-gestützter Buchführungssysteme GDPdU Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen SiGV Signaturverordnung SRVwV Allgemeine Verwaltungsvorschrift über das Rechnungswesen in der Sozialversicherung u.a. 22

23 GoBS Grundsätze ordnungsgemäßer DV-gestützter Buchführungssysteme GmbH 45 Die GoBS besteht aus einem BMF-Schreiben und einer Ausarbeitung der AWV, die im Bundessteuerblatt Teil 1 vom veröffentlicht wurde Die Anforderungen gelten nicht nur für Buchführungssysteme sondern sind auch für und elektronische Archivsysteme anzuwenden In der GoBS ist im Detail geregelt: wie mit gescannten Dokumenten und originär elektronischen Daten umgegangen werden muss, wie das IKS Interne Kontrollsystem beschaffen sein muss, welche Anforderungen an die Sicherung und Bereitstellung von elektronisch gespeicherten kaufmännischen Informationen bestehen, dass eine Verfahrensdokumentation zu erstellen und zu pflegen ist, etc. GoBS Grundsätze ordnungsgemäßer DV-gestützter Buchführungssysteme Die GoBS sind daher von grundlegenderer Bedeutung für das Thema Archivierung als die GDPdU. Die GDPdU regelt nur den Datenzugriff und die Datenträgerüberlassung, die GoBS enthalten dagegen die Vorgaben zur ordnungsgemäßen Aufbewahrung. Die GoBS sind in der GDPdU als maßgebliches Dokument referenziert. GmbH 46 23

24 Grundsätze ordnungsgemäßer DV-gestützter Buchführungssysteme (GOBS) GmbH 47 Bei den GoBS handelt es sich um Vorschriften mit bundesweiter Gesetzeskraft (BMF-Schreiben von 1997) Sie schreiben bei elektronischer Buchführung die Dokumentation betroffener Geschäftsvorfälle und des Gesamtsystems vor In den GOBS sind die Grundsätze für die revisionssichere Archivierung und die Verfahrensdokumentation festgelegt Handels- und Steuerrecht fordern die Einhaltung der GOBS ein GDPdU GmbH 48 Was heißt GDPdU? Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen Umfeld Buchhaltungsdaten Sonstige steuerrechtlich relevante Informationen und Dokumente Gültigkeit Brief vom BMF Umzusetzen ab Übergangsregelungen abgelaufen Herkunft Steuerreform (StSenkG) HGB AO 24

25 Wichtige Aussagen der GDPdU I. Datenzugriff GmbH 49 Prüfungsgegenstand sind wie bisher nur die aufbewahrungspflichtigen Unterlagen Recht auf direkten Zugriff auf kaufmännische Systeme mit Recherchemöglichkeit Drei additive Formen des Zugriffs: Z1 die eigenständige Recherche beim Steuerpflichtigen mit Unterstützung durch das Personal des Steuerpflichtigen (Unmittelbarer Zugriff) Z2 Zurverfügungstellung von Auswertungen durch den Steuerpflichtigen entsprechend den Vorgaben des Prüfers (Mittelbarer Zugriff) Z3 die Mitnahme von Medien mit allen Daten und Dokumenten für die Prüfung im Finanzamt (Datenträgerüberlassung) Wichtige Aussagen der GDPdU II. Prüfbarkeit digitaler Unterlagen GmbH 50 Elektronische Unterlagen sind: Elektronische Abrechnungen Die qualifizierte elektronische Signatur ist Bestandteil der elektronischen Abrechnung Elektronisch signierte Dokumente Sonstige aufbewahrungspflichtige Unterlagen i.s.d. 147 Abs. 1 AO, die digitalisiert sind und nicht in Papierform übermittelt werden Aufbewahrungsfristen Speicherung von Zertifikaten Protokollierung Konvertierung Verarbeitung Indexänderungen Transformationen 25

26 Wichtige Aussagen der GDPdU III. Archivierung digitaler Unterlagen Maschinelle Auswertbarkeit COM-Verfilmung nicht mehr ausreichend PDF, TIFF und andere Image-Formate für ursprünglich auswertbare Dateien nicht zulässig Nur einmal beschreibbare digitale Speicher (WORM-Verfahren: write once read many) GmbH 51 Compliance in unterschiedlichen Branchen Pharma: GMP, FDA Industrie / Anlagenbau: Einzelvertrag, DIN-Normen, Verbandsrichtlinien Bankenwesen: Kreditvergaberichtlinien, Basel II Versicherungen: Verträge, Rückversicherungsverträge, v. a. bei hohen Risiken Telekom: Kundenakte, Abrechnungsinformationen Öffentliche Verwaltung: DOMEA generische Anforderungen GmbH 52 26

27 Information Management Compliance als Bestandteil von Corporate Governance GmbH 53 Grundsätzliche Kriterien für Compliance GmbH 54 Authentizität Vollständigkeit Nachvollziehbarkeit Zugriffssicherheit Geordnetheit Integrität Auffindbarkeit Reproduzierbarkeit Unverändertheit Richtigkeit Prüfbarkeit Portabilität Vertrauenswürdigkeit 27

28 Information Management Compliance (IMC) IMC hat nicht nur mit Technik zu tun, sie muss sich im gesamten Unternehmen, im Umgang mit Information und in den Prozessen einer Organisation widerspiegeln Sie hat mit Verantwortung von Personen und deren Tätigkeit, Nachvollziehbarkeit und Qualitätsstandards zu tun Information Management Compliance ist eine Abbildung all dieser Komponenten in elektronischen Systemen Diese beinhalten nicht nur Komponenten wie Records Management und Archivierung, sondern Datensicherung und Datensicherheit, Zugriffsschutz, Kontrollsysteme und andere Komponenten GmbH 55 Vier Komponenten für Information Management Compliance (1) 1. Information Management Policy Grundregeln und Verwaltensweisen für den Umgang mit Prozessen und Informationen, die sich in der Corporate Governance niederschlagen. Dies schließt die das Bewusstmachen, die Zuordnung der Verantwortung, und die Verankerung der Policy im Management der Organisation ein. Das Management trägt hier nicht nur die eigene Verantwortung für die Einhaltung der Regularien, sondern auch für Umsetzung im Unternehmen mit Vorbildfunktion GmbH 56 28

29 Vier Komponenten für Information Management Compliance (2) GmbH Delegation Zuordnung von Verantwortlichkeiten und entsprechende Ausbildung auf den nachgeordneten Ebenen, die allen Betroffenen die Bedeutung von Compliance-Regeln deutlich macht. Dies schlägt sich auch in den Arbeitsprozessen, Arbeitsplatzbeschreibungen, Verträgen und Arbeits-anweisungen nieder Auf den verschiedenen Ebenen einer Organisation muss abhängig von Aufgaben und Zuständigkeiten der Mitarbeiter eine Durchgängigkeit erzeugt werden Vier Komponenten für Information Management Compliance (3) 3. Nachhaltung Die Einhaltung der Regeln muss regelmäßig überprüft werden. Hierzu gehören z.b. Qualitätssicherungsprogramme ebenso wie Audits. Dabei ist auf eine ständige Verbesserung der Prozesse und auf die Nachführung der Dokumentation zu den durchgeführten Maßnahmen Wert zu legen GmbH 58 29

30 Vier Komponenten für Information Management Compliance (4) 4. Sichere Systeme Die IT-Systeme müssen den Anforderungen mit ihrer Funktionalität, Sicherheit und Verfügbarkeit genügen und die Nachvollziehbarkeit unterstützen. Compliance beschränkt sich hier nicht nur auf die Anwendungsfunktionalität und das Dokumentenmanagement sondern schließt den gesamten Betrieb der Lösung ein GmbH Compliance-Merksätze (1) 1. Compliance-Themen gehören auf die Entscheiderebene, die die Verantwortung für die Einhaltung und Umsetzung der Anforderungen haben 2. Compliance-Anforderungen sind ein Bestandteil jedweder Corporate Gover-nance Strategie 3. Unternehmen benötigen eine Richtlinie zum Umgang mit Informationen, eine Information Policy, die die Compliance- Anforderungen und die Lösung zur Umsetzung der Anforderungen beinhaltet GmbH 60 30

31 10 Compliance-Merksätze (2) 4. Compliance muss durchgängig im Unternehmen implementiert werden um wirksam zu sein 5. Die Erfüllung von Compliance-Anforderungen ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess 6. Die Erfüllung von Compliance-Anforderungen muss regelmäßig nach definierten Verfahren überprüft werden 7. Information Management Compliance betrifft nicht nur Software und Systeme sondern die Prozesse im Unternehmen, die Organisation und den Umgang mit den Systemen GmbH Compliance-Merksätze (3) 8. Compliance-Anforderungen betreffen nicht nur elektronische Archive sondern alle Systemkomponenten in denen aufbewahrungspflichtige Daten, Informa-tionen und Dokumente erzeugt, genutzt und verwaltet werden 9. Die Erfüllung von Compliance-Anforderungen muss auch für den eigenen Nutzen im Unternehmen genutzt werden, um mehr Transparenz und Sicherheit zu schaffen und um das Unternehmen auf das Informationszeitalter einzustellen. 10. Man darf sich nicht durch den Begriff Compliance verunsichern oder gar verängstigen lassen, sondern muss zunächst im Unternehmen prüfen, welche Regelungen für welchen Anwendungsfall überhaupt relevant sind GmbH 62 31

32 Grundsätze der elektronischen Archivierung GmbH 63 Grundsätze der elektronischen Archivierung Die 10 Merksätze des VOI GmbH Jedes Dokument muß unveränderbar archiviert werden. 2. Es darf kein Dokument auf dem Weg ins Archiv oder im Archiv selbst verloren gehen. 3. Jedes Dokument muß mit geeigneten Retrievaltechniken wieder auffindbar sein. 4. Es muß genau das Dokument wiedergefunden werden, das gesucht worden ist. 5. Kein Dokument darf während seiner vorgesehenen Lebenszeit zerstört werden können. 6. Jedes Dokument muß in genau der gleichen Form, wie es erfaßt wurde, wieder angezeigt und gedruckt werden können. 32

33 Grundsätze der elektronischen Archivierung Die 10 Merksätze des VOI GmbH Jedes Dokument muß zeitnah wiedergefunden werden können. 8. Alle Aktionen im Archiv, die Veränderungen in der Organisation und Struktur bewirken, sind derart zu protokollieren, daß die Wiederherstellung des ursprünglichen Zustandes möglich ist. 9. Elektronische Archive sind so auszulegen, daß eine Migration auf neue Plattformen, Medien, Softwareversionen und Komponenten ohne Informationsverlust möglich ist. 10. Das System muß dem Anwender die Möglichkeit bieten, die gesetzlichen Bestimmungen (BDSG, HGB/AO etc.) sowie die betrieblichen Bestimmungen des Anwenders hinsichtlich Datensicherheit und Datenschutz über die Lebensdauer des Archivs sicherzustellen. Enterprise Content Management als Infrastruktur für Compliance GmbH 66 33

34 Definition Enterprise Content Management AIIM International The technologies used to capture, manage, store, deliver, and preserve information to support business processes. AIIM International, 2003 GmbH 67 ECM als Unternehmensinfrastruktur Anforderungen GmbH 68 Speicherung aller Arten von Informationen Speicherung dynamischer und unveränderlicher Informationen Dienstekonzept Große und kleine Lösungen Eigener Client oder Einbindung in vorhandene Anwendungen Zentrale und verteilte Datenbanken Konsistente Langzeitspeicherung Modular ausbaubar Verteilte Repositories Integration in vorhandene Systeme 34

35 ECM als Unternehmensinfrastruktur Implementationsfragen Definition von Metadaten, Richtlinien, Prozeduren Import, Konvertierung, Migration Plattformen, Datenbanken, Browser, Client Desktop Integration, Integration von Anwendungen, Back Office Integration Prozess- und Workflow-Modellierung Kulturelle Grenzen bei Online- versus Offline-Arbeit Wie werden die Komponenten vernetzt? (EAI Enterprise Application Integration) GmbH 69 ECM insgesamt ist eine Strategie oder Vision, kein einzelnes Produkt GmbH 70 35

36 ECM als integrative Middleware GmbH 71 ECM als Unternehmensinfrastruktur AIIM International E-Business ERP AP/AR RM/A CRM HRM EAI Enterprise Applications Integration Workflow Data Warehousing Mining Web Content Management Collaboration Doc Mgmt Imaging Enterprise Content Management Domino Exchange RDMS File System Infrastructure GmbH 72 Quelle: AIIM 2001 Industry Study 36

37 ECM Basisideen Integrative Middleware AIIM International E-Business ERP AP/AR RM/A CRM HRM EAI Enterprise Applications Integration Workflow Data Warehousing Mining Basis Idee Nr. 1 Web Content Management Collaboration Integrative Middleware Doc Mgmt Imaging Enterprise Content Management Domino Exchange RDMS File System Infrastructure GmbH Quelle: AIIM 2001 Industry Study 73 ECM Basisideen Dienstekonzept AIIM International E-Business ERP AP/AR RM/A CRM HRM Enterprise Applications EAI Basis Idee Nr. 2 Integration Workflow Collaboration Unabhängige Dienste Enterprise Content Data Warehousing für alle Web Anwendungen Content Doc Mgmt Management Mining Management Imaging Domino Exchange RDMS File System Infrastructure GmbH Quelle: AIIM 2001 Industry Study 74 37

38 ECM Basisideen Einheitlicher Speicherort AIIM International E-Business ERP AP/AR RM/A CRM HRM Enterprise Applications EAI Basis Idee Nr. 3 Integration Ein einheitliches, Workflow Collaboration übergreifendes Enterprise Repository Data Warehousing Web Content Doc Mgmt Miningfür jeden Management Informationstyp Imaging Enterprise Content Management Domino Exchange RDMS File System Infrastructure GmbH Quelle: AIIM 2001 Industry Study 75 Komponenten des Enterprise Content Management GmbH 76 38

39 AIIM Modell für ECM Enterprise Content Management MANAGE DM Collab CAPTURE STORE WCM DELIVER WF/ BPM RM GmbH 77 PRESERVE CAPTURE Human created Office Documents Form Rich Media Microfilm Application created ERP XML Finacial Applications Recogniton OCR HCR ICR OMR Barcode Forms Processing E-Forms/Web-Forms Aggregation Indexing Input Designs Categorization E-Billing COLD/ERM GmbH 78 Input 39

40 MANAGE DM Collab STORE WCM WF/ BPM RM GmbH 79 Document Management Document Management DM Collab Checkin/Checkout Versionsmanagement Suchen und Navigieren Visualisierung WF/ BPM STORE WCM RM GmbH 80 40

41 Collaboration DM Collab STORE Collaboration WCM Gemeinsames Editieren Wissensbasen Whiteboards Videoconferencing Informationszusammenführung WF/ BPM RM GmbH 81 Web Content Management DM STORE Collab WCM Web Content Management GmbH WF/ BPM RM Editieren und Gestalten Publikationsprozess Konvertierung Sicherheit Visualisierung 82 41

42 Records Management DM Collab WF/ BPM STORE RM WCM Records Management Ablagesystematik Indizierung und Thesaurus Aufbewahrungsfristen Meta-Daten Archiverwaltung GmbH 83 Workflow / Business Process Management Ablauf- und Aufbauorganisation Prozessdesign Vorgangsbildung Routen Mitzeichnung Paralleles und DM sequentielles Bearbeiten Wiedervorlage, Fristen Kontrolle Protokollierung Workflow / Business Process Management WF/ BPM Collab STORE RM WCM GmbH 84 42

43 STORE Repositories File Systems Content Management Systems Databases Data Warehouses Library Services Search/Retrieval Version Control Check In/Check Out Audit Trail GmbH 85 SAN NAS Magneto Optical DVD CD-ROM Technologies Tape Magnetic Storage RAID Optical Disc PRESERVE Archive Paper Mikrofilm NAS/SAN CAS WORM WORM-TAPE Aussonderung GmbH 86 43

44 DELIVER Layout/Design Security as ECM Infrastructure Transformation Security Technologies Ditribution COLD/ERM PKI Internet, Intranet, Extranet Personalization E-Business-Portale XML PDF Compression Digital Rights Management/ Watermark und Fax Datenübermittlung mittels EDI, XML u. anderer Formate Syndication CD / DVD Publishing Konverter Digital Signature Digitales Fernsehen Viewer Papier GmbH Output 87 ECM-Haus Usage Fat Client Enabling Web Client other Devices GmbH SECURITY CAPTURE MANAGE Web Content Management Digital Asset Management Management Records Management Document Management Indexing Categorization Recognition Forms Processing Document Imaging Scanning PKI Electronic Signature Entry SECURITY Collaboration Business Process Management Workflow EAI User Managment Directory Service SECURITY User Rights Management Repositories Storage Long-Term Archival Backup / Recovery Migration Content Integration Search / Retrieval Syndication Localization Personalization Publish Electronic Paper DELIVER PRESERVE STORE SECURITY DRM Firewall Exit 88 44

45 ECM-Suiten versus Best-of-Breed GmbH 89 Was ist eine ECM-Suite? Anspruch an eine Suite: Eine Suite ist die Zusammenstellung verschiedener kompatibler Komponenten zur Lösung eines Gesamtszenarios, bei dem die Komponenten auch einzeln und unabhängig eingesetzt werden können GmbH 90 45

46 Definition Suiten (1) Kompatibilität aller Komponenten mit allen anderen Komponenten Modular und komponentenweise erweiterbar Nutzung gemeinsamer Administrationskomponenten und Ressourcen in Bereichen wie Berechtigungen, Sicherheit, Zugriff, Klassen, Metadaten, Speicherorte, Kommunikation etc. Einheitliche Nutzung aller Informationen durch alle Komponenten der Suite Plattform-Konformität, d.h. alle Komponenten sind auf allen Plattformen der Gesamtsuite lauffähig GmbH 91 Definition Suiten (2) Einheitliche Clienten, die die Nutzung des Gesamtportfolios der Suite möglich machen Ausrichtung der einzelnen Komponenten auf die Rolle als Bestandteil der Suite, wobei sich die Komponenten als Dienste innerhalb einer gemeinsamen Architektur positionieren Gemeinsamer Weiterentwicklungsplan, der die Kompatibilität der Einzelkomponenten als auch der Suite selbst sicherstellt GmbH 92 46

47 Definition Suiten (3) Vollständigkeit der Suite, d.h. möglichst Abdeckung aller Komponenten die üblicherweise zum Funktionsumfang gerechnet werden Einhaltung von Standards, um Komponenten von Dritten ebenso konform einbinden zu können wie die eigenen Komponenten der Suite Gemeinsames, konsistentes Vertriebs und Marketing Konzept für die Suite und alle ihre enthaltenen Komponenten einschließlich entsprechender Preismodelle für Suite und Komponenten GmbH 93 Suiten versus Best-of-Breed Bei Best-of-Breed weiß man vorher, dass man integrieren muss, bei Suiten merkt man dieses häufig erst, wenn man die Komponenten im Hause hat. GmbH 94 47

48 Möglichkeiten und Grenzen des elektronischen GmbH 95 Ausblick: Insellösungen vermeiden. Compliance ist eine durchgängige Anforderung GmbH 96 48

49 Copyright GmbH 2002 / Autorenrecht Dr- Ulrich Kampffmeyer Insellösungen vermeiden Compliance-relevante Informationen sind nur eine Untermenge aller Informationen im Unternehmen Daher keine isolierte Teillösungen für Einzelprobleme beschaffen (z.b. - Archivierung), da diese schwer integrierbare Inseln bilden und das Problem noch verschärfen können Ziel sollte sein, eine einheitliche ECM Enterprice Content Management Infrastruktur aufzubauen, die auch die Compliance-Anforderungen mit erfüllt GmbH 97 Information Overflow Wir leiden an einer Informationsüberflutung und müssen die werthaltige, wichtige Information mühsam suchen GmbH 98 49

50 Copyright GmbH 2002 / Autorenrecht Dr- Ulrich Kampffmeyer Copyright GmbH 2002 / Autorenrecht Dr- Ulrich Kampffmeyer Information Gap Die ersten Lücken in der elektronischen Überlieferung treten auf: Elektronisches Wissen ist bereits unwiederbringlich verloren gegangen GmbH 99 Die Abhängigkeit von Information Die Abhängigkeit von der Verfügbarkeit und der Richtigkeit von elektronischer Information wächst ständig GmbH

51 Vielen Dank für Ihre Aufmerksamkeit! WebSite, Newsletter, Informationen... GmbH