Inhaltsverzeichnis. Abbildungsverzeichnis. Tabellenverzeichnis. Abkürzungsverzeichnis

Transkript

1 Inhaltsübersicht Inhaltsübersicht Inhaltsverzeichnis Abbildungsverzeichnis Tabellenverzeichnis Abkürzungsverzeichnis IX XI XVII XIX XXI 1 Einleitung Problemstellung Zielsetzung und Forschungsfragen Forschungsansatz Aufbau der Arbeit 7 2 Einordnung der lt-compliance in den Kontext der Governance, des Risikomanagements und der Compliance (GRC) Governance, Risikomanagement und Compliance - Begriffsbestimmung und Abgrenzung Weitere betriebswirtschaftliche Disziplinen mit Relevanz in der IT-Compliance Untersuchung der Gemeinsamkeiten und Zusammenhänge von Governance, Risikomanagement und Compliance IT-Compliance im Kontext 75 3 Qualitätsanforderungen an eine Methode im Kontext des Methoden-Engineerings Identifikation von Qualitätsanforderungen Analyse und Auswahl der Qualitätsanforderungen Konkretisierung der Qualitätsanforderungen 84 4 IT-Compliance Management - Anforderungen und Status Quo Problem- und Anforderungsanalyse Analyse des Status Quo Fazit Entwicklung einer Methode für das risikoorientierte IT-Compliance-Management Metamodell 113 IX

2 INHALTSÜBERSICHT 5.2 Rollenmodell Vorgehensmodell, Ergebnisse und Techniken Praxisevaluation Fallstudie 1: Automobil-Finanzdienstleister (Volkswagen Financial Services AG) Fallstudie 2: Versicherungskonzern Fallstudie 3: Deutsches Kreditinstitut Zusammenfassung Überprüfung der Qualitätsanforderungen Vollständigkeit Korrektheit / Konsistenz Relevanz Anwendbarkeit Fazit der Evaluation Schlussbetrachtung Zusammenfassende Betrachtung Kritische Würdigung Weiterer Forschungsbedarf und Ausblick 226 Anhang 227 A.l Definitionen 227 A.2 Ergebnisse der strukturierten Literaturanalyse 233 Literaturverzeichnis 237 X

3 Inhaltsverzeichnis Inhaltsübersicht Inhaltsverzeichnis Abbildungsverzeichnis Tabellenverzeichnis Abkürzungsverzeichnis IX XI XVII XIX XXI 1 Einleitung Problemstellung Zunehmende Bedeutung der IT-Compliance Unklares Verständnis von IT-Compliance im Kontext von GRC Herausforderungen in der Compliance Zielsetzung und Forschungsfragen Zielsetzung Forschungsfragen Forschungsansatz Design Science Methoden-Engineering Aufbau der Arbeit 7 2 Einordnung der IT-Compliance in den Kontext der Governance, des Risikomanagements und der Compliance (GRC) Governance, Risikomanagement und Compliance - Begriffsbestimmung und Abgrenzung Corporate Governance Begriffsverständnis und Entwicklung Theoretische Erklärungsansätze der Corporate Governance Prinzipien der Corporate Governance Verständnis in dieser Arbeit Ausgestaltung der Corporate Governance Mechanismen der Corporate Governance System der Corporate Governance Besonderheiten im Bankensektor 15 XI

4 Abgrenzung Management Unternehmensverfassung IT-Govemance Das IT-Verständnis in dieser Arbeit Begriffsverständnis Ausgestaltung der IT-Govemance Strategie Alignment Model Corporate Governance of Information Technology (ISO/IEC 38500:2008) Betriebswirtschaftliches Risikomanagement Risikoverständnis Risikobegriff Systematisierung von Risiken Begriff des Risikomanagements Systematisierung des Risikomanagements Verständnis des Risikomanagements in dieser Arbeit Ausgestaltung des Risikomanagements Bestandteile eines Risikomanagements Risikomanagementprozess Besonderheiten im Bankensektor Abgrenzungen IT-Risikomanagement Verständnis von IT-Risiken Ausgestaltung des IT-Risikomanagements Corporate Compliance Begriff und Entwicklung Aufgaben, Ziele und Funktionen Verständnis in dieser Arbeit Der Compliance-Prozess Compliance-Management-System Besonderheiten im Bankensektor IT-Compliance Begriff und Entwicklung Ziele und Aufgaben Weitere betriebswirtschaftliche Disziplinen mit Relevanz in der IT-Compliance Geschäftsprozessmanagement BegrifHichkeiten System des Geschäftsprozessmanagements Qualitätsmanagement Begrifflichkeiten Qualitätsmanagementsystem Controlling 57 XII

5 2.3 Untersuchung der Gemeinsamkeiten und Zusammenhänge von Governance, Risikomanagement und Compliance GRC in einer ganzheitlichen Sichtweise GRC und andere Managementdisziplinen Prozessmanagement Qualitätsmanagement Controlling Identifikation von Überschneidungsbereichen Analyse der Überschneidungen anhand der STOPE View Strategie Technologie Organisation und Menschen Externe Faktoren Integrierte Sichtweise im Rahmen dieser Arbeit IT-Compliance im Kontext IT-Compliance im IT-Kontext IT-Compliance im GRC-Kontext IT-Comp\iance-Risiken Fazit 80 3 Qualitätsanforderungen an eine Methode im Kontext des Methoden-Engineerings Identifikation von Qualitätsanforderungen Analyse und Auswahl der Qualitätsanforderungen Konkretisierung der Qualitätsanforderungen Vollständigkeit Korrektheit / Konsistenz Relevanz Anwendbarkeit im Unternehmen 86 4 IT-Compliance Management - Anforderungen und Status Quo Problem-und Anforderungsanalyse Vorgehen bei der Literaturrecherche Durchführung der Literaturrecherche Relevante Herausforderungen für das IT-Compliance-Management Herausforderungen in den regulierten Unternehmen Herausforderungen durch die Regulierung Herausforderungen durch fehlende Lösungen Anforderungen an das IT-Compliance-Management Übergreifende Anforderungen Querschnitts-Anforderungen Phasenbezogene Anforderungen Analyse des Status Quo Fazit 111 XU1

6 5 Entwicklung einer Methode für das risikoorientierte IT-Compliance-Management Metamodell Rollenmodell Beschreibung der Rollen Zuweisung der Rollen zu Aktivitäten VorgehensmodeU, Ergebnisse und Techniken Ableitung eines Rahmenmodells für das Vorgehensmodell aus den Anforderungen Analyse geeigneter Best Practices Auswahl der Methodenbasis Ableitung weiterer Designentscheidungen aus den Anforderungen Rahmenkonzept für ein Vorgehensmodell zum risikoorientierten IT-Compliance-Management Phase 0: Bestimmung der Rahmenbedingungen Aktivität 0.1: Identifikation von determinierenden Einflussfaktoren Aktivität 0.2: Schaffung eines einheitlichen Rahmens Aktivität 0.3: Sicheistellung von Kommunikations- und Dokumentationsanforderungen Techniken Phase Phase 1: Voibereitungsphase Aktivität 1.1: Festlegung des Analyseobjektes Aktivität 1.2: Untersuchung und Einbindung des Analyseumfelds Aktivität 1.3: Aktivitätenplanung Techniken Phase Phase 2: Strukturanalyse Aktivität 2.1: Geschäftsprozessanalyse Aktivität 2.2: Analyse beteiligter IT-Services Aktivität 2.3: Analyse beteiligter IT-Assets Techniken Phase Phase 3: Compliance-Analyse Aktivität 3.1: Identifikation IT-relevanter externer Anforderungen Aktivität 3.2: Identifikation interner Anforderungen Aktivität 3.3: Intemalisierung externer Anforderungen und Konsolidierung Aktivität 3.4: Identifikation und Bewertung existierender Controls Techniken Phase Phase 4: Risikoanalyse Aktivität 4.1: High Level Risikobewertung Aktivität 4.2: Identifikation von Bedrohungen Aktivität 4.3: Identifikation von Schwachstellen Aktivität 4.4: Identifikation von Konsequenzen Aktivität 4.5: Risikoschätzung Techniken Phase XIV

7 5.3.7 Phase 5: Risikoevaluation Aktivität 5.1: Abgleich Risikolevel mit Kriterien Aktivität 5.2: Bestimmung des risikobezogenen IT-Compliance- Status Phase 6: risikoorientierte IT-Compliance-Steuerung Aktivität 6.1: Identifizierung und Bewertung von Maßnahmenalternativen Aktivität 6.2: Risikosteuerung Techniken Phase Phase 7: Risikoakzeptanz Phase 8: IT-Risiko und Compliance-Überwachung Aktivität 8.1: Überwachung der Methode Aktivität 8.2: Überwachung der Risikofaktoren Aktivität 8.3: Umsetzungsüberwachung Techniken Phase Praxisevaluation Fallstudie 1: Automobil-Finanzdienstleister (Volkswagen Financial Services AG) Verständnis der IT-Compliance Wesentliche Vorgehensweisen und Konzepte in der IT-Compliance Steuerung interner Anforderungen an die IT Bewertung Fallstudie 2: Versicherungskonzem Verständnis der IT-Compliance Wesentliche Vorgehensweisen und Konzepte in der IT-Compliance Bewertung Fallstudie 3: Deutsches Kreditinstitut Verständnis der IT-Compliance Wesentliche Vorgehensweisen und Konzepte in der IT-Compliance Bewertung Zusammenfassung Überprüfung der Qualitätsanforderungen Vollständigkeit Korrektheit / Konsistenz Relevanz Anwendbarkeit Fazit der Evaluation Schlussbetrachtung Zusammenfassende Betrachtung Kritische Würdigung Weiterer Forschungsbedarf und Ausblick 226 xv

8 Anhang 227 A.l Definitionen 227 A.2 Ergebnisse der strukturierten Literaturanalyse 233 Literaturverzeichnis 237 xvi