Nachhaltiges Enterprise Risk Management mit SAP GRC

Transkript

1 Mai 2008 Autor: Stefan Eggler Quelle: Nachhaltiges Enterprise Risk Management mit SAP GRC Enterprise Risk Management (ERM) bedeutet mehr, als nur eine schnelle Lösung für unternehmensbezogene Gefahren zu finden. Es ist die Grundlage, potentielle Risiken frühzeitig erkennen und analysieren zu können, sowie unternehmensweite Prozesse genauso wie tägliche Abläufe und Routinen langfristig sicher zu gestalten. Eventuelle Sicherheitslücken müssen nachhaltig kontrolliert werden, um den Unternehmenserfolg nicht zu gefährden. Ein vor kurzem bekannt gewordener Betrugsskandal bei einer französischen Bank in Höhe von 4,7 Mrd. Euro zeigt einmal mehr, wie essentiell wichtig ein gut funktionierendes Risikomanagement ist. Der deutsche Softwarehersteller SAP bietet mit seinen Governance, Risk and Compliance Lösungen (engl. solutions for GRC) eine Palette an innovativen Steuerungs- und Kontroll- Werkzeugen zur unternehmensweiten wie auch unternehmensübergreifenden Prozesssteuerung. Eingebettete Verfahren zur Entwicklung von Geschäftsstrategien und zur Einhaltung beziehungsweise Abbildung gesetzlicher Regularien ermöglichen, dass Prozesse weit über die Systemgrenzen hinaus kontrollierbar sowie nachvollziehbar werden und bleiben. Durch den offenen Architekturansatz wird eine solide Endto-End-Kontrolle von Prozessen und eine optimale, nachhaltige Steuerung von Geschäftsgrößen ermöglicht. Jeder der Begriffe Governance, Risk und Compliance beschreibt bei SAP eine eigene Applikationskategorie. Seite: 1 / 9

2 - Governance - (dt. Steuerung ) steht für die Abbildung unternehmensbezogener Rahmenwerke zur Definition von Strategien, Methoden und Ethiken, sowie für die Klassifizierung von Risiken, um die Geschäftsleistung unter Berücksichtigung gesetzeskonformer Ableitungen zu steigern. SAP bietet im Bereich Governance die Applikationen SAP GRC Repository Application und SAP GRC Corporate Sustainability Management. SAP GRC Repository Application Die meisten Unternehmen haben komplexe Richtlinien und Abläufe zur Prozesssteuerung definiert, scheitern jedoch oft an einer lückenlosen Umsetzung. Das GRC Repository stellt einen Steuerungsmechanismus zur Verfügung, um genau diese Richtlinien automatisiert in die Geschäftsprozesskontrolle einfließen zu lassen. Es besteht so stets die Möglichkeit die richtigen Entscheidungen in Bezug auf die Risikosteuerung zu treffen. SAP GRC Corporate Sustainability Management Um das eigene Unternehmen in Bezug auf Marktpräsenz und Reputation effizienter weiterentwickeln zu können, bietet die SAP das Corporate Sustainability Management an. Durch die Unterstützung von gezielten Analysen marktspezifischer Größen können neue Geschäftsmöglichkeiten schneller erkannt und weniger aussichtsreiche aufgezeigt werden. In beiden Fällen kann positiv auf die Erfolgsquote eines Unternehmens eingewirkt werden. - Risk - (dt. Risiko) steht für die Identifizierung und Bewertung von Geschäftsrisiken die mittel und langfristig Einfluss auf die Zielerreichung eines Unternehmens haben können. Die Festlegung von kompensierenden Kontrollen, sowie die Definition eines Maßnahmenkatalogs, sind hier einzuordnen. SAP hat mit der Applikation SAP GRC Enterprise Risk Management eine passende Lösung für diese Art von Risikomanagement gefunden. SAP GRC Enterprise Risk Management Neue Geschäftsideen oder -Möglichkeiten sind oft greifbar nahe, aber leider aufgrund unterschiedlichster Auflagen wie Umweltauflagen, technische Auflagen oder Produktauflagen, um nur einige zu nennen schwer umzusetzen. Auch die Gefahr von hohen Geldstrafen durch die Nichteinhaltung gesetzlicher Vorgaben ist Seite: 2 / 9

3 ein mögliches Risiko. Enterprise Risk Management unterstützt die Abbildung jeglicher relevanter Einflussfaktoren, wodurch eine aussagekräftige Einschätzung von Einführungsrisiken bestimmt werden kann. - Compliance - (dt. Einhaltung ) steht für ein sorgfältiges Handeln in Übereinstimmung mit definierten Regelwerken, die auf unternehmensinterne und -übergreifende Prozesse abzubilden sind. Das Agieren im Rahmen gesetzlicher Vorschriften wie Basel II, SOX oder die für Europa immer wichtiger werdende 8. EU-Richtlinie wird mit den von der SAP angebotenen Applikationen unterstützt, wodurch ein effizienteres Arbeiten in nationalen wie internationalen Märkten ermöglicht wird. Neben den Applikationen SAP GRC Process Control und SAP GRC Access Control bietet die SAP auch noch die SAP GRC Global Trade Application und die SAP GRC Applications for Environmental, Health and Safety Management. SAP GRC Global Trade Application (GTS) Unternehmen, die Geschäfte auf den internationalen Märkten dieser Welt abwickeln, haben stets darauf zu achten, dass jegliche Zollabwicklung unter Berücksichtigung aller vorgeschriebenen Richtlinien eingehalten und umgesetzt werden. SAP bietet durch die Einbettung der notwendigen Vorgaben, Prozesse und Richtlinien in GTS die Möglichkeit diesen Teil der Geschäftsabwicklung zu automatisieren, wodurch ein effizienterer und kostensparenderer Ablauf unterstützt wird. Die volle Kontrolle und Nachhaltigkeit der umgesetzten Compliance- Vorschriften ist mit GTS stets gegeben. SAP GRC Applications for Environmental, Health and Safety Management Immer strenger werdende Auflagen in den Bereichen Umweltschutz, Arbeitsschutz oder Produktsicherheit macht es vielen Unternehmen nicht einfach, stets alle Anforderungen gerecht zu werden; je komplexer diese sind, desto schwieriger wird meist auch die Umsetzung. Eine Missachtung gesetzlicher Auflagen bringt meist finanzielle Strafen mit sich. Mit Applications for Environmental Compliance bietet sich die Möglichkeit Geschäftsprozesse in Hinblick der Einhaltung dieser gesetzlichen Regularien abzubilden, um Sicherheitslücken schnell zu erkennen und rechtzeitig eliminieren zu können. Seite: 3 / 9

4 Process Control Schwache unternehmensweite Prozesskontrollen führten in der Vergangenheit bereits öfters zu Skandalen, die an der soliden Fassade vieler Unternehmen kratzten. Der Imageverlust eines solchen Vorfalls ist meist sehr schwer wieder zu kompensieren und dauert oft Jahre. Unter anderem sind solche Vorfälle der Grund für die steigende Anzahl an Gesetzesvorschriften und Regularien, die die Dokumentation von Geschäftsprozessen, die frühzeitige Erkennung von Geschäftsrisiken und die Kompensation dieser vorschreiben. Um das Vertrauen von Investoren und der Öffentlichkeit nicht zu verlieren, ist die Sicherstellung, Umsetzung und Kontrolle dieser Bestimmungen von größter Bedeutung. Viele Unternehmen sind sich der Bedeutung dieses Themas bewusst und haben meist auch schon entsprechende Prozesse aufgesetzt, jedoch zeigt die Erfahrung, dass es sich hierbei meist um manuelle Vorgänge handelt die sehr oft in doppelter Arbeit ausarten, nicht effizient genug sind, um komplexe Prozesse steuern zu können und letztendlich in Bezug auf die notwendigen Ressourcen zur Umsetzung sehr teuer werden. Auch die Gefahr Risiken zu übersehen ist beim Einsatz manueller Prozesskontrollen sehr hoch. SAP bietet mit GRC Process Control ein Framework an, dass die Dokumentation, das Monitoring, das Testen und die Risikokontrolle von komplexen, unternehmensweiten Geschäftsprozessen unterstützt, um stets die volle Einsicht in das operative Geschäft zu behalten. Mit der Integration des SAP GRC Repositories welche als Bibliothek für unternehmensweite Prozessdokumentationen, Risiken und Kontrollen dient bietet sich mit Process Control die Möglichkeit der Umsetzung einer zentralisierten, unternehmensweiten Kontrollumgebung mit der Unterstützung so genannter SSR s (single system of records), also einzelner schrittweiser Aufzeichnungen der Prozesse. Die konsistente, effektive und effiziente Einhaltung von Regularien, Gesetzen und internen Richtlinien die mit Hilfe der Process Control Plattform an Kontrollumgebungen wie COSO oder COBIT angebunden werden können ist damit nachweisbar. Unternehmensweite Kontrollmatrizen können so einfach definiert werden, um kritische Prozessabweichungen schnell erkennen und Optimierungschancen nutzen zu können. Neben der automatisierten out-of-the-box Kontrollunterstützung für die Geschäftsbereiche: Reconcile to Report Order to Cash Procure to Pay Seite: 4 / 9

5 System Security Management können weitere manuelle Kontrollen für jene Prozesse definiert werden bei denen die Intervention von Personen benötigt wird. In diesem Fall bietet SAP GRC Process Control workflowunterstütze Prozeduren die wiederrum automatisiert Personen informieren um Prozesse just in time ohne Verzögerung ausführen zu können und im Bedarfsfall Eskalationspfade ansteuert. Um die erarbeiteten Ergebnisse durch Nachhaltigkeit zu unterstreichen wird auch der Zertifizierungsprozess der Kontrollen durch eine hierarchische Bottom-Up -Strategie unterstützt, bei der angefangen vom Geschäftsprozesseigner bis hin zum CEO und CFO die Kontrollen abgenommen werden müssen. Access Control Der deutsche Softwarehersteller SAP bietet mit GRC Access Control ein geeignetes Produkt an, um Enterprise Risk Management unternehmensweit für SAP als auch für Nicht-SAP Systeme prozessübergreifend umsetzen zu können. Neben dem klassischen SAP Berechtigungskonzept sowie Nicht-SAP spezifischer Authentifizierungsmodellen werden die Einbindung automatisierter Risiko- und Kontrolldokumentationsmechanismen zur Funktionstrennung (engl. SoD Segregation of Duties) wie auch eine schrittweise Umsetzung von Validierungsprozessen durch Access Control unterstützt. Seite: 5 / 9

6 Durch die umfangreiche Funktionalität dieser Applikation können alle an einem Unternehmensprozess involvierten Interessensvertreter je nach Verantwortungsbereich direkt in den Risikodefinitions-, Riskoanalyse- und Risikokompensierungsprozess eingebunden werden. Die Module der SAP GRC Access Control wurden namentlich im letzten Jahr angepasst und lauten nun wie folgt: risk analysis and remediation (zuvor bekannt als Compliance Calibrator) compliant user provisioning (zuvor bekannt als Access Enforcer) enterprise role management (zuvor bekannt als Role Expert) superuser privilege management (zuvor bekannt als Firefighter) Vorgehen und Umsetzung: Um die im Unternehmen oft sehr hohe Anzahl an Benutzern, Rollen und Prozessen systematisch und kontrolliert von Risiken befreien und nachhaltig überwachen zu können, werden GRC-Projekte in der Regel in mindestens zwei große Phasen unterteilt. In der ersten Phase (Implementierungsphase) werden vorhandene Risiken erkannt, analysiert und eliminiert beziehungsweise kompensiert teilweise oft auch durch Umsetzung eines neuen Berechtigungskonzeptes, während in der zweiten Phase (operative Phase) darauf geachtet wird, den erarbeiteten, bereinigten Systemstand auch nachhaltig im Griff zu behalten. Je nach Komplexität der Systemlandschaft und Anzahl der Module, sowie Ausprägungen der genutzten Berechtigungskonzepte, können die einzelnen Phasen und Schritte von Unternehmen zu Unternehmen unterschiedlich lange dauern. Seite: 6 / 9

7 Eine Zeitabschätzung kann erst nach genauerer Analyse dieser Einflüsse abgegeben werden. Viele Kunden entscheiden sich oftmals für ein so genanntes Proof of Concept (kurz PoC), um ein Gefühl für die GRC Applikationen und die Risiken im eigenen Umfeld zu bekommen. Hierbei wird in der Regel eine Test-Umgebung mit allen vier SAP GRC Access Control Komponenten vor Ort auf einem Kundensystem installiert, mit der Möglichkeit ein oder mehrere dedizierte Systeme zu verbinden, um den kompletten Funktionsumfang welchen Access Control bietet zu testen. Anhand der Ergebnisse kann dann eine erste grobe Einschätzung über die vorhandenen Risiken gemacht werden. risk analysis and remediation: Mit der zur Verfügung gestellten best-practices out-of-the-box SoD-Risikomatrix, mit nunmehr rund 260 Risiken die wiederum in etwa Beispiele für Funktionstrennungen für die gängigsten SAP Module liefern, bietet die SAP ein exzellentes Fundament an, um schnell und effizient unternehmensweite Risikoanalysen in Echtzeit durchzuführen. Das ausgelieferte Regelwerk kann selbstverständlich durch unternehmenseigene Risiken erweitert, sowie können beziehungsweise müssen die vorhandenen Regeln nach unternehmensspezifischen Anforderungen angepasst werden. Nicht jede Maßnahme die zur Bereinigung eines Risikos umsetzbar wäre, kann auch so festgelegt werden, da es oft technische oderorganisatorische Restriktionen gibt. In so einem Fall sind kompensierende Kontrollen (engl. Mitigation Controls) zu definieren. Hierbei handelt es sich um klar strukturierte Regeln dies können zum Beispiel periodische SAP Reports sein, die als detektive Kontrolle eingesetzt werden, die beschreiben, wie ein bestimmter Risikofall ohne Informationsverlust abgefangen werden kann. Die Dokumentation solcher kompensierender Kontrollen, wie auch eine Alarmfunktion für kritische Berechtigungen, werden ebenfalls einfach und bequem durch SAP GRC Access Control unterstützt, wodurch stets die volle Erfassung des Informationsgehaltes vom Entdecken eines Risikos bis hin zur Kontrolle und Kompensierung gewährleistet und den Auditoren zur Verfügung gestellt werden kann. compliant user provisioning: Neben der Erstellung eines sauberen Berechtigungskonzeptes in Bezug auf Zugriffsschutz und Funktionstrennung gehört auch eine sichere Verteilung dieser Berechtigungen an die Endbenutzer. Kritische Unternehmensprozesse müssen stets reibungslos und fehlerfrei ablaufen können. Bei unkontrollierter Zuweisung von Rollen an Endbenutzer kann es sehr schnell dazu Seite: 7 / 9

8 führen, dass zu viele Rechte und somit eine Verletzung der Funktionstrennung beziehungsweise ein kritischer Systemzugriff möglich ist, wodurch letztendlich im schlimmsten Fall ein finanzieller Schaden für das Unternehmen entstehen kann. Deshalb ist es von höchster Priorität, den Vergabe- und Änderungsprozess von Berechtigungen zu überwachen. SAP GRC Access Control bietet mit compliant user provisioning eine Applikation, die es ermöglicht, genau diese Prozesse prozessgestützt realisieren zu können. Neben der automatisierten Zugriffsvergabe, mit der selbst komplexe Genehmigungsprozesse abgebildet werden können, macht die Anwendung bereits beim Vergabeprozess durch Echtzeitanalysen auf den Produktionssystemen auf eventuelle Risiken aufmerksam, die durch die Zuweisung einer Berechtigung an einen Endbenutzer hochkommen würden. Durch die Einbindung von LDAP Verzeichnissenoder HR-Datenbanken können die abzubildenden Prozesse weiter vereinfacht werden. enterprise role management: Neben dem Standard Programm zur Erstellung und Pflege von SAP Berechtigungsrollen, welches über die Transaktion PFCG aufzurufen ist, wird mit Hilfe der enterprise role management Applikation eine zentrale, prozessgesteuerte und automatisierte Rollenentwicklung unterstützt. Während der Erstellung oder Änderung von Rollen können Risikoanalysen in Echtzeit unter Berücksichtigung der Funktionstrennungsmatrix ausgeführt werden, um mögliche Konflikte sofort zu erkennen und präventiv abwehren zu können. Die Prozessunterstützung ermöglicht die Einbindung unternehmensspezifischer Abläufe, um den gesamten Rollenpflegeprozess einfacher dokumentieren und steuern zu können. superuser privilege management: In der Regel ist es Endbenutzern nicht erlaubt, systemkritische Berechtigungen und Berechtigungsprofile wie etwa das Profil SAP_ALL in Produktivsystemen zu besitzen, da hiermit kritische Prozessabläufe von einer Person abgewickelt werden könnten und so das Vier Augen Prinzip, welches im Rahmen von ERM gefordert ist, nicht mehr eingehalten wird. Dennoch müssen für den Ernstfall für jeden Geschäftsbereich Notfallkonzepte vorhanden sein, um den Produktivbetrieb nicht zu gefährden. Zum Beispiel wäre es kritisch, wenn ein Zahllauf aufgrund eines Verbucherabbruchs nicht durchgeführt werden kann. Wie wird nun ein solcher Notfalleinsatz dokumentiert? Dies stellte in der Vergangenheit oft ein Problem dar und auch die Auditoren konnten die eingeforderten Aufzeichnungen oftmals nicht einsehen, da es einfach keine Seite: 8 / 9

9 Aufzeichnungen gab! Mit superuser privilege management bietet SAP die Möglichkeit Benutzern eine temporäre ID zuzuweisen durch die sie einen umfangreichen, kontrollierten Systemzugriff erhalten, um Probleme lösen zu können. Der Endbenutzer benötigt hierbei keinen weiteren Systembenutzer, sondern bekommt im Rahmen des Konzeptes eine Superuser-ID zugewiesen die wiederum über eine eingebettete Transaktion im SAP System abrufbar ist. Nahezu jede Aktivität des Superusers (ehemals Firefighter ) wird dabei protokolliert, wodurch stets die vollständige Kontrolle durch den Sicherheitsbeauftragten gewährleistet werden kann. - Fazit - SAP GRC bietet ein breites Spektrum an Lösungsansätzen um Enterprise Risk Management gezielt und vor allem nachhaltig realisieren zu können; unternehmenskritische Risiken können schneller erkannt und abgefangen werden, wodurch Ihr Tagesgeschäft reibungsloser ablaufen wird. Das Diskussionsforum zum Thema Seite: 9 / 9