WHITEPAPER ONLINE BOARD PORTAL. Verwaltungsräte einfach und sicher im Internet

Transkript

1 WHITEPAPER ONLINE BOARD PORTAL Verwaltungsräte einfach und sicher im Internet

2 INHALT BOARD PORTAL 4 VERWALTUNGSRÄTE EINFACH UND SICHER IM INTERNET 8 WIE VERWALTUNGSRÄTE ARBEITEN 10 FACTS & FIGURES 4 BOARD PORTAL FUNKTIONEN 6 SICHERHEIT IM WEB 8 PREISMODELLE 11 ERKENNTNIS 12 EMPOWERING BOARD AND SHAREHOLDERS 13 2 /13 Sherpany: Board Portal White Paper

3 WIE VERWALTUNGSRÄTE ARBEITEN Sicherheit, Governance, Compliance? Heute werden vertrauliche Dokumente von und an Verwaltungsräte (VRs) meist per Kurier, Briefpost oder versendet. Diese Varianten haben Nachteile. Der papierlastige Weg ist langsam, aufwendig und risikoreich, da viele Kopien von Dokumenten im Umlauf sind. Die rigorose Verschlüsselung von s als Alternative ist zwar technisch sicher, aber wenig benutzerfreundlich, was sich wiederum negativ auf die Sicherheit auswirkt (dazu vgl. S.4). Nachstehend wird erläutert, wie elektronische Kommunikationsmittel das Dokumentenmanagement für den VR leicht, sicher und überprüfbar machen und damit beitragen, eine bessere Governance leisten zu können. Online Tools für die VR-Arbeit Erste Unternehmen arbeiten neu mit einem Online Board Room, auch Board Portal oder Trust Room genannt. Diese Tools folgen dem Ansatz, dass man vertrauliche Dokumente nicht mehr im World Wide Web hin und her sendet, sondern den Zugriffsberechtigten sicher in einem zentralen virtuellen Raum via Internet bereitstellt. Dieses Konzept kommt an, wie die zunehmende Nachfrage zeigt. Quellen und Know-how Die folgenden Aussagen stützen sich auf eine Umfrage, die Agilentia in den Jahren 2011/12 bei 35 Schweizer Publikumsgesellschaften aus verschiedensten Sektoren durchführen konnte. Ferner werden auch Daten aus den aktuellsten Studien von Thomson Reuters (Board Governance Survey 2011) und Heidrick & Struggles (European Corporate Governance Report 2011) verwendet. Dieses White Paper soll als Entscheidungshilfe in der Produktevaluation für ein Online Board Portal dienen. Hierzu werden die wichtigsten Aspekte erörtert, die es für eine sichere und zuverlässige VR-Kommunikation und den Umgang mit sensiblen Firmendokumenten im Internet zu beachten gilt. Tobias Häckermann Geschäftsführer Sherpany 3 /13 Sherpany: Board Portal White Paper

4 FACTS & FIGURES Umfangreiche VR-Dossiers Im Durchschnitt bereitet ein Unternehmen/VR-Sekretär pro Jahr gegen Seiten an sensitiven Unterlagen für den VR vor. Manche Unternehmen stellen jährlich mehr als 200 Board Packs/Books aus. Noch versenden etwa ¾ aller Unternehmen die VR-Unterlagen in Papierform. Weltweit ver - wenden bereits annähernd ¼ der Unternehmen ein Online Board Portal. ABB. 1: ZUGANG ZU VR-UNTERLAGEN (MEHR ALS EINE WAHL) I 4 % 23 % 49 % 10 % 28 % 61 % Physisch, in Papier, per Kurier Physisch, in Papier, per Posteinschreiben Elektronisch via Elektronisch via Intranet Elektronisch via Online Board Portal Andere Sicherheit in der Übermittlung Die Mehrheit der VRs versendet auch vertrauliche Unterlagen mit und an kommerzielle Webmail-Accounts (Gmail, Yahoo, Hotmail etc.). Viele Unternehmen machen ihre VR-Unterlagen gar nicht oder aber auf ungenügend gesicherten Netzwerken zugänglich. 4 /13 Sherpany: Board Portal White Paper

5 Sicherheitsbewusstsein der VRs Oft fehlt das beidseitige Bewusstsein für Sicherheitsmassnahmen in der Kommunikation zwischen VRs. Die meisten s zwischen VRs sind nicht verschlüsselt. Dazu werden elektronische Unterlagen in -Anhängen oft ausgedruckt und anschliessend nicht fachgerecht entsorgt oder archiviert. Elektronische Dokumentenaufbewahrung Der verkehr zwischen VRs untersteht den internen Richtlinien zur Dokumentenverwaltung und Compliance. Nur selten kann ein VR diese Vorgaben mit den heutigen Mitteln erfüllen. VR-Dokumente sind oft auf den privaten PCs und Mobilgeräten der VRs gespeichert. VR-Dokumente sind (vor allem durch versand) vielfach auf verschiedensten externen Servern gespeichert, auf die das Unternehmen nicht direkt Zugriff hat. Damit kann die Datensicherheit nicht gewährleisten werden. ABB. 2: SEITENUMFANG VON VR-UNTERLAGEN PRO SITZUNG ANZAHL SEITEN IN % DES TOTALS > /13 Sherpany: Board Portal White Paper

6 BOARD PORTAL FUNKTIONEN Systemarchitektur mit Labels Vorbei ist die Zeit der Ordnerbäume, in denen Dokumente nach dem Denkmuster eines einzelnen Benutzers abgelegt werden. Solche klassischen Strukturen sind für Dritte schwer zugänglich, und es besteht das ständige Risiko, dass Dokumente mehrfach abgelegt und in bestimmten Ordnern nicht angepasst werden, mithin also nicht aktuell sind. Ein Board Portal sollte eine Systemarchitektur haben, mittels der alle Benutzer auf ein und dasselbe Dokument zugreifen können. Hierzu dient eine Dokumentenordnung nach Labels. Zudem empfiehlt sich eine systemtechnische Zuordnung der Dokumente zu einem Event als Referenzpunkt (z.b. eine VR-Sitzung). Die Benutzerfreundlichkeit für den VR kann damit erheblich gesteigert werden. 6 /13 Sherpany: Board Portal White Paper

7 Volltextsuche für rasche Information Mit einem Board Portal soll dem Benutzer die Informationssuche erleichtern. Hierfür eignet sich eine umfassende Volltextsuche. Eine Systemarchitektur mit Labeln schafft die notwendigen Voraussetzungen. Der Benutzer weiss wonach er sucht. Das System findet den gewünschten Inhalt. Automatisch aggregiertes Boardbook Pro VR-Sitzung haben Unternehmen schnell ein Dokumentenbudget im Umfang von mehreren Dutzend Seiten. Der einzelne VR hat je nach Zugehörigkeit zu einem bestimmten Ausschuss/ Committee individuelle Dokumente und Einsichtsrechte. Mit einem automatisch aggregierten Boardbook in einer einzigen PDF-Datei kann dem Administrator viel Arbeit bei der Dokumentenerstellung erspart und für den VR erst noch die Praktikabilität gesteigert werden. Das Archiv ständig dabei Verfügt ein Board Portal über Archivfunktion, sind auch Inhalte aus vergangenen Sitzungen umgehend präsent. Überdies besteht dadurch auch eine höhere Sicherheit, da die Ablage und Archivierung von sensiblen Firmenunterlagen einheitlich und zentral gesteuert und kontrolliert werden kann. Webzugang über ipad & Co Ein Board Portal sollte eine auf Mobilgeräte optimierte Benutzeroberfläche haben. Damit kann ein VR auf seine Dokumente weltweit flexibel über sein ipad, Blackberry etc. zugreifen I ABB. 3: BENUTZERAKZEPTANZ VON BOARD PORTALEN IM VR 10 % 7 % 83 % Ja Nein Vielleicht 7 /13 Sherpany: Board Portal White Paper

8 Audit-Trail für nachvollziehbare Prozesse Ein Log-Journal protokolliert sämtliche Benutzeraktionen in einem Board Portal und signiert diese mit einem Zeitstempel. Das garantiert eine Compliance- und revisionssichere VR-Arbeit. Temporary-Share mit Externen Hilfreich ist die Funktion, bestimmte Dokumente mit unternehmensexternen Dritten (Anwälten, Revisoren, Behörden etc.) zu teilen, ohne dass diese Zugang zum Board Portal erhalten. Hierzu können in einem exakt definierten Zeitfenster Dokumente in einem separaten Raum sicher zugänglich gemacht werden. Terminverwaltung via ical Hilfreich ist eine Funktion für die automatische Synchronisation von Terminen. Eine mühsame Datenübertragung und Koordination entfällt. Mit einem Mausklick sind die Termine in der individuellen Agenda. Multiboard für Mehrfach-VR Viele VRs üben mehrere Mandate aus. Ein Board Portal sollte deshalb über dieselbe Benutzeroberfläche Zugriff auf mehrere Mandate und deren Räume ermöglichen. Technisch müssen die einzelnen Räume logisch getrennt sein. SICHERHEIT IM WEB Sicherheit durch Benutzerfreundlichkeit Bei jedem Board Portal stehen Sicherheit und Benutzerfreundlichkeit in einem Spannungsverhältnis. Vor allem die hohen Sicherheitsstandards von internen IT-Lösungen (z.b. verschlüsselungen) schränken die Benutzerfreundlichkeit oft erheblich ein. Dies kann wiederum zu einer geringeren faktischen Sicherheit führen, indem die Sicherheitsstandards umgangen werden oder die Anwender einfach auf ungesicherte Kommunikationsmittel ausweichen. Bei einem Board Portal hat die Benutzerfreundlichkeit daher einen direkten Einfluss auf die tatsächliche Sicherheit. 8 /13 Sherpany: Board Portal White Paper

9 Mehrstufige Authentifikation Die technische Sicherheit eines Board Portal ist Voraussetzung. Diesbezüglich ist besonders auf eine zwei-weg-authentifikation (z.b. Eingabe von Benutzername/Passwort und mtan-sicherheitscode) zu achten. Damit kann bestmöglich sichergestellt werden, dass kein unautorisierter Zugriff stattfindet. Individuelle Benutzerrollen und -rechte Je nach Unternehmensstruktur sind abgestufte Benutzerrollen notwendig. Damit können Chinese Wall Problematiken gelöst und eine einwandfreie Zuordnung von Benutzern im System sichergestellt werden. Es empfiehlt sich ein Board Portal, in welchem das Unternehmen bzw. der Administrator neue Benutzer selber auf- und abschalten kann, ohne dass er hierfür extra über den Provider gehen muss. Auch pro Dokument sollte eine entsprechende Sicherheitsstufe festgelegt werden können, z.b. durch automatisch generierte individuelle Wasserzeichen. Ferner sollte sich die Rechtevergabe über eine Abstraktionsstufe definiert lassen. Dies kann bspw. eine Gruppe sein, die als Referenzsystem dient. Dieser können Dokumente, Sitzungen oder Benutzer etc. zugeordnet werden, womit mit einem Klick die entsprechende Rechtevergabe vorgenommen werden kann, ohne dass man auf Dokumentenstufe bei jedem Benutzer alles einzeln einstellen und anpassen müsste. Verschlüsselungen und Firewall In der Qualität der technischen Sicherheit dürfen keine Kompromisse gemacht werden. Standard sind SSL/TLS-verschlüsselte Verbindungen (mind. 128 bit), EV-SSL Zertifikat, laufendes Backup mit PKI-Signierung sowie eine modernste Firewall und WAF. Eine IT-Infrastruktur gemäss e-banking Standards erfüllt diese Anforderungen. Aufgepasst vor Scheinsicherheit Zu unterscheiden sind reine Weblösungen, mit denen man alleine über den Browser Zugriff auf ein Board Portal hat, von Angeboten, in denen hierzu eine Client Software auf den Benutzergeräten installiert werden muss. Diese Unterscheidung ist wichtig mit Blick auf Datenverschlüsselung vor oder nach der Datenübertragung auf einen Server. Auch bei Client-Software mit Webzugriff werden die Daten direkt über den Browser auf der Serverinfrastruktur gelesen und geschrieben. Das schliesst einen Zero-Knowledge-Ansatz per se aus. Daran ändern auch Systeme wie Disk Encryption, Data und Key Separation oder Ähnliches nichts. Sodann sollte das Versprechen auf Fernlöschung von Daten kritisch hinterfragt werden. Eine solche 9 /13 Sherpany: Board Portal White Paper

10 ist nämlich nur möglich, wenn das entsprechende Endgerät über eine aktive Netzwerkverbindung zum löschenden Gerät verfügt. Einhaltung der Datenpolicy Dank automatischen Benutzervorgaben für den Zugang und die Ablage von Dokumenten kann die Einhaltung von Datenrichtlinien und Compliance besser gewährleistet werden. ABB. 4: ZU DIESEN STANDARDS FÜHLEN SICH VRs VERPFLICHTET I 39 % 17 % 44 % Geltende lokale Governance Geltende globale Governance Ausschliesslich nationales Recht Verträge für Software as a Service Die Nutzung von Software as a Service kann dem Unternehmen grosse Vorteile bringen, da die Infrastrukturkosten mit anderen Service-Nutzern geteilt werden. Beim Einsatz von Cloud Computing stellen sich aber verschiedene Compliance-Fragen. Werden in einem Vertrag mit einem Anbieter von Software as a Service (SaaS) die Geheimhaltung der Daten sowie Regelungen über die Datensicherheit und -herausgabe, insbesondere für den Konkursfall des Service-Anbieters, klar geregelt, dann ist das Cloud Cumputing auch bei sensiblen Daten rechtlich einwandfrei möglich. 10 /13 Sherpany: Board Portal White Paper

11 Standort von Anbieter und Server Die Wahl des Anbieters und Serverstandorts ist von entscheidender sicherheitsrelevanter Bedeutung. Denn hiernach bestimmt sich das anwendbare Recht, mithin auch das Statut für den Datenschutz und den vollstreckungsrechtlichen Datenzugriff. Besteht über den Anbieter eine irgendwie geartete Konzernverbindung in die USA, gelangt automatisch der Patriot Act zur Anwendung. Diese Gesetze sehen weitreichende Eingriffsmassnahmen durch die U.S.-Behörden in Verbindung mit Verdacht auf Terrorismus(-finanzierung) vor. Mit Vorzug wird ein Anbieter gewählt, der seinen Sitz, die Geschäftstätigkeit und die Server in einem Land hat, dessen Datenschutzbestimmungen berechenbar sind und dessen örtliche Behörden nur mit höchster Zurückhaltung auf Daten zugreifen. Eine solche Rechtssicherheit bietet nicht nur, aber insbesondere die Schweiz. PREISMODELLE Auf dem Markt existieren verschiedene Preismodelle. Oft wird ein Preis pro Benutzer und Speicherplatz offeriert. Was auf den ersten Blick nach sehr attraktiven Konditionen aussieht, stellt sich in der Gesamtabrechnung Ende Jahr meist ein wenig nüchternen dar. Oft fallen nämlich Zusatzkosten an, sei es durch einen Mehrbedarf an Speicherplatz oder die Inanspruchnahme von Service-Dienstleistungen. Von Anfang an mehr Transparenz bieten Gesamtpaketlösungen. Diese haben den Vorteil, dass alle Zusatzdienstleistungen (Support, Wartung, Updates etc.) im Fixpreis enthalten sind. Damit erhält man Ende Jahr garantiert keine unerwartet hohen Rechnungen. Die Preise betragen in allen Preismodellen zwischen CHF bis pro Jahr. In einem Produktvergleich gilt es klar zwischen Inhouse-, Lizenz- und SaaS-Lösung zu unterscheiden. Erstere verursachen für das Unternehmen klar am meisten Kosten, da die ganze Sicherheitsinfrastruktur selber finanziert werden muss. 11 /13 Sherpany: Board Portal White Paper

12 Erkenntnis Tatsache ist, dass Unternehmen und VRs selbst vertrauliche Firmendokumente auf Papier via Briefpost (oft nicht einmal eingeschrieben sondern mit A-Post) oder per austauschen. Die Nachteile für das Unternehmen und den VR sind erhebliche Einbussen in der Effizienz, Benutzerfreundlichkeit und Sicherheit. Mit einem sicheren Board Portal, das über ein Dokumentenmanagementsystem mit Labeln und Volltextsuche verfügt, kann die Arbeit für das Unternehmen sowie den VR und seine Assistenten erheblich erleichtert werden. Damit sparen alle Beteiligten Zeit und Kosten. Ein weltweiter Datenzugriff z.b. via ipad sorgt für ein mobiles und flexibles Arbeiten unterwegs. Ein gutes Board Portal deckt sowohl die Bedürfnisse des Unternehmens als auch jene eines VR ab. Das heisst, dass ein Unternehmen mit einem Board Portal alle seine VRs bedienen kann. Gleichzeitig sollte aber auch der einzelne VR die Möglichkeit haben, alle seine Mandate über dasselbe Tool zu verwalten. Man stelle sich bezüglich Sicherheit einen grossen Safe vor, in welchem viele kleine Safes enthalten sind. Nur der VR, der beide Schlüssel hat, erhält Zugriff auf ein Dokument eines Unternehmens. Bei einem Board Portal beeinflusst die Benutzerfreundlichkeit direkt die faktische Sicherheit. Es sollte also bewusst auf eine wesentliche und schlanke Funktionalität geachtet werden. Dadurch wird eine höhere technische und faktische Sicherheit erreicht, was die Datenintegrität besser gewährleistet. Dies dient einer Compliance-konformen VR-Arbeit und einer guten Governance. 12 /13 Sherpany: Board Portal White Paper

13 EMPOWERING BOARD AND SHAREHOLDERS Sherpany verbindet Verwaltungsrat, Unternehmen und Aktionär. Unsere Weblösungen unterstützen eine gute Unternehmensführung, Governance und Compliance. Erfahren Sie mehr über Sherpany und unsere Produkte auf: Agilentia AG, Josefstrasse 225, CH-8005 Zürich Tel , 13 /13 Sherpany: Board Portal White Paper