KEINE PANIK Auditabwehr in der Praxis

Transkript

1 KEINE PANIK Auditabwehr in der Praxis Deutsche Gesellschaft für Recht und Informatik Folie Nr. 1

2 Agenda Auditankündigung Die Prüfer Der Scope Der Verantwortliche Die Prüfung SOM Prozesse Die Lizenzvorschriften Interne und externe Zugriffe Industrial Devices Gebrauchte Software Die Konsequenzen: Keine Panik, oder doch? DGRI Folie Nr. 2

3 Auditankündigung Nahezu alle Hersteller behalten sich das Recht zur Überprüfung des Lizenzierungsstandes bei ihren Kunden vor. - Microsoft: "Sie müssen über die Produkte, die Sie und Ihre verbundenen Unternehmen unter einem Lizenzvertrag laufen lassen, Aufzeichnungen führen. Wir sind berechtigt, die Einhaltung der Lizenzverträge auf eigene Kosten während der Laufzeit des jeweiligen Lizenzvertrages und eines Beitrittes sowie für ein Jahr danach zu überprüfen. Wir werden hierfür einen unabhängigen Buch- oder Wirtschaftsprüfer einer international anerkannten Wirtschaftsprüfungsgesellschaft, welche Vertraulichkeitsverpflichtungen unterliegt, beauftragen. Die Überprüfung wird mindestens 30 Tage vorher angekündigt und findet während der normalen Geschäftszeiten in einer Art und Weise, die Ihre normale Geschäftstätigkeit nicht unangemessen beeinträchtigt, statt. Alternativ können wir Sie auffordern, unseren Eigenprüfungs-Fragebogen in Bezug auf die Produkte für Sie und Ihre verbundenen Unternehmen, die an einem Lizenzvertrag teilnehmen, korrekt auszufüllen. DGRI Folie Nr. 3

4 Auditankündigung Ankündigung der Lizenz-Plausibilisierung Mit der Nominierung zu einer Lizenz-Plausibilisierung teilt Microsoft Ihnen die Rahmenparameter mit Beauftragtes Wirtschaftsprüfungsunternehmen (z.b. KPMG, Rölfs Partner, etc.) Zeitrahmen der Lizenz-Plausibilisierung In der Regel recht kurzfristig, es besteht jedoch die Möglichkeit die Termine mit dem Wirtschaftsprüfer abzustimmen Aufforderung des Wirtschaftsprüfers einen Lizenz-Audit-Fragebogen vor dem Vor-Ort-Termin zur Verfügung zu stellen DGRI Folie Nr. 4

5 Auditankündigung Lizenz-Audit-Fragebogen In Form des Lizenz-Audit-Fragenbogens werden folgende Informationen von Ihnen angefordert: Allgemeine Informationen über Ihr Unternehmen, z.b. Ansprechpartner, Unternehmensverbünde etc. Allgemeine Informationen bezüglich Ihrem SAM und Ihrer Infrastruktur, z.b. Tools, Prozesse, Standards, IT- Infrastruktur Detaillierte Daten der installierten Microsoft Softwareprodukte auf Ihren PCs und Servern Informationen über die möglichen Zugriffe auf Microsoft Server und Serverapplikationen Detaillierte Daten hinsichtlich Ihrem vollständigen Lizenzinventar DGRI Folie Nr. 5

6 Auditankündigung Lizenz-Audit-Fragebogen In Form des Lizenz-Audit-Fragenbogens werden folgende Informationen von Ihnen angefordert: Allgemeine Informationen über Ihr Unternehmen, z.b. Ansprechpartner, Unternehmensverbünde etc. Allgemeine Informationen bezüglich Ihrem SAM und Ihrer Infrastruktur, z.b. Tools, Prozesse, Standards, IT- Infrastruktur Detaillierte Daten der installierten Microsoft Softwareprodukte auf Ihren PCs und Servern Informationen über die möglichen Zugriffe auf Microsoft Server und Serverapplikationen Detaillierte Daten hinsichtlich Ihrem vollständigen Lizenzinventar DGRI Folie Nr. 6

7 Die Prüfer KPMG Deloitte Rölfs & Partner BSA Business Software Alliance Microsoft SAM Team European Operation Center (MIOL) DGRI Folie Nr. 7

8 Microsoft DGRI Folie Nr. 8

9 Microsoft DGRI Folie Nr. 9

10 Der Scope Vertrag / Verträge Unternehmensstruktur Anzahl der Unternehmen / Gesellschaften Anzahl der Standorte Anzahl der Länder IT-Infrastruktur (Kennzahlen) Anzahl der User Anzahl der Clients Anzahl der Server DGRI Folie Nr. 10

11 Der Verantwortliche CIO Geschäftsführer/Vorstand Bereichsverantwortliche DGRI Folie Nr. 11

12 Der Verantwortliche WER HAFTET IN EINEM UNTERNEHMEN? 31 BGB Organhaftung: das Unternehmen für seine Mitarbeiter 31a BGB Verschulden: persönlich Haftung, wenn sie selbst eine Verantwortlichkeit für Rechtsverletzungen trifft (Vorsatz, grobe Fahrlässigkeit) 278 BGB Organisation: Geschäftsführer und Vorstände eines Unternehmens und dessen Mitarbeiter (Erfüllungs- und Verrichtungsgehilfen) 831 Abs. 1 BGB Organisationsverschulden: Exkulpationsmöglichkeit bei nachgewiesenem Einsatz von Richtlinien und Prozessen (ordnungsgemäßen Auswahl und Leitung) WOFÜR HAFTET EIN UNTERNEHMEN? 101, S. 1 UrhG: Auskunftspflicht (Frist 30 Tage) Welche urheberrechtlich geschützten Produkte ( 69a Abs. 3 UrhG) sind eingesetzt? Welche Berechtigungen (Lizenznachweise) habe ich dafür erworben? (ggf aus Vertrag): Wie ist die Zuweisung der Berechtigungen dokumentiert? Wie passen diese Daten zusammen (Compliance Status)? Wie wurden diese Daten ermittelt? DGRI Folie Nr. 12

13 Der Verantwortliche GLOBAL CEO (Verantwortlich/Haftbar) Exkulpation CIO (Erfüllungsgehilfe) Globaler Lizenz Manager (Erfüllungsgehilfe) LOCAL Geschäftsführer (Verantwortlich/Haftbar) Exkulpation IT Verantwortlicher (Erfüllungsgehilfe) Lokaler Lizenz Manager (Erfüllungsgehilfe) DGRI Folie Nr. 13

14 Die Prüfung Vor-Ort-Plausibilisierung in Ihrem Unternehmen Der Wirtschaftsprüfer beginnt in der Regel mit einem Startgespräch, in dem der organisatorische Ablauf des Besuchs abgestimmt wird, sowie die für die Plausibilisierung benötigten Unterlagen benannt werden Im Anschluss an das Startgespräch wird der Wirtschaftsprüfer die von Ihnen erhaltenen Daten auswerten Der Wirtschaftsprüfer wird die von Ihnen genutzten Microsoft Server Produkte im Rahmen von Installationstest überprüfen: z.b. auf Basis des Active Directory, Update Protokolle von Virenscannern, Admin-Konsole von Exchange und Citrix, etc. Ergänzend werden Installationstest an PCs durchgeführt, d.h. Sie werden gebeten, die installierte Software an ausgewählten Systemen anzuzeigen In einem Abschlussgespräch wird der Wirtschaftsprüfer Ihnen die Ergebnisse im Entwurf präsentieren und eventuelle Fragen klären DGRI Folie Nr. 14

15 SOM Prozesse 4 Stufige Einteilung aller Prozesse Ergebnis: Schwachstellen in der Prozessstruktur fließen in die Schätzung ein DGRI Folie Nr. 15

16 SOM Prozesse 10 Fragen zur Überprüfung des Umgangs mit Software ISO Kategorie Kernkompetenz Frage SAM-Inventar SAM-Inventar SAM-Verifizierung SAM-Verifizierung Organisationsmanagement Organisationsmanagement SAM- Prozessmanagement und -Schnittstellen Schnittstellen zum Lebenszyklusprozess Schnittstellen zum Lebenszyklusprozess Schnittstellen zum Lebenszyklusprozess SAM organisationsweit SAM-Optimierungsplan Hardware- und Softwareinventar Korrektheit des Inventars Dokumentation der Lizenzberechtigungen Regelmäßige Selbstüberprüfung Prozessmanagement- Schnittstellen Beschaffungsprozess Bereitstellungsprozess Ausmusterungsprozess Wie wird das Software-Ressourcenmanagement (dokumentierte Verfahren, Rollen, Verantwortlichkeiten und Executive-Sponsoring) in den einzelnen Infrastrukturgruppen umgesetzt? Verfügt Ihre Organisation über einen abgesegneten Plan zur eigenständigen Optimierung von SAM? Wie viel Prozent der PCs und Server werden in einem zentralen Softwareinventar/CMDB (Configuration Management Database) erfasst? Wie viel Prozent der PCs und Server werden aktuell von einem Tool zum Verwalten der Hardware und Software erfasst und gepflegt? Wie häufig wird das Softwareinventar mit anderen Quellen abgeglichen, um die Korrektheit der Lizenzangaben (zum Beispiel Nutzerzählungen auf Basis von Personaldaten) zu überprüfen? Wie viel Prozent der erworbenen Softwarelizenzen werden in einem Lizenzberechtigungsinventar dokumentiert (zentrale Datenhaltung/Verfolgung aller erworbenen Lizenzen)? Wie häufig wird die eingesetzte (verwendete) Software mit den vorhandenen Softwareberechtigungen (erworbenen Lizenzen) abgeglichen? Softwareberechtigungen sind erworbene Softwarelizenzen. In welchem Maß nutzen die Prozessmanagementfunktionen (Verträge, Anlagevermögen, Servicesupport, Sicherheit, Netzwerkbelange) die Software- und Hardwareinventare? Wie viel Prozent der in Ihrer Organisation insgesamt erworbenen Software werden über eine zentrale Beschaffung eingekauft, gesteuert und verfolgt? Wie viel Prozent der organisationsweit auf PCs und Servern bereitgestellten Software (für alle Betriebssysteme) werden durch zentrale Quellen oder über eine kontrollierte Verteilungsumgebung installiert? Wie viel Prozent der ausgemusterten Hardwareressourcen werden auf eine Weise verfolgt, die eine Wiederverwendung der darauf befindlichen Software ermöglicht? Wie viel Prozent der installierten Software werden beim Ausmustern der zugrundeliegenden Hardware erfasst und wiederverwendet? DGRI Folie Nr. 16

17 Corporate Governance Financial Management Management processes SAM Relationship Management SAM Service Management Continuous SAM reporting Monitoring SAM policies Assuring SAM Awareness Internal SAM Audit Planning IT budget Planning SAM budget Managing financial risks Contract management Supplier Management Outsourcing management Monitoring Product lifecycle Roles and Responsibilities for SAM Continuous staff training Review SAM processes Managing SAM Scope Service Level Management for SAM Continuous SAM Improvement Monitoring Major organizational change Verification & Compliance processes Monitoring license contracts Underlicensing Risk assessment Overlicensing Verification of server access Verification of inventory data Calculation license status Hardware Retirment Moving Operation Hardware change Incident Management Problem Management Uninstall Software Retirement Deployment Order Application Lifecycle processes (technical) Software installation Procurement Delivering Installation Key Software request Receive Installation medium Release Management Software Inventory License Contracts Core Asset Management processes Inventory Management SAM Data Interface Hosting SAM Technology Service & Configuration Management Archiving of old licenses Optimization Retirement Assignment Identify license need (Client) Change ConSalt Breakout April 2014 Folie Nr. 17 Management Hardware Inventory Software Usage Server Access User Organization Service/ Software catalog License optimizing License maintenance Order License Lifecycle processes (commercial) License assignment Archiving proof of license Procurement License registration Identify license need (Server) Internal procurement External procurement Good Receiving

18 Die Lizenzvorschriften Bekannte Schwachstellen Interne und externe Zugriffe Industrial Devices Gebrauchte Software DGRI Folie Nr. 18

19 Die Konsequenzen Hersteller Audit Aktivitäten Risiko Symbol Oracle Viele Audit Aktivitäten mit einer eigenen Audit-Abteilung LMS (license management services). Sehr analytisches Vorgehen beim Abschätzen der finanziellen Chancen. erhebliches Risiko Microsoft Hohe Aktivität in Verbindung mit Vertragsverhandlungen. Zusammenarbeit mit Wirtschaftsprüfern. erhebliches Risiko Adobe Viele Aktivitäten mit teilweise sehr aggressivem Verhalten. erhebliches Risiko SAP Keine expliziten Audits per Definition. Eine jährliche Systemvermessung ist Vertragsbestandteil. und wird mit dem SAP-eigene Tool LAW (License Administration Workbench) durchgeführt. erhebliches finanzielles Risiko IBM Sporadische Audit-Aktivitäten in Zusammenarbeit mit dem Wirtschaftsprüfer (KPMG) normales Risiko DGRI Folie Nr. 19

20 Die Konsequenzen K P M G Keine Panik möchten Geld DGRI Folie Nr. 20

21 Coming together is a beginning. Keeping together is progress. Working together is success. (Henry Ford )