Compliance als Anreiz für Prozessoptimierung

Gesetzliche Vorgaben werden als zukünftige Compliance-Treiber gesehen - Anreiz für Prozessoptimierungen und zusätzliche Automatisierungen
Wirtschaftlichkeit und Effizienz von Compliance-Lösungen standen bislang nicht im Vordergrund - Interne Vorgaben die Haupttreiber für Compliance-Projekte

(21.03.07) - Die Universität Erlangen-Nürnberg führt derzeit mit Unterstützung von Novell in Europa eine empirische Studie durch, die den Einsatz von IT-Systemen zur Erfüllung von Compliance-Anforderungen untersucht. Dabei geht es auch darum, ob Lösungen für IT-Risikomanagement wirtschaftlich sind. Die ersten Ergebnisse der Studie: Unternehmen setzen einen starken Fokus auf interne Compliance. Gesetzliche Vorgaben werden als zukünfige Compliance-Treiber gesehen und setzen einen weiteren Anreiz für Prozessoptimierungen und zusätzliche Automatisierungen. Wirtschaftlichkeit und Effizienz von Compliance-Lösungen standen bislang nicht im Vordergrund.

Die Anforderungen an die Compliance im Unternehmen (z.B. BDSG, SOX, Basel II oder die kommende 8. EU-Richtlinie) sowie interne Sicherheitsrichtlinien oder Vorgaben von Geschäftspartnern (z.B. für die Abwicklung von Kreditkartentransaktionen) werden immer umfangreicher. Marktforscher sprechen meist von mehreren Millionen Euro, die für die Einhaltung von Compliance-Richtlinien in großen Unternehmen anzusetzen sind. Security Information- und Event-Management-Systeme (SIEM) versprechen, den hohen Personal- und Zeitaufwand zu reduzieren, Bedrohungen in Echtzeit zu identifizieren und entsprechende Berichte vollautomatisch zu generieren.

Die Studie analysiert den Status in den heutigen Unternehmen: Welcher Aufwand fällt zur Einhaltung und zum Nachweis von Compliance an? Wie und wo werden bereits IT-Systeme zur Erfüllung von Compliance-Anforderungen eingesetzt? Und welche Kosteneinsparungen werden realisiert? Basis dafür bilden branchenübergreifende Experteninterviews mit Entscheidern. Abgefragt werden die Anforderungen und Herangehensweisen der Unternehmen, die Herausforderungen und Best Practices sowie Erfahrungen mit dem Einsatz von IT-Lösungen. Von Interesse sind auch, inwiefern Aufwand und Nutzen quantifizierbar sind. Eine Fallstudie zur Effektivitätsanalyse rundet die Studie ab, die im Juni 2007 abgeschlossen sein wird.

Marina Walser, Director Business Development Novell Central Europe erklärte: "Compliance und Sicherheit sind Pflichtthemen in Unternehmen, deren Umsetzung zu einem erheblichen Anteil durch die IT-Abteilung und mit hohem manuellem Aufwand erfolgt. Nach der erfolgreichen Einführung von Policies und Prozessen liegt jetzt der Fokus darauf, den Aufwand durch automatisierte Lösungen zu reduzieren.”

Erste Ergebnisse der Studie

Erste Zwischenergebnisse zeigen deutlich, dass interne Vorgaben die Haupttreiber für Compliance-Projekte sind. Neue externe Vorgaben werden meist in interne Sicherheitsrichtlinien überführt. Weitere starke Treiber für Compliance sind zukünftig die Bilanzierungsvorschriften. Zudem zeigen die Gespräche mit den Entscheidern, dass durch Compliance-Anforderungen der Zwang entsteht, sich mit eigenen Prozessen auseinander zu setzen. Unternehmen nutzen diese Herausforderung oftmals für Prozessoptimierungen mit dem Ergebnis, dass 70 Prozent des Compliance-Erfolges durch Prozessverbesserungen erzielt werden. Um IT-Compliance zu erfüllen, ist die weitere Automatisierung von Prozessen notwendig. Gleichzeitig müssen immer mehr Compliance-Aufgaben bei gleichbleibender Anzahl an Mitarbeitern berücksichtigt werden.

"Die Studie zeigt, dass die Zentralisierung sämtlicher Anforderungen an einer Stelle ein entscheidender Erfolgsfaktor für die konsistente Erfüllung von Compliance-Anforderungen ist. Viele Compliance-Richtlinien überlappen sich zu fast 80 Prozent und nur ein geringer Anteil ist individuell zu handhaben", sagte Prof. Michael Amberg, Universität Erlangen-Nürnberg.

Quantifizierbare Erfolge sind allerdings schwierig: Die Unternehmen möchten Kosten sparen, die tatsächlichen Einsparungen werden bislang aber kaum analysiert. Auch das höhere Sicherheits-Level, das durch IT-Lösungen erreicht wird, ist nur schwer messbar. (Novell: ra)