Implementierung wirksamer Kontrollen in Ihrer Organisation

Verständnis für wirksame Kontrollen

Wirksame Kontrollen sind für jedes Unternehmen unerlässlich, um Risiken zu verwalten und zu mindern, insbesondere in den Bereichen SAP-Sicherheit und Governance, Risk und Compliance (GRC). Ein gewisses Maß an Risiko muss für den Betrieb in Kauf genommen werden, und im SAP-Kontext sehen sich die Benutzer aufgrund von Ressourcenbeschränkungen oft mit Risiken der Funktionstrennung (Segregation of Duty, SoD) konfrontiert. Der eigentliche Wert eines GRC-Programms liegt daher in der Definition und Sicherstellung der Wirksamkeit geeigneter Kontrollen.

Identifizierung und Abschwächung von Risiken

Um die mit dem Zugriff von SAP-Benutzern verbundenen Risiken zu beherrschen, müssen Unternehmen diese Risiken zunächst verstehen. Sobald sie identifiziert sind, ist es entscheidend, die notwendigen Kontrollen zu definieren, um sie zu mindern, und Kontrolltätigkeiten einzurichten, um ihre Wirksamkeit zu gewährleisten. Leider häufen SAP-Benutzer im Laufe der Zeit übermäßige oder unangemessene Zugriffsrechte an, was auf das Konzept der schleichenden Ausweitung der SAP-Berechtigungen zurückzuführen ist. Dies geschieht, wenn Benutzer Rollen erhalten, die ihnen mehr Zugriff als nötig gewähren, oder wenn sie nach internen Versetzungen alte Zugriffsrechte beibehalten.

Das Risiko besteht darin, dass Benutzer mit weitreichendem oder unangemessenem Zugang unbefugte Funktionen ausführen können, was zu betrügerischen Aktivitäten, Datenverstößen oder falschen Finanzangaben führen kann. Daher müssen Kontrollen implementiert werden, um sicherzustellen, dass Benutzer nur den für ihre Aufgaben erforderlichen Zugang haben (am wenigsten privilegierter Zugang) und um die Aktivitäten derjenigen mit unvermeidbaren Zugangsrisiken zu überwachen.

Kontrolltätigkeiten und Effektivität

Zu den Kontrollmaßnahmen zur Minderung der Zugangsrisiken gehören:

1. Analyse des Zugriffsrisikos: Bei dieser detektivischen Kontrolle werden Benutzer und Rollen anhand eines Regelsatzes für Zugriffsrisiken bewertet, um Verstöße aufzudecken. Die Wirksamkeit hängt davon ab, ob Korrekturmaßnahmen ergriffen werden, wie z. B. das Entfernen unnötiger Zugriffe.
2. Was-wäre-wenn"-Simulationen des Zugangsrisikos: Eine präventive Kontrolle, bei der Zugangsänderungen simuliert werden, um potenzielle neue Risiken zu erkennen, bevor sie auftreten. Die Wirksamkeit erfordert, dass alle Zugangsanträge einer Simulation und einer geschäftlichen Überprüfung unterzogen werden.
3. SAP Access Risk Rule Set und SoD Mitigations: Anpassung des Regelsatzes zur Gewährleistung der Relevanz und Festlegung von Abhilfemaßnahmen für jedes SoD-Risiko. Die Wirksamkeit hängt davon ab, dass der Regelsatz aktualisiert wird und anwendbar ist.
4. Notfall-Zugangsmanagement: Sicherstellung, dass Benutzer, die für kritische Unterstützungsfunktionen einen umfassenden Zugang benötigen, dies auf kontrollierte und überprüfbare Weise tun. Die Wirksamkeit erfordert eine gründliche Überprüfung der Aktivitätsprotokolle nach dem Zugriff.
5. Überprüfung des Benutzerzugangs: Regelmäßige Überprüfungen, um sicherzustellen, dass der zugewiesene Zugriff relevant bleibt. Die Wirksamkeit hängt davon ab, dass die Prüfer die mit jeder Rolle verbundenen Zugriffsdetails und Risiken verstehen.
   

Die Rolle von Mensch, Prozess, Technologie und Design

Die Wirksamkeit von Kontrollen wird durch das Zusammenspiel von Menschen, Prozessen, Technologie und Design beeinflusst. Entscheidend ist, die richtigen Mitarbeiter für die Compliance-Aufgaben zu finden, klare Prozesse zu definieren, eine geeignete Technologie auszuwählen und ein robustes Design zu gewährleisten.

1. Menschen: Beziehen Sie sowohl IT- als auch Geschäftsanwender in die Compliance-Aktivitäten ein. Vor allem Geschäftsanwender müssen die für ihre Rolle relevanten Zugangsrisiken verstehen und verwalten.
2. Prozess: Definieren Sie detaillierte Prozesse für jeden Anwendungsfall und stellen Sie sicher, dass alle Beteiligten ihre Verantwortlichkeiten und Zeitrahmen kennen.
3. Technologie: Implementieren Sie die richtige Technologie, um die Kontrolltätigkeit zu erleichtern. Die gewählte Lösung sollte benutzerfreundlich sein, die Fachsprache in Geschäftsbegriffe übersetzen und wirksame Kontrolltätigkeiten unterstützen.
4. Entwurf: Stellen Sie sicher, dass das SAP-Rollendesign robust ist und eine angemessene Kontrolle ermöglicht. Veraltete Designs, die breiten Zugang gewähren, behindern wirksame Kontrolltätigkeiten.

Messung der Wirksamkeit von Kontrollen

Die Wirksamkeit der Kontrollen wird bewertet, indem die Kosten der Kontrolltätigkeiten mit ihrer Wirksamkeit verglichen werden. Berücksichtigen Sie die Kosten für SAP-Sicherheitsressourcen, Softwarelizenzen und den Aufwand für die Einhaltung von Vorschriften. Bewerten Sie die Art der Kontrollen (präventiv vs. aufdeckend, systemisch vs. manuell, kontinuierlich vs. ad hoc) und wie gut sie durchgeführt werden.

Vorbeugende Kontrollen sind im Allgemeinen wirksamer als aufdeckende. Systemkontrollen sind zuverlässiger als manuelle Kontrollen, und Kontrollen, die kontinuierlich durchgeführt werden, sind wirksamer als solche, die auf Ad-hoc-Basis erfolgen.

Kontinuierliche Überwachung der Kontrolle

Die Einführung einer kontinuierlichen Überwachung der tatsächlichen Risiken kann die Wirksamkeit der Kontrollen erheblich verbessern. Tatsächliche Risiken sind solche, die tatsächlich eingetreten sind, im Gegensatz zu potenziellen oder tatsächlichen Risiken. Die Überwachung dieser Risiken in Echtzeit ermöglicht sofortige Warnungen und gezielte Überprüfungen, was den Prozess überschaubarer und effizienter macht.

Schlussfolgerungen

Die Wechselbeziehung zwischen Menschen, Prozessen, Technologie und Design ist entscheidend für die Wirksamkeit von Kontrollen. Die Wahl der richtigen Technologie und die Sicherstellung klarer Prozesse und angemessener Rollendesigns können die Fähigkeit einer Organisation, Zugangsrisiken zu mindern und die Einhaltung von Vorschriften zu gewährleisten, erheblich verbessern. Wirksame Kontrollen bieten nicht nur Sicherheit, sondern schaffen auch einen Mehrwert für das Unternehmen, indem sie die Ressourcen optimieren und das Betrugs- und Fehlerpotenzial verringern.