Fallstudie
Bridgestone Australien
Wie Bridgestone Australia von manuellen Prüfungen der Aufgabentrennung auf ein automatisiertes SAP-Zugriffsrisikomanagement mit Soterion umgestellt hat.
Die Geschichte von Bridgestone
Bridgestone Australia ist einer der bekanntesten Reifenhersteller des Landes, und der Umgang mit Risiken gehört zum täglichen Geschäft. Ein Teil des Markenversprechens besteht darin, Risiken für die Kunden zu minimieren, die darauf vertrauen, dass Bridgestone hochwertige Reifen herstellt, die die Sicherheit ihrer Familien im Straßenverkehr gewährleisten.
Bridgestone Australia nutzt SAP seit 1998, und im Laufe der Jahre ist die Zahl der SAP-Anwender deutlich gestiegen.
Starkes Wachstum und eine veraltete ERP-Infrastruktur, die nicht mehr tragbar ist
Im Jahr 2008 gab es bei Bridgestone nur eine geringe Anzahl von SAP-Anwendern, da das Unternehmen zwei Systeme betrieb – SAP und iSeries. Bei so wenigen Anwendern war die Verwaltung der Aufgabentrennung (Segregation of Duties, SoD) relativ einfach.
Der Wendepunkt kam im Geschäftsjahr 2013/14, als alle Bridgestone-Anwender auf SAP umgestellt wurden und zahlreiche neue Prozesse eingeführt wurden. Angesichts des wachsenden Teams wurde die Verwaltung der Zugriffskontrollen in SAP zeitaufwendig, ineffizient und kostspielig. Angesichts der hohen Nutzerzahl und der Komplexität des Prozesses war dem Team klar, dass es von manuellen Prozessen auf Automatisierung umsteigen musste.
Die Suche nach einer maßgeschneiderten Lösung
Nachdem Bridgestone verschiedene Optionen geprüft hatte, entschied man sich zunächst für eine maßgeschneiderte Software-Lösung. Jess Barnes, Senior Business Analyst im SAP-Team, plante, die IT-Spezifikationen im ersten Quartal 2015 zu erstellen. Auf der „Mastering SAP Conference Australia“ stieß Jess auf Soterion und fand eine Lösung, die alle ihre Anforderungen erfüllte, die Daten übersichtlich darstellte und den Budgetvorgaben entsprach. Nach einer dreitägigen Schulung arbeitete Soterion mit dem Infrastrukturteam von Bridgestone zusammen, um einen Soterion-Server an den SAP-Server anzubinden. Nach einem Proof of Concept nahm Bridgestone Australia Soterion im Jahr 2016 in Betrieb.
Warum sich Bridgestone für Soterion entschieden hat
Soterion konnte alles leisten, was ein maßgeschneidertes Programm geleistet hätte – ohne die damit verbundenen Kosten und den Entwicklungsaufwand.
Die Lösung entsprach den Budgetvorgaben von Bridgestone.
Die Risikodaten werden übersichtlich dargestellt, sodass das Team die Kennzahlen an den Risikoausschuss und die Geschäftsleitung weitergeben kann.
Drei Tage Schulung und ein Proof-of-Concept reichten aus, um Soterion an SAP anzubinden und loszulegen.
„Das Tool ist für uns sehr nützlich, da es uns einen klaren Überblick und Transparenz über unsere finanziellen Risiken im Unternehmen verschafft und das Team die Kennzahlen dem Risikoausschuss und der Geschäftsleitung präsentieren kann, was allen ein Gefühl der Sicherheit vermittelt.“
Jess Barnes, Senior Business Analyst bei Bridgestone Australia
Wichtige Erkenntnisse aus der Umsetzung bei Bridgestone
- Sobald eine Risikominderungsmaßnahme festgelegt wurde, sollten Sie diese regelmäßig überprüfen. Bridgestone Australia führt diese Überprüfung jährlich durch, um sicherzustellen, dass die Risikominderungsmaßnahmen weiterhin relevant sind.
- Achten Sie beim Einrichten von Rollen darauf, dass es innerhalb derselben Rolle keine Konflikte gibt. Das Widerrufen einer Rolle ist nach deren Einrichtung schwierig, insbesondere bei einer großen Anzahl von Benutzern – richten Sie sie daher von Anfang an korrekt ein.
- Es ist nicht notwendig, eine maßgeschneiderte Lösung zu entwickeln. Die GRC-Software von Soterion bietet alle erforderlichen Funktionen und noch vieles mehr und stützt sich auf über Jahre hinweg aufgebautes Fachwissen.
Bridgestone überprüfte das Risikoniveau und die Relevanz des Standard-Regelsatzes von Soterion und erstellte einen eigenen Bridgestone-Regelsatz, in den eigene Transaktionen aufgenommen wurden. In Fällen, in denen als „hoch“ eingestufte Risiken als „mittel“ angesehen wurden, ermöglichte ein Kontrollkästchen zur Relevanz dem Team, jedes Risiko unabhängig von seinem Niveau im Blick zu behalten.
Das Team hat alle Risiken für alle Benutzer überprüft und für jedes Risiko eine Kontrollmaßnahme zur Risikominderung definiert – eine, auf die sich sowohl das Unternehmen als auch die Wirtschaftsprüfer geeinigt haben. Da Rollen- und Benutzersimulationen täglich zum Einsatz kommen, wird jede neue Rolle vor der Prüfung auf SoD-Konflikte überprüft und entsprechend abgesichert.
Sind Sie bereit, die Kontrolle über Ihre SAP-Zugriffsrisiken zu übernehmen?
Sprechen Sie mit einem Experten für Soterion-Lösungen.