Compliance-Management

Jede Organisation arbeitet innerhalb eines Geflechts aus externen und internen Anforderungen. Dazu gehören Datenschutzgesetze, branchenspezifische Regulierung, Industriestandards, vertragliche Verpflichtungen und eigene interne Richtlinien. Jede Anforderung für sich mag handhabbar wirken. Zusammen überschneiden sie sich, ändern sich und geraten gelegentlich in Konflikt. Compliance-Management bringt Ordnung in diese Landschaft. Es beantwortet laufend drei praktische Fragen: Welche Pflichten gelten für uns? Was tun wir für jede einzelne? Und können wir das nachweisen?

Das entscheidende Wort ist laufend. Compliance-Management ist kein Projekt, das mit der Veröffentlichung einer Richtlinie endet. Pflichten verschieben sich, wenn Gesetze geändert werden, Aufsichtsbehörden neue Leitlinien veröffentlichen oder das Unternehmen neue Märkte erschließt oder Produkte einführt. Ein reifes Programm läuft deshalb zyklisch: Es identifiziert Pflichten, bewertet Risiken, setzt Kontrollen um, prüft deren Wirkung und trägt die Ergebnisse in die nächste Überarbeitung ein.

Ein Compliance-Programm besteht aus sechs Kernbestandteilen:

In der Praxis folgt die Arbeit einem wiederkehrenden Zyklus. Sie beginnt mit der Abgrenzung: Die geltenden Pflichten werden erfasst und den Prozessen, Systemen und Daten zugeordnet, die sie betreffen. Die Risikobewertung zeigt dann, wo ein Verstoß am wahrscheinlichsten und am schädlichsten ist. Darauf reagieren die Kontrollen, die neu entworfen oder angepasst werden. Zur Umsetzung gehört nicht nur das Einführen der Kontrollen, sondern auch deren Dokumentation und die Schulung der Personen, die mit ihnen arbeiten.

Der Zyklus schließt mit Prüfung und Verbesserung. Überwachung und interne Audits prüfen, ob Kontrollen, die nur auf dem Papier bestehen, in der Praxis tatsächlich funktionieren. Erkannte Lücken fließen in aktualisierte Richtlinien, neue Kontrollen oder zusätzliche Schulungen. Befunde, Kennzahlen und Vorfalldaten werden nach oben berichtet. Das Pflichtenregister wird jedes Mal überprüft, wenn sich das Geschäft oder das regulatorische Umfeld ändert.

1. 1

   Abgrenzung

   Erfassen Sie die geltenden Pflichten und ordnen Sie sie den Prozessen, Systemen und Daten zu, die sie betreffen.

2. 2

   Bewertung

   Ermitteln Sie, wo Nichteinhaltung am wahrscheinlichsten und am folgenreichsten ist.

3. 3

   Umsetzung

   Gestalten oder schärfen Sie Kontrollen, dokumentieren Sie sie und schulen Sie die Mitarbeitenden, die danach arbeiten.

4. 4

   Verifizierung

   Prüfen Sie, ob Kontrollen in der Praxis wirken, und fließen Sie Lücken in die nächste Überarbeitung ein.

Aufsichtsbehörden und Prüfer akzeptieren Zusicherungen selten auf Treu und Glauben. Sie erwarten Aufzeichnungen. Nachweise haben drei Hauptformen, die unten zusammengefasst sind.

Ein vollständiger, zurechenbarer Audit-Trail verknüpft jedes erfasste Ereignis mit einem Benutzer, einer Aktion und einem Zeitstempel. So kann die Organisation bei einer internen Untersuchung oder einer externen Prüfung rekonstruieren, was passiert ist.

Auch die Aufbewahrung gehört zu dieser Disziplin. Unterlagen müssen so lange aufbewahrt werden, dass die längste anwendbare Anforderung erfüllt ist, sie müssen vor Veränderung geschützt sein und auf Anfrage abrufbar bleiben. Mangelhafte Dokumentation ist selbst ein häufiger Befund bei behördlichen Prüfungen, unabhängig davon, ob die zugrunde liegenden Kontrollen solide waren.

Aufbewahrung ist eine Einstellung, keine Gewohnheit. Im Anexet Reports Server legt der Administrator fest, wo die erfassten Daten gespeichert werden, wie lange sie bleiben und welche Datensammlungen gesichert werden. Die Berichte auf Basis dieser Daten werden unter Sicherheits-Compliance-Berichte beschrieben.

Compliance-Management ist eine der drei Säulen von GRC: Governance, Risikomanagement und Compliance. GRC ist der Oberbegriff dafür, wie Organisationen sich selbst steuern und kontrollieren. Die Säulen überschneiden sich bewusst. Compliance-Risiken sind eine Kategorie des unternehmensweiten Risikomanagements. Die Governance liefert die Verantwortlichkeitsstrukturen, den Ton von der Spitze und die Entscheidungsrechte, auf denen jede Compliance-Anstrengung beruht.

Die Säulen gemeinsam zu betrachten, vermeidet Doppelarbeit. Eine einzige Datenklassifizierung kann zum Beispiel zugleich eine Datenschutzvorschrift, einen Sicherheitsstandard und eine interne Archivrichtlinie bedienen. Viele Organisationen führen diese Aktivitäten auf gemeinsamen GRC-Plattformen durch, die Pflichten, Risiken, Kontrollen und Nachweise miteinander verknüpfen. So kann eine Kontrolle die Einhaltung mehrerer Anforderungen gleichzeitig belegen, und die Berichte stützen sich auf eine einzige Quelle der Wahrheit.

Schwache Programme scheitern meist an denselben wenigen Stellen, und jeder Fehler zeigt sich in den Aufzeichnungen.

• Compliance als einmaliges Projekt zu behandeln, sodass sich Pflichten ändern, ohne dass es jemand bemerkt
• Richtlinien zu veröffentlichen, ohne zu wissen, wo regulierte Daten liegen, was die Datenklassifizierung klärt
• Keine zurechenbaren Aufzeichnungen darüber zu führen, wer was getan hat, sodass dem Prüfer nichts vorzulegen ist
• Eine Meldung über eine Datenpanne als Ad-hoc-Aufgabe zu behandeln statt als geplanten Ablauf

Beginnen Sie bei den Pflichten mit dem höchsten Compliance-Risiko und ordnen Sie sie danach den Systemen und Daten zu, die sie berühren. Ein knappes Verzeichnis mit benannten Verantwortlichen ist besser als ein langes Dokument, das niemand pflegt.

Datenschutzpflichten aus den Regeln zum Datenschutz sind ein praktischer Einstieg, weil sie die Daten und die beteiligten Personen benennen.

Weiterlesen: Anexet Ultimate DLP-System zur Einhaltung der DSGVO nutzen.