Prozess-Modelierung für interne Kontroll-Systeme

Prozess-Modelierung für interne Kontroll-Systeme (Fortsetzung)

PRAGMATISMUS IST TRUMPF
Wie wichtig das Zusammenspiel von umfassenden Datenanalyse-Möglichkeiten mit den Prozess-Abläufen Interner Kontroll-Systeme ist, betont Christian van Wickeren, Sales Manager Financial Intelligence bei SAS Deutschland: »Das Modul ´SAS Corporate Compliance´ innerhalb der Datenanalyse-Plattform SAS9 verfolgt und überwacht die internen Kontrollen, prüft den aktuellen Status der IKS-Konformität und zeigt die Auswirkungen einzelner Risiken auf«, sagt der SAS-Mann.
Die Stärke des SAS-Pakets liegt dabei nach van Wickeren darin, dass dadurch, dass sich das IKS-Konformitäts-Modul in einem geschlossenen Kreislauf von Datenhaltung, Datenanalyse und Reporting befindet, »ineffiziente und besonders risikobehaftete Abläufe schnell optimiert oder beseitigt werden können«.
Nichtsdestotrotz stehen bei der Einführung von neuen IKS-Tools oft weniger technische als pragmatische Argumente im Vordergrund. So begründet Dominique Houe von CNP Assurances, wo man IKS mit ARIS macht, den Einsatz des neuen Moduls ARIS SOx Audit Manager vor allem mit der Marktstellung von IDS Scheer im Prozess-Modellierungs-Markt: »ARIS ist als Methode und Software gut bewährt und weit verbreitet. Das gibt uns die Möglichkeit, von den existierenden Anwendungserfahrungen zu profitieren und darüber hinaus die Hoffnung, dass künftig auftretende Probleme schneller gelöst werden können«.

ÜBERREGULIERUNG
Kein Zweifel: Probleme werden in den nächsten Jahren jede Menge zu lösen sein. Die Dokumentation der Kontroll-Mechanismen und der zugehörigen Tests ist nämlich alles andere als ein Kinderspiel. Allein in SAP gibt es unter den 14000 Transaktionen nicht wenige Operationen, die zwar unterschiedlich sind, aber alle zum gleichen Ergebnis führen. Wie soll das alles getestet und dokumentiert werden. Und wie soll das betrügerische Unterlaufen der Test- und Dokumentations-Sammlungen verhindert werden? Beispiel: wer sich Zugriff auf die unter der SAP-Applikation liegende Datenbank verschafft, kann die darüber liegenden Applikationen und die damit verbundenen Kontrollen umgehen.
Insgesamt zeigen viele neue Regelungen im IKS-Bereich ? das gilt vor allem für Sarbanes-Oxley ? eine gewisse Tendenz zur Überregulierung und wirken vermutlich vor allem als ABM-Maßnahme für Wirtschaftsprüfer und Juristen. Wenn die neuen Regelungen aber viele Unternehmen dazu bringen, endlich mit der Prozess-Modellierung und seriösen Messung von IT-Risiko- und Sicherheitsmaßnahmen Ernst zu machen, dann hätten diese Regelungen ja auch ihr Gutes.

1. Prozess-Modelierung für interne Kontroll-Systeme
2. Prozess-Modelierung für interne Kontroll-Systeme (Fortsetzung)
3. Prozess-Modelierung für interne Kontroll-Systeme (Fortsetzung)