Sie sind hier: Home » Fachartikel » Management

Wertschöpfung durch Compliance

Konsequente Nutzung von Governance-, Risiko- und Compliance- Management (GRC)-Lösungen trägt dazu bei, das interne Kontrollsystem zu verbessern, ohne die Wirtschaftlichkeit von Compliance aus dem Blick zu verlieren
Immer noch substanzielle Schwachstellen in der Corporate Governance und im Risikomanagement von Finanzinstituten

**Autor Ralf Zimpel:** "Compliance-Verantwortliche sollten die Industrialisierung vorantreiben", Bild: CSC

Von Ralf Zimpel, CSC (*)

(23.07.10) - Finanzskandale sowie verstärkte Bemühungen um Verbraucher- und Anlegerschutz haben in der vergangenen Dekade zu einer Flut neuer Gesetze und Regularien geführt: Sarbanes-Oxley Act (SOX), Basel II, Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS), Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) und 8. EU-Richtlinie (auch EuroSOX genannt) seien hier beispielhaft genannt.

Trotz der umfangreichen Regelungen hat die Finanzkrise aufgezeigt, dass nach wie vor substanzielle Schwachstellen in der Corporate Governance und im Risikomanagement von Finanzinstituten bestehen:

>> unzureichende Beaufsichtigung und Kontrolle von Vorständen und Geschäftsführern,

>> schwaches Risikomanagement,

>> übermäßige Risikobereitschaft und kurzfristiges Denken aufgrund unzweckmäßiger Vergütungs- und Anreizsysteme,

>> fehlende Kontrolle seitens der Aktionäre über die in ihren Finanzinstituten eingegangen Risiken.

Es gibt verschiedene Initiativen zur Verbesserung der Corporate Governance, die unter anderem auf die Schaffung einer an langfristigen Unternehmensinteressen orientierten Risikokultur auf allen Ebenen von Finanzinstituten und eine verstärkte Einbeziehung der Aktionäre, Aufsichtsorgane und externen Revisoren abzielen. Diese Initiativen werden die Corporate Governance- und Compliance-Strukturen sowie interne Kontrollsysteme auf den Prüfstand stellen.

Management von Compliance-Risiken
In den letzten Jahren haben zwei europäische Initiativen die Rahmenbedingungen für das Management von Compliance-Risiken grundlegend verändert – primär bei Finanzdienstleistern aber teilweise auch bei Industrieunternehmen: die 3. EU-Geldwäscherichtlinie (2006/60/EG) sowie die Richtlinie über Märkte für Finanzinstrumente (MiFID; 2004/39/EG).

Die Umsetzung beider Richtlinien in deutsches Recht stellt unter anderem die Verbesserung interner Kontrollen in den Mittelpunkt. So bezieht die 3. EU-Geldwäscherichtlinie beispielsweise Wirtschaftsprüfer und vereidigte Buchprüfer in die Terrorismusbekämpfung ein. Die Identifizierungspflichten hinsichtlich "des wirtschaftlich Berechtigten" bei Zahlungsvorgängen wurden erheblich verschärft. Das Kreditwesengesetz definiert in § 25c KWG die Bekämpfung betrügerischer Handlungen zu Lasten von Instituten und Kapitalanlagegesellschaften als eigenständige Aufgabe.

Compliance und interne Kontrollen
§ 25c KWG verpflichtet Kredit- und Finanzdienstleistungsinstitute sowie Finanzholding-Gesellschaften, "im Rahmen ihrer ordnungsgemäßen Geschäftsorganisation und des angemessenen Risikomanagements interne Grundsätze, angemessene geschäfts- und kundenbezogene Sicherungssysteme und Kontrollen zur Verhinderung von betrügerischen Handlungen zu ihren Lasten zu schaffen und laufend zu aktualisieren".

Gemäß § 25c Abs. 2 S. 1 KWG sind hierzu angemessene Datenverarbeitungssysteme einzusetzen, die betrügerische Handlungen bis auf Geschäftsbeziehungs- und Einzeltransaktionsebene erkennbar machen. Hiermit erweitert der Gesetzgeber die Verpflichtung der Institute zur Bekämpfung betrügerischer Handlungen.

Ähnlich schwerwiegende Folgen haben MiFID und deren Umsetzung in deutsches Recht für die Aufgabenstellung und das Pflichtenheft der Compliance-Funktion. Durch Verweis auf § 25a KWG und deren Konkretisierungen wie die Mindestanforderungen für Risikomanagement (MaRisk) ist die Compliance-Funktion nunmehr auch in der gesetzlichen Betrachtung integraler Bestandteil des internen Kontrollsystems (IKS). Diesen Vorgaben zufolge ist die Geschäftsleitung verantwortlich für die ordnungsgemäße Geschäftsorganisation sowie insbesondere für ein angemessenes und wirksames Risikomanagement.

Mindestanforderungen an Compliance
Analog zu den MaRisk hat die Bundesagentur für Finanzaufsicht (BaFin) Mindestanforderungen an Compliance (MaComp) formuliert. Die MaComp stärken den Compliance-Beauftragten / Compliance-Manager im Unternehmen und definieren erweiterte Berichts- und Aufzeichnungspflichten. Darüber hinaus konkretisieren die Mindestanforderungen die Überwachungsaufgaben.

So müssen Überwachungshandlungen nicht nur risikobasiert sondern auch regelmäßig auf der Grundlage eines Überwachungsplans erfolgen. Zudem soll die Compliance-Funktion im Gegensatz zur internen Revision "ihre Prüfungen kontinuierlich, wenn möglich prozessbegleitend oder zumindest zeitnah durchführen". Eine ausschließliche Stützung auf Prüfungsergebnisse der internen Revision ist nicht zulässig.

All diese Vorschriften erweitern das Aufgabenspektrum und den Abdeckungsgrad von Compliance erheblich. Ergänzend ist die häufig noch autark agierende Compliance-Abteilung in das interne Kontrollsystem zu integrieren, sowohl organisatorisch, prozessual als auch systemseitig. Die Industrialisierung – also die Standardisierung und Automatisierung von Geschäfts- und Kontrollprozessen – ist eine wichtige Aufgabe zur Verwirklichung dieses Ziels.

Compliance-Verantwortliche sollten die Industrialisierung vorantreiben, damit sie aktuelle und künftige aufsichtsrechtliche Anforderungen erfüllen und eine größtmögliche Transparenz der Geschäftsvorgänge sowie der damit verbundenen Risiken für das Finanzinstitut, seine Mitarbeiter und externe Interessenten wie Anteilseigner, Aufsichtsbehörden oder externe Revisoren erreichen.

IT unterstützt Compliance-Umsetzung
Hier setzen IT-basierte, risikoorientierte Governance-, Risiko- und Compliance- Management (GRC)-Lösungen an. Diese unterstützen Finanzinstitute bei der Weiterentwicklung des aktuellen Compliance-Ansatzes zu einem strategischen Instrument der Unternehmensführung. Zentraler Bestandteil ist dabei das Reifegradmodell (Maturity Check) zur Etablierung eines ganzheitlichen und konsistenten GRC-Rahmens.

Anhand eines strukturierten Fragenkatalogs kann das relevante Normen- und Kontrollumfeld bestimmt und mit ökonomischen, rechtlichen und ethischen Unternehmenszielen abgeglichen werden. Darauf aufbauend werden Handlungsfelder identifiziert, aus denen sich organisatorische, personelle und informationstechnologische Maßnahmen ableiten lassen. In diesem Zusammenhang bestimmen die Verantwortlichen auch die Anforderungen an "angemessene Datenverarbeitungssysteme".

Kernfunktionen einer effizienten IT-Plattform
Diese Anforderungen an die IT lassen sich vor dem Hintergrund der Einbindung in das interne Kontrollsystem nicht allein durch individuelle Speziallösungen beispielsweise zur Betrugsprävention oder durch die Schaffung weiterer Insellösungen erfüllen. Um eine konsistente Sicht auf das Gesamtrisiko ("Central Point of Control") zu etablieren, ist vielmehr eine flexible, konfigurierbare und integrierte Plattform erforderlich, die Geschäftsprozesse, Unternehmensrisiken und alle Compliance-Felder abdeckt. Solch eine Plattform umfasst folgende Kernfunktionen:

>> Dokumentation der aufsichtsrechtlichen Anforderungen, Risiken und Kontrollen in Relation zum Geschäftsmodell, den relevanten Geschäftsprozessen, Unternehmenswerten, Offenlegungspflichten, Risiken und Kontrollen;

>> Workflow-Management zur Koordination der Maßnahmen eines GRC-Programms (unter anderem Compliance- und Schulungsprogramme, Risikobewertung, Maßnahmenkatalog und Case Management sowie Wiedervorlage- und Eskalationsprozesse);

>> Content-Management für eine revisionssichere Dokumentation der unterschiedlichen Nutzer, Rollen, Verantwortlichkeiten und Maßnahmen inklusive Versionsmanagement, Datenmanagement und Datenqualitätsmanagement;

>> Flexible Reporting-Instrumente und -Verfahren für eine systematische Analyse zur Verfolgung und Bewertung des GRC-Status auf Basis aktueller Bewertungsmethoden, Risikotypologien, Leistungsindikatoren, Verlusthistorien und weiterer Kriterien

Mit Blick auf das sich schnell verändernde regulatorische Umfeld ist dabei die Geschwindigkeit entscheidend, mit der Geschäfts- und Kontrollprozesse modelliert, in der IT abgebildet und in die Produktionsumgebung überführt werden können. Um Zukunftssicherheit zu gewährleisten, müssen darüber hinaus Faktoren wie Kompatibilität und Web-Technologie berücksichtigt werden, besonders in Hinsicht auf Open-Source-Technologie und die Einbindung von Analyseverfahren.

Wertschöpfungsbeiträge durch die Verbesserung des GRC-Managements lassen sich dabei in den Dimensionen Wirtschaftlichkeit, Risikoreduzierung und Unternehmenssteuerung realisieren.

Wirtschaftlichkeit
Prozessorientierte, konfigurierbare und skalierbare übergeordnete Compliance- Systeme (GRC-Plattform) helfen, Mehrfachaufwendungen zu vermeiden und gleichzeitig komplexere Anforderungen abzudecken. Durch Prozessautomation und Integration bewährter Technologielösungen wie Dokumentenverwaltungssystemen sowie Identitäts- und Case-Management-Systemen lassen sich Rationalisierungs- und Synergiepotenziale im Kontrollprozess realisieren. Ein Beispiel hierfür sind niedrigere Help-Desk- und Administrationskosten sowie ein geringerer Aufwand für die Berichterstattung.

Risikoreduzierung
Durch die Integration von Applikationen zur Unterstützung von Revision und Risikomanagement (inklusive Compliance-Risiken), Finanzen, Corporate- und IT-Governance sowie der Reportingprozesse ermöglichen GRC-Lösungen eine systematische und kontinuierliche Überwachung sowie konsistente Steuerung aller relevanten Risiken. Sie unterstützen zudem das Aufbrechen der nach wie vor vorherrschenden "Silos".

Unternehmenssteuerung
Mit effizienten Compliance-Tools lässt sich außerdem die interne Kontrolle verbessern. Entscheidungsprozesse und Strategieentwicklung können flexibler auf neue Anforderungen reagieren. Ebenso lassen sich Krisenprävention und Krisenmanagement effektiver umsetzen.

Die vielfältigen Vorteile zeigen, dass ein ganzheitliches Governance-, Risk- und Compliance-Management dazu beiträgt, sich langfristig im Financial-Services-Wettbewerb zu behaupten sowie die Anforderungen der 3. EU-Geldwäscherichtlinie und der MiFID umzusetzen.

Der Autor
(*) Ralf Zimpel war mehr als zwei Jahrzehnte in verschiedenen Compliance- und Risikomanagement-Managementpositionen bei internationalen Finanzinstituten tätig. Bei CSC ist er nun als Management Consultant im Bereich Compliance & Intelligence Solutions verantwortlich für die Entwicklung ganzheitlicher Risiko- und Compliance-Lösungen für Bankinstitute und Versicherungsunternehmen.

CSC: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Corporate Compliance Zeitschrift

Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>

Meldungen: Management

Intelligente SIEM-Lösungen sind gute Hilfsmittel
Jedes Netzwerk benötigt Schutz. Schutz vor feindlichen Angriffen, Schutz vor versehentlichen Datenverlusten. Gewährleisten kann diesen Schutz nur ein durchdachtes und konsequent in der Praxis angewandtes Regelwerk, die sogenannte Compliance. Das richtige Management der Compliance ist eine komplizierte Angelegenheit. Um sicherzustellen, dass Regeln befolgt und Verstöße geahndet werden, ist ein Indikator erforderlich, mit dem das Regelwerk auf seine konsequente Einhaltung überprüft werden kann. Hier kommen Protokolldateien, die sogenannten Logfiles, ins Spiel.Logfiles entstehen, wenn in einer digitalen Umgebung eine Funktion ausgeführt wird. Sie beinhalten Informationen über die Aktivität, die ausgeführt wurde, und Zusatzinformationen, wie z.B. zum Ausführungszeitpunkt, dem Akteur, etc.Richtig eingesetzt können mit Hilfe dieser Logfiles problemlos Verstöße gegen die Compliance erkannt, nachträglich sogar, über digitale Forensik-Analysen, bis zu ihrem Ursprung zurückverfolgt werden. So ist es mit ihrer Hilfe möglich, Sicherheitslücken zu schließen.
Automatisierung der Trade-Compliance durch IT
Trade Compliance ist in den meisten international tätigen Großunternehmen heute als Topmanagementaufgabe voll anerkannt. Eine heiße Frage bleibt jedoch, wie das Thema inhaltlich und organisatorisch am besten umgesetzt werden kann. Immer mehr Unternehmen legen Wert darauf, als positiver Teil der Gesellschaft wahrgenommen zu werden. Dazu gehört, stets rechtskonform zu handeln. Das Trade-Compliance-Management stellt das Einhalten von Gesetzen und Vorschriften im Außenhandel sicher. Es weist zahlreiche Berührungspunkte mit anderen Managementsystemen und Regelwerken wie zum Beispiel Corporate Governance, Risiko-, Qualitäts-, Umwelt- und Nachhaltigkeits-Management auf. Unternehmen stehen daher vor der Frage, welchem Unternehmensbereich sie das Thema Trade Compliance zuordnen sollen, z. B. der Rechtsabteilung, Finanzen/Controlling, dem Politik- und Regulierungs-Management oder dem Supply-Chain-Management. Und sie müssen entscheiden, wie sie Import- und Exportkontrollen am besten organisieren können.
IT-gestützte Compliance ist kein Hexenwerk
Compliance wird immer wichtiger. Unternehmen müssen umfangreiche gesetzliche Vorgaben und Richtlinien einhalten und deren Befolgung auch nachweisen. Bei Rechtsverletzungen drohen empfindliche Strafen und ein erheblicher Imageschaden. Doch viele Firmen sind mit dem Compliance-Management überfordert. Abhilfe schafft hier ein pragmatischer, IT-gestützter Ansatz wie das Compliance-Framework von Computacenter, das die Regularien mit den entsprechenden IT- und Geschäftsprozessen verzahnt und Abweichungen erkennt. Compliance gilt für alle Fachbereiche eines Unternehmens, auch für die IT-Abteilung. In den meisten Unternehmen sind heutzutage alle Daten elektronisch gespeichert und sämtliche Geschäftsprozesse in Software abgebildet. Angesichts der zentralen Rolle der IT fordert der Gesetzgeber verstärkt IT-Sicherheit und Datenschutz. Daher ist IT-Compliance oft geschäftskritisch für Unternehmen.
Compliance-konforme Datensicherheit
Die Vertraulichkeit und Integrität von Daten ist unverzichtbar – nicht zuletzt auch aus Compliance-Gründen. Eine Grundlage dafür: Die konsequente Verschlüsselung von wichtigen Informationen. Ein besonders hohes Schutzniveau bieten Hardware-basierte Verschlüsselungssysteme, so genannte Hardware Security Module (HSM). Zur Sicherung von Daten und Transaktionen sind kryptographische Verfahren unverzichtbar. Sie umfassen zwei Bereiche: das Erzeugen, Speichern und Verwalten von Schlüsseln sowie die Anwendung für die Signaturerstellung und Verschlüsselung mit diesen kryptographischen Schlüsseln. Hier kommen Hardware Security-Module ins Spiel: Sie erzeugen hochwertige kryptographische Schlüssel und speichern sie so sicher, dass unautorisierte Personen keinen Zugriff darauf haben.
Schutz kritischer Infrastrukturen
Das IT-Sicherheitsgesetz - das erste seiner Art in Deutschland - ist vom Kabinett verabschiedet worden und liegt nun im Bundestag zur Beratung. Es ist ein Anfang und eine Chance für Unternehmen, um sich vor Angriffen zu schützen. Die Notwendigkeit dieser Gesetzgebung ist offenkundig: Das zivile Leben in Deutschland darf nicht durch Cyberattacken beeinträchtigt werden. Besonders das Thema Wirtschaftspionage soll mit dem Gesetz adressiert werden, denn beinahe jede Woche werden neue Angriffe auf Unternehmens- und Organisationsstrukturen gemeldet. Offensichtlich ist es für Wirtschaftskriminelle, politische Akteure und Cyberterroristen immer noch viel zu einfach, in die Infrastrukturen einzudringen, zu sabotieren und Daten zu entwenden. Vollständig verhindern wird das IT-Sicherheitsgesetz diese Attacken nicht, es soll aber zumindest die gröbsten Sicherheitslücken beseitigen. Es soll unter anderem sicherstellen, dass es ein dokumentiertes Sicherheitsmanagement gibt und dass alle sicherheitskritischen Elemente in der IT-Infrastruktur im Unternehmen identifiziert und ganzheitlich überwacht werden.

Remittance-Services und Bekämpfung von Geldwäsche Wie man Outsourcing-Risiken gezielt steuert