Business Continuity Management und GRC

Umfassende Governance, Risk und Compliance-Architektur: FH Brandenburg bewertet Business Continuity-Software
Abgeschottete Insellösungen für GRC kein tragfähiger Ansatz

(30.08.10) - Die Anfang Juli 2010 publizierte Studie der FH Brandenburg über Software zur Unterstützung von Business Continuity Management (BCM) bescheinigt der "HiScout GRC Suite" einen hohen Nutzwert. Autor Robert Proß fand "keine Schwächen" bei der Abdeckung des BCM-Lebenszyklus, lobt die frei konfigurierbaren Business Impact Analysen, Workflows und das Reporting und stellt die Vorteile heraus, die Nutzer durch die Integration des BCM-Moduls in eine umfassende Governance, Risk und Compliance-Architektur haben.

"Mit dem einzigen 'sehr gut' im Testfeld ist uns ein überzeugendes Ergebnis gelungen", freut sich Rolf Irion, Geschäftsführer Marketing und Sales der Berliner DB3. Die DB3 entwickelt und vertreibt die "HiScout GRC Suite", eine Software zum unternehmensweit einheitlichen Management von Governance, Risk und Compliance (GRC). Die Suite ist modular aufgebaut, in der Studie getestet wurde das BCM-Modul.

Die Studie der FH Brandenburg listet und kategorisiert über 60 BCM-Software-Lösungen, unter anderem GRC-Suiten, ganzheitliche BCM-Lifecycle-Tools und BCM-Tools, die Teilaspekte des BCM-Managements abbilden. Neun der Anbieter sind der Einladung des Studienautors Robert Proß nachgekommen und haben beantwortet, inwieweit ihre Lösungen den BCM-Anforderungen gerecht werden.

Das BCM-Modul der HiScout GRC Suite erreichte in der anschließenden Auswertung die höchste Punktzahl. In der Studie begründet Proß das hervorragende Abschneiden wie folgt: "Das Produkt der DB3 GmbH bedient den definierten BCM-Lebenszyklus am Besten und zeigt in den elementaren Funktionalitäten keine Schwächen. […] Im BCM-Modul von HiScout sind Kernfunktionalitäten wie Business Impact Analysen, Workflows und Reporting frei konfigurierbar. Bei der Abbildung der Stammdaten profitiert das Tool enorm von der Möglichkeit, Ressourcen und Prozesse miteinander zu verknüpfen."

Unified GRC
"Besonders gefreut hat uns, dass der Studienautor die bereichsübergreifenden Möglichkeiten unserer Lösung würdigt", so Rolf Irion. "Über die flexible Plattform unserer HiScout GRC Suite können Business Continuity Manager Daten aus anderen Bereichen nutzen – zum Beispiel aus dem Quality Management (Beschreibung der Organisation im Normalbetrieb), dem Information Security Management oder dem IT-Service Management. Manager aus diesen und anderen Bereichen wie zum Beispiel Risk Management können wiederum mit den BCM-Daten arbeiten."

Die DB3 ist davon überzeugt, dass abgeschottete Insellösungen für GRC kein tragfähiger Ansatz sind. Jeder Bereich benötigt zwar eine auf seine Standards und Vorgaben abgestimmte Softwareunterstützung mit spezifischen Sichten und Business-Logik – doch diese muss als integriertes System funktionieren, in dem alle mit den selben Stammdaten arbeiten. Dann gelingt auch ein übergreifendes GRC-Management basierend auf einer Gesamtsicht des Managements auf alle relevanten GRC-Aspekte der Prozesse und Ressourcen in einem integrierten Repository.

Testverfahren
Basierend auf den Standards BS 25999 und BSI 100-4 entwickelte der Studienautor Robert Proß einen Anforderungskatalog und eine Gewichtungsmatrix für die Bedeutung einzelner Anforderungen. Aus den Antworten der Teilnehmer leitete Proß den Erfüllungsgrad für die einzelnen Anforderungen ab, gewichtete diesen und erhielt so den Nutzwert jeder einzelnen Anwendung.

GRC
Für Unternehmen gelten eine Vielzahl von Gesetzen, Regularien und Normen, die zu erfüllen sind und über deren Erfüllung das Unternehmen einen Nachweis erbringen können muss. Gleichzeitig sind Unternehmen immer mehr und komplexeren Risiken ausgesetzt. Der Nachweis der eigenen Compliance, also der Einhaltung aller externen und internen Vorgaben unter Berücksichtigung der eigenen Unternehmensziele und des eigenen "Risikoappetits", ist das Ziel einer wirksamen GRC-Strategie.

Die strenge Orientierung an "Best Practice"-Vorgaben der Governance-Ebene trägt dazu bei, Unsicherheiten und Unklarheiten zu beseitigen, ermöglicht transparente Prozesse und senkt so entweder vorbeugend die Wahrscheinlichkeit des Eintretens eines negativen Ereignisses oder gewährt im Eintrittsfall schnellen Zugriff auf Notfallprozesse. So werden ein möglicher Reputationsschaden und finanzielle Auswirkungen dennoch eintretender Ereignisse reduziert und der Fortbestand des Unternehmens gesichert. (DB3: ra)

DB3: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Markt / Unternehmen