- Anzeigen -
Besuchen Sie auch unser Zeitschriftenportfolio im Bereich Governance, Risk, Compliance & Interne Revision

Sie sind hier: Home » Markt » Hinweise & Tipps

Strategien zur Reduktion von Compliance-Kosten


Non-Compliance-Kosten durch Betriebsunterbrechungen sind mehr als doppelt so hoch, als Kosten durch tatsächliche Strafzahlungen
Die meisten Unternehmen fokussieren sich beim Thema Compliance-Kosten in erster Linie auf Bußgelder und Sanktionen bei evtl. Verstößen


(09.10.12) - Praktisch jedes Unternehmen, das mit sensitiven Informationen umgeht, ist mit Compliance-Anforderungen konfrontiert. Dabei zielen Industriestandards, behördliche Bestimmungen und unternehmensinterne Security-Policies darauf ab, sensible und geschäftskritische Daten sowie die gesamte IT-Infrastruktur zu schützen. Bei der Validierung von Compliance gehen viele Unternehmen jedoch selten strukturiert und ganzheitlich vor. Sie installieren stattdessen oft lediglich die vorgeschriebenen Kontrollen und prüfen im Anschluss nicht, ob die getroffenen Vorkehrungen ihre Systeme und Daten tatsächlich wirkungsvoll schützen. Auf diesem kürzesten und wohl auch kostengünstigsten Weg in Richtung Compliance haben die Organisationen das Wesentliche übersehen – nämlich dass die ohnehin nicht vermeidbaren Compliance-Investitionen effektiv genutzt werden können, um die IT-Sicherheit zu verbessern.

Dass dies möglich ist, belegt u. a. die Ponemon-Studie "The True Cost of Compliance" aus 2011 (1). Sie liefert zahlreiche Anhaltspunkte dafür, dass heute in Compliance getätigte Investitionen – insbesondere, wenn diese die Security optimieren– längerfristig zu noch viel deutlicheren Einsparungen führen können, indem sie die Kosten und Konsequenzen reduzieren, die aus einer Nicht-Konformität resultieren. Zwar ist es laut Ponemon unmöglich, Compliance-Kosten vollständig zu vermeiden, sie können aber signifikant reduziert werden.

Wie dies in der Umsetzung aussehen kann, dafür hat jetzt Tripwire drei grundlegende Strategien aufgelegt, die sowohl auf die Empfehlungen aus der Ponemon-Studie eingehen, als auch Lösungswege zu deutlichen Kosteneinsparungen aufzeigen.

Schritt 1: Verringern Sie den zeitlichen Abstand zwischen dem ersten Auftreten einer Datengefährdung und der Entdeckung der Gefahr
Die meisten Unternehmen fokussieren sich beim Thema Compliance-Kosten in erster Linie auf Bußgelder und Sanktionen bei evtl. Verstößen. Demgegenüber belegt die "True Cost of Compliance"- Studie, dass der Hauptteil der Non-Compliance-Kosten auf indirekte Kosten entfällt, etwa durch eine zu geringe Mitarbeiterproduktivität, nicht verfügbare Dienste, Auftragsstornierung durch Kunden oder größere Systemausfälle. Tatsächlich sind die Non-Compliance-Kosten durch Betriebsunterbrechungen mehr als doppelt so hoch, als Kosten durch tatsächliche Strafzahlungen.

Je länger eine Kompromittierung von Daten unentdeckt bleibt, desto höher werden diese indirekten Folgekosten. Die Unternehmen müssen daher die Zeiträume zwischen dem Eintreten einer Gefährdung und der oft erst sehr viel späteren Entdeckung und Behebung der Gefahr verkürzen. Hierfür sind Lösungen erforderlich, die dabei helfen, Veränderungen an den Systemen zu erkennen, zu verwalten und zu kontrollieren. Und die präzise dokumentieren und darstellen, welche Änderungen vorgenommen wurden, und von wem.

Schritt 2: Führen Sie regelmäßig und häufiger Audits durch und setzen Sie hierfür auf Automation
Der Ponemon-Studie zufolge haben Unternehmen, die häufiger interne Audits durchführen, tendenziell geringere Compliance-Kosten. Zum einen, weil diese Organisationen ganz generell offensiver mit dem Thema Compliance umgehen. Vermutlich haben sie außerdem eine ausgeprägte Sicherheitskultur, so dass weniger Schulungen und diszipli­narische Maßnahmen nötig sind, um für die Durchsetzung von Compliance und Sicherheitsstandards zu sorgen. Vor allem können diese Unternehmen aber durch kontinuierliche Audits Compliance-Kosten einsparen, da sie sich jederzeit in einem Audit-fähigen Status befinden, und zwar unabhängig von der Anzahl ihrer Compliance-Mandate.

Viele Organisationen befürchten jedoch, dass die fortlaufende Vorbereitung, Durchführung und Nachbearbeitung von Audits ihre verfügbaren Ressourcen übersteigt, besonders dann, wenn sie verschiedene Compliance-Mandate zu erfüllen haben. Angesichts knapper Budgets versuchen sie daher, den Aufwand möglichst gering zu halten und nur die vorgeschriebenen Audits durchzuführen. In den oft langen Zeitabständen zwischen den Revisionen können die Unternehmen keine durchgängige Compliance gewährleisten und müssen die damit verbundenen Kosten tragen.

Teuer sind die Vorbereitung, Durchführung und Nachbearbeitung von Audits jedoch nur dann, wenn sie ohne kostensparendes und proaktives Konzept erfolgen. Dies belegt u.a. eine 2011 von Thomson Reuters veröffentlichte Studie zu Compliance-Kosten (2), wonach gut ein Drittel der befragten Compliance-Teams angab, mehr als einen Arbeitstag pro Woche dafür aufzuwenden, mit den ständig wechselnden Bestimmungen und entsprechenden Veränderungen Schritt zu halten. Darin noch nicht enthalten ist der Zeitaufwand für die Erstellung oder Nachbearbeitung von Compliance-Berichten für das Management.

Eine schnelle Korrektur unzulässiger Konfigurationen vermeidet Non-Compliance-Kosten, etwa durch nicht verfügbare Dienste oder Bußgelder.

Schritt 3: Erstellen Sie eine effektivere Security-Strategie
Eines der signifikantesten Ergebnisse der "True Cost of Compliance"-Studie liegt darin, dass Unternehmen, die im Bereich IT-Sicherheit gut aufgestellt sind, erheblich geringere Non-Compliance-Kosten verzeichnen, als andere. So wenden von den befragten Organisationen diejenigen in der Gruppe mit der besten Sicherheitsinfrastruktur etwa 4,5-mal weniger Mittel für Non-Compliance auf, als die Unternehmen mit dem schlechtesten IT-Sicherheitsstatus. Eine höhere Systemsicherheit resultiert also durch weniger Störfälle und Service-Unterbrechungen, eine bessere Mitarbeiterproduktivität oder auch geringere Kosten für eventuelle Rechtsstreitigkeiten direkt in einer signifikanten Reduktion von Compliance-Kosten.

Zur Studie
Die "True Cost of Compliance"- Studie bewertete die Effektivität von Sicherheitsmaßnahmen in Unternehmen anhand des so genannten Security Effectiveness Score (SES). Es wurde ermittelt, wie erfolgreich Unternehmen 25 wichtige Security-Ziele (3) umsetzen. Gefragt wurde beispielsweise, ob bekannt ist, wo sen­sible oder vertrauliche Daten physisch gespeichert sind oder ob der physische Zugang zu Geräten eingeschränkt ist, auf denen sich solche Daten befinden.

Die wichtigsten Ergebnisse der "True Cost of Compliance"-Studie 2011 in der Zusammenfassung:
>> Non-Compliance ist letztlich teurer als Investitionen in Compliance.
>> Häufigere Audits reduzieren die Gesamtkosten für Compliance.
>> Je effektiver die Sicherheitsstrategie eines Unternehmens, desto niedriger die Kosten für Non-Compliance.
>> Je schwerwiegender die Datenschutzverletzung, desto größer die Differenz zwischen Compliance und Non-Compliance-Kosten.

(1) The True Cost of Compliance: A Benchmark Study of Multinational Organizations by the Ponemon Institute, January 2011.
(2) Cost of Compliance Survey 2011 by Susannah Hammond and Stacey English, 2011.
(3) The True Cost of Compliance: A Benchmark Study of Multinational Organizations, Ponemon Institute, January 2011. Appendix 3, Seite 30.
(Tripwire: ra)

Tripwire: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Markt / Hinweise & Tipps

  • 23 Millionen Bürger machen Steuererklärung im Netz

    Tippen und Klicken statt Lochen und Heften: Immer mehr Bundesbürger schwören dem Papierkrieg ab und reichen ihre Steuerklärung einfach online beim Finanzamt ein. 23,1 Millionen Steuerzahler erklärten ihre Einkommenssteuer für das Steuerjahr 2017 elektronisch über den Online-Dienst ELSTER. Das ist ein Anstieg um 5 Prozent im Vergleich zum Vorjahr mit 22 Millionen Online-Steuererklärungen. Das berichtet der Digitalverband Bitkom auf Basis von Daten der Finanzverwaltung. "Die Online-Steuererklärung macht weniger Aufwand, spart Zeit und schont die Nerven. Das scheint immer mehr Steuerzahler zu überzeugen", sagt Bitkom-Steuerexperte Thomas Kriesel. "Das ELSTER-Projekt zeigt, wie Verwaltungsdienstleistungen erfolgreich digitalisiert werden können. Allerdings wird das komplexe deutsche Steuerrecht dadurch auch nicht einfacher."

  • Datenschutz als Wettbewerbsvorteil

    Seit dem 25. Mai 2018 gilt in allen Ländern der EU ein einheitliches Datenschutzrecht (Datenschutz-Grundverordnung - DSGVO). Für kleine und mittlere Unternehmen (KMU) haben sich mit der Verordnung neue Anforderungen an den Datenschutz gestellt. Um die Übersicht zu verbessern, stellt Deutschland sicher im Netz e.V. (DsiN) im Verbund mit seinen Mitgliedern und Unterstützung des Bundesdatenschutzbeauftragten den Datenschutz-Navigator.org als neues Hilfsangebot bereit. Der Onlinecheck führt durch sämtliche praxisrelevante Themen rund um Datensicherheit und zeigt, wie Betriebe Datenschutz praxisgerecht umsetzen können.

  • Elektronische Rechnungen & EU-MwSt.-Richtlinie

    Nach der Verkündung der EU-Kommission vom 18. April 2019 wissen Unternehmen nun zumindest theoretisch dass die Richtlinie für elektronische Rechnungen gültig ist. "Theoretisch", weil es sich dabei auf den ersten Blick nicht unbedingt um Neuigkeiten von großer Bedeutung handelt. Vor allem, da Unternehmen höchst wahrscheinlich schon seit einiger Zeit ein System für ihre Rechnungsstellung nutzen. Dieser Beitrag fasst zusammen was Unternehmen beachten müssen um den Richtlinien zu entsprechen und weist zusätzlich auf einige Fälle hin, bei denen Unternehmen möglicherweise schon seit geraumer Zeit die EU-MwSt.-Richtlinie missachten.

  • Praxishilfe zur EU-Verordnung elDAS

    Mit elDAS ist seit Mitte 2016 eine EU-Verordnung wirksam, auf deren Basis die elektronische Identifizierung und die Erbringung von Vertrauensdiensten innerhalb des Europäischen Wirtschaftsraums neu geregelt wurde. Sie zeigt bereits deutliche Erfolge, allerdings verbirgt sich hinter der Umsetzung für Diensteanbieter und Anwender ein fachlich komplexer Prozess. TÜV Trust IT hat deshalb hierzu eine umfangreiche Praxishilfe herausgegeben. Mit elDAS ist erstmals die digitale Kommunikation von Wirtschaft, Verwaltung und Bürgern rechtsverbindlich, grenzüberschreitend, vollständig medienbruchfrei und sicher möglich. Dass diese Verordnung tatsächlich schon zu einer deutlichen Zunahme der qualifizierten Vertrauensdienste in Europa geführt hat, lässt sich an dem durch die EU geführten Verzeichnis der qualifizierten Anbieter ablesen: EU Trusted List of Trust Service Providers (TSL). Zudem wird die Nutzung von Vertrauensdiensten nach eIDAS in immer neuen Anwendungsbereichen zur Pflicht. Dies gilt beispielsweise im Finanzwesen, wo zur Erfüllung der Anforderungen der Payment Services Directive 2 (PSD2) die Nutzung von sogenannten Qualifizierten Siegeln und Zertifikaten (QWACS) zur Absicherung der Maschinenkommunikation vorgegeben wurde.

  • Was effektive Verschlüsselungsstrategie ausmacht

    Simon Keates, Business Development Director, EMEA bei Thales eSecurity, erläutert wie man eine effektive Verschlüsselungsstrategie am besten umsetzt und wie man die dazu notwendige Kommunikation mit der Führungsebene verbessert. "Lange Jahre hat man Verschlüsselung primär aus einem Blickwinkel heraus betrachtet: dem einer Belastung für Geschäftsprozesse. Teuer, komplex und von zweifelhaftem Wert. Wie sich die Dinge doch geändert haben. Nach wenigen Jahren (und nach Hunderten von hochkarätigen Datenschutzverletzungen mit wirtschaftlichen Schäden in Billionenhöhe) lassen sich Cyberbedrohungen nicht mehr ignorieren. Das ist auch auf den Vorstandsetagen angekommen. Neben den unmittelbaren wirtschaftlichen Folgen einer Datenschutzverletzung gibt es ein breit gefächertes Arsenal an weiteren, potenziell verheerenden Auswirkungen.