Sie sind hier: Home » Markt » Hinweise & Tipps

Strategien zur Reduktion von Compliance-Kosten


Non-Compliance-Kosten durch Betriebsunterbrechungen sind mehr als doppelt so hoch, als Kosten durch tatsächliche Strafzahlungen
Die meisten Unternehmen fokussieren sich beim Thema Compliance-Kosten in erster Linie auf Bußgelder und Sanktionen bei evtl. Verstößen


(09.10.12) - Praktisch jedes Unternehmen, das mit sensitiven Informationen umgeht, ist mit Compliance-Anforderungen konfrontiert. Dabei zielen Industriestandards, behördliche Bestimmungen und unternehmensinterne Security-Policies darauf ab, sensible und geschäftskritische Daten sowie die gesamte IT-Infrastruktur zu schützen. Bei der Validierung von Compliance gehen viele Unternehmen jedoch selten strukturiert und ganzheitlich vor. Sie installieren stattdessen oft lediglich die vorgeschriebenen Kontrollen und prüfen im Anschluss nicht, ob die getroffenen Vorkehrungen ihre Systeme und Daten tatsächlich wirkungsvoll schützen. Auf diesem kürzesten und wohl auch kostengünstigsten Weg in Richtung Compliance haben die Organisationen das Wesentliche übersehen – nämlich dass die ohnehin nicht vermeidbaren Compliance-Investitionen effektiv genutzt werden können, um die IT-Sicherheit zu verbessern.

Dass dies möglich ist, belegt u. a. die Ponemon-Studie "The True Cost of Compliance" aus 2011 (1). Sie liefert zahlreiche Anhaltspunkte dafür, dass heute in Compliance getätigte Investitionen – insbesondere, wenn diese die Security optimieren– längerfristig zu noch viel deutlicheren Einsparungen führen können, indem sie die Kosten und Konsequenzen reduzieren, die aus einer Nicht-Konformität resultieren. Zwar ist es laut Ponemon unmöglich, Compliance-Kosten vollständig zu vermeiden, sie können aber signifikant reduziert werden.

Wie dies in der Umsetzung aussehen kann, dafür hat jetzt Tripwire drei grundlegende Strategien aufgelegt, die sowohl auf die Empfehlungen aus der Ponemon-Studie eingehen, als auch Lösungswege zu deutlichen Kosteneinsparungen aufzeigen.

Schritt 1: Verringern Sie den zeitlichen Abstand zwischen dem ersten Auftreten einer Datengefährdung und der Entdeckung der Gefahr
Die meisten Unternehmen fokussieren sich beim Thema Compliance-Kosten in erster Linie auf Bußgelder und Sanktionen bei evtl. Verstößen. Demgegenüber belegt die "True Cost of Compliance"- Studie, dass der Hauptteil der Non-Compliance-Kosten auf indirekte Kosten entfällt, etwa durch eine zu geringe Mitarbeiterproduktivität, nicht verfügbare Dienste, Auftragsstornierung durch Kunden oder größere Systemausfälle. Tatsächlich sind die Non-Compliance-Kosten durch Betriebsunterbrechungen mehr als doppelt so hoch, als Kosten durch tatsächliche Strafzahlungen.

Je länger eine Kompromittierung von Daten unentdeckt bleibt, desto höher werden diese indirekten Folgekosten. Die Unternehmen müssen daher die Zeiträume zwischen dem Eintreten einer Gefährdung und der oft erst sehr viel späteren Entdeckung und Behebung der Gefahr verkürzen. Hierfür sind Lösungen erforderlich, die dabei helfen, Veränderungen an den Systemen zu erkennen, zu verwalten und zu kontrollieren. Und die präzise dokumentieren und darstellen, welche Änderungen vorgenommen wurden, und von wem.

Schritt 2: Führen Sie regelmäßig und häufiger Audits durch und setzen Sie hierfür auf Automation
Der Ponemon-Studie zufolge haben Unternehmen, die häufiger interne Audits durchführen, tendenziell geringere Compliance-Kosten. Zum einen, weil diese Organisationen ganz generell offensiver mit dem Thema Compliance umgehen. Vermutlich haben sie außerdem eine ausgeprägte Sicherheitskultur, so dass weniger Schulungen und diszipli­narische Maßnahmen nötig sind, um für die Durchsetzung von Compliance und Sicherheitsstandards zu sorgen. Vor allem können diese Unternehmen aber durch kontinuierliche Audits Compliance-Kosten einsparen, da sie sich jederzeit in einem Audit-fähigen Status befinden, und zwar unabhängig von der Anzahl ihrer Compliance-Mandate.

Viele Organisationen befürchten jedoch, dass die fortlaufende Vorbereitung, Durchführung und Nachbearbeitung von Audits ihre verfügbaren Ressourcen übersteigt, besonders dann, wenn sie verschiedene Compliance-Mandate zu erfüllen haben. Angesichts knapper Budgets versuchen sie daher, den Aufwand möglichst gering zu halten und nur die vorgeschriebenen Audits durchzuführen. In den oft langen Zeitabständen zwischen den Revisionen können die Unternehmen keine durchgängige Compliance gewährleisten und müssen die damit verbundenen Kosten tragen.

Teuer sind die Vorbereitung, Durchführung und Nachbearbeitung von Audits jedoch nur dann, wenn sie ohne kostensparendes und proaktives Konzept erfolgen. Dies belegt u.a. eine 2011 von Thomson Reuters veröffentlichte Studie zu Compliance-Kosten (2), wonach gut ein Drittel der befragten Compliance-Teams angab, mehr als einen Arbeitstag pro Woche dafür aufzuwenden, mit den ständig wechselnden Bestimmungen und entsprechenden Veränderungen Schritt zu halten. Darin noch nicht enthalten ist der Zeitaufwand für die Erstellung oder Nachbearbeitung von Compliance-Berichten für das Management.

Eine schnelle Korrektur unzulässiger Konfigurationen vermeidet Non-Compliance-Kosten, etwa durch nicht verfügbare Dienste oder Bußgelder.

Schritt 3: Erstellen Sie eine effektivere Security-Strategie
Eines der signifikantesten Ergebnisse der "True Cost of Compliance"-Studie liegt darin, dass Unternehmen, die im Bereich IT-Sicherheit gut aufgestellt sind, erheblich geringere Non-Compliance-Kosten verzeichnen, als andere. So wenden von den befragten Organisationen diejenigen in der Gruppe mit der besten Sicherheitsinfrastruktur etwa 4,5-mal weniger Mittel für Non-Compliance auf, als die Unternehmen mit dem schlechtesten IT-Sicherheitsstatus. Eine höhere Systemsicherheit resultiert also durch weniger Störfälle und Service-Unterbrechungen, eine bessere Mitarbeiterproduktivität oder auch geringere Kosten für eventuelle Rechtsstreitigkeiten direkt in einer signifikanten Reduktion von Compliance-Kosten.

Zur Studie
Die "True Cost of Compliance"- Studie bewertete die Effektivität von Sicherheitsmaßnahmen in Unternehmen anhand des so genannten Security Effectiveness Score (SES). Es wurde ermittelt, wie erfolgreich Unternehmen 25 wichtige Security-Ziele (3) umsetzen. Gefragt wurde beispielsweise, ob bekannt ist, wo sen­sible oder vertrauliche Daten physisch gespeichert sind oder ob der physische Zugang zu Geräten eingeschränkt ist, auf denen sich solche Daten befinden.

Die wichtigsten Ergebnisse der "True Cost of Compliance"-Studie 2011 in der Zusammenfassung:
>> Non-Compliance ist letztlich teurer als Investitionen in Compliance.
>> Häufigere Audits reduzieren die Gesamtkosten für Compliance.
>> Je effektiver die Sicherheitsstrategie eines Unternehmens, desto niedriger die Kosten für Non-Compliance.
>> Je schwerwiegender die Datenschutzverletzung, desto größer die Differenz zwischen Compliance und Non-Compliance-Kosten.

(1) The True Cost of Compliance: A Benchmark Study of Multinational Organizations by the Ponemon Institute, January 2011.
(2) Cost of Compliance Survey 2011 by Susannah Hammond and Stacey English, 2011.
(3) The True Cost of Compliance: A Benchmark Study of Multinational Organizations, Ponemon Institute, January 2011. Appendix 3, Seite 30.
(Tripwire: ra)

Tripwire: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Markt / Hinweise & Tipps

  • Cyber-Versicherung im Blickpunkt

    Cyber-Kriminalität gehört zu den sich am schnellsten entwickelnden Risiken für Unternehmen. Doch was tun im Schaden­fall? Oft gehen hohe finanzielle Belastungen und Image-Verluste damit einher. Die Cyber-Versicherung rückt daher zunehmend in den Blickpunkt. Sie stellt einen wichtigen Teil des Risiko-Managements eines Unternehmens dar, weiß Carmao.

  • Homeoffice: Wieviel Monitoring ist zulässig?

    Vertrauen ist gut, aber Kontrolle besser? Insbesondere bei Führungskräften lösen Homeoffice-Regelungen nicht immer Begeisterungstürme aus. Durch die Remote-Work-Situation scheinen Mitarbeiter nicht mehr greifbar. Sehen, was das Team tut? Fehlanzeige. Und überhaupt kann niemand sagen, ob alle wirklich arbeiten oder nur auf dem Sofa sitzen, Kaffee trinken und die Füße hochlegen. Anstatt auf Distance Leadership Skills zu setzen, begegnen einige Unternehmen diesem vermeintlichen Kontrollverlust mit technischer Aufrüstung und mutieren zu regelrechten Doppel-Null-Spionen. Dabei sind zumindest in Sachen Gadgets der Überwachung kaum Grenzen gesetzt. Von der Erfassung von Tastenanschlägen bis hin zur KI-gestützten Gesichtserkennungssoftware, die etwa Müdigkeit als Anzeichen für Unproduktivität wertet, ist alles möglich.

  • Auswirkungen von Cyberangriffen minimieren

    Die russische Offensive begann im digitalen Raum bereits einige Zeit vor dem Einmarsch in die Ukraine. "Während Cyberangriffe auf militärische Zielsysteme, Behörden und Institutionen bereits seit längerem stattfinden, spielte der digitale Raum in den ersten Tagen des russischen Angriffskriegs nur eine nachgelagerte Rolle. Mit zunehmender Kriegsdauer könnte sich dies wieder ändern, und das kann unmittelbare Konsequenzen für Deutschland und seine Wirtschaft haben. Denn die Distanzen im digitalen Raum sind kurz und die Grenzen nicht so klar, wie sie sein müssten", erklärt Bitkom-Sicherheitsexperte Sebastian Artz. "Es gibt keinen Grund zur Panik, aber mit dem Angriffskrieg Russlands ist auch im deutschen Cyberraum volle Aufmerksamkeit und größtmögliche Wachsamkeit aller Unternehmen, Organisationen und staatlichen Stellen geboten."

  • Risikoentscheidungen zu Klima- oder Cybergefahren

    Politische Unsicherheiten, Naturgefahren, aber - allen voran - Verluste, die aus ESG -Verpflichtungen erwachsen, werden die Risikomanager in deutschen Unternehmen nächstes Jahr beschäftigen. Zu diesem Schluss kommt der international tätige Versicherungsmakler WTW und mahnt Unternehmen, ihr Risikomanagement grundlegend zu verändern: "Es kommen zu viele neue, bisher unbekannte Risiken auf Organisationen zu, als dass man weiterhin ‚Risikomanagement im Rückspiegel' betreiben könnte", erklärt Mathias Pahl Head of Corporate Risk & Broking bei WTW. "Risikoentscheidungen zu Klima- oder Cybergefahren können nicht auf Vergangenheitswerten basieren - die sogenannten ‚Emerging Risks' zeichnen sich dadurch aus, dass sie durch fehlende historische Daten kaum oder nur schwer zu bewerten sind."

  • Handling von Umweltregularien

    Im Tagesgeschäft der Elektronik spielen Umweltregularien eine immer wichtigere Rolle und stellen nicht nur die Distribution sondern auch andere Unternehmen entlang der Supply Chain vor Herausforderungen. Um das Handling zu vereinfachen, werden verschiedene Aufgaben wie die Beschaffung von Umweltbescheinigungen gerne an Drittfirmen ausgelagert. Allerdings gibt es hier Fallstricke, so dass der FBDi empfiehlt, besondere Beachtung auf nachfolgende Punkte zu legen.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen