Verschärfter regulatorischer Compliance-Druck


Studie analysiert die organisatorischen Rahmenbedingungen für Identity Access Management und Governance in der Finanzindustrie
Operationales Risikomanagement ist Kernthema für die Unternehmen der Finanzindustrie - Thema Compliance wird in den Organisationen zwar diskutiert, die richtige Zuordnung oft noch nicht gefunden


(15.10.12) - Eine aktuelle Studie des europäischen Analystenunternehmens KuppingerCole in Zusammenarbeit mit der Berliner Beta Systems Software AG zeigt, welche organisatorischen Rahmenbedingungen das Thema Identity Access Management (IAM) und Identity Access Governance (IAG) in der Finanzindustrie derzeit bestimmen. Laut Studie rücken IAM und IAG insbesondere durch den verschärften regulatorischen Compliance-Druck wesentlich mehr als bisher ins Blickfeld der Unternehmen. Die meisten beschäftigen sich damit sehr viel intensiver als bisher, allerdings gibt es auch noch einige offene Baustellen. Hierzu zählen insbesondere die Einbindung von IAM und IAG in die Gesamtstrukturen für Governance, Risk Management und Compliance sowie die Schaffung geeigneter organisatorischer Strukturen für dieses Themenfeld.

Bei der Untersuchung der organisatorischen Rahmenbedingungen für IAM/IAG ist laut Studie zu berücksichtigen, dass Banken und Versicherungen beim Risikomanagement - trotz der gestiegenen Bedeutung von regulatorischen Anforderungen auch für das Zugriffsmanagement - noch andere, oft wesentlich kritischere Bereiche haben.

Bei der Frage nach den priorisierten Bereichen im Risikomanagement der Finanzindustrie steht das operationelle Risikomanagement klar an der Spitze. IAM/IAG ist in diesen Bereich einzuordnen, weil die Reduzierung von IT-Risiken durch IAM/IAG auf die operationalen Risiken wirkt. Sie sind jedoch nur ein Teil des Gesamtthemas.

Ein ganz anderes Bild zeigt sich beim Blick auf die Initiativen zum Risikomanagement innerhalb der IT. Hier hat IAM die mit Abstand größte Bedeutung. Auch Access Governance und Access Intelligence sind nicht unwichtig, werden aber von vielen Unternehmen als Teil der IAM-Initiative verstanden. Ansonsten verteilen sich die Antworten über unterschiedliche Themenfelder.

Ein sehr breit gefächertes Spektrum an Antworten ergibt die Frage nach den Stakeholdern für das Thema IAM/IAG. Deutlich wird, dass es typischerweise mehrere Stakeholder gibt. Zudem kommt das Thema immer mehr auf der Leitungsebene des Unternehmens an. Bei immerhin einem Drittel der Unternehmen ist der Gesamtvorstand ein Stakeholder, bei weiteren gut 20 Prozent sind es Einzelvorstände. Auch die Konzernorganisation, die interne Revision und das Risk Management führen die befragten Unternehmen als häufig involviert an.

"Bei immerhin rund 28 Prozent der befragten Unternehmen haben sich die Stakeholder in den vergangenen zwei Jahren verändert, wobei die Erfahrungswerte aus Advisory-Projekten zeigen, dass dabei regelmäßig die Business-Organisation ein höheres Gewicht bekommt", erläutert Martin Kuppinger von KuppingerCole. "Die vergleichsweise hohe Veränderungsrate bei Stakeholdern zeigt, dass das Thema Compliance in den Organisationen diskutiert wird, die richtige Zuordnung aber oft noch nicht gefunden ist. Insgesamt ist IAM/IAG allerdings inzwischen generell auch ein Thema für die Business-Organisation und längst nicht mehr nur für die IT."

Ein noch breiter gefächertes Bild zeigt sich bei den beteiligten Organisationseinheiten. Hier gibt es eine große Zahl von unterschiedlichen beteiligten Stellen in den Projekten. Die Verantwortlichkeiten sind über viele Stellen verteilt. In praktisch jedem Unternehmen sind auch mehrere Stellen involviert, was schon aus der Notwendigkeit des Zusammenspiels zwischen Fachbereichen und IT resultiert. Entsprechend nennen immerhin rund 85 Prozent der befragten Unternehmen die Fachbereiche als beteiligte Organisationseinheiten.

Bei der Frage danach, welche speziellen organisatorischen Einheiten es in den Unternehmen für IAM und IAG gibt, ergibt sich dagegen ein ernüchterndes Bild. Zwar besteht in einer großen Zahl von Unternehmen ein festes Team für IAM/IAG als organisatorische Einheit. Funktionen wie ein Governance Board oder eine unabhängige Prüfstelle, die sich in der Linienfunktion um Richtlinien, SoD-Regeln (Seggregation of Duties) oder die Festlegung von kompensatorischen Kontrollen kümmern, fehlen dagegen fast überall.

Das zeigt, dass der organisatorische Status für IAM/IAG in sehr vielen Fällen noch nicht auf dem eigentlich erforderlichen Niveau ist. Viele Unternehmen haben keine speziellen Richtlinien für IAM/IAG, SoDs oder die Rezertifizierung, sondern viel zu unspezifische IT-Sicherheitsrichtlinien.

Anmerkungen:
1) IAM steht für Identity und Access Management und bezeichnet die Technologien, mit denen die Identitäten von Benutzern und ihre Zugriffsberechtigungen verwaltet werden.

2) Identity und Access Governance (IAG) betrachtet die Governance um Identitäten (beispielsweise verwaiste Konten von Benutzern, die längst nicht mehr im Unternehmen sind) und Zugriffsberechtigungen. Hier geht es darum sicherzustellen, dass Benutzer minimale oder angemessene Berechtigungen haben, aber eben keine Berechtigungen über das hinaus, was sie sinnvollerweise in ihrer Arbeit benötigen. Die Analyse von Zugriffsberechtigungen und die regelmäßige Rezertifizierung durch manuelle Prüfprozesse sind wesentliche Funktionen der Identity und Access Governance.

3) Bei Identity und Access Intelligence geht es um analytische Funktionen, bei denen vermehrt Technologien aus dem Bereich Business Intelligence/Data Warehouse zum Einsatz kommen, um Berechtigungen analysieren und beispielsweise spezifische Risiken erkennen zu können. Im Gegensatz zu IAG werden dabei vermehrt nicht nur statische Berechtigungszuweisungen, sondern auch die aktive Nutzung von Berechtigungen einbezogen.
(Beta Systems Software: ra)

Beta Systems Software: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Studien

  • Neun von zehn Unternehmen setzen auf Industrie 4.0

    Ressourcen schonen, Energie sparen, CO2-Ausstoß reduzieren: Auf dem Weg zu mehr Nachhaltigkeit und Klimaschutz spielt die Industrie eine Schlüsselrolle. Digitalisierung ist der wesentliche Hebel, um diese Ziele zu erreichen. So steht die Hannover Messe als weltweite Industrieleitmesse in diesem Jahr auch unter dem Leitthema "Digitalisierung und Nachhaltigkeit". Eine aktuelle, repräsentative Befragung im Auftrag des Digitalverbands Bitkom stellt die Bedeutung digitaler Anwendungen für mehr Klimaschutz heraus.

  • DSGVO-Chancen und -Herausforderungen aufzeigen

    2018 trat in der EU die Allgemeine Datenschutzgrundverordnung (DSGVO) in Kraft. Am 25. Mai feiert sie nun bereits ihren vierten Geburtstag. Für die Datenschutzspezialistin Piwik PRO Anlass genug, zeitgleich ihren aktuellen DSGVO-Report herauszugeben. Der Bericht untersucht Chancen und Herausforderungen, welche die DSGVO mit sich bringt und zeigt auf, wie europäische Unternehmen mit der DSGVO umgehen und wie bzw. ob sich das Gesetz auf die Entscheidungsfindung auswirkt.

  • Defizite bei Durchsetzung der Sanktionen

    Der Deutsche Bundestag hat den Gesetzentwurf zur effektiveren Durchsetzung von Sanktionen verabschiedet. Transparency Deutschland begrüßt dieses erste Sanktionsdurchsetzungsgesetz. Darauf aufbauend müssen jedoch viele weitere Verbesserungen zur Behebung der fundamentalen strukturellen Defizite im Kampf gegen Schattenfinanzen und Geldwäsche folgen.

  • Unternehmen öffnen sich der Datenökonomie

    Deutsche Unternehmen gehen davon aus, dass Geschäftserfolg immer stärker auf Daten basiert. So sagen aktuell 7 Prozent, dass ihr Business ausschließlich oder sehr stark von datengetriebenen Geschäftsmodellen abhängt. Mit 14 Prozent erwarten sogar doppelt so viele Unternehmen, dass dies in zwei Jahren der Fall sein wird. Damit würde jedes siebte deutsche Unternehmen sein Kerngeschäft auf Daten aufbauen.

  • Passende Werbung bietet konkreten Mehrwert

    Werbung ist in sozialen Medien allgegenwärtig. Für viele Nutzerinnen und Nutzer von Facebook, Instagram, TikTok und Co. ist sie mittlerweile sogar ein unverzichtbarer Bestandteil geworden. So sagen 63 Prozent, sie wollen auf Werbung in sozialen Netzwerken nicht verzichten, weil sie so immer wieder Angebote und Themen entdecken, die sie sonst nicht gefunden hätten.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen