Horus GRC+ Governance, Risikomanagement, Compliance & Sicherheit: Methode, Modelle, Tools

Transkript

1 Governance, Risikomanagement, Compliance & Sicherheit: Methode, Modelle, Tools Einfach zu bedienen und leistungsstark das GRC Tool für Management, GRC- Verantwortliche und Prüfer GRC als Chance zur Verbesserung der Geschäftsprozesse Horus bietet eine integrierte Lösung zur Implementierung von Governance, Risikomanagement, Compliance & Sicherheit. Durch die Umsetzung eines GRC-getriebenen Prozessmanagements werden die bestehenden Unternehmensprozesse hinsichtlich aller relevanten gesetzlichen, gesellschaftlichen und betriebswirtschaftlichen Anforderungen untersucht und verbessert. Um eine abteilungsübergreifende Transparenz und unternehmensweite Integration aller betroffenen Prozesse in einer umfassenden GRC-Lösung zu schaffen, basiert die Horus-Lösung auf drei Säulen: Horus Methode Horus Business Modeler Horus GRC+ Bei einem GRC-Projekt beziehen sich die Anforderungen hauptsächlich auf die Qualität und Effizienz der Prozessführung sowie die Transparenz des Geschäftsbetriebs. Für die Umsetzung dieser Vorgaben muss das Unternehmen seine Prozesse im Griff haben, weil nur auf Basis von sauber dokumentierten Abläufen und Strukturen die Geschäftsprozesse auf ihre Gesetzeskonformität geprüft werden können. Durch einen fundierten Modellierungsansatz kann die Vielzahl aller relevanten Informationen wie z.b. Prozessabläufe, benötigte Prozessobjekte, beteiligte Rollen, verwendete Ressourcen und Organisationseinheiten, Regeln, Risiken, Erfolgsfaktoren, Strategien u.v.m. in ihrer Gesamtheit betrachtet und im Bezug auf eventuelle GRC- Verstöße analysiert werden. Unternehmen, die GRC nicht in erster Linie als lästige Pflicht, sondern vor allem als Chance zur Verbesserung der Geschäftsprozesse begreifen, erzielen mit GRC echte Kosteneinsparungen und können ihre Wettbewerbspositionen verbessern Horus software GmbH, Ettlingen 1

2 Horus Methode für einen integrierten GRC-Ansatz Aufgrund der Vielfalt der Handlungsfelder und fachlichen Anforderungen wird die Realisierung von GRC-Vorgaben oft als ein höchst komplexes Projekt gesehen. Eine Unmenge an Verflechtungen unterschiedlichster Geschäftsvorfälle müssen hier in das GRC-Rahmengerüst eingebracht werden. Diese Komplexität ist nur beherrschbar, wenn eine systematische Vorgehensweise zur Durchführung des GRC-Projekts sowie für die Dokumentation der Geschäftsprozesse existiert und von allen Verantwortlichen angenommen und gelebt wird. Die Horus Methode bietet sich hierfür hervorragend an. Die Einbindung aller Beteiligten innerhalb der unterschiedlichen Phasen eines GRC-Projekts wird durch die Verwendung einfach verständlicher grafischer Modelle erreicht. Horus sorgt für eine konsistente Dokumentation und liefert über Analysen und Simulationen Ansatzpunkte zur Qualitätssicherung und zur Verbesserung der untersuchten Geschäftsprozesse. Abbildung 1: Integriertes Unternehmensmodell ohne Informationsinseln Was die Vielfalt der fachlichen Anforderungen angeht, hat Horus den Vorteil, dass die erstellten Teilmodelle formal miteinander verknüpft sind. Ein derart integriertes Unternehmensmodell verhindert, dass mit GRC neue Informationsinseln geschaffen werden, die zu Ineffizienzen führen und damit interessanten Optimierungsmöglichkeiten im Weg stehen. Abbildung 2: Einflussfaktoren und GRC-Mechanismen 2016 Horus software GmbH, Ettlingen 2

3 Struktur eines GRC- Projekts Phase 1: Strategie- und Architekturphase Vorgehensweise im Rahmen von Horus GRC+ In der Praxis hat sich für GRC mit Horus ein dreiphasiges Vorgehen bewährt: Phase 1: Um einen Überblick über die Ausrichtung des Unternehmens, seine aktuelle Marktposition und die relevanten GRC-Vorgaben zu erhalten, werden zuerst mittels der Horus Methode die strategischen Aspekte des Unternehmensmanagements herausgearbeitet. So werden auch mögliche Schwachstellen und bestehende Risiken identifiziert und Regelverstöße festgestellt. Phase 2: Die bereits als eventuell kritisch identifizierten Bereiche werden nun näher betrachtet, bzw. die Ist-Prozesse werden detailliert dargestellt. Danach erfolgt eine tiefgreifende Prozessanalyse hinsichtlich GRC-Anforderungen, Erkennung der Schwachstellen, Risiken und Verbesserungspotentiale. Lücken im Compliance- Management, Risiken und veraltete Governance-Strukturen werden erkannt und Informationsinseln dokumentiert. Phase 3: Anschließend werden die Soll-Prozesse konzipiert und gegenüber den GRC-Vorgaben validiert. Die validierten Prozesse werden in verschiedenen Formen, beispielsweise mit der Horus Private Community, allen Prozessbeteiligten zur Verfügung gestellt. Die während der ersten Phase gesammelten Informationen machen deutlich, welche Ziele das Unternehmen in Bezug auf GRC verfolgt, wie die externen Akteure das Unternehmen beeinflussen, wie sich die Strategien und Kernprozesse zur Erreichung dieser Ziele gestalten, aber auch welche Risiken die Zielerreichung gefährden können. Governance Einer der wichtigsten Aspekte ist die Definition von strategischen Unternehmenszielen. Aus diesen Unternehmenszielen werden dann die Strategien zur Zielerreichung und die entsprechenden Kennzahlen, so genannte kritische Erfolgsfaktoren, abgeleitet. Die wichtigsten Geschäftsprozesse werden in einer Unternehmensarchitektur aufgezeichnet und deren Prozessleistung mit Hilfe der ermittelten Kennzahlen bestimmt. Die in dem Unternehmen existierenden internen Anweisungen und Vorschriften werden nun als Regelungen im Zusammenhang mit entsprechenden Geschäftsprozessen und -Objekten dargestellt. Durch die Verbindung zwischen Unternehmens- und Systemarchitektur wird ersichtlich, welche Systeme die Kernprozesse unterstützen. Risikomanagement Zur Identifizierung der Risiken wird zunächst eine SWOT-Analyse durchgeführt, wodurch die Unternehmensstärken, -Schwächen, -Chancen und -Bedrohungen ermittelt werden. Durch Verknüpfung der Unternehmens- und Systemarchitektur wird untersucht, welche Prozesse oder Software-Systeme Risiken aufweisen. Die Überwachung der Risiken wird dabei durch spezielle Kennzahlen und ihre Verbindung zu den Risikomodellen ermöglicht. Compliance Die wesentlichen Aspekte werden bereits im ersten Schritt der Strategieund Architekturphase ausgearbeitet. Dabei wird die Umgebung des Unternehmens im Zusammenhang mit dazugehörigen Normen und Regeln analysiert, z.b. in Bezug auf Kunden, Lieferanten, Gesetzgeber, Gesellschaft, Arbeitsmarkt usw. Schließlich erfolgt die Gegenüberstellung von Regelungen die für das Unternehmen aktuell und relevant sind (z.b. hinsichtlich Risiken, Datenschutzgesetzten, Datenzugriff, HGB etc.) Horus software GmbH, Ettlingen 3

4 Phase 2: Geschäftsprozessanalyse Umfassende Ist- Prozessanalyse, Knowledge Bases Das Ziel der Geschäftsprozessanalyse ist es, alle Unternehmensbereiche in Bezug auf Defizite im GRC-Management zu untersuchen und eine erste Verifizierung von erfassten Prozessen und Systemen gegenüber Gesetzesbestimmungen und Regeln durchzuführen. In Phase 2 werden folgende Artefakte entwickelt: Ziele, Strategien, Kennzahlen, Risiken, Regelungen, Objekt- und Organisationsstrukturen sowie auch Prozessmodelle. Bei der Aufnahme der Ist-Prozesse ist es möglich, Zeit und damit auch Kosten im Hinblick auf den Einsatz und die Bindung von Ressourcen einzusparen. So können Horus Knowledge Bases vorgefertigte, qualitätsgesicherte Referenzmodelle eingesetzt und gemäß den bestehenden, kundenspezifischen Prozessen angepasst werden. Abbildung 3: Horus Knowledge Base Demand2Stock (Produktion) Verifizierung und Simulation Phase 3: Soll-Konzeption und Prozessimplementierung Konzeption und Simulation der Soll Prozesse Zum Abschluss der Phase 2 findet eine Überprüfung der erfassten Informationen hinsichtlich der Compliance statt. Ziel dabei ist es, Regel-, Gesetzes- oder Abweichungs-Verstöße von Normen aufzudecken. Die Ergebnisse dieser Überprüfung bilden u.a. die Basis für die darauf folgende Soll-Konzeption. Alle während der Ist-Aufnahme als nicht GRC-konform bezeichneten Prozesse werden nun hinsichtlich der Optimierung betrachtet. Dabei werden die Prozesse gemäß deren Komplexität und des möglichen Grades des Regelverstoßes untersucht, priorisiert und bearbeitet. Auf Basis der Horus Knowledge Bases und der Erkenntnisse aus der Verifizierung werden die optimierten Soll-Prozesse in Form von Ablaufmodellen dargestellt. Hier müssen vor allem die zukünftigen Kommunikationswege hinsichtlich des Compliance-Managements, die Risikostrategien und Regeln sowie zukünftige Überwachungsmechanismen betrachtet werden. Schließlich werden die erstellten Soll-Prozesse anhand der Horus Simulationskomponente analysiert, um deren Wirtschaftlichkeit und Konformität mit den GRC-Normen nachzuweisen Horus software GmbH, Ettlingen 4

5 Hauptmerkmale Vom Test zur Freigabe Prüfungen für internes und externes Audit schnelle Umsetzung dank vorgefertigter Vorlagen und ausführbaren Audit- Prozessen 4-Augen-Prinzip Best Practices für Tests, Freigaben und Prüfungen Risiko-Dashboard und Prozess-Risiko Matrix Nutzung von Knowledge Management bis hin zur Zertifizierung Die dokumentierten Ist- und Soll-Prozesse werden in Phase 2 mittels Tests aus Sicht der Prozessbeteiligten validiert. Weist der Prozess nach Ansicht des Testers im Bezug zur GRC-Normen signifikante Mängel auf, wird die Konzeption einer neuen Prozessversion gefordert. Die erfolgreich getesteten Ist-Prozesse oder deren verbesserte Soll- Versionen werden im Rahmen einer Freigabe in Phase 3 durch die Qualitätsmanagement-Abteilung (QM) validiert. Stellen die QM- Verantwortlichen Prozessmängel fest, müssen entsprechende Maßnahmen eingeleitet und der Prozess erneut freigeben werden. Nach der Freigabe beginnt die Nutzungsphase des Prozesses. Alle zuvor eingegebenen Informationen (zu Prozessen gehörende Risiken, Kontrollen usw.) bilden die Grundlage eines Kontrollsystems. Hierzu sind Prüfungen notwendig, um die Wirksamkeit des Systems und deren Kontrollen z.b. in Bezug auf Risiken festzustellen. Eine Möglichkeit solcher Prüfungen ist die Durchführung von Audits, die von Externen (z.b. Wirtschaftsprüfern) oder Internen (Revision) durchgeführt werden. Horus GRC+ unterstützt den internen oder externen Auditor mit verschiedenen Vorlagen (z.b.: Prüfungspläne, Prozesstemplates), die die Grundlage zur Generierung spezifischer Audit-Prozesse bilden. Aus den vordefinierten Audit-Prozessspezifikationen können BPMN 2.0- Prozesse generiert werden, die in gängigen BPM-Umgebungen (z.b. Oracle BPM Suite) direkt ausführbar sind. Die Validierung der Geschäftsprozesse während Tests, Freigaben oder Prüfungen beruht auf dem 4-Augen-Prinzip. Der Validierungsvorgang wird von einem Test-, QM- oder Prüfungs-Manager ausgelöst und einem Prozess, QM- oder Prüfungs-Verantwortlichen zugewiesen. Dieser überprüft und bewertet den Prozess. Nach der Bewertung aller selektierten Prozesse wird die Validierung in einem weiteren Schritt vom jeweiligen Manager abgeschlossen. Die einzelnen Schritte zur Durchführung einer Freigabe, eines Tests oder einer Prüfung sind in Form von Horus Knowledge Bases verfügbar. In diesen Modellen sind die Prüfschritte mit ihren gegenseitigen Abhängigkeiten, der jeweilige Prüfgegenstand, Zuständigkeiten und Verantwortlichkeiten beschrieben. Um den späteren Prüfer bzw. Tester bei der Durchführung zu unterstützen, sind hier verschiedene Fragebögen für Tests und Prüfungsschritte einzelnen Aktivitäten zugeordnet. Risiken werden gemäß ihrer Eintrittswahrscheinlichkeit bzw. ihres Schadensausmaßes in Bezug auf einen Prozess in Form von anschaulichen Dashboards dargestellt. Mittels einer Prozess-Matrix erhält man einen schnellen Überblick über Risiken, zugeordnete Kennzahlen und Kontrollen. Durch die umfassende Dokumentation und Validierung der Geschäftsprozesse werden drei wichtige Ziele erreicht: Weitergabe und Wiederverwendung des Unternehmenswissens Kontinuierliche Prozessverbesserung Nachweis der Qualitätsmanagement- und GRC-Konformität gegenüber den Zertifizierungsstellen und dem Gesetzgeber 2016 Horus software GmbH, Ettlingen 5

6 Kommerzielle Rahmenbedingungen Lizenzierung Namentlich bekannte Anwender (mindestens 5) Voraussetzungen Horus Business Modeler für schreibende Nutzer, Horus Private Community für lesende Nutzer sowie ein javascriptfähiger Browser Kontakt Horus software GmbH Pforzheimer Str Ettlingen, Deutschland Tel Fax Horus Alliance Horus Alliance Partner im Web: Hinweise Downloads der Horus Freeware-Produkte finden Sie im Internet unter Die aufgeführten Produkte sind markenrechtlich geschützt und stehen dem jeweiligen Rechteinhaber zu. * Unser Partner für die Cloud-Infrastruktur: Stand der Dokumentation: Februar Horus software GmbH, Ettlingen 6