Im Rahmen dieser Arbeit soll der aktuelle Stand des Themas IT Compliance untersucht und dargestellt werden.
Neben der Einordnung des Begriffs in übergeordnete Unternehmensführungsaspekte sollen durch eine Literaturrecherche die wesentlichen Gesetzesnormen identifiziert werden, welche einen potentiellen Einfluss auf den Einsatz der Informationstechnologie
haben und somit maßgeblich für die Frage nach der IT Compliance sind. Die naheliegende Frage nach den resultierenden Haftungsrisiken für das Unternehmen oder
verantwortlich handelnden Personen ist darüber hinaus ebenfalls zu beantworten.
Auf Grundlage der Ergebnisse dieser Analyse soll im Anschluss erörtert werden, ob die
Anwendung standardisierter Prozessmodelle geeignet zu sein scheint, einen positiven
Beitrag zum Erreichen von IT Compliance Zielen zu leisten.
Inhaltsverzeichnis
Einleitung
1 Grundlagen
1.1 Corporate Governance
1.1.1 Hintergrund
1.1.2 Definitionen
1.1.3 Deutscher Corporate Governance Kodex
1.2 Risikomanagement
1.3 Compliance
1.3.1 Hintergrund
1.3.2 Definitionen
1.3.3 Compliance in der Unternehmensrealität
1.3.4 Schwierigkeiten bei der Umsetzung von Compliance
1.4 Zusammenfassung
2 Informationstechnologie im Unternehmen
2.1 Bedeutung der Informationstechnologie
2.2 Erwartungshaltung an die IT
2.3 Informationstechnologie als Risiko
2.4 Governance, Risk & Compliance in der IT
2.4.1 IT Governance
2.4.2 IT Risikomanagement
2.4.3 IT Compliance
2.4.4 Dimensionen der IT Compliance
2.5 Zusammenfassung
3 Regulative und gesetzliche Rahmenbedingungen
3.1 Risikomanagement
3.1.1 KonTraG
3.1.2 8. EU-Richtlinie („EuroSOX“)
3.1.3 BilMoG
3.1.4 Kreditwesengesetz
3.1.5 MaRisk
3.1.6 Basel II
3.1.7 Sarbanes-Oxley Act (SOX)
3.1.8 Zusammenfassung
3.2 IT Sicherheit
3.2.1 Datenschutz
3.2.2 Zusammenfassung
3.3 Handels- und Steuerrecht
3.3.1 GoBS
3.3.2 GDPdU
3.3.3 Prüfung der IT Systeme
3.3.4 Zusammenfassung
3.4 Nutzung von Internet und Email im Unternehmen
3.4.1 Erlaubte private Nutzung
3.4.1.1 Telekommunikationsgesetz
3.4.1.2 Telemediengesetz
3.4.2 Verbotene private Nutzung
3.4.3 Zusammenfassung
3.5 Online-Handel
3.5.1 Elektronische Korrespondenz
3.5.2 Anbieterkennzeichnung
3.5.3 Online-Shops
3.6 Weitere Gesetze mit besonderem Bezug zur Informationstechnologie
3.6.1 Urhebergesetz
3.6.2 „Hackerparagraph“
3.7 Haftungsrisiken bei Compliance Defiziten
3.7.1 Haftungsszenarien
3.7.2 Arbeitnehmerhaftung
3.7.3 Haftung leitender Mitarbeiter oder geschäftsführender Organe
3.7.3.1 Sorgfaltspflichten
3.7.3.2 Risikomanagement
3.8 Zusammenfassung und Übersicht
4 Referenzmodelle und Normen
4.1 Vorteile von Frameworks
4.2 Relevante IT Frameworks und Normen
4.3 IT Governance Frameworks
4.3.1 COSO
4.3.2 ITIL
4.3.3 CobiT
4.4 Das CobiT Framework
4.4.1 Der Ansatz von CobiT
4.4.2 CobiT Strukturierung
4.4.3 IT Compliance im CobiT Framework
4.4.4 Der CobiT Prozess zur Unterstützung der IT Compliance
4.5 Zusammenfassung
5 Schlussbetrachtung
Zielsetzung & Themen
Diese Diplomarbeit untersucht den aktuellen Stand der IT-Compliance, ordnet den Begriff in den Kontext der Unternehmensführung ein und identifiziert wesentliche Gesetzesnormen, die den Einsatz von Informationstechnologie regulieren. Ziel ist es, aufzuzeigen, inwieweit standardisierte Prozessmodelle, insbesondere das CobiT-Framework, zur Erreichung von Compliance-Zielen beitragen und Haftungsrisiken minimieren können.
- Grundlagen der Corporate Governance, Risikomanagement und Compliance
- Analyse gesetzlicher Rahmenbedingungen für IT-Systeme und Datensicherheit
- Untersuchung von Haftungsrisiken bei Compliance-Verstößen
- Einsatz und Nutzen von IT-Referenzmodellen wie CobiT
- Prozessorientierte Umsetzung von Compliance-Anforderungen
Auszug aus dem Buch
IT Compliance in der Unternehmensrealität
Die Unternehmen nehmen das Thema Compliance und die drohenden Konsequenzen bei Defiziten ernst. Dies zeigt etwa eine Studie der Unternehmensberatung Ernst & Young, der zufolge für das Jahr 2008 unzureichende Compliance als das größte Unternehmensrisiko überhaupt angesehen wird (EY 2008), für das Jahr 2009 lediglich von den Risiken der weltweiten Finanzkrise auf Platz zwei verdrängt (EY 2009). Eine weitere Studie der The Economist Intelligence Unit sieht mangelnde Compliance neben Finanzierungs-, Kredit- und Marktrisiken an erster Stelle der „sehr ernsten Bedrohungen“ für ein Unternehmen (EIU 2008a, S. 13).
Die Unternehmen reagieren entsprechend: Während die Analysten von AMR Research im Jahr 2005 noch jährliche Aufwendungen in Höhe von 15,5 Mrd. US$ vorhersagten (AMR 2005), lagen die Schätzungen im Jahr 2007 bereits bei 30 Mrd. US$ (AMR 2007) und in 2008 bei 32 Mrd. US$ (AMR 2008). Für Großbritannien geht The Economist Intelligence Unit von ca. 66 Mrd. £ aus, die englische Firmen im Zeitraum von 1998 bis 2008 zur Erfüllung von Compliance Anforderungen aufwenden mussten (EIU 2008a, S. 2). Einer weiteren, weltweiten Studie zufolge vermeldeten die Hälfte aller Unternehmen noch in 2008 einen weiteren Anstieg ihrer Compliance Kosten (GMG 2008, S. 9).
Zusammenfassung der Kapitel
1 Grundlagen: Einführung in die Begriffe Corporate Governance, Risikomanagement und Compliance als Basis für eine rechtskonforme Unternehmensführung.
2 Informationstechnologie im Unternehmen: Erläuterung des Stellenwerts der IT, der daraus resultierenden IT-spezifischen Risiken und der Notwendigkeit von IT-Governance und IT-Compliance.
3 Regulative und gesetzliche Rahmenbedingungen: Detaillierte Analyse relevanter Gesetze wie KonTraG, MaRisk oder BDSG und deren Auswirkungen auf IT-Prozesse sowie Darstellung von Haftungsrisiken.
4 Referenzmodelle und Normen: Untersuchung von Frameworks wie COSO, ITIL und insbesondere CobiT als Instrumente zur systematischen Umsetzung von IT-Compliance.
5 Schlussbetrachtung: Fazit über die Notwendigkeit, Compliance als strategisches Thema zu begreifen und Compliance-Prozesse proaktiv in die IT-Organisation zu integrieren.
Schlüsselwörter
IT Compliance, Corporate Governance, Risikomanagement, Informationstechnologie, KonTraG, BilMoG, CobiT, IT Governance, Datenschutz, IT Sicherheit, Haftung, Wirtschaftsprüfung, Prozessmodelle, Compliance-Risiko, Financial Reporting.
Häufig gestellte Fragen
Worum geht es in dieser Diplomarbeit grundsätzlich?
Die Arbeit behandelt die regulativen Rahmenbedingungen für die IT in Unternehmen und analysiert, wie Compliance-Anforderungen unter Einsatz standardisierter Modelle effektiv umgesetzt werden können.
Was sind die zentralen Themenfelder der Arbeit?
Zu den zentralen Themen gehören rechtliche Anforderungen an IT-Systeme, das Risikomanagement, Datenschutzbestimmungen, das Haftungsrecht für Führungskräfte sowie der Einsatz von IT-Frameworks.
Was ist das primäre Ziel der Untersuchung?
Das Ziel ist die Identifizierung relevanter Gesetzesnormen mit Einfluss auf die IT und die Erörterung, ob und wie IT-Governance-Frameworks dabei helfen können, Compliance-Ziele zu erreichen.
Welche wissenschaftliche Methode wird primär verwendet?
Die Arbeit basiert auf einer umfassenden Literaturrecherche sowie der Analyse bestehender Gesetzesnormen und Referenzmodelle zur Ableitung von Anforderungen an die IT-Organisation.
Welche Inhalte bilden den Hauptteil?
Im Hauptteil werden zunächst Unternehmensführungsansätze, dann die Bedeutung und Risiken der IT sowie ausführlich die gesetzlichen Anforderungen (Handelsrecht, Steuerrecht, IT-Sicherheit) analysiert.
Welche Schlüsselwörter charakterisieren die Arbeit?
Die Arbeit wird durch Begriffe wie IT Compliance, CobiT, Risikomanagement, IT-Governance, Haftungsrisiken und rechtliche Konformität charakterisiert.
Warum ist IT-Compliance für IT-Chefs heute oft eine "Chefsache"?
Da Compliance-Defizite heute hohe Bußgelder, zivilrechtliche Ansprüche und strafrechtliche Konsequenzen für das Management nach sich ziehen können, ist das Thema kein reines IT-Detail mehr, sondern existenziell für den Unternehmenserfolg.
Welchen Beitrag leistet das CobiT-Framework zur Lösung von Compliance-Problemen?
CobiT bietet konkrete Prozessvorgaben (insbesondere den Prozess ME3), die Unternehmen dabei unterstützen, Compliance-Anforderungen systematisch zu identifizieren, zu überwachen und Berichte darüber zu erstellen.
Welche Haftungsrisiken ergeben sich für Führungskräfte bei unzureichender IT-Compliance?
Führungskräfte können bei Organisationsverschulden persönlich haftbar gemacht werden, insbesondere wenn durch mangelhafte IT-Sicherung Vermögensschäden für das Unternehmen entstehen.
- Quote paper
- Martin Runkel (Author), 2009, IT Compliance. Regulative Rahmenbedingungen und ihre Bedeutung für den Einsatz der Informationstechnologie im Unternehmen, Munich, GRIN Verlag, https://www.grin.com/document/146452
