Risiko- und Kontrollmanagement

Gegründet am 01. Juli 1979, ist die IBS Schreiber GmbH heute einer der führenden Anbieter für SAP- und IT-Sicherheit. Die IBS entwickelt seit 1979 die Prüfsoftware CheckAud®. Berechtigungskonzepte in SAP-Systemen werden damit transparent, leicht prüfbar und kontrollierbar gemacht. Die Anwendung ist wesentlicher Bestandteil im Rahmen eines umfassenden Kontrollmanagements in einem internen Kontrollsystem.

Neben den fachlichen Erweiterungen sollte CheckAud® zukünftig vermehrt auch in gesetzlich oder aufsichtlich vorgeschriebenen Prüfungen, wie z. B. Revisionsprüfungen, Jahresabschlussprüfungen, etc. Anerkennung finden. Die Nutzung von CheckAud® sollte somit die Anforderungen sowohl als einfaches Kontrollinstrument in der „First Line of Defense“, als auch als etabliertes Prüfinstrument in der „Third Line of Defense“ vollumfänglich erfüllen.

Die je Abfrage mitgelieferten Risikobeschreibungen müssen hierzu revisionsfeste Argumente zum Umgang mit den kritischen Einzelberechtigungen und den kritischen Berechtigungskombinationen liefern. Zur Umsetzung ergaben sich die folgenden Aufgaben:

• Herleitung von nachvollziehbaren Bewertungskriterien zur Ermittlung der individuellen Kritikalität der Einzelberechtigungen und von Berechtigungskombinationen.
• Entwicklung einer strukturierten Beschreibung der Risiken und die zusätzliche Herleitung und Darstellung der Kritikalität als nummerischen Wert.
• Transparente Darstellung der „Bedingungen, die zum jeweiligen Risiko führen“, des „eigentlichen Risikos“ und der „Auswirkungen bei der Berechtigungsvergabe“.
• Entwicklung neuer Abfragen zu den SAP Modulen FS-CML, FS-CD, IS-U und CO.
• Identifizierung und Beschreibung von Funktionstrennungskonflikten (Segregation of Duties – SOD’s).
• Überarbeitung der bestehenden Abfragen zu den Kernmodulen.

Die Regelwerke enthalten nicht nur kritische Einzelberechtigungen, sondern auch kritischen Berechtigungskombinationen zu Funktionstrennungskonflikten (Segregation of Duties – SOD’s).

Durch die Darstellungen der Sachverhalte, der Risiken und deren Auswirkungen, im Falle der Berechtigungsvergabe, werden die wesentlichen Fragestellungen zu den jeweiligen Einzelberechtigungen, bzw. Berechtigungskombinationen fach- und abteilungsübergreifend beantwortet.

Die Einstufung der Kritikalität und die Risikobetrachtung der einzelnen Abfragen sind nachvollziehbar aufgebaut und fügen sich so in bestehende Kontrollsysteme nahtlos ein. Der Grad der Einhaltung von gesetzlichen und aufsichtlichen Anforderungen ist detailliert beschrieben. Die detaillierten Handlungsempfehlungen dienen als praktische Hilfen zur Schadensabwehr. Die Anforderungen an ein „Prüfinstrument“ in der „Third Line of Defense“ sind vollumfänglich erfüllt. Prüfer, IT-Administratoren und Fachverantwortliche können somit auf Augenhöhe miteinander kommunizieren.

Die von mir entwickelten Abfragen werden direkt in CheckAud® eingesetzt. Sowohl die Prüfer und Revisoren der IBS Schreiber GmbH, als auch die lizensierten Nutzer der Prüfsoftware CheckAud® for SAP Systems nutzen meine detaillierten Beschreibungen, um die Einhaltung von Governance, Risk and Compliance in den betrachteten Bereichen zu gewährleisten.

Kontrollmanagement – Nachvollziehbar und revisionssicher.