Verhaltensmaßregeln zur IT-Compliance

IT-DIRECTOR: Großunternehmen setzen in der Regel seit längerem elektronische Dokumenten-Management-Systeme (DMS) ein. Inwieweit haben die Betriebe bereits einen durchgängigen Dokumenten-Workflow realisiert?
P. Sander: Meist gibt es nach wie vor kein durchgängiges Dokumenten-Lifecycle-Management. Unternehmen nutzen Input-Management, DMS und Archive, oft auch Business Process Management – betreiben die Systeme aber in der Regel isoliert statt integriert.

IT-DIRECTOR: Wo sehen Sie im ECM-Bereich von Großunternehmen derzeit noch die größten Baustellen?
P. Sander: Wir sehen diverse Aufgabenstellungen:
•    Es mangelt an der Business-Logik, also an fachabteilungs- beziehungsweise industriespezifischen Betrachtungen und Lösungen. Und an der schon angesprochenen integrierten Geschäftsvorgangsbearbeitung.
•    Die Integration von Systemen in die „Umwelt“ wie ERP ist unvollständig.
•    Bisher sind Partner und/oder Lieferanten nur sehr selten durch kollaborative Prozesse optimal eingebunden.
•    Optimierungspotential gibt es auch im Bereich On-Site-Lösung versus Outsourcing. Die Frage, welche Prozesse erfülle ich intern, was können externe Dienstleister besser und kostengünstiger erbringen, haben sich die Unternehmen häufig noch nicht gestellt oder nicht hinreichend beantwortet.
•    Die Kostentransparenz ist bisher vielfach nicht gegeben.
•    Im Zusammenhang mit Compliance-Anforderungen sind die Unternehmen wenig regulationsfreudig.

IT-DIRECTOR: Was sollten die Unternehmen tun, um diese Baustellen zu beseitigen? Können Sie uns hierzu bitte ein aktuelles Anwenderbeispiel nennen?
P. Sander: Die Unternehmen sollten eine Einschätzung der Ist-Situation vornehmen und verhältnismäßige, also erreichbare Ziele definieren, dabei nicht überambitioniert sein, klare Regeln und Verantwortlichkeiten fixieren. Ein Senior Management Sponsoring, also das Protegieren des Projektes durch eine hoch angesiedelte Führungspersönlichkeit, verleiht dem Projekt den nötigen Stellenwert und hilft bei der Realisierung. Ein schneller Erfolg mit einer Abteilung – also ein Quick-Win – ist ein guter erster Schritt.

IT-DIRECTOR: Inwiefern haben Großunternehmen bereits die Position des Chief Compliance Officer etabliert?
P. Sander: Das ist nicht pauschal zu beantworten und auch branchenabhängig ganz verschieden. Oft wird diese Position innerhalb der Rechtsabteilung oder der internen Revision angesiedelt oder ist Aufgabe des Chief Financial Officers. Eine Ausnahme stellt der Financial Services Markt dar, der in diesem Bereich erheblich reifer ist.

IT-DIRECTOR: Welches sind die wichtigsten Aufgabengebiete des Chief Compliance Officer im Bereich Dokumentenmanagement?
P. Sander: Das sind die Nachvollziehbarkeit der dokumentenbezogenen Prozesse, Zugriffsberechtigungen, Festlegung der Aufbewahrungspflichten pro Dokumententyp, allgemeine Transparenz und Auditierbarkeit.

IT-DIRECTOR: Welchen Herausforderungen sieht er sich dabei vor allem in internationalen Unternehmen gegenüber?
P. Sander: Dazu gehören die nationalen Auflagen, also Verhaltensmaßregeln zur IT-Compliance sowie betriebswirtschaftliche Aspekte, beispielsweise der Einfluss des Handelsrechts. Er hat internationale Richtlinien zu berücksichtigen, wie etwa Sarbanes-Oxley Act (SOX) oder EuroSOX. Hinzu kommen sprachliche Hürden und damit verbunden verschiedene Interpretationen. Auch sorgen ein unterschiedlicher Reifegrad und die Kultur zu Interpretationen des nationalen Rechts oder zu einer abweichenden Bewertung von Verfehlungen.