Trigeo

Security Information, Event and Log Management (SIEM)

Compliance

Wie lässt sich Compliance, also die Einhaltung der vom Gesetz vorgeschriebenen Richtlinien und Mindestanforderungen, integriert in das Netzwerk und die Unternehmensphilosophie, realisieren?

Genau dies ist der Ansatzpunkt der Compliance Lösung TriGEO. Die Lösung ermöglicht die periodische Prüfung gekoppelt mit einer Abfrage innerhalb des Firmennetzwerkes. Dabei erfolgt jede Prüfung auf Basis der aktuellen Verbotslisten und wird im System nicht löschbar dokumentiert, so dass Unternehmen gegenüber Prüfern, Kunden und Lieferanten jederzeit und lückenlos die Umsetzung der EU Antiterror-Verordnung nachweisen können. Verdächtige Adressen und Treffer werden automatisch, beispielsweise per e-Mail, gemeldet. So können Vorgänge unmittelbar gestoppt oder Adressen genauer überprüft werden.

Vorschriften und Ausgaben im Auge behalten.

Zahlreiche gesetzliche Vorschriften, Richtlinien und Standards, wie GDPdU, GoBS, SOX, Basel II, § 34 Außenwirtschaftsgesetz, oder auch Chargenrückverfolgung, lassen jedoch die Kosten für das Risikomanagement in Unternehmen explodieren. Im Bemühen, diese Vorgaben zu erfüllen, müssen häufig andere, weit wichtigere Zukunftsinvestitionen zurückgestellt werden.
Durch effizienten Einsatz von IT-Systeme dagegen, können nach aktuellen Studien sogar Kosten gesenkt werden. Unternehmensweites Risiko-Management umfasst daher immer auch das IT-Risiko-Management, bei dem wir Sie gerne kompetent beraten.

GDPdU

Die Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU) enthalten Regeln zur Aufbewahrung digitaler Unterlagen und zur Mitwirkungspflicht der Steuerpflichtigen bei Betriebsprüfungen.

Durch die im Rahmen des Steuersenkungsgesetzes vom 23.10.2000 festgelegten Änderungen der Abgabenordnung erhält die Finanzverwaltung ab dem 1.1.2002 im Rahmen von Betriebsprüfungen weitgehende Zugriffsrechte auf die Datenverarbeitungs-Systeme von Unternehmen. Ein Betriebsprüfer bekommt den Auftrag, einen Betrieb oder ein Unternehmen zu prüfen. Für bestimmte Prüfungsfelder und Prüfungszeiträume beschließt der Betriebsprüfer, die Daten unter Zuhilfenahme von Prüfungssoftware zu analysieren. Entsprechend gibt der Betriebsprüfer dem Unternehmen die Prüfung an sich und die Prüfungsschwerpunkte bekannt. Bei der Prüfung erhält der Betriebsprüfer vom Unternehmen oder dessen Steuerberater Datenträger (i.d.R. eine oder mehrere CD-ROMs). Auf den CD-ROMs sind steuerrelevante Daten und beschreibende Daten enthalten, um die Daten ohne weitere Erklärungen einzulesen. Gemäß den Prüfungsschwerpunkten sucht der Prüfer die ihn interessierenden Tabellen heraus und liest die entsprechenden Daten-CD-ROMs ein. Sobald die Daten in die Analysesoftware importiert sind, führt der Betriebsprüfer eine oder mehrere Analysen - teilweise durch Makros automatisiert - aus. Um die Sicherheit der Computer der Prüfer zu gewährleisten, sind diese mit Zugriffsschutz-Software und ggf. Anti-Viren-Software ausgestattet.

GoBS

Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS)

DV-gestützte Buchführungssysteme - oder auch kurz DV-Buchführung genannt - führen in Bezug auf die Erfüllung zu Fragen, auf die die Grundsätze ordnungsgemäßer Speicherbuchführung eine Antwort geben.

Die 1978 verfassten Grundsätze ordnungsgemäßer Speicherbuchführung beruhen auf der Basis einer reinen Speicherbuchführung, bei der die Buchungen auf maschinell lesbaren Datenträgern gespeichert und nur für bestimmte Zwecke lesbar gemacht werden sollten. Es setzte sich allerdings rasch die heute herrschende Auffassung durch, dass die GoS als Auslegung der Grundsätze ordnungsmäßiger Buchführung (GoB) für alle DV-gestützten rechnungslegungsrelevanten Verfahren generell gelten müssen. Zur Anpassung an die heute eingerichteten und zukünftigen Informationssysteme in den Unternehmen werden daher die bisherigen "Grundsätze ordnungsmäßiger Speicherbuchführung" als "Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme" (GoBS) neu gefasst.

Die Entwicklungen der letzten Jahre im Bereich der DV haben weiterhin zu einer veränderten Betrachtungsweise der DV-gestützten Buchführung geführt. Von wesentlicher Bedeutung ist dabei, dass die Unternehmensfunktion "Buchhaltung" nicht mehr ohne weiteres - wie früher eindeutig abgrenzbar ist. Durch den Einsatz integrierter DV-Systeme können "Buchhaltungsdaten", die bereits in außerhalb der Abteilung "Buchhaltung" vorgesehenen Arbeitsabläufen entstehen, unmittelbar in das Buchführungssystem einfließen, z. B. bei Betriebsdatenerfassung (BDE) und Datenübermittlung (z.B. Electronic Data Interchange - EDI). Derartige Verfahren im weiteren Sinne können somit Belegfunktion erlangen, wodurch sie dann ebenfalls den GoB und damit den Regeln der GoBS unterliegen.

Der Begriff der Belegfunktion verdeutlicht, dass die Buchführung mehr als bislang in den Bereich der DV-gestützten Verfahren, die nicht immer auf den ersten Blick dem DV-gestützten Buchführungssystem zugeordnet werden, integriert sein kann. Aus diesem Grund ist es sinnvoll, den Begriff EDV-Buchführung durch den Begriff DV-gestütztes Buchführungssystem zu ersetzen. Da die GoBS die Anforderungen an die Kontrollen, Regelungen und Maßnahmen beinhalten, die der Buchführungspflichtige vorsehen und umsetzen muss, um den GoB bei Einsatz der DV zu genügen, ist es erforderlich, den Begriff des Internen Kontrollsystems (IKS) in die GoBS einzuführen. Das IKS zielt unter anderem darauf ab, dass die Ausgestaltung organisatorischer Kontrollmechanismen, wie z. B. Funktionstrennungen und Abstimmkontrollen, die Ordnungsmäßigkeit einer Buchführung bestimmt. Moderne Verfahren und Hilfsmittel der Programmerstellung und der Programmpflege und der daraus gewonnenen Dokumentation eines Programms führen unter Umständen zu weiteren bisher nicht bekannten Dokumentationsformen. Dieser Entwicklung wird in den GoBS ebenso Rechnung getragen wie beispielsweise auch den Fragen der Herstellung der Programmidentität und des Zugriffsschutzes.

SOX

Sarbanes-Oxley (SOX) ist mittlerweile zum Synonym für den Begriff "Compliance" geworden. Nach den im Juli 2002 von der US-amerikanischen Regierung erlassenen Bilanzierungs-, Prüfungs- und Haftungs-regeln müssen nicht nur einheimische, sondern auch ausländische, am US-Markt aktive Firmen nachweisen, dass sie mittels geeigneter Prozesskontrolle Fehler im Jahresabschlussbericht ausschließen können. Unternehmen, die ihren Stammsitz nicht in den USA haben, müssen mit dem Geschäftsjahr, das am oder nach dem 15. Juli 2006 endet, nachweisen, dass sie den Bestimmungen der Sektion 404 genügen.

Die genauen Inhalte der Sektion 404 sind:

• Einrichtung und Dokumentation eines funktionsfähigen internen Kontrollsystems für alle Prozesse, die im Zusammenhang mit der Rechnungslegung stehen
• Einschätzung und Bewertung der Zweckmäßigkeit dieses Kontrollsystems durch die Unternehmensleitung zusammen mit Quartalsweiser und jährlicher Berichterstattung
• Bestätigung und regelmäßiger Bericht über die Einschätzung der Unternehmensleitung seitens der Jahresabschlussprüfer

In die Sarbanes-Oxley-Thematik ist die IT, genau genommen, doppelt involviert: Zum einen stellt sie die Systeme für die Prozesskontrolle und deren Dokumentation bereit, zum anderen hat sie ihre eigenen Prozesse hieb- und stichfest zu machen.

Neun Thesen zu SOX:

1. Die Spielregeln ändern sich: Die Unternehmen müssen sich auf immer mehr und immer tiefer gehende Regulierungen einrichten.
2. SOX muss im Kontext behandelt werden. Wer sich nur auf Sarbanes-Oxley konzentriert, leistet doppelte Arbeit. Vieles von dem, was mit dem Etikett SOX versehen ist, lässt sich beispielsweise auch für die Risikobeschränkungsregeln nutzen, die unter dem Stichwort "Basel II" bekannt geworden sind.
3. Ein zentrales Thema ist die Prozessmodellierung. Die Erfordernisse nach dem Sarbanes-Oxley Act lassen derzeit die Re-Engineering-Diskussionen wieder aufflackern.
4. Es gibt einen Nutzen außerhalb von SOX. Die Schwachstellen, die jetzt zu beheben sind, hätten eigentlich längst in Angriff genommen werden müssen.
5. Der CIO bekommt eine neue Bedeutung. Weil die Erfüllung der Sarbanes-Oxley-Regeln in hohem Maße von der IT abhängt, stärken sie die Position des IT-Chefs. Er wird ernst genommen - bis hin zur strafrechtlichen Verfolgung, wenn er fehlerhafte Informationen liefert.
6. Best Practices sind Mangelware, dadurch entsteht Unsicherheit. Das Gesetz ist schwammig formuliert. Welche Prozesse zu seiner Erfüllung notwendig sind, wird nicht definiert. Die hauptsächlichen Kontrollpunkte ("Key Controls") muss jedes Unternehmen für sich selbst finden.
7. SOX verändert die Kultur in den Unternehmen. Die Forderung nach einer kontinuierlichen Verbesserung der Kontrolle gipfelt in dem Verdikt: Was nicht in den Akten steht, gibt es nicht.
8. Die Unternehmen sollten von fremden Branchen lernen.
9. In Europa ist SOX nur eine von vielen Herausforderungen: So hat das Gros der börsennotierten EU-Unternehmen gerade die seit 2005 vorgeschriebene Rechnungslegung nach den International Financial Reporting Standards (IFRS) eingeführt. Banken müssen die neuen Richtlinien zur Kreditvergabe nach Basel II erfüllen, während die voraussichtlich ab 2008 geltenden EU-Vorgaben Solvency II der Versicherungsbranche neue Regeln zum Risiko-Management auferlegen.

Basel II

Basel II bezeichnet die Gesamtheit der Eigenkapitalvorschriften, die vom Basler Ausschuss für Bankenaufsicht in den letzten Jahren vorgeschlagen wurden. Die Regeln sind offiziell in der Europäischen Union seit Ende 2006 in Kraft getreten und finden heute in der täglichen Praxis Anwendung.

Basel II besteht aus insgesamt drei Säulen:

1. Säule: Mindestkapitalanforderungen
   Die erste Säule beinhaltet Vorschriften zur Eigenmittelunterlegung von Kreditausfall-, Marktpreis- und operationellen Risiken. Diese Säule ist sicherlich der am meisten diskutierte Bereich von Basel II.
   
   
2. Säule: Ausführliche Überprüfungsverfahren
   Die zweite Säule gibt eine laufende und regelmäßige Überprüfung der Banken durch die Bankenaufsicht vor. Hier kann man vier Bereiche unterscheiden:
   
   
   • Interne Aufsicht: laufende Verbesserung der internen Verfahren der Risikoanalyse. Ausbau des Risikomanagements und der internen Kontrollmechanismen
   • Externe Aufsicht: Berücksichtigung externer Faktoren, wie Trends etc.
   • Maßnahmen: Die Bankenaufsicht hat die Möglichkeit Maßnahmen zu ergreifen, wenn sie dies für notwendig hält
   • Dialog zwischen Banken und Aufsichtsbehörden: Ein Ausbau ist notwendig, da die Banken mehr Verantwortung bei der Bewertung und Überwachung von Risiken übernehmen
   
   
3. Säule: Marktdisziplin und Offenlegung
   Verpflichtung der Finanzinstitute zur Offenlegung der Eigenkapitalstruktur und der eigenen Risikosituation. Die Offenlegungspflichten umfassen vier Bereiche:
   
   
   • Anwendung der Eigenkapitalvorschriften
   • Eigenkapitalstruktur
   • Eingegangene Risiken
   • Angemessenheit der Eigenkapitalausstattung
   
   

§ 34 Außenwirtschaftsgesetz

Mit Freiheitsstrafe nicht unter zwei Jahren wird bestraft, wer einer Vorschrift dieses Gesetzes oder einer auf Grund dieses Gesetzes erlassenen Rechtsverordnung oder einem im Bundesgesetzblatt oder im Bundesanzeiger veröffentlichten Rechtsakt der europäischen Gemeinschaften zur Beschränkung des Außenwirtschaftsverkehrs, zuwiderhandelt. In minder schweren Fällen ist die Freiheitsstrafe drei Monate bis fünf Jahre.