Zentrale Komponenten von IT-Governance identifizieren

Darüber hinaus werden Anforderungen an die IT ComplianceCompliance in einigen Gesetzen/ Regularien auch direkt adressiert: Alles zu Compliance auf CIO.de

Bundesdatenschutzgesetz (BDSG): Ziel dieses Gesetzes ist der Schutz der Vertraulichkeit von personenbezogenen Daten gegenüber dem Missbrauch durch Dritte. Dabei zielen die Anforderungen auf den sachgerechten Umgang und die kontrollierte Weitergabe von schützenswerten Daten ab.

Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU): Diese vom Bundesministerium der FinanzenFinanzen veröffentlichten Grundsätze sehen vor, dass im Rahmen einer Betriebsprüfung sämtliche elektronisch erzeugten Daten in elektronisch auswertbarer Form vorliegen müssen, sofern sie steuerlich relevant sind. Hierfür sind unterschiedliche Zugriffsverfahren sowie Möglichkeiten des Datenextrakts vorgesehen. Top-Firmen der Branche Finanzen

Mindestanforderungen an das Risiko-Management für Finanzdienstleister (MaRisk): Die Bundesanstalt für Finanzdienstleistungsaufsicht hat mit den MaRisk eine Konkretisierung der im Kreditwesengesetz (KWG) kodifizierten Grundsätze mit klarem IT-Bezug im Sinne einer Best-Practice-Betrachtung definiert. Es werden explizit Anforderungen an Informationssicherheit, Change Management und Notfallplanung gestellt. Für die Umsetzung wird die Orientierung an geltenden IT-Sicherheitsstandards wie z. B. BSI-Grundschutz oder ISO 17799 / 27001 gefordert.

Um auf die steigende Anzahl von Vorschriften auch in einem dynamischen Umfeld reagieren zu können, ist eine statische Betrachtung nicht ausreichend. Vielmehr ist es erforderlich, einen Prozess zu installieren, der eine kontinuierliche Anpassung an geänderte Anforderungen in allen Ländern, in denen das Unternehmen tätig ist, sicherstellt. Prozessverantwortlicher ist meist der CCO (Chief Compliance Officer), bei nicht börsennotierten Gesellschaften werden die Aufgaben des CCO entweder vom Finanzvorstand mit übernommen oder - nicht selten zum Nachteil des Unternehmens - nicht systematisch bearbeitet.