IT-Compliance: Spagat zwischen zu viel und zu wenig Kontrolle

Eine wichtige Rolle im Rahmen von IT-Compliance beziehungsweise IT-gestützter Compliance schreibt Markus Gaulke den Freigabeprozessen in der IT oder den Fachbereichen zu: „Je größer das Risiko von bestimmten Geschäftsprozessen ist, umso mehr Freigabeschritte sind notwendig. Bei Standard-Freigaben sollte der Prozess schlanker sein, um die Effizienz nicht zu vermindern.“

Der KPMG-Mann thematisiert hier den schmalen Grat, auf dem Compliance wandelt – dem zwischen zu viel und zu wenig Kontrolle. Denn übertreibt ein Unternehmen die Einhaltung der gesetzlichen Vorgaben und überwacht seine Geschäftsprozesse zu intensiv, leidet die Effizienz und die Mitarbeiter fühlen sich gegängelt. Achten die Unternehmen zu wenig auf Compliance, riskieren sie oder ihre leitenden Mitarbeiter Bestrafung und Imageverlust.

Michael H. Brauer, Leiter der Abteilung Corporate Automation der Zentralstelle Corporate Information Technology bei Siemens, rät daher zu Augenmaß: „Weniger ist manchmal mehr. Unternehmen sollten Compliance nicht übertreiben, sondern sich auf die wesentlichen Dinge konzentrieren. Und dazu gehören ein Kulturwandel, der ausschließlich saubere Geschäfte zulässt, und entsprechende klare Botschaften der Unternehmensspitze. IT-Tools können helfen, die Vorgaben im Detail intelligent umzusetzen und dem einzelnen Mitarbeiter den Arbeitsalltag sicher und bequem zu gestalten. Denn automatisierte Abläufe in der IT gestalten Kontrollprozesse wesentlich effizienter.“

Professor Klotz von der FH Stralsund empfiehlt Unternehmen, die Compliance-Risiken zu betrachten und Compliance eng mit Risikomanagement zu verzahnen. Die Frage laute: „Welche Risiken hat ein Unternehmen, wenn es die Compliance-Vorgaben nicht komplett einhält?“ Klotz skizziert dazu ein Beispiel: Die Strafe für ein Compliance-Vergehen beträgt 50.000 Euro, die Implementierung eines IT-Prozesses, der diesen Compliance-Verstoß verhindern würde, jedoch 200.000 Euro. „Die Risikoabwägung sorgt hier garantiert für Konflikte im Unternehmen. Der Kaufmann sagt nein zur Installation des Systems, der Jurist unbedingt ja.“ Was ist also tun? Diese Frage muss jedes Unternehmen für sich selbst entscheiden.