Praxishandbuch für die Risikoanalyse mit SAP GRC Access Control
Taux forfaitaire
19 € par mois
Licence unique Plus de 1000 livres électroniques et tutoriels vidéo Accès instantané 12 mois(228 €par an) renouvellement automatique
Plus de détails
Dieser Praxisleitfaden hilft Ihnen, Beantragungs- und Änderungsprozesse von Benutzer-Zugriffsberechtigungen mit SAP GRC Access Control revisionssicher zu organisieren. Unabdingbare Basis dafür ist das Wissen um bestehende Risiken, deren Auswirkungen und die Wahl der passenden Reaktion. Fachliches und technisches Herzstück ist der Risikokatalog, dessen Struktur und Verständlichkeit maßgeblich für eine effiziente Nutzung der Risikoanalyse ist.
Die Autorin vermittelt Ihnen ein tieferes Verständnis für das Ineinandergreifen der verschiedenen Funktionselemente von SAP GRC Access Control. Sie beschreibt die diversen Analyseoptionen wie die Ad-hoc-Analyse, Batchanalyse oder den Risk Terminator sowie deren korrekte Interpretation. Profitieren Sie von den praktischen Tipps aus dem Projektgeschäft sowie vom kreativen Umgang mit den technischen Möglichkeiten des Standards einer risikominimierten Vergabe von Zugriffsberechtigungen.
Das Buch unterstützt Sie, wenn Sie einen unternehmensindividuellen Risikokatalog erstellen oder anpassen, ein Projekt zur Risikobereinigung leiten oder coachen oder Sie verantwortlich sind für die regelmäßige Risikoanalyse und Abarbeitung der Ergebnisse. Vorerfahrungen mit GRC Access Control und dem SAP-Berechtigungswesen sind erwünscht.
- Design und Ausprägung eines Risikokatalogs
- Wartung und Erweiterung des Regelwerks
- Risikoanalysen interpretieren
- Best-Practice-Ansätze zur Risikobereinigung
Exemple de lecture
2.1 Tun Sie Gutes und reden Sie darüber – gute Gründe für ein Risikomanagement-System
Bei der Definition und Auswertung von Risiken höre ich immer wieder Phrasen wie:
- »Wer soll denn die ganze Arbeit machen?«
- »Da dauert ja die Bearbeitung eines Antrags Wochen!«
- »Das zu verstehen, benötigt Wochen!«
Sie spiegeln die heutzutage fast normale und auch gut nachvollziehbare Befürchtung von noch mehr Arbeit wider.
Ich beantworte diese Reaktionen gerne mit einer beratertypischen Gegenphrase »Ja, aber …«:
»GRC Access Control macht Risiken nur einfacher sichtbar. Theoretisch ist ein Unternehmen auch ohne SAP Access Control verpflichtet, Risiken transparent zu machen und zu minimieren!«
Oder auch:
»Wollten Sie nicht immer schon mal eine Auswertung auf Knopfdruck darüber haben, wer alles auf ihre Daten/Prozesse zugreifen kann?«
Spätestens dann wird der Kollege seine spontane erste Schutzreaktion überdenken und zum Einlenken neigen (auch wenn er das erst einmal nicht zugeben mag): Die Erfüllung der rechtlichen Anforderungen ist ohne Tool nahezu unlösbar, da viel zu komplex, fehleranfällig und zeitraubend. Daher wurden entsprechende Maßnahmen (bis zur Einführung von SAP Access Control) in den Unternehmen einfach nicht umgesetzt. Eine Lösung? Wohl eher nicht.
Vermarkten Sie die Risikoanalyse als Erfolgsfaktor
Arbeiten Sie nicht mit erhobenem Zeigefinger, sondern vermarkten Sie die Zeitersparnis und den Transparenz-Gewinn. Dann werden Ihre Kollegen das Projekt schon nicht mehr ganz so argwöhnisch betrachten, sondern schnell begreifen, dass SAP Access Control ihnen eigentlich das Leben leichter macht und sie sich vor allem durch dessen Einsatz viel mehr um ihre eigentlichen Aufgaben kümmern können.
Oft werden GRC-Access-Control-Systeme ohne jegliches begleitendes »Marketing« eingeführt. Auslöser ist meist ein entsprechender Eintrag im Audit. Dort wird dann z.B. ein Tool für die Beantragung und Genehmigung von Benutzern oder auch die Implementierung eines Risikokatalogs gefordert. Sehr häufig verkommt dieses Tool anschließend zu einem reinen Werkzeug der »Auditorenbefriedigung«. Das dürfte nicht nur bei SAP GRC Access Control der Fall sein, sondern auch für jedes andere Tool mit entsprechenden Funktionalitäten gelten.
Compliance-Tools zur Auditorenbefriedigung?
Wenn Sie für die Einführung eines GRC Access Controls verantwortlich oder an ihr beteiligt sind, überlegen Sie sich genau, ob Sie das Argument »Die Auditoren fordern den Einsatz des Tools« wirklich zum Überzeugen nutzen wollen. Erinnern Sie vielmehr daran, dass dieses Tool die Zugriffsrisiken minimieren soll und somit die Sicherheit im Unternehmen zum Ziel hat. Der Einsatz und eine entsprechende Nutzung erhöhen somit – richtig begründet – das Vertrauen in das Unternehmen.
Durch passgenaues Marketing erhöhen Sie den Nutzen und Benefit des Tools über dessen eigentliche Funktionalitäten hinaus!
Notations
I. GmbH
20.50.2023
