3 Schritte zur Stammdatenverwaltung

Datenmanipulation und -diebstahl, "Rogue Trader" - Banken und Versicherungen standen in den letzten Monaten öfters in den Schlagzeilen wegen Compliance- und Datensicherheitsproblemen. Der Schaden für die betroffenen Unternehmen ist immens. Neben direkten Kosten etwa durch Datenverluste und Strafzahlungen entstehen für die Firmen auch große Imageschäden, denn die negative Berichtserstattung über die Datensicherheitslücken führt zum Vertrauensverlust bei den Kunden.

Die bekannt gewordenen Fälle stellen allerdings nur die Spitze des Eisbergs dar. Unscheinbarer - aber durchaus nicht weniger kostspielig - sind Ineffizienzen im täglichen Betrieb, die durch mangelnde Qualität von Stammdaten wie Kunden-, Vertrags-, Personal-, Organisations- und Kostenstellendaten verursacht werden. Eine fehlende zentrale Identitäts- und Berechtigungsverwaltung tut das Übrige.

So führen Störungen oft dazu, dass IT-Systeme stundenlang nicht verfügbar sind; Mitarbeiter etwa in der Sachbearbeitung können so Geschäftsvorfälle nicht bearbeiten.

Um solche Fehler zu beheben und die Betriebssicherheit zu gewährleisten, müssen Firmen Kapazitäten aufbauen, die dann wichtigen strategischen Projekten fehlen. All das verursacht hohe Kosten im Unternehmen.

Zentrale Managementsysteme fehlen

Der Hauptgrund dieser Probleme liegt darin, dass in den meisten Unternehmen das Master Data-Management sowie das Identity- und Berechtigungsmanagement nicht zentral organisiert sind. Da Systemlandschaften normalerweise historisch gewachsen sind, fehlt im Master Data-Management die Übersicht über die Stammdaten. Unklar ist oft, woher die Daten stammen und wie sie verwendet werden. Oftmals weiß niemand im Unternehmen, wo welche Daten zu finden sind und wer für diese Informationen verantwortlich ist.

Hinzu kommt, dass neue Anwendungen Stammdaten aus beliebigen Systemen und nicht vom ursprünglichen Datenlieferanten beziehen. So ist es auf den ersten Blick einfacher, die Adresse eines Mitarbeiters aus dem Active Directory zu beziehen als aus dem zentralen Facility-Management-System.

Die Folge ist eine redundante Datenhaltung mit inkonsistenten Informationen. Außerdem besteht keine Transparenz über die Verbreitung der Daten. So wissen Unternehmensmitarbeiter oft nicht, mit wem sie z.B. Änderungen am Datenmodell abstimmen müssen.

Ebenfalls problematisch ist ein dezentrales Identitäts- und Berechtigungs-Management. Denn hier werden Berechtigungen nicht über ein zentrales Identity-Management-Tool mit einem stringenten Rollenkonzept verwaltet; auf Zuruf legen verschiedene Administratoren die Daten direkt in den jeweiligen Systemen an.

So verwalten häufig einzelne Länderorganisationseinheiten die Berechtigungen eigenständig; nicht selten kümmert sich der Vertrieb selbständig um das Management von Mitarbeiterzugangsdaten in den Filialen und im Außendienst. Die Folge: Im System entstehen viele, unabhängig voneinander betriebene Berechtigungsverwaltungen mit unterschiedlichen Verfahren.

Die negativen Folgen eines dezentralen Systems

Diese Dezentralität bringt eine Reihe von negativen Auswirkungen mit sich:

• Datensicherheit: Mit einer dezentralen Berechtigungsverwaltung lässt sich nicht kontrollieren, welche internen oder externen Mitarbeiter auf welche Daten und Anwendungen im Unternehmen zugreifen können. So haben oft externe Mitarbeiter, die die Firma schon längst verlassen haben, immer noch Zugriff auf sensible Geschäfts- oder Kundendaten.

• Unterstützung von Geschäftsanforderungen: Sind etwa Kunden- und Produktdaten nicht zentral verfügbar, so hat das weitreichende Folgen für das Kerngeschäft einer Versicherung oder Bank: Vertriebs- und Betriebseinheiten wissen nicht, welche Produkte der Kunde besitzt. Cross-Selling-Ansätze oder kundenzentrierte Betriebsmodelle - z.B. mit geschäftsfeldübergreifendem First Level Support für Kunden und automatisierten Geschäftsprozessen - sind daher schwer realisierbar.

• Betriebssicherheit: Eine unzureichende Qualität der Stammdaten kann dazu führen, dass ganze Systeme über längere Zeiträume hinweg nicht verfügbar sind. Können etwa Sachbearbeiter wegen entzogener Berechtigungen keine Fachanwendungen nutzen, muss die Bearbeitung von Kundenanfragen im Call Center warten.

• Business Process Outsourcing (BPO)-Fähigkeit: Auch im Hinblick auf die vermehrte Auslagerung einzelner Teile von Geschäftsprozessen bei Banken und Versicherungen wie z.B. Input- oder Output-Management wird das Stammdatenmanagement immer wichtiger. Ist die zentrale Verfügbarkeit der Stammdaten mangelhaft, so ist ein Outsourcen dieser Daten nicht möglich.

• Effizienz: Mangelhafte Qualität und Verfügbarkeit der Stammdaten verursachen oft einen hohen Arbeitsaufwand in den betroffenen Abteilungen. Service- und Fachabteilungen müssen daher Personal bereithalten, um Fehler bei Prozessunterbrechungen manuell zu beheben.

Drei Ansatzpunkte zur Problemlösung

Um das Problem der Stammdatenberechtigung effizient zu lösen, sollten Unternehmen drei wichtigen Ansatzpunkten folgen:

1. Fachliches Konzept

• Übersicht verschaffen: Das Unternehmen sollte zunächst den Stammdaten-Scope genau festlegen. Eine detaillierte Betrachtung der Geschäftsprozesse ist erforderlich, um die verwendeten Stammdaten und deren Elemente zu identifizieren.

• Verantwortung zuweisen: Verschiedene funktionale Bereiche wie Produktentwicklung, Personal, Vertrieb und Rechnungswesen verwalten die Stammdaten. Idealerweise sollte dabei möglich sein, jedes Stammdaten-Element auf eine verantwortliche Abteilung zurückzuführen.

• Qualität sicherstellen: Service Level Agreements mit Datenabnehmern sollten garantieren, dass die Lieferanten zuverlässige Daten bereitstellen.

• Berechtigungsvergabe standardisieren: Um auch Berechtigungen zentral verwalten zu können, ist ein standardisierter Prozess erforderlich. Dafür müssen zunächst die fachlichen Rollen im Unternehmen definiert werden. Entsprechend wird dann festgelegt, welche Berechtigungen jeder Mitarbeiter in welchen Systemen erhält.

2. Technische Lösung

• Stammdatenflüsse zentralisieren: Ziel des technischen Lösungsansatzes ist es, Stammdaten ausschließlich von definierten Quelldatensystemen über standardisierte Schnittstellen zu beziehen. Der Datenaustausch kann über einen Enterprise Bus (dezentrale Datenhaltung) oder einen zentralen dispositiven Datenspeicher (redundante Datenhaltung) erfolgen (s. Abbildung 1).

• Auswertungsmöglichkeiten bereitstellen: Nach der Zentralisierung können Stammdatenflüsse zwischen Lieferant und Abnehmer transparent überwacht werden. Auch umfangreiche Metadatenauswertungen sind dadurch möglich. Im nächsten Schritt kann das Unternehmen sogar eine verursachungsgerechte Kosten-Leistungs-Verrechnung etablieren.

• Berechtigungsverwaltung zentralisieren: Wurde ein zentrales Berechtigungsverwaltungssystems in der Firma implementiert, so müssen auch die bestehenden IT-Systeme angebunden und das dezentrale Berechtigungsverfahren abgelöst werden (s. Abbildung 2).

3. Governance

• Fachliche Steuerung etablieren: Diese fachliche Funktion soll die Bereitstellung von Stammdaten zwischen Datenlieferern und abnehmern koordinieren.

• Technische Steuerung etablieren: Ein zentraler IT-Ansprechpartner sollte für die technische Steuerung zuständig sein. Er betreibt den dispositiven Datenbestand und die zentrale Identity-Management-Lösung.

Vorgehensmodell

Um die Stammdatenhaltung zu optimieren, empfehlen wir daher ein vierstufiges Vorgehensmodell:

1. Ist-Analyse mit Aufnahme des Status Quo von Systemen, Prozessen und Stammdaten. Denn ein klarer Überblick der vorhandenen Mängel ist sehr hilfreich, um das Zielbild zu entwickeln.

2. Fachliches Soll-Konzept mit Festlegung des Meta-Datenmodells für Stammdaten sowie der Anforderungen an eine Identity- und Access-Management-Lösung.

3. Technisches Soll-Konzept mit Ausarbeitung der technischen Lösung zur Datenhaltung und Auswahl des Identity- und Access-Management-Tools.

4. Umsetzung: Ein Prototyp des zentralen dispositiven Datenbestands sollte hier aufgebaut und mit einem Stammdatum verprobt werden. Anschließend können alle Systeme, die Daten liefern, angeschlossen werden. Parallel sollte das Unternehmen die zentrale Identity- und Access-Management-Lösung einführen. Bestehende Anwendungen sollten dann nach und nach an das zentrale Berechtigungsmanagement angebunden werden.

Fazit

Durch ein effektives und transparentes Stammdaten- und Berechtigungsmanagement können Banken und Versicherungen ihre Datenqualität erheblich verbessern. Dieses erhöht die Datensicherheit und ermöglicht, hohe Kosten zu sparen, die durch ineffiziente Datensysteme entstehen. Schlüssel zum Erfolg sind die - fachlich und technisch - zentrale Verwaltung von Berechtigungen und ein zentrales Master Data-Management.

Matthias Gröbner ist bei Roland Berger im Competence Center Financial Services tätig, Christopher Frenken im Competence Center InfoCom.