Compliance-Risiken sicher managen

Das "Modell Fußball"

In der Praxis bereitet die Einführung eines gesetzeskonformen IT-Risiko-Managements, wie es etwa das KonTraG fordert, in vielen Unternehmen Schwierigkeiten. Ein einheitliches Modell, das immer passt, gibt es nicht. Der Autor empfiehlt deshalb das "Modell Fußball“, das leicht auf das eigenen Unternehmen herunter gebrochen werden könne. Das Top-Management ordnet dabei die drei Bereiche der IT-Infrastruktur, Hardware, Software und Applikationen, den Bereichen Angriff, Mittelfeld und Abwehr zu.

Die Abwehr muss stehen wie eine Eins. Welche Applikationen sind für das Überleben des Betriebes absolut notwendig? Diese Elemente gehören in die Abwehr. Beispiel: Die Deutsche Bahn ist zwingend auf ihre Netzsteuerungs-Software angewiesen. Fällt diese aus, kann kein Zug fahren. Diese Software und alle Hardware, auf der sie arbeitet, ist unbedingt in Betrieb zu halten. Wer hier schlampt, dem droht die persönliche Haftung.

Im Mittelfeld werden die strategischen Entscheidungen getroffen. Dazu zählt etwa die Auswahl von ERP-Systemen. Haftungsrechtlich geht es für die Geschäftsleitung dabei um eine zukunftssichere Software, die die betriebswirtschaftlichen Belange und rechtlichen Verpflichtungen des Unternehmens kostengünstig abdeckt.

Im Angriff spielen die Torjäger. Hier werden Helden geboren. Dazu zählen Applikationen, die zum Beispiel einen Vorsprung vor Mitbewerbern sichern, etwa die Einführung einer CRM-Software. Diese Applikationen sind betriebswirtschaftlich wichtig, aus rechtlicher Sicht stehen sie jedoch hinter Mittelfeld und Abwehr zurück. In diesem Bereich ist nur noch die Kosten-Nutzen-Analyse haftungsrelevant.

Die Broschüre "Haftungsrisiken für Geschäftsführer, Vorstände und IT-Leiter“ wird vom IT-Sicherheitsanbieter Lampertz herausgegeben. Verfasst hat sie der Rechts- und Wirtschaftswissenschaftler Wilfried Reiners.