Alles mit Recht

1. Prinzipien, Policies und Frameworks
2. Prozesse
3. Organisatorische Strukturen
4. Kultur, Ethik und Verhalten
5. Informationen
6. Service und Infrastruktur
7. Meschen, Fähigkeiten und Kompetenzen 

R = Responsibility

A = Accountability

C = Consulted

I = Informed

- Planung und Organisation

- Erfassung und Implementierung

- Lieferung und Support

- Überwachung und Bewertung

- Informationskriterien

systematische Identifizierung, Analyse, Bewertung, Steuerung, Überwachung und Kommunikation von Risiken

negative Abweichung eines erwarteten Zielzustands

1. Vertraulichkeit (unbefugte)

2. Integrität (unbefugte Modifikation)

3. Verfügbarkeit (beeinträchtigte Funktionalität)

4. Zurechenbarkeit (unzulässige Unverbindlichkeit)

IBSK oder IBSÜ

1. Stakeholder Drivers (Environment, Technology)
2. Stakeholder Needs (Benefits, Risk Optimisation)
3. Enterprise Goals
4. IT-related Goals
5. Enabler Goals

COBIT 5 stellt alle erforderlichen Prozesse und Enablers zur Verfügung, die benötigt werden, um Business Value durch IT zu ermöglichen.

COBIT 5 deckt alle Funktionen und Prozesse einer Unternehmung ab. Nicht nur die IT-Funktionen. 

COBIT 5 ist an andere Standards (z.B. ITIL) ausgerichtet und dient als allumfassendes Framework.

Dieses Prinzip besagt, dass verschiedene Komponenten wie Prozesse, Strukturen und Menschen miteinander interagieren müssen. 

Governance und Management beinhalten unterschiedliche Aktivitäten. 

Governance folgt dem EDM-Model und ermöglicht die Erfüllung der Stakeholder Needs. 

Management plant, baut, führt aus und überwacht (PDCA-Cycle) Aktivitäten basierend auf Governance.

• Wird gut gepflegt -> von Experten (ISACA)
• ISO 38500 ist in COBIT interpretiert worden
• Hohe Abdeckung
• Kostenlos
• Kontinuierliche Weiterentwicklung

EDM03 und APO12

Evaluate, Direct, Monitor

Align, Plan, Organize

ist eine Prozedur/Verfahren oder Regel, die eine hinreichende Sicherheit dafür bietet, dass die von einer Organisation verwendete IT bestimmungsgemäss arbeitet, dass Daten zuverlässig sind und dass die Organisation die geltenden Gesetze und Vorschriften einhält.

- IT-Kontrolle sollte zeigen, dass die Organisation über ein Verfahren verfügt, die Mgmt beeinflusst über Prozesse wie RiskMgmt, ChangeMgmt, Disaster Recovery und Sicherheit.

- Bei Applikationen die für bestimmte Geschäftsprozesse (Abrechnung) verwendet werden sollte zeigen: nur mit korrekter Berechtigung, überwacht und kontrolliert!

• Inadequate Doku
• Wichtige Geschäftszyklen nicht richtig definiert
• Kontrollmangel mit Autorisation der Transaktion
• Keine Übersicht und Review
• Ineffektive IS
• Mangel an physischer und logischer Sicherheit
• Keine formalen ethischen Regeln und Prozeduren
• Jobrollen und Verantwortlichkeiten nicht klar definiert
• Mangelnde Trennung der Aufgaben
• Inadequate Disaster Recovery, Backups und Businesspläne

Dinge richtig tun

Das richtige tun

- ITIL: Intern + Gegenwart

- COBIT: Extern + Zukunft, prozessorientiert

• Sarbanes Oxley Act
• US-Gesetz für alle US-börsenkotierte Unternehmen
• Soll Verlässlichkeit der Berichterstattung von Unternehmen verbessern
• Kodex mit globaler Reichweite
• Dient auch ausserhalb der USA als Messlatte

• bestimmte relevante Vorgaben bei Geschäftstätigkeit befolgen
• Vorgaben können extern vorgegeben oder intern gewählt sein
• Muss nachweisbar sein -> Compilance Nachweis
• rechtskonformes Verhalten muss durch organisatorische Massnahmen und Prozesse sichergestellt sein

Hat auch viel mit Ethik (Moral) und Tugenden (Ehrlichkeit, Aufrichtigkeit etc.) zu tun

- Trennung von Wertpapierund Beratungsmandaten

- Internes Kontrollsystem von Unternehmen (IKS) mit "Control Framework" welches von Experten anerkannt.

=> COBIT, COSO, ITIL

Modelle/Frameworks standardisieren Kontrollen + integrieren wichtige Aspekte wie RiskMgmt, Information und Kommunikation. Erst dadurch wird unternehmensweite Führungssystem vervollständigt und wirkungsvoll.

- Datenklassifikation -> Transaktionen

- User Mgmt -> Rechte Daten zu verändern

- Information Mgmt -> Komplett + Genau | Kann das bewiesen werden?

- Datenintegrität + Validation ->Datenrecord macht Sinn? Im Vergleich zu anderen?

- Veränderung der Daten -> Unbefugte

- Programme verarbeiten Daten fehlerhaft

- Daten gehen verloren

- IT-Infrastruktur nicht sicher betrieben

- COSO (unternehmensweite Prozesse)

- COBIT (spezifische IT-Prozesse)

-ITIL (best practice, IT-relevante Serviceprozesse)

Top Mgmt Verantwortlichkeit (CEO + CFO)

Statement von CEO + CFO betreffend Finanzreport (Abschlüsse):

- Sind verantwortlich für Kontrolle über Finanzreport

- Ihre Schlussfolgerung der Effektivität dieser Kontrollen basierend auf Evaluation

- Dass Abschlussprüfer über Bewertung der Kontrollen durch Mgmt und Wirksamkeit der Kontrollen berichtet haben.

- Alle Kontrollmängel müssen bewertet sein -> Einfluss/Schwere über Abschluss

- Inadequate Doku = Mangel in interner Kontrolle

- Alle Kontrollmängel rapportiert von Abschlussprüfer an Mgmt

- Alle signifikanten Mängel + Materialschwächen müssen von Abschlussprüfer ans Abschlusskomittee rapportiert werden

- Wo Materialschwäche identifiziert -> Rapport Kontrollsystem ist ineffektiv.

Compliance = Kontrolle und Rechenschaftspflicht in der Erfüllung eines Mandats. Es ist auch berechenbar, konsistent und transparentes Verhalten.

Einhalten der Vorschriften:

- Weiss was zu tun ist -> Sammle angemessene Anforderungen von verschiedenen Quellen

- Stelle fest was du weisst -> Definiere/Formuliere Regeln, Prozesse und Kontrollen

- Tu was du feststellst -> Implementiere Regeln, Prozesse und Kontrollen -> manage diese!

- Sag was du tust -> Monitor und Report falls nötig

Startschuss für SOX.

- Altervorsorge der Amerikaner

- Geschönte Bilanz über Jahre

• Gesetz soll globale Dursetzungskraft verschaffen
• 1250 ausländische Unternehmen in den USA kotiert uns SEC-berichterstattungspflichtig
• Rotation des Audit Committee
• verstärkte Aufsicht über die Revision-/Auditgesellschaften
• Frameworks sollen eingesetzt werden. Z.B. Cobit, ITIL

• SOX regelt, wer wofür zuständig ist
• Frameworks stadardisieren Kontrollen und integrieren wichtige Aspekte wie Risikomanagement, Information und Kommunikation
• Unternehmensweite Führungssystem wird vervollständigt und wirkungsvoll

• Bestehende Risiken sollen reduziert werden
• Jene Geschäftsfälle bestimmen, die erheblichen Einfluss auf das Ergebnis der Rechnungslegung besitzen
• Eigenschaften von relevanten Prozesse sind:
  • Wer initiiert Geschäftsfall auf welche Weise?
  • Wie, wann und wer autorisiert einen Geschäftsfall?
  • Wie wird der Datensatz zum Geschäftsfall erstellt und verwendet?

• Spend less! Follow, don't lead! Focus on risks, not opportunities!
• IT-Abteilungen werden verschwinden
  • Dezentralisierung, Outsourching
• IT ist heute breit verfügbar
• Man kann "IT Services" kaufen
• Strategisch bedeutsam ist nur etwas, was knapp ist
• Informationssysteme sind/werden "Commodities"