Alles mit Recht

- Trennung von Wertpapierund Beratungsmandaten

- Internes Kontrollsystem von Unternehmen (IKS) mit "Control Framework" welches von Experten anerkannt.

=> COBIT, COSO, ITIL

Modelle/Frameworks standardisieren Kontrollen + integrieren wichtige Aspekte wie RiskMgmt, Information und Kommunikation. Erst dadurch wird unternehmensweite Führungssystem vervollständigt und wirkungsvoll.

- Datenklassifikation -> Transaktionen

- User Mgmt -> Rechte Daten zu verändern

- Information Mgmt -> Komplett + Genau | Kann das bewiesen werden?

- Datenintegrität + Validation ->Datenrecord macht Sinn? Im Vergleich zu anderen?

- Veränderung der Daten -> Unbefugte

- Programme verarbeiten Daten fehlerhaft

- Daten gehen verloren

- IT-Infrastruktur nicht sicher betrieben

- COSO (unternehmensweite Prozesse)

- COBIT (spezifische IT-Prozesse)

-ITIL (best practice, IT-relevante Serviceprozesse)

Top Mgmt Verantwortlichkeit (CEO + CFO)

Statement von CEO + CFO betreffend Finanzreport (Abschlüsse):

- Sind verantwortlich für Kontrolle über Finanzreport

- Ihre Schlussfolgerung der Effektivität dieser Kontrollen basierend auf Evaluation

- Dass Abschlussprüfer über Bewertung der Kontrollen durch Mgmt und Wirksamkeit der Kontrollen berichtet haben.

- Alle Kontrollmängel müssen bewertet sein -> Einfluss/Schwere über Abschluss

- Inadequate Doku = Mangel in interner Kontrolle

- Alle Kontrollmängel rapportiert von Abschlussprüfer an Mgmt

- Alle signifikanten Mängel + Materialschwächen müssen von Abschlussprüfer ans Abschlusskomittee rapportiert werden

- Wo Materialschwäche identifiziert -> Rapport Kontrollsystem ist ineffektiv.

Compliance = Kontrolle und Rechenschaftspflicht in der Erfüllung eines Mandats. Es ist auch berechenbar, konsistent und transparentes Verhalten.

Einhalten der Vorschriften:

- Weiss was zu tun ist -> Sammle angemessene Anforderungen von verschiedenen Quellen

- Stelle fest was du weisst -> Definiere/Formuliere Regeln, Prozesse und Kontrollen

- Tu was du feststellst -> Implementiere Regeln, Prozesse und Kontrollen -> manage diese!

- Sag was du tust -> Monitor und Report falls nötig

Startschuss für SOX.

- Altervorsorge der Amerikaner

- Geschönte Bilanz über Jahre

• Gesetz soll globale Dursetzungskraft verschaffen
• 1250 ausländische Unternehmen in den USA kotiert uns SEC-berichterstattungspflichtig
• Rotation des Audit Committee
• verstärkte Aufsicht über die Revision-/Auditgesellschaften
• Frameworks sollen eingesetzt werden. Z.B. Cobit, ITIL

• SOX regelt, wer wofür zuständig ist
• Frameworks stadardisieren Kontrollen und integrieren wichtige Aspekte wie Risikomanagement, Information und Kommunikation
• Unternehmensweite Führungssystem wird vervollständigt und wirkungsvoll

• Bestehende Risiken sollen reduziert werden
• Jene Geschäftsfälle bestimmen, die erheblichen Einfluss auf das Ergebnis der Rechnungslegung besitzen
• Eigenschaften von relevanten Prozesse sind:
  • Wer initiiert Geschäftsfall auf welche Weise?
  • Wie, wann und wer autorisiert einen Geschäftsfall?
  • Wie wird der Datensatz zum Geschäftsfall erstellt und verwendet?

• Spend less! Follow, don't lead! Focus on risks, not opportunities!
• IT-Abteilungen werden verschwinden
  • Dezentralisierung, Outsourching
• IT ist heute breit verfügbar
• Man kann "IT Services" kaufen
• Strategisch bedeutsam ist nur etwas, was knapp ist
• Informationssysteme sind/werden "Commodities"

• Sinnvolle Anwendung stelle immer noch eine knappe Fähigkeit dar
• Anwender machen nichts aus den vielen Daten, über die sie verfügen
• Carr würde IT zu undifferenziert sehen
• Carr vernachlässige die prozess- und verfahrensorientierten Bereiche

- Firmen lagern immer mehr aus

- Version 1 von Produkt teuer, fehleranfällig. Nächste Version besser, billiger

- warten bis Preis einpendelt und für jedermann erwschinglich => Allgemeingut

- Strategischer Vorteil von gross zu klein.

- IT Produkte einfach kopierbar -> Land mit Niedriglohnkosten

- Freaks...

- Kernkompetenz ausgelagert -> Verlust dieser Kompetenz + Abhängigkeit von Lieferanten

- Beim 2ten Zyklus dabei!

Ein Set von Aufgaben/Prozessen, die sich ein Unternehmen setzt, um sein Business zu steuern.

• Governance steuert die Compliance
• Integration
  • IT Governance betrifft das Executive Management und ist integraler Bestandteil der Unternehmungs Governance
• Decision & Accountability
  • IT Governance ist das Entscheidungsrecht und die Verantwortung um IT zu ermöglichen und anzuwenden

Corporate Governance beinhaltet:

• Conformance
  • Anbindung an Gesetzte, interne Policies, Audit Requirement
• Performance
  • Profit verbessern, Effektivität steigern, Wachstum generieren

Corporate Governance und IT Governance brauchen eine Balance zwischen Conformance und Performance.

IT Management intern und kurzsichtige Zeitorientierung

IT Governance extern und weitsichtige Zeitorientierung

Welche Entscheidungen müssen gemacht werden?

• IT-Prinzipien -> Rolle von IT im Business
• IT-Architektur -> Kernprozesse - welche?
• IT-Infrastruktur -> welche Services outgesourct?
• Anforderungen an Business-Applikationen -> Chancen
• IT-Investment -> IT-Portfolio

Wer macht diese Entscheidungen?

• Business Monarchie -> Top Mgr
• IT Monarchie -> IT Mgr
• Föderal -> Kombi Zentraleinheit + Dezentral oft auch IT dabei
• IT Duopol -> IT + Geschäftseinheit (CIO+CxO)
• Feudal -> Jede Geschäftseinheit eigene Entscheidung
• Anarchie -> kleine Gruppe von Individuellen eigene Entscheidung

Verantwortlichkeit (verstehen und kennen)

Strategie (strategische IT-Pläne gehen einher mit Geschäftsstrategie)

Akquisition (valider Grund, Balance Nutzen Kosten Chancen Risiken)

Leistung (Servicequalität sicherstellen)

Konform (Gesetze)

Menschliche Verhalten (Respekt und Nutzen)

• Evaluate
  Nutzen, Effektivität und Akzeptanz von IT und die Kompetenzen zur diesen Responsibilities evaluieren
• Direct
  Sicherstellen, dass Pläne betreffend der IT-Verantwortung umgesetzt werden und dass relevante Informationen zur Erfüllung der Verantwortung bereitgestellt sind
• Monitor
  Vorschritt der IT überwachen, damit Ziele erreicht werden können

• Berücksichtigt EDM -> Evaluate, Direct, Monitor
• Separiert Governance von Management
• 5 IT-Governance Prozesse (zu oberst)
• 32 IT-Management Prozesse (liegen darunter)
• Ziel-Kaskade
  • Enterprise Goals
  • IT-related Goals (17 Ziele)
  • Enabler Goals

1. Prinzipien, Policies und Frameworks
2. Prozesse
3. Organisatorische Strukturen
4. Kultur, Ethik und Verhalten
5. Informationen
6. Service und Infrastruktur
7. Meschen, Fähigkeiten und Kompetenzen 

R = Responsibility

A = Accountability

C = Consulted

I = Informed

- Planung und Organisation

- Erfassung und Implementierung

- Lieferung und Support

- Überwachung und Bewertung

- Informationskriterien

systematische Identifizierung, Analyse, Bewertung, Steuerung, Überwachung und Kommunikation von Risiken

negative Abweichung eines erwarteten Zielzustands

1. Vertraulichkeit (unbefugte)

2. Integrität (unbefugte Modifikation)

3. Verfügbarkeit (beeinträchtigte Funktionalität)

4. Zurechenbarkeit (unzulässige Unverbindlichkeit)

IBSK oder IBSÜ