Einführung Rechtliche Anforderungen Records Management Ausblick

2. Einführung • Rechtliche Anforderungen • Records Management • Ausblick

3. Einführung

4. Skandale machen den Bedarf an Transparenz und Dokumentation deutlich

5. USA 2008 mangelhaftes Records Management

6. England 2008 Mangelhafter Datenschutz Ein Laptop eines Offiziers mit persönlichen Angaben von bis zu 600.000 Rekruten und Bewerbern der Streitkräfte wurde gestohlen. Ausweis- und Führerschein-Details, Versicherungsnummern bis hin zu Angaben zur Familie, sowie Namen und Adressen von Ärzten der betroffenen Personen.

7. Deutschland 2005 – 2007 Mangelhafte Sicherheit • in Bundesbehörden sind 189 Computer, 326 Laptops, 38 Speicher-Sticks und 271 Handys mit teilweise sensiblen Daten abhanden gekommen. • Vom Bundesamt für Zivildienst ist ein Notebook gestohlen worden, auf dem komplette Datensätze mit persönlichen Daten gespeichert waren • dem Verteidigungsministerium sind geheime Datenträger mit Informationen der Geheimhaltungsstufe "Verschlusssache -Vertraulich" und höher abhanden gekommen

8. Deutsche Bank 2004Mangelhaftes E-Mail-Management • Die Deutsche Bank muss 87,5 Millionen Dollar Strafe zahlen, da sie große Teile der von der Börsenaufsicht angeforderten E-Mail-Korrespondenz der Mitarbeiter nicht finden konnte.

9. Siemens Korruptionsaffäre 2006 Mangelnde Transparenz • Korruptionsaffären erschüttern das Traditionsunternehmen • Strafe in Höhe von bis zu 4 Milliarden Euro nicht mehr ausgeschlossen • Der ehemalige Vorstandsvorsitzende Heinrich von Pierer steht im Verdacht, Bestechungsversuche persönlich in Auftrag gegeben zu haben. Die Vorstände werden persönlich haftbar gemacht

10. Parmalat 2003 Korruption (?) und mangelnde Transparenz • in der Bilanz von Parmalat fehlten acht Milliarden Euro • 2004 summierte sich der von den Staatsanwälten, Wirtschaftsprüfern und Bankern ermittelte Fehlbetrag auf 23 Milliarden Euro • Die Fehlsumme wurde erst nach Jahren festgestellt

11. McLaren 2007 Industriespionage • McLaren-Mercedes hatte illegal technische Informationen über die Wagen von Ferrari erhalten • Geldstrafe in Höhe von 100 Millionen US-Dollar

12. Governance

13. Vom französischen Begriff Gouvernance abgeleitet • Lateinisch "gubernator", Steuermann • Herrschaft, Lenkung, Steuerung

14. Übertragung als Corporate Governance auf das Wirtschaftsleben • "körperschaftliche Steuerung" • "Leitung einer Körperschaft bzw. einer Gesellschaft"

15. Risk Management

16. Risiko ist das italienische Wort für • Wagnis oder Gefahr

17. Risikomanagement umfasst also die Maßnahmen zur • Erfassung der Risiken • Bewertung der Risiken • Steuerung der Risiken

18. Compliance

19. Compliance aus dem Englischen Befolgung, Einhaltung oder Erfüllung bestimmter Anforderungen

20. Governance Risk Management Compliance GRC Governance, Risk Management und Compliance GRC vereinigt die Disziplinen Corporate Governance, Risikomanagement und Compliance als durchgängiges Vorgehensmodell.

21. Rechtliche Anforderungen

22. Governance

23. Definition Governance • Der Begriff Governance bezeichnet Standards beziehungsweise spezielle Rahmenbedingungen für Strukturen und Prozesse der Führung, Verwaltung und Überwachung börsennotierter Unternehmen.

24. Corporate Governance • CG Corporate Governance sind die rechtlichen und institutionellen Rahmenbedingungen, die mittelbar oder unmittelbar Einfluss auf die Führungsentscheidungen eines Unternehmens und somit auf den Unternehmenserfolg haben • Der Ursprung für CG liegt bereits in den 30er Jahren, als man sich verstärkt Gedanken über die Rechte der Aktionäre machte

25. Corporate Governance • International wurde CG durch die OECD in Gestalt der „Principles of Corporate Governance“ 1984 verankert und 2004 aktualisiert • Die Europäische Kommission hat 2004 ein European Corporate Governance Forum als Beratungsgremium eingerichtet

26. Corporate Governance International • USA • COSO-Modell • COSO ERM-Framework • Großbritannien: „Reports“ • Cadbury Report, 1992 • Greenbury Report,1995 • Hampel Report, 1998 • Turnbull Report, 2005 • Frankreich: LSF Loi de Sécurité Financière (2003) • u.a.

27. Deutschland Corporate Governance-Kodex • Aktuelle Fassung vom 14. Juni 2007 • stellt wesentliche gesetzliche Vorschriften zur Leitung und Überwachung deutscher börsen-notierter Gesellschaften dar • enthält international und national anerkannte Standards guter und verantwortungsvoller Unternehmensführung

28. Corporate Governance-Kodex • soll das deutsche Corporate Governance System transparent und nachvollziehbar machen • will das Vertrauen der internationalen und nationalen Anleger, der Kunden, der Mitarbeiter und der Öffentlichkeit in die Leitung und Überwachung deutscher börsennotierter Gesellschaften fördern

29. Corporate Governance in Deutschland stützt sich auf • Unternehmensgesetze • KonTraG • UMAG • Handels- und Steuerrecht • Verbraucherschutz • Datenschutz

30. Corporate Governance in Österreich • ÖCGK Österreichischer Corporate Governance Kodex (2002)

31. Corporate Governance in der Schweiz • Swiss Code of Best Practice (2002)

32. IT Governance • liegt in der Verantwortung des Vorstands und des Managements • ist ein wesentlicher Bestandteil der Unternehmensführung

33. IT Governance • besteht aus Führung, Organisationsstrukturen und Prozessen, die sicherstellen, dass die IT die Unternehmensstrategie und -ziele unterstützt • Hauptziel von IT-Governance ist es, die Anforderungen an die IT sowie die strategische Bedeutung von IT zu verstehen, um den optimalen Betrieb zur Erreichung der Unternehmensziele sicherzustellen und Strategien für die zukünftige Erweiterung des Geschäftsbetriebes zu schaffen.

34. Risk Management

35. Definition Risk Management • Risk Management ist die systematische Erfassung, Bewertung und Steuerung der unterschiedlichsten Risiken. Es ist ein systematisches Verfahren, das in verschiedensten Bereichen Anwendung findet, zum Beispiel bei • Unternehmensrisiken • Kreditrisiken • Finanzanlagerisiken • Umweltrisiken • Versicherungstechnischen Risiken • Technischen Risiken

36. Risk Management • Potenzielle Risiken, die die Vermögens-, Finanz- und Ertragslage eines Unternehmens mittel- und langfristig gefährden könnten, werden zunächst mit Hilfe des pro-aktiven Risk Managements identifiziert, analysiert und bewertet. • Ziel besteht in der Sicherung des Fortbestandes eines Unternehmens, der Absicherung der Unternehmensziele gegen störende Ereignisse und in der Steigerung des Unternehmenswertes.

37. Rechtliche Anforderungen in Deutschland Rechtliche Anforderungen zur Überwachung • KonTraG kein eigenständiges Gesetz, sondern zu Ergänzung (HGB, AktG) • § 91 Abs. 2 AktG „Der Vorstand einer Aktiengesellschaft hat geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit für den Fortbestand der Gesellschaft gefährliche Entwicklungen früh erkannt werden.“

38. Rechtliche Anforderungen in Deutschland • Risikostrategie (IT-Riskmanagement ISO 27001) • Risikomanagementprozess und Risiko-Controlling • Organisation des Risikomanagements • Steuerung des Risikomanagements • Bereitstellung finanzieller Mittel • Anweisung und Schulung der Mitarbeiter • Kontrolle der IT-Verantwortlichen (Policy) • Auswahl der Mitarbeiter in verantwortlichen Positionen • Sicherstellung der persönlichen und fachlichen Eignung • Abgrenzung von Verantwortlichkeiten (keine Selbstkontrolle)

39. Compliance

40. Compliance: Definition „Übereinstimmung mit und Erfüllung von rechtlichen und regulativen Vorgaben“

41. Unterschiede: • Direkte Auswirkungen • HGB • AO / GDPdU / GOBS • GAUFZ • Indirekte Auswirkungen • Basel II (für „Nicht-Banken“) • BDSG

42. Grundsätzlich gilt: • Alle rechtlichen und gesetzlichen Vorgaben gelten auch in der elektronischen Welt! • Die Anforderungen der DV-Welt sind jedoch häufig noch nicht oder nicht direkt enthalten und müssen daher adäquat abgeleitet werden.

43. Grundsätzliche Kriterien • Authentizität • Vollständigkeit • Nachvollziehbarkeit • Zugriffssicherheit • Geordnetheit • Integrität • Auffindbarkeit • Reproduzierbarkeit • Unverändertheit • Richtigkeit • Prüfbarkeit • Portabilität • Vertrauenswürdigkeit

44. Compliance in Europa • Viele der neuen nationalen Regularien haben ihren Ursprung in der europäischen Gesetzgebung • Mit etwas Zeitverzögerung wird jede Richtlinie der Europäischen Kommission in nationales Recht überführt, so dass es sich lohnt, immer einen Blick auf die Vorgaben und Entwicklungen Brüssels zu werfen

45. Compliance in Europa • 8. Direktive setzt Standard für Bilanzierungsrichtlinien von börsennotierten Unternehmen • Das große, umfassende Ereignis wie der Sarbanes-Oxley Act (SOA) fehlt trotz 8.Direktive • Europäische Gerichte / EU diskutieren weitere Regularien

46. 8. Direktive • Die 8. Direktive (auch 8. EU-Richtlinie oder Euro-SOX) ist in der europäischen Gemeinschaft bereits seit dem 29.06.2006 in Kraft und musste bis zum 29.06.2008 in nationales Recht umgesetzt werden • enthält ausführliche Vorschriften über die Durchführung der Abschlussprüfung von Jahresabschlüssen sowie über damit verbundene Anforderungen an den beauftragten Abschlussprüfer • verfolgt das Ziel, international einheitliche Regelungen für die Prüfung des Finanzabschlusses zu schaffen

47. Europäische Dienstleistungsrichtlinie • Umsetzung in nationales Recht bis Ende 2009 • Ziele: • Beseitigung bürokratischer Hindernisse • Erleichterung des Handels mit grenzüberschreitenden Dienstleistungen • Vollendung des Binnenmarkts für Dienstleistungen • Inhalte (Auswahl): • Vereinfachung der Antrags-Verfahren und einheitliche Ansprechpartner • Dienstleister können alle Unterlagen, Anträge, etc. auch elektronisch einreichen • Aufbau eines Informations- und Kommunikationssystems für die europaweite Verwaltungszusammenarbeit • Konsequenz: Digitalisierung der öffentlichen Verwaltung

48. Europäische Signaturrichtlinie • Basis für die Signaturgesetzgebung in der EU ist die EG-Richtlinie 1999/93/EG • Sie definiert die Vorgaben für die Regelungen elektronischer Signaturen, die durch die Mitgliedstaaten und die anderen Staaten des europäischen Wirtschaftsraumes in nationalen Gesetzen umgesetzt werden • In Deutschland ist die elektronische Signatur durch mehrere Rechtsvorschriften geregelt, u.a.: • Signaturgesetz • Signaturverordnung • BGB (vor allem die §§125 ff. über die Formen von Rechtsgeschäften) • VwVfG • 1. Gesetz zur Änderung des Signaturgesetzes (1. SigÄndG)

49. Compliance in den USA SEC • United States Securities and Exchange Commission • Kontrolle des Wertpapierhandels in den Vereinigten Staaten

50. Compliance in den USA SOX • Sarbanes-Oxley Act • Ziel: die Verlässlichkeit der Berichterstattung von Unternehmen, die den öffentlichen Kapitalmarkt der USA in Anspruch nehmen, zu verbessern