Risikomanagement für individuelle Datenverarbeitungsanwendungen

Egal, ob ein Excel-Tool zur Auswertung von Finanzdaten, ein Dashboard in Power BI oder ein Script, das verschiedene Datenquellen miteinander verbindet – Individuelle Datenverarbeitung (IDV) ist ein fester Bestandteil der täglichen Arbeit.

Jedoch bergen diese IDV-Tools erhebliche Risiken, da sie von den Anwendern selbst entwickelt und betrieben werden und nicht, wie Standard-Geschäftsanwendungen, durch die IT-Abteilung verwaltet und überwacht werden. Damit verbunden steht das Risiko, eine solche IDV nicht mit den nötigen Schutzmaßnahmen versehen zu können, die für ihre Nutzung notwendig wäre. Aus diesem Grund sollte jedes Unternehmen IDV-Anwendungen identifizieren, um das damit verbundene Risiko managen und reduzieren zu können.

IDV-Tools sind Anwendungen, die nicht wie Standardsoftware von der IT-Abteilung, sondern von Mitarbeitenden eines Fachbereichs selbst entwickelt/betrieben werden und dabei einen Geschäftsprozess unterstützen. Die Verantwortung für Entwicklung und Betrieb liegt folglich allein im jeweiligen Fachbereich. Für die Definition von IDV-Anwendungen wird zudem das Kriterium der Datenverarbeitung herangezogen. IDV-Anwendungen aggregieren, manipulieren und/oder modellieren Daten unter Verwendung von Formeln, Skripten, Workflows oder ähnlichem.

Zahlreiche Controlling-, Finanz- oder IT-Prozesse in Unternehmen werden mithilfe von Excel-Tools unterstützt oder vollständig durchgeführt. Eine kürzlich in Frontiers of Computer Science veröffentlichte Studie¹ zeigt, dass 94 Prozent aller Excel-Kalkulationstabellen, die für geschäftliche Entscheidungen genutzt werden, Fehler aufweisen. Solche Fehler oder gar der Ausfall einer IDV-Anwendung können gravierende Auswirkungen auf Geschäftsprozesse haben, Fehlentscheidungen nach sich ziehen und zu finanziellen Verlusten führen.

Durch die Überwachung von IDV-Anwendungen und die Implementierung entsprechender Schutzmaßnahmen können diese Risiken und ihre Auswirkungen deutlich minimiert werden. Gleichzeitig wird die Vertraulichkeit, Verfügbarkeit und Integrität der bearbeiteten Daten erhöht, und Fehler können frühzeitig erkannt werden. Kritische IDV-Anwendungen können darüber hinaus in standardisierte Geschäftsanwendungen überführt werden.

Für Finanzdienstleister ist ein effektives Risikomanagement von IDV-Anwendungen unerlässlich, da es durch konkrete regulatorische Vorgaben (DORA/VAIT/BAIT/KAIT) der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) vorgeschrieben wird. Doch das von IDV-Anwendungen ausgehende Risiko betrifft nicht nur die Finanzbranche, sondern alle datenverarbeitenden Industrien.

Aus diesem Grund sollte jedes Unternehmen eine robuste Governance-Struktur für IDV-Anwendungen implementieren, um die damit verbundenen Risiken wirksam zu managen und zu minimieren.

1. Intero Consulting unterstützt Sie bei der Ausarbeitung einer IDV Governance Struktur, die individuell auf Ihr Unternehmen abgestimmt ist.
2. Intero Consulting verfügt über ein tiefgreifendes regulatorisches Verständnis und zahlreiche Best Practices zur Umsetzung eines IDV-Risikomanagements.
3. Intero Consulting begleitet den gesamten Prozess von der Identifizierung der IDV-Anwendungen, über die Risikobewertung bis hin zur Umsetzung von Schutzbedarfsmaßnahmen.

Literaturliste

¹ Pak-Lok Poon et al, Spreadsheet quality assurance: a literature review, Frontiers of Computer Science (2024). DOI: 10.1007/s11704-023-2384-6