9. Compliance-Portfolio-Management

Unternehmen müssen heute agil und flexibel auf neue Herausforderungen des Ecosystems reagieren. Zu diesen Herausforderungen zählen u. a. gesetzliche oder regulatorische Vorgaben, die es umzusetzen gilt. Aus Compliance-Sicht müssen nicht nur diese externen Vorgaben eingehalten werden, sondern es müssen häufig auch interne Architekturvorgaben, z. B. bezogen auf die strategische Ausrichtung des Unternehmens in Form von Prinzipien, erfüllt werden. Vorgaben zur IT-Sicherheit durch bewährte Standards, wie ISO 27000 oder dem BSI-Grundschutz-Kompendium, sind konkrete Beispiele, welchen Unternehmen aktuell eine immer größere Rolle beimessen. Im Rahmen des Compliance-Portfolio-Managements hat sich in der Praxis folgende Vorgehensweise bewährt: relevante (externe und interne) Architekturvorgaben identifizieren, daraus unternehmensspezifische Compliance-Anforderungen ableiten und Geltungsbereich dieser bzgl. der aktuellen Unternehmensarchitektur festlegen, Erfüllungsgrad der Compliance-Anforderungen auf Ebene der einzelnen Unternehmens-Assets bewerten sowie Maßnahmen zur Erhöhung der Compliance identifizieren. Diese Vorgehensschritte werden in diesem Kapitel gemeinsam mit den beteiligten Rollen sowie den relevanten Ergebnistypen detailliert erläutert. Das aus den vorhergehenden Kapiteln eingeführte Beispiel wird fortgesetzt. Abschließend wird auf Abhängigkeiten zum Informationssicherheitsmanagement (ISMS), Datenschutz, Betriebskontinuitäts-Management sowie Anforderungsportfolio-Management eingegangen.