Was ist Compliance Management?

Compliance Management bezeichnet alle Prozesse und Richtlinien, mit denen ein Unternehmen sicherstellt, dass es alle relevanten rechtlichen Vorgaben einhält. Dadurch sinkt das Risiko, gegen Gesetze zu verstoßen und eine signifikante Geldstrafe zahlen zu müssen.

Jedes Unternehmen muss sich an bestimmte Regeln und Gesetze halten. Diese besagen unter anderem, dass die Geschäftstätigkeiten eines Unternehmens ethisch und sicher vonstatten gehen müssen. Compliance-Vorschriften bezüglich der Daten- und IT-Infrastruktur eines Unternehmens stellen sicher, dass Unternehmen Kundendaten schützen, indem sie Best Practices befolgen und sich beim Zugriff auf diese Daten durch Angestellte und Dritte an ethische Grundlagen halten.

Lange Zeit war es gang und gäbe, dass Unternehmen lieber eine Geldstrafe zahlten, als ihre eigenen Prozesse zu verändern, weil sie den Arbeitsaufwand als zu hoch erachteten. Die Geldbuße zu zahlen war in den meisten Fällen billiger als die Gesetzesvorgaben zu befolgen, weil das eine aufwändige Veränderung der internen Prozesse bedeutet hätte.

Mittlerweile wurden jedoch zusätzliche Richtlinien und Gesetze erlassen, wodurch sich die Geldstrafen für Sicherheitsvorfälle und Verstöße erhöht haben. Ein Verstoß kann nun eine Geldstrafe in Millionenhöhe nach sich ziehen. Die Datenschutzgrundverordnung (DSGVO), die die EU 2016 verabschiedete und 2018 für die Mitgliedsstaaten verpflichtend machte, belegt Verstöße beispielsweise mit hohen Strafen. Ein einziger Verstoß gegen die DSGVO kann Millionen Euro kosten. So musste British Airways 183 Pfund Strafe zahlen, weil ihre unzureichenden Sicherheitsprotokolle einen erfolgreichen Web-Skimming-Angriff ermöglicht hatten, der 500.000 Kunden betraf.

British Airways ist nur eines von vielen Beispielen für Unternehmen, die für Verstöße mit Geldstrafen belegt wurden. Die Strafen einfach zu zahlen, anstatt die Richtlinien zu befolgen, ist keine gangbare Option mehr. Unternehmen, die kein effektives Compliance Management betreiben, riskieren happige Strafen durch Gesetzgeber auf nationaler und Länderebene. Wichtig: Auch wenn ein internationales Unternehmen seinen Sitz außerhalb der EU hat, kann es von EU-Behörden für Verstöße belangt werden.

Ein Compliance-Management-System stellt sicher, dass digitale Compliance-Risiken, die Angestellte oder Kunden betreffen, erkannt, bewertet und behoben werden können.

Beispiele für gesetzliche Vorgaben, die ein Compliance-Management-System erfordern, sind Datenschutzvorgaben und Patientendaten. Viele Gesetze sehen Maßnahmen zum Schutz der Privatsphäre von Kunden vor, damit diese sich sicher sein können, dass ihre Daten nicht für unethische Zwecke gebraucht werden. Und auch Gesundheitsanbieter müssen Patientendaten sicher aufbewahren. Jeder Zugriff auf Patientendaten muss dokumentiert sein, damit jeder Vorgang im Falle einer Datenverletzung nachvollzogen werden kann.

Beachten Sie folgende Best Practices, wenn Sie in Ihrem Unternehmen ein Compliance-Management-Programm aufbauen wollen:

• Führen Sie Authentifizierungskontrollen ein: Dadurch stellen Sie sicher, dass nur befugte Nutzer auf wichtige Daten zugreifen. Multi-Faktor-Authentifizierung und Privileged Access Management sind dabei hilfreich.
• Dokumentieren Sie alle Zugriffe und Zugriffsversuche: Viele gesetzliche Vorschriften schreiben vor, dass Sie Zugriffe dokumentieren, damit im Falle einer Datenverletzung genau geprüft werden kann, wie es zu dem Vorfall gekommen ist.
• Führen Sie regelmäßige Audits durch: Sie sollten Ihr Compliance Management regelmäßigen Audits unterziehen, damit Sie Risiken und Fehler erkennen, bevor es die Behörden tun. Ohne robuste Audits riskiert ein Unternehmen Geldbußen und weitere noch länger nachwirkende Schäden, die schlechte Cybersicherheit und Datenmanagement häufig nach sich ziehen.
• Schulen Sie Ihre Anwender zum Thema Phishing: Eine große Zahl an Datenverletzungen beginnt mit einer Phishing-E-Mail. Durch regelmäßige Cybersicherheitsschulungen versetzen Sie Ihre Mitarbeiter in die Lage, die erste Abwehr gegen Cyberbedrohungen zu werden. Dieses Verständnis gibt Mitarbeitern die Tools und das Wissen an die Hand, das sie brauchen, um Phishing und Social Engineering nicht zum Opfer zu fallen und Unternehmensdaten nicht in Gefahr zu bringen.
• Legen Sie Richtlinien für den Umgang mit Social Media fest: Social Media ist ein guter Marketing-Kanal, kann aber auch eine Quelle für Phishing- und Social-Engineering-Angriffe sein. Angestellte sollten sich außerdem darüber im Klaren sein, was sie über Unternehmensaccounts teilen dürfen, und was nicht.

Die DSGVO und CCPA erfordern, dass Bürger der EU und Kalifornien auf Anfrage eine Dokumentation der über sie gespeicherten Daten und deren Nutzung sowie eine Auflistung der getroffenen Datenschutzmaßnahmen erhalten. Die DSGVO schreibt Unternehmen des weiteren vor, dass sie die Daten von EU-Kunden auf deren Verlangen hin von ihrer Plattform löschen müssen. Compliance Management stellt sicher, dass interne Prozesse diesen Anforderungen gerecht werden und sowohl lokale als auch internationale Gesetze einhalten.