{"id":36197,"date":"2024-04-16T01:39:12","date_gmt":"2024-04-16T08:39:12","guid":{"rendered":"https:\/\/pathlock.com\/?p=36197"},"modified":"2026-03-05T09:14:35","modified_gmt":"2026-03-05T14:14:35","slug":"9-best-practices-fuer-eine-erfolgreiche-umsetzung-der-funktionstrennung-sod","status":"publish","type":"post","link":"https:\/\/pathlock.com\/de\/9-best-practices-fuer-eine-erfolgreiche-umsetzung-der-funktionstrennung-sod\/","title":{"rendered":"9 Best Practices f\u00fcr eine erfolgreiche Umsetzung der Funktionstrennung (SoD)"},"content":{"rendered":"\n

Die Implementierung der Segregation of Duties<\/a> (SoD) ist f\u00fcr viele Unternehmen nach wie vor eine herausfordernde und langwierige Aufgabe. H\u00e4ufig werden externe Berater damit beauftragt, die jedoch selten mit den Prozessen im Unternehmen vertraut sind. Auch wenn es keine allgemein g\u00fcltigen Regeln gibt, so existieren doch eine Reihe guter Praktiken, die dazu beitragen, den Prozess effizienter zu gestalten.<\/p>\n\n\n\n

1. Einteilung des SoD-Projektes in Phasen<\/strong><\/h2>\n\n\n\n

Ein unternehmensweites SoD-Projekt involviert typischerweise eine Vielzahl von Stakeholdern und ist ein komplexes Unterfangen. Insbesondere gro\u00dfe Unternehmen, deren Workflows \u00fcber mehrere Anwendungen verteilt sind, schrecken davor zur\u00fcck.<\/p>\n\n\n\n

Um die Komplexit\u00e4t in den Griff zu bekommen und die Erfolgschancen zu erh\u00f6hen, empfiehlt es sich, das Projekt zeitlich in mehrere Phasen aufzuteilen. Dieser Ansatz f\u00f6rdert nicht nur die Unterst\u00fctzung durch das Management, sondern verringert auch den Aufwand f\u00fcr die mitwirkenden Personen, macht die Initiative \u00fcberschaubarer und erh\u00f6ht die Wahrscheinlichkeit, dass Zeitplan und Budget eingehalten werden.<\/p>\n\n\n\n

2. Einsatz eines bew\u00e4hrten Regelwerks<\/strong><\/h2>\n\n\n\n

Die Einf\u00fchrung von SoD muss jedoch nicht immer langwierig sein, in vielen F\u00e4llen kann sie innerhalb von ein bis zwei Monaten erfolgen. In den meisten Situationen ist es ausreichend, ein erprobtes Regelwerk mit einem wirksamen Warnsystem zu implementieren. Es sollte Benutzerrechte effektiv durchsetzen, notwendige Korrekturen vornehmen oder Kontrollmechanismen enthalten, um nicht korrigierbare Verst\u00f6\u00dfe zu behandeln. Eine solche Strategie h\u00e4lt in der Regel auch Audits stand und bildet eine solide Grundlage f\u00fcr die sp\u00e4tere GRC<\/a>-Umsetzung.<\/p>\n\n\n\n

3. Verfahrensweisen der Pr\u00fcfer anwenden<\/strong><\/h2>\n\n\n\n

Es gibt erprobte Regelwerke, die \u00fcber Jahre entwickelt und st\u00e4ndig verbessert wurden. Fragen Sie einen Experten z.B. Ihren Wirtschaftspr\u00fcfer nach geeigneten L\u00f6sungen, validieren Sie sie mit dem Ziel, schnelle Erfolge zu erzielen und die Unterst\u00fctzung des Managements zu gewinnen.<\/p>\n\n\n\n

4. Regelwerk auf Relevanz \u00fcberpr\u00fcfen<\/strong><\/h2>\n\n\n\n

Wenn Sie bereits ein Regelwerk im Einsatz haben, \u00fcberpr\u00fcfen Sie dessen Umfang und Relevanz. Ber\u00fccksichtigen Sie dabei auch neue Entwicklungen und technologische Fortschritte in den Anwendungen und passen ihre Regelwerke entsprechend an. Beurteilen Sie die Notwendigkeit jeder Rolle und jedes T-Codes – einschlie\u00dflich der aktuell g\u00fcltigen Berechtigungen – in Bezug auf die tats\u00e4chliche Nutzung. Wenn sie keinem Benutzer zugewiesen sind oder von anderen Benutzern verwendet werden, sollten sie entfernt werden. Auf diese Weise bleibt das Regelwerk \u00fcbersichtlich<\/strong> <\/a>und effektiv an Ihre betrieblichen Gegebenheiten angepasst.<\/p>\n\n\n\n

5. Ungenutzte Berechtigungen l\u00f6schen<\/strong><\/h2>\n\n\n\n

Wenn die Relevanzpr\u00fcfung ergeben hat, dass ein Mitarbeiter eine Berechtigung l\u00e4nger als ein Jahr nicht genutzt hat, k\u00f6nnen Sie diese aus seinem Profil l\u00f6schen. Das klingt zun\u00e4chst einfach, erfordert aber technischen Aufwand und Expertise. Denn wenn Sie einem Benutzer eine Berechtigung entziehen, m\u00fcssen Sie die bestehenden Rollen \u00e4ndern, was manuell nicht so leicht zu bew\u00e4ltigen ist. Um den Prozess zu rationalisieren, empfehlen wir, zuerst die konflikttr\u00e4chtigen Berechtigungen zu entfernen und erst in einem zweiten Schritt die sensiblen.<\/p>\n\n\n\n

6. Enge Kooperation mit Auditoren<\/strong><\/h2>\n\n\n\n

Sehen Sie Ihre internen und externen Auditoren als Verb\u00fcndete mit dem gleichen Ziel eines guten Sicherheitskonzepts. Arbeiten Sie eng mit ihnen zusammen und sprechen Sie sie an, wenn Ihnen etwas im Regelwerk unangemessen erscheint. Sie sind oft bereit, eine Alternative zu akzeptieren, wenn diese das gleiche Sicherheitsniveau aufrechterh\u00e4lt.<\/p>\n\n\n\n

7. F\u00f6rderung eines offenen Dialoges<\/strong><\/h2>\n\n\n\n

Ermutigen Sie Ihr Management, nachzufragen, wenn es Hilfe beim Verst\u00e4ndnis und bei der Kl\u00e4rung bestimmter SoD-Regeln ben\u00f6tigt. Wenn eine Rolle als unn\u00f6tig erachtet wird, k\u00f6nnen die Auditoren versucht sein, sie zu streichen. Mit der richtigen Argumentation hinter einer bestimmten Regel oder Anforderung sind Manager besser in der Lage, \u00c4nderungen und Verbesserungen voranzutreiben. Ein gut informiertes Managementteam kann so zu einem starken F\u00fcrsprecher f\u00fcr das Projekt werden und zum Gesamterfolg beitragen.<\/p>\n\n\n\n

8. Mit Statistikdaten der Nutzung arbeiten<\/strong><\/h2>\n\n\n\n

Wie zuvor beschrieben, ist der einfachste Weg, SoD-Konflikte zu l\u00f6sen, die spezifischen Berechtigungen zu reduzieren. Damit Ihre Mitarbeiter nicht das Gef\u00fchl bekommen, dass ihnen Rechte entzogen werden sollen, legen Sie ihnen die statistischen Nutzerdaten vor. Unwiderlegbare Beweise f\u00fcr die Nichtnutzung helfen Ihnen, Widerst\u00e4nde zu \u00fcberwinden und auch Vorgesetzte zu \u00fcberzeugen.<\/p>\n\n\n\n

9. Unterst\u00fctzung durch externe Expertise<\/strong><\/h2>\n\n\n\n

Unabh\u00e4ngig davon, wie gut Sie sich vorbereitet haben oder wie kompetent Ihr internes Auditteam ist, nehmen Sie zus\u00e4tzliche Unterst\u00fctzung durch erfahrene Experten in Anspruch. Seien Sie bei der Auswahl vorsichtig und recherchieren Sie gr\u00fcndlich, bevor Sie ein Beratungsunternehmen beauftragen. Es sollte \u00fcber die gleichen Fachkenntnisse verf\u00fcgen wie die Pr\u00fcfungsgesellschaft. So stellen Sie sicher, dass beide Parteien die gleiche Terminologie verwenden und die gleichen \u00dcberzeugungen und Standards teilen. Diese Investition kann erhebliche Kosten einsparen und hilft, zuk\u00fcnftige Betrugsf\u00e4lle zu vermeiden.<\/p>\n\n\n\n

SoD-Implementierung mit Pathlock<\/strong><\/h2>\n\n\n\n

Der Start eines SoD-Projekts mag auf den ersten Blick wie eine Herkulesaufgabe erscheinen, aber mit den richtigen Prozessen und Tools ist es einfacher als Sie denken.<\/p>\n\n\n\n

Mit den L\u00f6sungen der Pathlock Suite<\/strong><\/a> bieten wir Ihnen ein applikations\u00fcbergreifendes SoD<\/a> <\/strong>mit Dashboard-basierter Darstellung des aktuellen Risikostatus. Die automatisierte SoD- und Risikoanalyse sowie das automatisierte Reporting f\u00fcr alle g\u00e4ngigen Business-Applikationen – inklusive ERP-, HCM- und CRM-Plattformen – helfen Ihnen, die gesetzlichen Anforderungen einfach und zeitsparend zu erf\u00fcllen.<\/p>\n\n\n\n

Unsere vorkonfigurierten Regelwerke sind sofort einsatzbereit und leicht anpassbar. Sie ersparen sich den Einsatz von Tabellen, Testmustern und externen Beratern und reduzieren damit nicht nur Risiken, sondern auch Ressourcen.<\/p>\n\n\n\n

Wenn Sie mehr \u00fcber Access Analyses & SoD<\/strong><\/a> erfahren m\u00f6chten, kontaktieren Sie uns<\/strong><\/a> gerne.<\/p>\n\n\n\n

<\/p>\n\n\n\n

Weitere Infos zum Thema:<\/strong><\/p>\n\n\n\n

\n
Mehr Sicherheit bei der Neukonzeption von SAP-Berechtigungen<\/a><\/blockquote>