Compliance betrifft in hohem Maße auch die IT
Gerichte gehen von einer "Gesamtverantwortung" des Vorstandes aus - Gerichtsurteile zwingen Manager zur strikteren Einhaltung von Kodizes
Vorstände und Geschäftsführer müssen sich bei Verstößen gegen die IT-Compliance stärker verantworten – Im Extremfall kann die Kündigung drohen
(14.08.07) - Hatten bis dato Verstöße gegen die oft beschriebene und ebenso oft vernachlässigte Compliance für Vorstände und Geschäftsführer kaum ernsthafte Folgen, müssen diese mittlerweile mit rechtlichen Konsequenzen rechnen, die bis zu Kündigung oder Abberufung reichen können. Die Justiz ist den "Tätern" nach langem Zögern auf der Spur, wie ein aktuelles Urteil des Landgerichts München zeigt: Nach Ansicht der Richter, die den zugrundeliegenden Fall zu entscheiden hatten, stellt dabei schon die fehlende Dokumentation eines Risiko-Früherkennungssystems einen schwerwiegenden Rechtsverstoß des Vorstands dar, der die außerordentliche Kündigung rechtfertigt. Im Rahmen solcher Verstöße kommt es nicht einmal auf eine Absicht an - es genügt alleine die objektive Pflichtverletzung.
Es nützt dem Betroffenen auch nichts, sich darauf zu berufen, dass der Sachverhalt nicht in seinen Kompetenz- und Verantwortungsbereich gefallen sei - die Gerichte gehen von einer "Gesamtverantwortung" des Vorstandes aus. Compliance betrifft in hohem Maße auch die IT, weil in modernen Unternehmen viele Prozesse mittlerweile automatisiert und damit häufig nur schwer zu kontrollieren sind und schnell aus dem Ruder laufen.
"Die striktere Verfolgung solcher Pflichtverletzungen sollte für die Unternehmenslenker hierzulande schon Anlass zur Sorge sein", mahnt Eckhard Völcker, selbst Vorstandsvorsitzender bei der Völcker Informatik AG in Berlin. "Die Zeiten, in denen Verstöße gerade gegen die IT-Compliance als Kavaliersdelikt angesehen wurden, sind vorbei." Das Problem müsse nach den alarmierenden Gerichtsurteilen zügig analysiert und die Einhaltung von Gesetzen, Richtlinien sowie freiwilligen Kodizes müsse den ihr zustehenden hohen Priorisierungsgrad erhalten.
Als äußerst wirksam hat sich dabei die Einführung eines Identity-Management-Systems erwiesen. Eckhard Völcker: "IT-Compliance setzt voraus, dass jede einzelne Nutzerberechtigung eindeutig einer bestimmten Person im Unternehmen zuzuordnen ist." Mit den entsprechenden Systemen sei es heute möglich, gesetzliche und unternehmensinterne Vorgaben automatisch in Richtlinien für die Vergabe von Benutzer- und Zugriffsrechten zu übersetzen.
Damit könne auch sichergestellt werden, dass jeder Mitarbeiter nur die IT-Berechtigungen erhält, die für seine spezielle Position im Unternehmen zugelassen sind. Im Rahmen der präventiven Kontrolle würden außerdem beantragte und automatisch zugewiesene Berechtigungen auf ihre Zulässigkeit hin überprüft.
"Ein weiterer Eckpfeiler bei der Verwaltung von Benutzerrechten und der Einhaltung von Richtlinien, die die IT-Compliance betreffen, ist Transparenz", sagt Eckhard Völcker weiter. "Es muss auf einen Blick erkennbar sein, wer in einem IT-System wann welche Handlungen vorgenommen hat und ob er dazu berechtigt war." Auf diese Weise könne für jeden Mitarbeiter - auch für Vorstände und Geschäftsführer - festgestellt werden, ob die betroffene Person sich an die Vorschriften gehalten hat. Der Missbrauch von Benutzerrechten und der Verstoß gegen die IT-Compliance eines Unternehmens kann damit "mit an Sicherheit grenzender Wahrscheinlichkeit ausgeschlossen werden." (Völcker Informatik: ra)
Lesen Sie auch:
Pflichtverletzungen im Bereich Compliance
Wer nicht dokumentiert, haftet