Aktuelles
Datum:
Dieser Artikel wurde verfasst von
Partnerin, IT & Controls Assurance
CISA (issued by ISACA)
Senior Consultant
Audit & Assurance, IT & Controls Assurance
Senior Consultant
Audit & Assurance, IT & Controls Assurance
Unternehmen lagern zunehmend IT- und Non-IT-Services aus, um Effizienzgewinne zu erzielen und auf spezialisiertes Fachwissen zuzugreifen. Dabei bleibt wichtig: Outsourcing verlagert zwar die Dienstleistung, nicht jedoch die Verantwortung für die damit verbundenen Risiken. IT-Assurance-Professionals unterstützen bei der Identifikation, Bewertung und Überwachung dieser Risiken – mit dem Ziel, Vertrauen und Compliance sicherzustellen.
Mit der steigenden Menge an Daten und Transaktionen wächst die Nutzung von Cloud-Service-Providern, Rechenzentren sowie ausgelagerten Funktionen wie Buchhaltung, HR oder IT-Betrieb. Parallel steigen Cyberangriffe und Datenpannen – was den Bedarf an wirksamen Sicherheitsmaßnahmen erhöht. Besonders in regulierten Branchen (z. B. Finanzwesen, Gesundheitswesen, IT) liegt der Fokus auf der Einhaltung relevanter Regularien wie:
Vor der Auswahl eines Service-Providers sollten Unternehmen eine Risiko-Selbsteinschätzung durchführen. Dazu gehören:
Im Rahmen der Vertragsprüfung mit Dienstleistern sind insbesondere folgende Aspekte zu beachten:
Zur Absicherung greifen Auditorinnen und Auditoren auf verschiedene Standards und Berichte zurück:
Viele Provider setzen selbst Unterauftragnehmer ein. Auditorinnen und Auditoren müssen prüfen, ob diese in die Assurance-Berichte einbezogen sind („inclusive approach“) oder ob ergänzende Nachweise wie Unterauftragnehmer-SOC-Reports erforderlich sind.
Fazit – Shared Responsibility Model
Outsourcing folgt einem Shared-Responsibility-Modell: Die operative Verantwortung wird geteilt, die endgültige Verantwortung bleibt jedoch beim Unternehmen.
Die Verlässlichkeit von Assurance hängt ab von Frequenz und Unabhängigkeit:
- Eine jährliche Selbsteinschätzung bietet weniger Sicherheit
- Drittanbieter-Berichte (Type 2, mit Wirksamkeitstests) erhöhen die Aussagekraft
- Kontinuierliches Monitoring liefert die höchste Assurance
Im Rahmen unserer IT & Controls Assurance-Services unterstützen wir Unternehmen gezielt bei der Umsetzung und Prüfung der Anforderungen aus der Datenschutz-Grundverordnung (GDPR). Unser Angebot umfasst:
Durch die Kombination von Prüfung, prüfungsnaher Beratung und regulatorischem Fachwissen helfen wir Unternehmen, ihre Outsourcing-Strategien datenschutzkonform zu gestalten, Risiken zu minimieren und das Vertrauen von Kundinnen und Kunden sowie Geschäftspartnern zu stärken.