Quelle: ISACA

RPA und (IT-) Risikomanagement

Artikel erschienen in Swiss IT Magazine 2019/09

Der vorangehende Artikel von Anela Weiss greift das Thema Robotics Process Automation (RPA) auf, das zwar bereits in vielen Unternehmen präsent ist, aber kaum als neue Bedrohung wahrgenommen wird. Da RPA manuelle Eingaben und andere Arbeitsschritte von Menschen automatisiert, kann die Zahl der durch die Menschen verursachten Fehler reduziert und damit zu einer besseren Qualität und erhöhten Effizienz von Prozessschritten beigetragen werden. Die in einzelnen Analysen aufgezeigte Reduktion von Fehlerquellen im zweistelligen Prozentbereich stellt – mindestens auf den ersten Blick betrachtet – eine drastische Verbesserung der Risikolandschaft dar.

Ein Risikospezialist wie z.B. ein CRISC wird jedoch rasch erkennen, dass die Automatisierung von bis anhin manuellen Arbeitsschritten seinerseits neue Risiken schafft: So bedingt die Entwicklung resp. Integration von RPA in bestehende Anwendungslandschaften neue Fachkenntnisse und auch neuartige resp. angepasste Entwicklungs- und Testmethoden. Und werden die Anwendungen nicht mehr von Menschen sondern von Robotern bedient, werden wegen der erhöhten Komplexität im Betrieb aus Prüfersicht die notwendigen Prüfungshandlungen nicht nur aufwändiger sondern auch schwieriger.

Gerade der CRISC (Certified in Risk and Information Systems Control) ist prädestiniert für derart schwierige Fragestellungen. Ein CRISC vereint aufgrund des aktuellen Berufsbildes das Prozesswissen eines umfassend ausgebildeten Risikomanagers über die Identifikation, Bewertung und Behandlung von Risiken einerseits mit dem Fachwissen eines Kontrollspezialisten im Bereich der Informationstechnologie (IT) andererseits, wo spezifische IT-Massnahmen entworfen und implementiert werden müssen.

Überhaupt ist das Berufsbild eines CRISC überaus spannend. Selbstverständlich kennt der CRISC die einschlägigen Standards wie COSO ERM oder ISO 27005/31000. Zudem verfügt er über die notwendigen Skills, die unterschiedlichsten Problemstellungen vernünftig anzugehen – von der Führung eines (IT-) Risikoregisters bis hin zur Sammlung, Validierung und Überwachung von Risiko-Schlüsselindikatoren, die Berichterstattung an relevante Stakeholder, die Durchführung unabhängiger Risikobewertungen sowie die Überwachung von Compliance-Risiken.

Das ISACA Switzerland Chapter bietet eine solide Grundausbildung zum CRISC an. Jeweils ab Februar bis anfangs Juni bereiten sich die Teilnehmer zuerst mit einem strukturierten Selbststudium vor. Im Sommer (Juni/Juli) findet dann der eigentliche Präsenzunterricht in Zürich statt. Mit einem separaten Prüfungstraining im Herbst wird dann die Vorbereitung auf die internationale Zertifikatsprüfung abgeschlossen.

Der Kurs richtet sich an alle Personen, die sich mit unterschiedlichsten Risikomanagementfragen und Frameworks oder mit dem Design, der Implementation, der Überwachung und Wartung von Sicherheitsmassnahmen und anderen Kontrollen beschäftigen – also Risikomanager und Sicherheitsbeauftragte innerhalb und ausserhalb der IT, Compliance-Officer, IKS-Verantwortliche, erfahrene Informatikrevisoren, IT-Anwendungsentwickler oder Projekt-Controller.

Der durch ACTAGIS und ITACS im Auftrag des ISACA Switzerland Chapter durchgeführte Kurs vermittelt und vertieft theoretisches wie praktisches Fachwissen im breiten Feld von Risikomanagement und internen Kontrollen, bereitet aber auch intensiv auf die von ISACA organisierte CRISC-Prüfung vor.