Die IT-Teams von Endeavor arbeiten aufgrund des wachsenden Funktionsumfangs mit immer strengeren Audit-Anforderungen.

Die SAP-Installation des Unternehmens wurde ursprünglich Mitte der 1990er Jahre implementiert und hat im Laufe der Zeit zu einem „Schneeballeffekt“ bei Benutzerzugängen geführt. Typische Benutzerwünsche waren etwa: „Bitte den Zugriff von Joe spiegeln“. Erschwerend kam hinzu, dass Nutzer im Laufe der Zeit immer mehr Zugriffsrechte bekamen und auch dann behielten, wenn diese Rechte für ihre Aufgaben nicht mehr notwendig waren.

Das Team führte regelmäßige User Access Reviews (UARs) durch. Das war jedoch weitgehend ein IT-zentrierter Prozess, gestützt auf manuelle Datenextrakte in Excel und E-Mail. Es war ein sehr zeitaufwändiger und schwer zu wiederholender Vorgang, der manuell ausgeführt wurde und deshalb fehleranfällig war. Antworten und Prüfungsergebnisse waren nur schwer nachzuverfolgen und zu konsolidieren. In diesem Prozess waren viele Herausforderungen, die es dem Unternehmen erschwerten alle Beteiligten zum Engagement zu bewegen. Der Schwerpunkt für UARs lag auf einer kleinen Untergruppe von Mitarbeitern, größtenteils in der Finanzabteilung, deren Team üblicherweise aus rund 25 Personen bestand, die den Zugang von rund 2000 Personen überprüften.

Welche Hauptziele hatte Endeavor?

Das Hauptziel von Endeavor war die Einführung einer zentralisierten und einfach reproduzierbaren Methodik für die Durchführung von UARs mit einem klar definierten, stabilen und systembasierten Regelwerk.

Dazu musste Endeavor:

• den manuellen Vorbereitungsaufwand reduzieren
• das Risiko von manuellen Fehlern ausschließen
• die Risiken nach Art und Belang sichtbar und transparent machen
• die Effizienz des gesamten UAR-Prozesses verbessern
• das Engagement und Verantwortung für Risikomanagement im Unternehmen stärken

Das sekundäre Ziel war, die Effizienz, Transparenz und Berichtsfähigkeit in Zugriffsprozessen zu verbessern.