Robotic Process Automation (RPA) – GRC Aspekte

Risiken in Chancen umwandeln: Risikominderung durch robotergestützte Prozessautomatisierung

Umgebungen mit robotergestützter Prozessautomatisierung (Robotic Process Automation, RPA) unterscheiden sich deutlich von herkömmlichen Umgebungen, die sich auf manuelle Prozesse und standardmäßig automatisierte Anwendungskontrollen stützen. Die robotergestützte Prozessautomatisierung bietet enormes Potenzial für die Automatisierung von regelbasierten Geschäftsprozessen, die momentan eher repetitiv und manuell ausgeführt werden.   

Es gibt verschiedene RPA-Plattformen wie SAP Intelligent Robotic Processes Automation, Automation Anywhere, UIPath usw., aber das integrierte Risikomanagement folgt immer der gleichen Logik. ICS-Fachkräfte sollten Technologien wie RPA und KI immer einen Schritt voraus sein und ein angemessenes Risikomanagement sicherstellen, um die geltenden Gesetze und Compliance-Vorschriften einzuhalten.  

Mit den Lösungsansätzen von Riscomp können Sie Governance und Transparenz erreichen. Dies gilt insbesondere für die Nutzung von Robotern und KI in SAP-Systemen. Hierbei sind jedoch folgende Risikobereiche zu berücksichtigen: 

RPA-Governance 

  • RPA-Kontrollen und -Framework: Ein RPA-Kontroll-Framework, das die für die Geschäftsanforderungen relevanten Standards sowie behördliche und gesetzliche Anforderungen umreißt, sollte eingeführt und an die relevanten Stakeholder, einschließlich der Entwickler, kommuniziert werden. Beispiele für Kontrollen sind Namenskonventionen, Authentifizierungen, Funktionstrennung und Skripting-Parameter.  

RPA-Entwicklung und -Bereitstellung 

  • Separierung der Bot-Umgebungen: Die Produktiv- und Nicht-Produktivumgebungen sollten getrennt werden, um unbefugten Zugriff oder Änderungen zu verhindern. Die Entwicklungsumgebung (z. B. die UiPath-Orchestrator-Entwicklungsumgebung) und Bots sollten nicht direkt an das Produktivsystem angeschlossen sein. 
  • Änderungsmanagement und Versionskontrollen: Es sollten verschiedene Richtlinien und Verfahren erarbeitet und kommuniziert werden. So wird sichergestellt, dass die Entwickler sich beim Änderungsmanagement an die Unternehmensrichtlinien halten. Die Verfahren sollten zudem alle Tools umfassen, die für die Versionsverwaltung der entwickelten Pakete benötigt werden (z. B. GitHub). 

RPA-Cybersicherheitsrisiken: 

  • Verschlüsselung: Verwenden Sie branchenführende Verschlüsselungsstandards, um die Vertraulichkeit von Compliance-Anforderungen zu gewährleisten. 
  • Härtung der Infrastruktur: Die gesamte Infrastruktur der RPA-Plattform sollte gehärtet werden. Zudem muss sie regelmäßig einer SOC-1- und SOC-2-Überprüfung unterzogen werden. 
  • Auswirkung auf bereits etablierte ITGC: Die in der Regel bei SAP-Kunden etablierten IT General Controls nach einem Best-Practice-Ansatz umfassen beispielsweise die Überwachung kritischer Systemparameter. RPA hat hier einen erheblichen Einfluss, so dass die Definitionen der Kontrollen und CCM-Regellogik angepasst werden müssen.  

Sie möchten mehr erfahren? Kontaktieren Sie uns für weitere Informationen. Wir helfen Ihnen dabei, umfassende Kontrollen zu entwickeln, Ihr Framework zu überprüfen und bei Bedarf dessen Reifegrad zu bewerten.