Compliance as a Service (CaaS)
CaaS-Angebote (Compliance as a Service) aus der Cloud werden häufig von Unternehmen genutzt, die in stark regulierten Branchen agieren. Exemplarisch seien hier das Gesundheitswesen oder die Finanzbranche genannt. Das Ziel von Compliance as a Service ist es, die Herausforderung und somit die Belastung für Unternehmen zu reduzieren, den jeweiligen Compliance-Anforderungen gerecht zu werden. Die Aufgaben des Compliance-Managements werden so an einen Dritten ausgelagert, der über die erforderlichen Ressourcen verfügt, um die gesetzlichen Anforderungen kostengünstiger umzusetzen.
In der Regel bieten CaaS-Anbieter den Kundenunternehmen Zugang zu Software und Supportmaterialien, die so konzipiert sind, dass sie den jeweiligen spezifischen Vorschriften entsprechen. Je nach Geschäftsfeld und Standort des Unternehmens können sich die Compliance-Anforderungen höchst unterschiedlich gestalten. Beispielsweise wie folgt:
- Im Gesundheitswesen verlangt beispielsweise die US-Vorschrift HIPAA von Netzwerkadministratoren, logische Grenzen zwischen geschützten und ungeschützten Workflows zu setzen.
- Im Finanzbereich erfordert der Sarbanes-Oxley Act (SOX) spezifische Verschlüsselungsebenen für verschiedene Dateitypen.
- Im Einzelhandel ist es erforderlich, dass Personen und Programme, die Zugriff auf Karteninhaberdaten haben, hierfür eine bestimmte geschäftliche Rechtfertigung haben,
- Die Datenschutzvorschriften der EU verlangen, dass die Daten von europäischen Kunden besonderen Schutzmaßnahmen unterliegen.
Typischerweise umfassen CaaS-Angebote die Bewertung der aktuellen GRC-Strategien (Governance, Risk and Compliance) eines Unternehmens. So wird der CCO (Chief Compliance Officer) des Unternehmens bei der Erstellung und Verwaltung von Richtlinien unterstützt. Dies umfasst sowohl Best Practices für die interne Umgebung als auch für die Cloud. Damit die CaaS-Dienstleistung wirklich effektiv ist, muss eine hohe Transparenz gegeben sein. Die Kundenunternehmen sollten in der Lage sein, den Dienst einfach zu überwachen und nachzuvollziehen, dass die Daten in Übereinstimmung mit den gesetzlichen Bestimmungen und Unternehmensrichtlinien verarbeitet werden.
Compliance-Herausforderungen
CaaS ist ein Wachstumsmarkt in Bewegung. Für Fachkräfte und Fachabteilungen kann es durchaus eine Herausforderung sein, aus den SLA (Service Level Agreements) des Cloud-Anbieters zu ermitteln und zu verstehen, was tatsächlich angeboten wird. Anbieter versuchen Vertrauen aufzubauen, indem sie sich für die von ihnen unterstützen Vorschriften zertifizieren.
Vorteile von Compliance as a Service
Anbieter von Compliance-Diensten sind für die Wartung und Aktualisierung ihrer Cloud-Angebote verantwortlich. Bei Änderungen von Vorschriften ist der Anbieter verantwortlich, die Dienstleistungen entsprechend dem SLA des Kunden anzupassen. Allein dieser Umstand verdeutlicht, dass ein CaaS-Angebot größeren Kundenunternehmen erhebliche Einsparungen ermöglichen kann, indem es den Verwaltungsaufwand erheblich reduziert.
Nachteile von Compliance as a Service
Trotz der Vorteile können CaaS-Angebote natürlich auch Nachteile mit sich bringen. Letztendlich teilen sich der CaaS-Anbieter und das Kundenunternehmen das Risiko. Erfüllt ein Unternehmen die Compliance-Vorschriften nicht, kann es zu rechtlichen und finanziellen Sanktionen kommen. Kommt es zu einer Geldstrafe aufgrund etwas, dass der CaaS-Anbieter getan oder eben nicht getan hat, wird das Kundenunternehmen mit der Strafe belegt und nicht der Cloud-Anbieter. Die Regelung zwischen CaaS-Anbieter und Kunden kann dann komplex sein.
