Erfahren Sie mehr über den Smart Governance Manager und seinen Einsatzmöglichkeiten.
Unsere Implementierungspartner begleiten Sie bei der Einführung und Integration in Ihre Organisation.
Direkter Austausch für alle offenen Fragen oder eine Demo-Anfrage.
Was unterscheidet SGM von anderen Compliance-Lösungen?
Die meisten vergleichbaren Systeme sind meist aus der Lösung eines Einzelproblems entstanden und wurden nicht als integriertes System zur Abbildung der Compliance-Anforderungen entwickelt. Viele System kommen aus der KonTraG Risikomanagement-Zeit und bilden bis ins Detail den Risikomanagementprozess ab. Andere Systeme kommen aus dem Asset-Management, Wiki- und Dokumentenlenkungsumfeld oder der Abbildung von Workflows. Bei allen wurde dann zur „Abbildung“ der jeweiligen Manangementsysteme z.B. ISMS einfach ein ISO 27001 Anforderungsset beigefügt, das dann entweder zu Risiken beim RMS, oder an Assets im Assetmanagement, oder an Richtlinien bei Wiki-Tools angehängt wurde. Das hat aber nicht wirklich was mit einem ganzheitlichen oder integrierten Ansatz zu tun. Bei SGM gibt es einen durchgängig roten Faden, der den User von Anfang bis Ende bei der Implementierung und dem späteren Betrieb führt und das von der Defintion des Anwendungsbereichs über die Anforderungserfüllung zur Risikoidentifikation und Behandlung sowie zur Nachweis und Kontrollfunktion.
SGM will nie ein Workflow-Tool oder ein Assetmanagement ersetzen. Bei Compliance ist es zur Reduktion der Komplexität wichtig risikoähnliche Objekte in Clustern abzubilden, was gerade gegen den Ansatz eines Workflow-Tools oder Assetmanagement steht, das den Fokus auf detaillierten Informationen setzt.
SGM gestaltet und zeigt dagegen transparent die Compliance Umsetzung im Unternehmen.
Wenn man SGM in einem kurzen plakativen Satz zusammenfassen müsste, wie würde dieser lauten?
SGM bildet die Compliance-Story, die das Unternehmen/der Konzern entsprechend seiner Zielsetzung erzielen will, fachlich richtig ab.
SGM weist pro Objekt die Compliance-Umsetzung transparent nach. Wieso sollte ich mir diesen Stress antun?
Uns ist bewusst, dass es Ansätze gibt, die standardisierte Richtlinien im Wege von „ersetze Namen durch“ oder etwas moderner durch KI Unterstützung erstellen. Diese Richtlinien werden dann in der Folge auf die Intranetseite des Unternehmens mit dem Hinweis sofortigen Berücksichtigung und Einhaltung gestellt. Dieser Weg ist extrem kostengünstig und schnell umgesetzt. Zudem wird teilweise mit diesem Weg die eine oder andere Zertifizierungsprüfung sogar bestanden, da auf den ersten Blick fachlich etwas geregelt wurde und der Prüfer sich ab und an nicht die Mühe macht, zuschauen, ob die Richtlinien überhaupt etwas mit dem Unternehmen als solches zu tun haben.
In der Praxis verkennt dieser Ansatz, dass
Daher verfolgen wir durch die technische Lösung SGM den Philosophy:
Wo und wie wird SGM gehostet?
SGM ist eine webbasierte SaaS Lösung, die pro Kunden in einer eigenen virtuellen Umgebung betrieben wird. Es gibt keine kundenübergreifend genutzten Komponenten. Jede Kundeumgebung läuft auf einem eigenen virtuellen, dezidierten Server, mit eigenen Webservices und eigner Datenbank. Die virtuellen Server werden bei einem deutschen Rechenzentrumsdienstleister gehostet, der die physische Infrastruktur auch in Deutschland betreibt und die Infrastruktur auch in Deutschland steht. Der Rechenzentrumsdienstleister ist entsprechend zertifiziert.
Wie ist das Berechtigungskonzept in SGM abgebildet?
SGM hat ein detailliertes rollenbasiertes Berechtigungskonzept, das bereits bei Bereitstellung mit Standardrollen, die in der Compliance-Umsetzung benötigt werden, ausgeprägt ist. Den Rollen sind Transaktionen zugeordnet. Nur wenn ein Nutzer die entsprechende Rolle und zusätzlich ihm das entsprechende Organisationsobjekt zugeordnet ist, hat er Zugriff auf die verschiedenen Transaktikonen/Module, aber eben beschränkt auf die für ihn relevanten Objekte. Organisationsobjekte sind Unternehmen, Geschäftsprozesse, Anwendungs- und Infrastrukturcluster.
Ist SGM zertifiziert?
SGM wird in einem zertifizierten Rechenzentrum betrieben, ist selbst aber nicht zertifiziert. Es stellt sich auch die Frage, nach welcher Norm SGM als Lösung zertifiziert sein könnte. Die SGM Methode und der Ansatz haben bereits viele Prüfungen bei unseren Kunden durchlaufen und diese entsprechend unterstützt. Wir lassen SGM regelmäßig von einer renommierten und auf Pen-Tests sowie Read-Team-Assessments spezialisierten Unternehmung prüfen.
Werden Schulungen angeboten für SGM?
SGM vertritt die Auffassung, dass jeder Schritt durch Hinweise selbsterklärend ist. Uns ist aber bewusst, dass Compliance ein sehr komplexes und vielschichtiges Thema ist. Daher wird SGM über Implementierungspartner vertrieben. Über diese erfolgt auch die Schulung. In der Praxis zeigt sich, dass bereits das gemeinsame Durchspielen einzelner Sachverhalte bereits ausreicht, die nächsten Themen selbst weiterzuentwickeln. D.h. eine Schutzbedarfsbewertung, ein paar Anforderungen, Risikobehandlungen, Interne Kontrollen, … mit dem Implementierungspartner gemeinsam bearbeitet, reicht bereits um die Abläufe zu verstehen und selbst durchführen zu können. Aber offen gesagt, hängt der Schulungsbedarf natürlich an den Vorkenntnissen zu den Grundlagen der Compliance-gebiete. Wer vorher die ISO 27001 nicht kennt wir sicherlich mehr Schulungsunterstützung benötigen, aber auch für diesen Kenntnisstand ist SGM vorbereitet.
Welche Normen sind in SGM abgebildet?
Im Grundsatz können alle Compliance-Gebiete abgedeckt werden und darüber hinaus unternehmensinterne Vorgaben.
Die jeweiligen Anforderungsnormen sindim Wesentlichen
Diese Arbeiten haben wir Ihnen für folgende Normen bereits abgenommen:
Welche Branchen setzen SGM ein?
SGM ist auf keine Branche begrenzt, da es komplett individuell einstellbar und nutzbar ist.
Derzeit wird SGM in folgenden Branchen eingesetzt:
Ist SGM in Microsoft 365 integriert?
SGM wird normalerweise als SaaS Lösung über unseren deutschen Rechnenzentrumsdienstleister zur Verfügung gestellt. In wenigen Ausnahmefällen stellten uns Kunden eine virtuelle Linux-Umgebung in der Azure-Cloud zur Verfügung, in der wir SGM dann bereitstellten.
Die Option Single Sign on über z.B. Entra ist derzeit in Einrichtung und wird bis Juni 2026 zur Verfügung stehen.
Von einer Einbindung als „App“ im Mircosoft Tennant sehen wir derzeit ab, da wir uns als eine Compliance Lösung verstehen, die im deutschen Rechtsraum gehostet und betrieben wird und damit den deutschen Compliance-Regeln unterliegt.
Wie wird SGM lizensiert?
Die Entwicklung des Lizenzmodell stellte uns anfangs zwar nicht technisch, aber von unserer Zielsetzung vor eine Herausforderung.
Demnach ergab sich folgendes Lizenzmodell:
Für welche Unternehmensgröße ist SGM ausgelegt?
SGM ist unabhängig von der Unternehmensgröße. SGM wird derzeit bei großen Konzernen, aber auch bei Startups eingesetzt. Der Grund dafür ist im Wesentlichen, dass die durch SGM geführte Unterstützung der Compliance-Umsetzung, sowohl dem arbeitsteilig arbeitenden Großkonzern wie auch dem Einzelkämpfer im Unternehmen, das Compliance Anforderungen durch Kunden, Gesetzgeber oder andere Stakeholder auferlegt bekam, deutliche Effizenz-Gewinne bringt.
SGM ist damit nicht nur skalierbar, sondern wächst, durch das transparente Scoping, die automatisierte und verknüpfte Umsetzungs-Lenkung, die intelligent vorbereiteten Normensets sowie die Abbildung des kompletten Compliance-Prozesses während der Implementierung und im Betrieb, auch kontinuierlich im Konzernverbund oder im wachsenden Unternehmen.
Ist SGM mehrsprachig?
Ja, die Oberfläche und Vorgaben sind mehrsprachig abbildbar. Sprachpakete können eingespielt werden. Deutsch und Englisch ist Standard.
Wir wurden auch bereits gefragt, ob die Anwender die Datenerfassung im Tool parallel mehrsprachig vornehmen können. Das ist derzeit nicht vorgesehen, da die meisten Unternehmen eine einheitliche Konzernsprache haben.
Kann ich mein Assetmanagement mit SGM verbinden?
SGM steuert die Compliance-Umsetzung und den Betrieb über eine Clusterbildung von Anwendungen und verschiedenen Infrastrukturobjekten. Dies geschieht zur Steigerung der Effizienz und auch zur nachvollziehbaren sowie übersichtlichen Abbildung des Anwendungsbereiches. Assets können ebenfalls in SGM abgebildet werden, aber nur in einem für einen überschaubaren Rahmen, soweit eben es zur Compliance-Umsetzung notwendig ist. Ersetzt somit definitiv kein Asset-Management.
Um die Effizienz der Clusterbildung nicht durch eine automatische Verknüpfung der Assets mit SGM zu unterlaufen, gibt es keine direkte Anbindung des Assetmanagements ans SGM. Der fachlich bessere und auch richtige Weg ist, die Clusterbildung, die SGM im Scoping abgebildet hat, im Assetmanagement abzubilden. Unsere Kunden geben meist den Assets im Assetmanagement das zugehörige SGM Cluster mit und haben dadurch eine transparente und fachlich nachvollziehbare Verbindung geschaffen.
Wir verweisen hier auch auf unsere bereits beantwortete Frage zum Unterschied von SGM zu anderen Compliance-Lösungen:
SGM will nie ein Workflow-Tool oder ein Assetmanagement ersetzen. Bei Compliance ist es zur Reduktion der Komplexität wichtig risikoähnliche Objekte in Clustern abzubilden, was gerade gegen den Ansatz eines Workflow-Tools oder Assetmanagement steht, das den Fokus auf detaillierten Informationen setzt.
SGM gestaltet und zeigt dagegen transparent die Compliance Umsetzung im Unternehmen.
Welche Module gibt es bei SGM?
SGM wird mit allen Funktionalitäten ausgeliefert und als SaaS Lösung betrieben. Alle Kunden haben eine komplett eigene Umgebung, aber jedes SGM ist vom Softwarestand und dem Funktionsumfang gleich. Es unterscheiden sich lediglich je nach Größe und Einsatzgebiet beim Kunden die Lizenzkosten.
In SGM sind im Wesentlichen folgende Module enthalten:
Kann ich interne Kontrollen oder Risiken in SGM nur designen oder auch leben?
Ja, mit SGM können sowohl Kontrollen designed und auch revisionssicher bearbeitet und betrieben werden. Das gleiche gilt für Risiken. Es ist sowohl die Abbildung des gesamten Risikomanagements, wie auch die Analyse und Bewertung sowie die Maßnahmendefinition und -überwachung in SGM enthalten.
SGM geht hier noch weiter. Durch SGM sind alle Bausteine eines Compliance-Managements (Konzern-/ Unternehmensstruktur, Anforderungsumsetzung, Risikobeurteilung, Internen Kontrollen, Anforderungen an Dienstleister, Maßnahmenabbildung zur kontinuierlichen Verbesserung, …) transparent miteinander verbunden.
Wie erfolgt die Maßnahmenüberwachung in SGM?
Hier muss man unterscheiden, da das Wort Maßnahme im Compliance-Kontext häufig in zwei Richtungen verstanden werden kann. Beide Richtungen deckt SGM natürlich ab.
Die Maßnahmen, die Vorgaben der verschiedenen Standards darstellen (z.B. die Controls der ISO 27001, oder die Maßnahmen der DORA oder NIS-2), sind in SGM komplett abgebildet und so aufbereitet, dass sie nur beim relevanten Organisationsobjekt abgefragt werden und das auch nur einmal, da die Normen untereinander intelligent verknüpft sind. Es ist in SGM damit komplett nachweisbar und transparent abbildbar, wie der Umsetzungsstand im Konzern oder dem jeweiligen Unternehmen ist. Insofern lassen sich hier die geforderten Umsetzungsmaßnahmen je nach Norm überwachen
Die zweite Sicht auf Maßnahmen, betrifft den Bereich der Risikosteuerung. Sollten Normen nicht erfüllt sein, ergeben sich Gefährdungen und Risiken für das jeweilige Unternehmen. Zur Senkung der Risiken sind Maßnahmen zu definieren, wie einerseits die Norm erfüllt werden kann und/oder welche Aktionen ergriffen werden müssen. Dies Maßnahmen lassen sich in SGM transparent hinsichtlich des Risikominderungspotentials steuern und auch überwachen. Somit ist auch der kontinuierliche Verbesserungsprozess über diese Maßnahmenüberwachung abbildbar.
Wie implementiere ich SGM am besten?
Diese Frage hat zwei Facetten. Die eine ist die Frage zum methodischen Vorgehen und die andere zur Unterstützung bei der Nutzung von SGM
1. Methodisches Vorgehen:
2. Unterstützung bei der Nutzung von SGM
Muss ich vieles konfigurieren, bevor ist mit der Compliance-Umsetzung beginnen kann?
SGM kommt bereits vollständig konfiguriert und ist sofort einsatzbreit. Insofern ist kein umfassendes Customizing notwendig, wenngleich einzelne Parameter wie Schadenshöhen, Risikoklassen an die Konzern-/ Unternehmensbedürfnisse angepasst werden sollten.