FAQ · Umsetzung in der Praxis
Wer pflegt das Prozessmodell nach dem Projekt?
Freigegebene Antwort von Qvestcon mit Fundstellen.
Antwort
Die Pflege liegt bei einem benannten Fachverantwortlichen im Haus, etwa beim COO oder beim Leiter Prozessmanagement. Der Berater liefert das Modell.
Art. 6 DORA sieht vor, den IKT-Risikomanagementrahmen mindestens einmal jährlich sowie nach schwerwiegenden IKT-Vorfällen und nach Feststellungen der Aufsicht oder aus Prüfungen zu dokumentieren und zu überprüfen. Diese Anlässe eignen sich als feste Änderungsereignisse für das Prozessmodell, weil sich aus jedem von ihnen Anpassungen an Abläufen und Zuständigkeiten ergeben können.
Aus unserer Erfahrung bei Kunden aus Versicherung und Bank bleibt ein Modell aktuell, wenn Änderungsweg und Rückfallstand schriftlich feststehen. Markus Junge empfiehlt, die Pflege an die Jahresüberprüfung des Rahmens zu koppeln.
In der Praxis
Der COO benennt je Prozessbereich einen Fachverantwortlichen und legt einen Pflegeplan mit Änderungsereignissen, Zuständigen, Datenprüfung, Freigabe und Rückfallweg fest.
- Jedes Änderungsereignis (Jahresüberprüfung, schwerwiegender IKT-Vorfall, Feststellung der Aufsicht oder der Revision) hat einen Zuständigen und eine Frist.
- Eine Datenprüfung vor der Freigabe zeigt, dass Prozessschritte, Rollen und Systemzuordnung vollständig sind.
- Der letzte freigegebene Stand ist abrufbar, damit eine fehlerhafte Änderung zurückgenommen werden kann.
Nachweis: Als Nachweis dient der Pflegeplan mit Verantwortlichen, Änderungsweg und Datum der letzten Jahresüberprüfung.