Peter Konrad-Diplom-Betriebswirt (FH)

Analyse und Optimierung diverser Prozesse im Bereich der Informationssicherheit, dem Business Continuity Management und dem Auslagerungsmanagement

• Aufnahme und Analyse der aktuellen Abläufe, Aufzeigen von Optimierungspotentialen im Bereich des Beauftragtenwesen (ISB, BCB, Auslagerungsbeauftragter)
• Erstellung von Schulungsmaterial (Präsentation) zur Sensibilisierung der dezentralen Dienstleistersteuerer
• Auswertung der Datenqualität im GRC-Tool, um weitere Verbesserung (im Bereich Informationssicherheit und Auslagerungsmanagement) aufzuzeigen
• Qualitätssicherung des RMR-Berichts gemäß DORA
• Unterstützung bei der Durchführung von ISM-Audits
• Unterstützung bei der Optimierung der BIA / RIA

Bearbeitung diverser Fragestellungen | Aufbereitung diverser GAP-Analysen

• Vermittlung eines Überblicks über alle DORA-relevanter Themenstellungen
• Aufbereitung einer Übersicht DORA-relevanter IKT-Risiken
• Einschätzung der Aufgaben und Rolle des Dienstleisters bei schwerwiegenden Vorfällen (u.a. Abgrenzungskriterien, bereitzustellende Informationen im Rahmen des Erst-, Folgemeldung und Abschlussberichts)
• Abgleich der Berichtsinhalte im Rahmen der Berichterstattung, die ein Dienstleistung im Zuge der DORA zu erstatten hat

Beratung bei der Implementierung der DORA-Anforderungen

• Begleitung und Unterstützung der Fachbereiche bei der Durchführung der GAP-Analyse zur Identifizierung bestehender Abweichungen gegenüber der DORA-Verordnung (inklusive der Anforderungen gemäß RTS / ITS)
• Analyse und Beratung der zuständigen Verantwortlichen bei der Umsetzung u.a. der folgenden Kurzleitfäden des DSGV:
• Einstufung der Kategorie „kritische oder wichtige Funktion“ abgeleitet von der BIA
• starke Authentisierung
• Risikomanagementrahmen (RMR)
• Qualitätssicherung von angepassten / erstellten Strategien, Leit- und Richtlinien (2nd LoD), um die angemessene Umsetzung der DORA-Anforderungen sicherzustellen
• Qualitätssicherung von Konzepten (1st LoD), beispielsweise Kryptografie-Konzept, zwecks Sicherstellung einer angemessenen Berücksichtigung der DORA-Anforderungen
• Begleitung der durchzuführenden Maßnahmen im Rahmen der folgenden vier Säulen der DORA-Verordnung:
• IKT-Risikomanagement
• Meldung IKT-bezogener Vorfälle
• Testen der operationellen Resilienz
• IKT-Drittparteienrisiko

Beratung des Top-Managements bei Spezialthemen, wie bevorstehende 44er-Prüfung bzw. bei regulatorischen Anforderungen der Funktionstrennung

• Qualitätssichernde Überprüfung von OHB-Regelungen, um Unplausibilitäten bzw. mindernde Qualität vorzeitig zu identifizieren
• Testweise Durchführung von Interviews (Coaching) der Verantwortlichen, um auf unsachgemäßes bzw. sub-optimales Verhalten hinzuweisen
• Beurteilung und Bewertung der OHB-Dokumente hinsichtlich einer sachgerechten Umsetzung der regulatorischen Anforderungen gemäß AT9 MaRisk
• Begleitung bei den vorbereitenden und durchzuführenden Maßnahmen, um eine technische Abbildung einer Überprüfung der Funktionstrennung in der Anwendung bit-MaRisk sicherzustellen

Optimierung und Durchführung der Prüfungsmethodik (Interne Audits und Dienstleister-Assessments) innerhalb der Informationssicherheit

• Analyse und Bewertung der bestehenden Prüfungsmethodik
• Optimierung der Prüfungsvorgehensweise auf Basis eines belastbaren, risikoorientierten Ansatzes unter Einbezug der ISO/IEC 27001 – Controls
• Entwicklung eines Prüfungswerkzeugs (sog. Prüfungsbegleiter) zur Prüfungsunterstützung in allen Phasen (Vorbereitung/Definition von Prüfungsschwerpunkten, Durchführung, Berichterstattung und Nachschau)
• Entwicklung eines risikoorientierten Planungsansatzes für den 5-Jahresplan und den jährlichen Prüfungsplan zur Durchführung von Dienstleister-Assessments anhand eines Scoringsystems
• Aufbau eines Self-Assessment-Fragebogens als Methodenansatz für die Durchführung von Dienstleister-Assessments
• Durchführung verschiedener Dienstleister-Assessments unter Einbezug von Vor-Ort-Prüfungshandlungen (Rechenzentrumsprüfungen), Dokumentprüfungen und Remote-Interviews

Unterstützung bei der Jahresabschlussprüfung einer Kapitalanlagegesellschaft:

Planung, Durchführung und Dokumentation von Prüfungshandlungen mit den Schwerpunkten:

• Auslagerungsmanagement und Dienstleistersteuerung gemäß AT9 MaRisk
• Business Continuity Management
• IT-Strategie und IT-Governance
• IT-Betrieb
• Funktionstrennungsprinzip und toxische Berechtigungen im Rahmen des Berechtigungsmanagements

Durchführung von Qualitätssicherungsmaßnahmen der Prüfungshandlungen und -ergebnisse der Junior-Prüfer

Durchführung von IT-Prüfungen mit folgenden Schwerpunkten:

Integrierte IT-/Business-Prüfungen auf Basis von COSO II / COBIT 5:

• Überprüfung des Berechtigungsmanagement auf Ebene verschiedener Anwendungen, Datenbanken (u.a. Oracle, MS SQL) und Betriebssysteme (u.a. Linux, Unix und MS Windows)
• Überprüfung des Change Managements auf Ebene verschiedener Anwendungen, Datenbanken (u.a. Oracle, MS SQL) und Betriebssysteme (u.a. Linux, Unix und MS Windows)
• Überprüfung weiterer ITIL basierter Services, wie beispielsweise Problem- und Incident Management, Service Level Management, Capacity Management, Availability Management, IT Service Continuity Management, Information Security Management, Compliance Management, Supplier Management
• Überprüfung des ERP-Systems SAP ERP 6.0 und des Handelssystems SUMMIT mit Schwerpunkten in
• Notfalluser-Management
• Benutzermanagement
• Autorisierungsmanagement
• Changemanagement
• Konfigurationsmanagement
• Systemintegrität auf Ebene SAP/SUMMIT, DB und BS
• Überprüfung weiterer Prüfungsschwerpunkte nach IT General Controls (ITGC)
• Validierung der Prüfungsergebnisse der ISMS-Prüfung nach ISO27.00x
• Vermittlung von Prüfungsmethodik innerhalb des IT-Auditteams

Eigenständige IT-Prüfungen auf Basis von COSO II / COBIT 5:

• Prüfung des implementierten Informationssicherheitssystems nach ISO 27.00x und gemäß den Anforderungen der BAIT mit folgenden Schwerpunkten:
• Prüfung der Umsetzung und Wirksamkeit der Bestandteile des Informationsrisikomanagements
• Beurteilung des definierten und umgesetzten Informationsverbunds und dessen Bestandteile bzw. Abhängigkeiten
• Prüfung der Erhebung des Schutzbedarfs im Hinblick der relevanten Schutzziele
• Überprüfung des Aufbaus und der Eignung der Sollmaßnahmen (SOLL-/SOLL- bzw. SOLL-IST-Abgleich)
• Validierung der regelmäßig durchzuführenden Risikoanalysen
• Prüfung der Umsetzung und Wirksamkeit der Bestandteile des Informationssicherheitsmanagements
• Beurteilung des Designs, der Vollständigkeit, der Nachvollziehbarkeit und Wirksamkeit der für das ISMS relevante Regelwerk bzw. der schriftlich fixierten Ordnung (Leitlinien, Richtlinien und Arbeitsanweisungen)
• Validierung der für das ISMS relevanten Aufbauorganisation
• Prüfung des Designs und der Wirksamkeit des ISMS-internen Kontrollsystems

Leitung der Internen Revision und Optimierung der Revisionsprozesse:

Führung des Revisionsteams und verantwortlich für die folgenden Aufgaben:

• Sicherstellung der qualitativen Angemessenheit und zeitgerechte Umsetzung der Prüfungen gemäß Prüfungsplan 2019
• Führung und Steuerung des Revisionsteams bestehend aus drei internen und mehreren externen Mitarbeitern (> 10) u.a. einer Big4
• Regelmäßige Berichterstattung gegenüber dem Management, der Unternehmensgruppe und den Kunden
• Erstellung des risikoorientierten Prüfungsplans für das Jahr 2020
• Revisionskonforme Beratung der Fachbereiche und der Geschäftsführung

Beratungs- und Implementierungsaufgaben im Rahmen der qualitativen Optimierung der Revisionsprozesse und Sicherstellung der Funktionsfähigkeit der Revision:

• Überarbeitung des Revisionshandbuchs unter Berücksichtigung der Anforderungen gemäß Revisionsstandards Nr. 3 (DIIR) und den Grundsätzen ordnungsmäßiger Prüfung von Internen Revisionssystemen (gemäß IDW PS 983)
• Ableitung und Umsetzung von Optimierungsmaßnahmen gemäß Prüfungsbericht des Wirtschaftsprüfers nach IDW PS 983 (Grundsätze ordnungsmäßiger Prüfung von Internen Revisionssystemen)
• Durchführung von Workshops innerhalb des Revisionsteams zur Vermittlung der Anforderungen an die Funktionsfähigkeit einer Internen Revision gemäß DIIR Revisionsstandard Nr. 3 (Prüfung von Internen Revisionssystemen (Quality Assessments))

Durchführung von IT-Prüfungen mit folgenden Schwerpunkten:

Datenschutzbeauftragter im Rahmen der DSGVO-Einführung:

• Benennung des Datenschutzbeauftragten gegenüber der Aufsichtsbehörde
• Aufbau- und Ablauforganisation im Rahmen der Datenschutzfunktion (Datenschutz-Managementsystem)
• Organisatorisches Rahmenwerk der Datenschutzfunktion
• Erfüllung der ‚Betroffenenrechte‘ durch den Verantwortlichen
• Implementierung der Datenschutz-Folgenabschätzung
• Aufbau und Inhalt des Verzeichnisses für Verarbeitungstätigkeiten
• Sachgerechte Implementierung eines Risikomanagements im Rahmen der technischen und organisatorischen Maßnahmen, der Meldepflicht bei Datenschutzverstößen und im Rahmen der Datenschutz-Folgenabschätzung
• Vollständigkeit und Sachgerechtigkeit der Auftragsverarbeitungsverträge (AVVs)
• Durchführung von Schulungen im Rahmen der DSGVO
• Umsetzung der Informationspflicht bei der Ersterhebung personenbezogener Daten
• Vollständigkeit der Geheimhaltungsvereinbarungen bei Mitarbeitern und Dienstleistern

Rechenzentrumsprüfung im Rahmen eines Housing-RZ-Dienstleisters:

• Sachgerechtigkeit des Dienstleistungsvertrags und Überwachung der Einhaltung der Service Level Agreements
• Gebäude- und Grundstückssicherheit des Dienstleisters
• Zutrittsschutz und Überwachung der Zutritte
• Kommunikations- und Eskalationsprozesse zwischen Auftraggeber und Auftragnehmer
• Ausfallsicherheit der Klima- und Stromversorgung (Redundanzversorgung / USV)
• Notstromversorgung und weitere Maßnahmen im Rahmen des Business Continuity Managements (Dieselgeneratoren)
• Brandfrüherkennung und Rauchmeldeanlagen
• Durchführung regelmäßiger Wartungsaktivitäten
• Betriebs- und Sicherheitsleitstelle (Vertraulichkeit des eingesetzten Personals)
• Trassenführung

Durchführung von IT-Prüfungshandlungen im Rahmen der folgenden Fachprüfungen der Internen Revision

• Verwahrstellen, Fondsprozess, Marketing & Vertrieb
• Validierung der Sachgerechtigkeit der Schutzbedarfsinformation in der CMDB prüfungsrelevanter Anwendungssysteme
• Prüfung der Mindestdokumentation der prüfungsrelevanten Anwendungssysteme auf Vollständigkeit und inhaltliche Plausibilität
• Durchführung von Prüfungsgesprächen mit den technischen und fachlich zuständigen Ansprechpartnern
• Erstellung der für den Revisionsbericht notwendigen Arbeitspapiere
• Bewertung und Kategorisierung der Prüfungsergebnisse nach der COSO-Methodik

externer Datenschutzbeauftragter

• Vorbereitende Analyse der derzeitigen Einhaltung der Datenschutzvorgaben zwecks Implementierung eines Datenschutz-Managementsystems (DSMS), um das Unternehmen für die Einhaltung der EU-Datenschutz-Grundverordnung (EU-DS-GVO) vorzubereiten
• Bearbeitung / Beratung von datenschutzrelevanten Anfragen aus Projekt- und Fachbereichen
• Anforderungen an eine Datenschutzerklärung
• Vorbereitung zwecks Anonymisierung / Pseudonymisierung von Datenmaterial
• Datenschutzanforderungen an die Nutzung von Kundenterminals
• Anforderungen bezüglich des kontrollierten Zugangs von Mitarbeiter-E-Mail-Accounts und des persönlichen LW-Zugriffs
• Beratung & Unterstützung im Zusammenhang mit einer bevorstehenden Auftragsdatenverarbeitung
• Prüfung der Arbeitspakete im Rahmen des EU-DSGVO-Projekts
• Anforderungen an den Einsatz von Webcams
• Einsatz von ‚Profiling‘ und automatisierten Einzelfallentscheidungen
• Prüfung und Kontrolle der Auftragsdatenverarbeitung
• Trainieren und Einarbeiten des zukünftigen internen Datenschutzbeauftragten
• Enge Zusammenarbeit mit der juristischen Abteilung
• Einhaltung der Datenschutzregelungen

Koordination und Durchführung von IT-Prüfungen

• Maßgebliche Mitwirkung bei der Erstellung der Prüfungsplanung (insbesondere IT-Teil)
• Durchführung von IT-Prüfungen gemäß Prüfungsplanung (Joint Audits: BCM, Providermanagement)
• Prüfungsbegleitende Prüfung des IT-Großprojekts
• Koordination von Prüfungen der Aufsicht und Konzernrevision
• Fachliche Verantwortung für die Durchführung von Prüfungen im IT-Revisionsteam
• Administrative Unterstützung der Revisionsleitung

Implementierungsprojekt eines Provider-Auswahlprozesses für Cloud-Computing-Provider

• Konzeptionelle Prozessentwicklung eines Vorgehens bei der Auswahl von Cloud-Services und deren Providern
• Erstellung von Service-Scorecards je Provider
• Analyse der relevanten schriftlich fixierten Ordnung
• Anpassung der schriftlich fixierten Ordnung und Erweiterung um für Cloud Computing relevante Aspekte
• Entwicklung von XLS-basierten Tools zur Unterstützung des Auswahlprozesses
• Erstellung von Managementpräsentationen
• Regelmäßige Darstellung der Zwischen-/Endergebnisse

Konzeptionelle Erstellung einer Balanced Security Scorecard und eines Provider-Managementsystems im Rahmen eines ISMS-Projekts gemäß ISO 27.00x

• Analyse der Aufbau- und Prozessstruktur des ISMS
• Konzeptionelle Entwicklung einer ISMS-Organisation und Governance in Anlehnung an die konzernweiten Sicherheitsvorgaben
• Anpassung der sicherheitsrelevanten schriftlich fixierten Ordnung

Implementierungsprojekt eines ISMS gemäß ISO 27.00x

• Bewertung von ISMS-relevanten Auditfeststellungen nach einem Risikosystem
• Durchführung von Interviews auf Basis der IS-Feststellungen
• Entwicklung von Maßnahmen zur Behebung bzw. Reduktion bestehender Risiken
• Konzeptionelle Entwicklung und Erstellung von Sicherheitsrichtlinien und Standards

Aufbau und Führung der Gesellschaft

• Aufbau der Organisationsstrukturen der Gesellschaft
• Aufbau / Ausgestaltung der Beratungsservices (IT-Audit & Security, Outsourcing-Services, Sachverständigentätigkeit, Business Administration, Governance/Compliance)
• Anbahnung und Abschluss von strategischen Kooperationen mit Geschäftspartnern zur Ergänzung des Serviceportfolios und zur Steigerung des Kundenpotenzials und Umsatzes
• Durchführung von Akquise-Tätigkeiten (sowohl Kaltakquise als auch Bestandsakquise)
• Datenschutzbeauftragter für die gesamte Unternehmensgruppe
• Abwicklung von Prüfungsaufträgen nach IDW PS 330 (IT-Systemprüfung), IDW PS 951 (Prüfung des IKS beim Dienstleistungsunternehmen), IDW PS 850 (projektbegleitende Prüfung) und IDW PS 880 (Prüfung von Softwareprodukten)

Koordination und Durchführung von IT-Prüfungen

• Verantwortung des gesamtheitlichen Revisionsprozesses zur Sicherstellung der Funktionsfähigkeit der IT-Revision nach den MaRisk der BaFin
• Erstellung von Prüfungsplänen nach den Standards der IIA (Institute for Internal Audit)
• Organisation und Abstimmung der Prüfungen
• Verantwortung für die Durchführung der Prüfungen nach den Standards der IIA und DIIR (Deutsches Institut für Interne Revision)
• Durchführung von IT-Systemprüfungen nach IDW PS 330
• Qualitätssicherung der abgestimmten Aktivitäten
• Implementierung und Anpassung des „risk and control based audit approaches“
• Projektunterstützung bei der Einbindung einer neuen Geschäftseinheit (Frankreich) in den Unternehmenskonzern nach dem Unternehmensstandard
• Projektverantwortung (Deutschland) für das Projekt „SAP R/3 Migration und Releasewechsel auf ECC 6.0“ im Rahmen der konzernweiten Konsolidierung der heterogenen SAP R/3 Systemlandschaft

Koordination und Durchführung von IT-Prüfungen

• Implementierung eines risikobasierten Prüfungsansatzes beim Aufbau einer IT-Revision als Teilbereich der Gesamtrevision
• Prüfung des Risikomanagementsystems der Gesamtbank mit dem Schwerpunkt der IT-Risikosteuerung
• Beratende Unterstützung bei der Implementierung eines Risikomanagementprozesses bei operativen IT-Risiken
• Verantwortung: Aufbau der IT-Revision als Teilbereich der Gesamtrevision

Koordination und Durchführung von IT-Prüfungen

• Implementierung eines risikobasierten Prüfungsansatzes beim Aufbau einer IT-Revision als Teilbereich der Gesamtrevision
• Prüfung des Risikomanagementsystems der Gesamtbank mit dem Schwerpunkt der IT-Risikosteuerung
• Beratende Unterstützung bei der Implementierung eines Risikomanagementprozesses bei operativen IT-Risiken
• Verantwortung: Aufbau der IT-Revision als Teilbereich der Gesamtrevision