Compliance-Berater in Deutschland

• Konzeption und Moderation eines NIS2-Vorbereitungsworkshops für die RAS Reinhardt Maschinenbau GmbH und deren IT-Dienstleister Catuno GmbH, in dem gemeinsam mit Geschäftsführung und IT-Leitung der Status quo aufgenommen, eine erste GAP-Analyse durchgeführt und Handlungsfelder auf Basis von ISO 27001 priorisiert wurden.
• Aufbau eines ISO-27001-basierten regulatorischen Rahmenwerks (ISMS) zur NIS2-Compliance mit strukturierter Ist-/Soll-GAP-Analyse, gezielter Steigerung des Sicherheits-Reifegrads und Vorbereitung der Organisation auf NIS2-Auditfähigkeit.

• Beratung von Unternehmen in den Bereichen Energiemanagement, Umweltschutz und Arbeitssicherheit – von der Gap-Analyse bis zur Umsetzung.
• Unterstützung bei der Einführung und Auditierung von ISO-Managementsystemen (ISO 50001 / 14001 / 45001) sowie bei der Einhaltung gesetzlicher Anforderungen.

• Erstellung einer vollständigen zweisprachigen (DE/EN) Sicherheits- und Notfalldokumentation: Business Continuity Plan / Disaster Recovery Plan, Incident Response Plan v2.0 mit vier fallspezifischen Playbooks (PICERL), Zugriffskontrollrichtlinie, Vulnerability Management Policy, Business Resilience Programme, Risk Governance Plan
• Konsolidierung zu einem integrierten Notfallhandbuch (12 Kapitel) mit Sofort-Checklisten für sechs Notfallszenarien, priorisierter Maßnahmentabelle und formaler Freigabestruktur
• Aufarbeitung eines Penetrationstest-Berichts (Greenbone) mit vollständiger Remediation aller Findings und formaler Risikoakzeptanz eines Restrisikos mit dokumentierter kompensierender Kontrolle
• Prüfung und Dokumentation der NIS2- und HinSchG-Anwendbarkeit einschließlich rechtlicher Begründung der Nicht-Betroffenheit

• Gestaltung von Prozessen zur Umsetzung regulatorischer Anforderungen an die IT (VAIT, BAIT, DORA, MaGo) sowie deren Etablierung in der IT-Organisation
• Überwachung der Durchführung dieser Prozesse, der Qualitätssicherung und Anpassung an neue Anforderungen
• Betreuung und Steuerung der Jahresabschlussprüfung hinsichtlich regulatorischer Anforderungen an die IT (PwC)
• ITK-Governance
• Software-Lebenszyklusmanagement
• Dokumentation und Steuerung des IDV-Entwicklungsprozesses
• Prozessunterstützung und Richtlinienerstellung beim Aufbau des Testmanagements hinsichtlich DORA und VAIT
• Richtlinienerstellung für IAM-Prozesse
• Werkzeuge/Applikationen: ServiceNow, Confluence, Jira, M365, Loop, Connect, Omada

• Aktives Netzwerk von Freiberuflern und Selbständigen aus den Bereichen Interim Management, Fracional Leadership, Beratung und Coaching.
• Interimistische Abwicklung von IT-Projekten
• Unterstützung bei der Entwicklung und Realisierung von Geschäftsstrategien
• Change-Management
• Optimierung von Geschäftsprozessen

• Leitung der gruppenweiten, internationalen und funktionsübergreifenden IT-Governance-&-IAM-Abteilung in der zentralen IT-Division eines großen deutsch-französischen Privatbankkonzerns. Disziplinarische Führung von rund 30 Mitarbeitenden an fünf Standorten (Frankfurt, Paris, Tunis, Saarbrücken, Düsseldorf). Vorsitzender in IT-Komitees und zentrale Rolle in der direkten Kommunikation mit der Geschäftsführung, dem Aufsichtsrat, externen Stakeholdern und Aufsichtsbehörden.
• Definition und Implementierung eines modernen IT-Strategieprozesses sowie der zugehörigen IT-Governance-Strukturen für die IT-Abteilung mit über 600 Mitarbeitenden (bestätigt durch die deutsche Bundesanstalt für Finanzdienstleistungsaufsicht und die ACPR) und erfolgreichem Ablauf.
• Aufbau eines zukunftsorientierten Prozessrahmens für IT und der notwendigen Governance-Strukturen (Process Squads) zur kontinuierlichen Verbesserung der IT-Prozesse im Hinblick auf neue regulatorische Anforderungen (einschließlich DORA, EU AI Act usw.).
• Einführung strenger Prozesse zum Abbau eines historischen Rückstands an Prüfungsfeststellungen (> 100 IT-Feststellungen, 40 überfällige Feststellungen in 2022) von internen und externen Prüfern (WP, ACPR, BaFin). Erfolgreiche Reduzierung der überfälligen Feststellungen auf 0 Ende 2025.
• Unterstützung von mehr als 20 IT-Prüfungen pro Jahr und Aufbau von Prozessen zur regulatorischen Überwachung. Einführung von ServiceNow zur Revolutionierung der Prozesse für regulatorische Änderungen und IT-Compliance mit erweiterten KI-Funktionen.
• Neuausrichtung der IT-Kontrollprozesse in Verbindung mit der neu gegründeten ICT-Risiko-Funktion nach DORA und dem Drei-Linien-Modell mit der TopEase GRC-Lösung.
• Reduzierung der Anwendungslandschaft durch systematische Analyse der Funktionen gemeinsam mit Anwendungs- und Fachverantwortlichen, Identifikation von Doppelungen und Umsetzung einer One-Tool-Strategie im gesamten Konzern. Erfolgreiche Reduzierung eines Drittels der Anwendungen in der CMDB.
• Onboarding aller Konzernanwendungen in die konzernweite IAM-Lösung von One Identity sowie Betrieb und Weiterentwicklung der Lösung in Verbindung mit Segregation of Duties (SoD), rollenbasierter Zugriffskontrolle (RBAC) usw.

• Inhalte auf verschiedenen Plattformen entwickelt und verwaltet, dabei Ton, Struktur und Stil an die Erwartungen der Zielgruppe und an redaktionelle Standards angepasst
• Gründliche Recherchen durchgeführt, um Genauigkeit, Relevanz und Übereinstimmung der Inhalte mit den Zielen des Kunden und fachlichen Anforderungen sicherzustellen
• Kundenmanuskripte und -entwürfe überarbeitet und verfeinert, um Klarheit, Erzählfluss, Kohärenz und Leserbindung zu verbessern
• Mehrere parallel laufende Content-Projekte verwaltet, Aufgaben priorisiert und enge Fristen eingehalten, dabei stets hohe Qualitätsstandards bewahrt
• Lektoratsunterstützung für verschiedene Publikationen ohne Nennung geleistet, um polierte, konsistente und druckfertige Manuskripte zu gewährleisten

Leitung des DORA-basierten Programms für operative Resilienz bei Jefferies durch Stärkung der ICT-Risikogovernance, des Kontroll-Designs und der regulatorischen Bereitschaft in zentralen Technologie- und Auslagerungsbereichen. Zusammenarbeit mit Führungskräften, um regulatorische Vorgaben in pragmatische Governance-, Reporting- und Prüfprozesse für ein globales Investmentbanking-Umfeld zu übersetzen.

• Entwickelte das Enterprise Register of Information (DORA Art. 28.3) zur Einhaltung regulatorischer Anforderungen.
• Definierte und implementierte ICT-Risikobereitschaft und Toleranzwerte im Einklang mit dem Global Operational Risk Framework und stärkte so die Entscheidungsfindung und Governance der Risikoakzeptanz.
• Steigerte die Prüfungsbereitschaft, indem über 50 IT- und Informationssicherheitsrichtlinien überprüft und neu formuliert wurden, was Klarheit, Verantwortlichkeiten und Kontrollausrichtung verbesserte.
• Beaufsichtigte das Programm zum Testen der operativen Resilienz (inklusive Penetrationstests) und verfolgte die Beseitigung von Schwachstellen bis zum Abschluss, wodurch die Kontrollsicherheit gestärkt und offene Befunde reduziert wurden.
• Brachte über 10 konzerninterne Vereinbarungen in Einklang mit den DORA-Regelstandards.
• Verbesserung der Entscheidungsfindung auf Führungsebene durch ein unternehmensweites ICT Risk Dashboard mit KPIs/KRIs.

Durchführung einer GAP-Analyse zur Bewertung bestehender Sicherheitsmaßnahmen → Identifikation kritischer Schwachstellen

Entwicklung eines Maßnahmenkatalogs unter Berücksichtigung von Risiko und Wirtschaftlichkeit

Einführung eines IT-Reifegradmodells nach BSI-Vorgaben

Beratung der Geschäftsleitung zu Compliance, Governance und Sicherheitsstrategie

Aufbau interner Prozesse zur nachhaltigen Sicherheitsorganisation

• Entwurf und Umsetzung des Konzeptes zur Bewertung von physischen Klimarisiken, Abbildung von Risiken gemäß LkSG
• Wirksame Kommunikation

• Einführung umfassender NIS-2-Compliance-Programme durch detaillierte Gap-Analysen gegenüber ISO 27001, Siemens-Richtlinien und -Kontrollen
• Entwicklung messbarer Erfolgskriterien für nachhaltige Compliance-Strukturen
• Analyse komplexer Lieferketten für systematische Bewertung von Drittanbieterrisiken

• Beratung zur Aufwandabschätzung VDA ISA / TISAX Zertifizierung
• Durchführung eines 2-tägigen Workshops zuzüglich Vor- und Nachbereitungen
• Skills: TISAX 5.1, ISO 27001:2022, Audit, Informationssicherheit, Beratung, Moderation, Präsentation

• Überprüfung der Baseline-Compliance anhand der MAS-Audit-Ergebnisse
• Erstellung eines technischen Architekturkonzepts für 30 Technologien zur Entwicklung von Hardening-Standardartefakten
• Identifizierung und Umsetzung von Automatisierungsmöglichkeiten für gegebene Technologien auf Basis von CIS
• Erstellung der Standard-Baseline-Konfiguration basierend auf internen Sicherheitsrichtlinien
• Verantwortlich für die Erstellung von Architekturartefakten für die Cloud Native Application Protection Platform (CNAPP) auf Basis der Azure-Cloud-Plattform
• Verantwortlich für RFQ und RFP für verschiedene CNAPP-Lösungen (Qualys Total Cloud, CrowdStrike, Azure Security Center)
• Unterstützung der Compliance-Prüfung und -Validierung mittels automatisierter Skripte für eine Stichprobe von IT-Geräten und Instanzen
• Verantwortlich für den gesamten Lifecycle des Schwachstellenmanagements mit Nexpose, Behebung, Reporting und Integration der Ergebnisse in Splunk, HPSM und Tableau
• Unterstützung bei Audits für MAS

• Implementierung von Richtlinien-Überwachungssystemen, Migrationsprojekten sowie Analyse und Umsetzung vertraglicher und regulatorischer Investmentrichtlinien.

• Migration von Fonds von MIG21 zu SimCorp Dimension, einschließlich Design, Test und Implementierung von Templates in FundDesigner und SimCorp.

• Nutzung des KI-gestützten Dakota-Programms in FundDesigner zur Analyse von Dokumenten und Umsetzung kundenspezifischer Änderungen.

• Aktive Zusammenarbeit mit funktionsübergreifenden, internationalen Teams zur Unterstützung laufender Projekte und Initiativen.

• Entwerfen, Testen und Verfeinern von KI-Prompts basierend auf Kundenanforderungen, um Genauigkeit und Konsistenz der Ausgaben zu regulatorischen und Investmentrichtlinien zu optimieren.

• Analyse von vom Kunden bereitgestellten Prompts und Quelldokumenten, Übersetzung komplexer Anforderungen in effektive Promptstrukturen und wiederverwendbare Vorlagen.

• Arbeit mit mehreren großen Sprachmodellen, die auf AWS gehostet werden, Bewertung des Modellverhaltens und der Outputqualität für Compliance-bezogene Anwendungsfälle.

• Koordination mit internationalen Teams zur Unterstützung grenzüberschreitender Investment-Compliance-Initiativen.