Seminar DORA Intensiv: Governance, Risiken und Drittparteien

Beschreibung

Das Intensivseminar verbindet die wesentlichen Arbeitsschritte der organisatorischen DORA-Umsetzung an einem einheitlichen Fall. Eine Geschäftsleistung wird über ihre IT-Abhängigkeiten, Risiken, Dienstleisterverträge und Kontrollen verfolgt. Daraus entstehen aufeinander abgestimmte Arbeitsstände für Governance, Risikosteuerung, Informationsregister und interne Prüfung.

Gebündelt werden die Fachseminare zu Grundlagen, Geschäftsleitung, IKT-Risikomanagement, Drittparteienrisiken, Informationsregister, IKT-Dienstleistern und Audit. Die Verdichtung nutzt gemeinsame Daten und aufeinander aufbauende Übungen. Der Schwerpunkt liegt auf einem repräsentativen Unternehmensfall; zusätzliche Fallvarianten und ausführliche Spezialübungen werden in den jeweiligen Fachseminaren bearbeitet. Zusammen mit dem technischen Intensivseminar werden sämtliche Fachgebiete der Seminarreihe abgedeckt.

Lernziele

• Eine zusammenhängende Governance- und Kontrollstruktur für den Fallbetrieb entwickeln.
• Risiken und Dienstleisterentscheidungen in konsistenten Arbeitsunterlagen dokumentieren.
• Vertrag, Informationsregister und Kontrollnachweise fachlich miteinander abgleichen.
• Managemententscheidungen und eine interne Fallprüfung anhand belastbarer Informationen vorbereiten.

Seminarinhalte

Inhaltsübersicht: Grundlagen und Leitungsverantwortung; IKT-Risiken und Kontrollrahmen; Drittparteien und Dienstleisterperspektive; Informationsregister und Datenqualität; Audit und Managementberichterstattung.

Grundlagen und Leitungsverantwortung

• Anwendungsbereich, Proportionalität und geeigneten Risikomanagementrahmen bestimmen.
• Aufgaben des Leitungsorgans, Kontrollfunktionen und operative Verantwortlichkeiten zuordnen.
• Eine erste Maßnahmenübersicht und eine Managemententscheidung für den Fallbetrieb erarbeiten.

IKT-Risiken und Kontrollrahmen

• Geschäftsfunktion, Inventar, Informationswerte und externe Abhängigkeiten verknüpfen.
• Repräsentative Risikoszenarien bewerten und passende Kontrollen dokumentieren.
• Risikoakzeptanz, Eskalation und Überprüfung in den Steuerungsprozess einbauen.

Drittparteien und Dienstleisterperspektive

• Vorprüfung, Kritikalität, Konzentration und vertragliche Anforderungen zusammenführen.
• Unterbeauftragung, laufende Überwachung und Exit-Vorbereitung anhand des Falls bearbeiten.
• Vom Dienstleister benötigte Registerdaten und Nachweise mit dessen Leistungszusagen abgleichen.

Informationsregister und Datenqualität

• Verträge, Einheiten, Funktionen und Anbieter des gemeinsamen Falls konsistent abbilden.
• Rahmenverträge und ausgewählte Dienstleistungsketten mit stabilen Referenzen erfassen.
• Validierungsfehler korrigieren und einen freigegebenen Registerstand vorbereiten.

Audit und Managementberichterstattung

• Kontrollen und Nachweise mit risikoorientierten Stichproben überprüfen.
• Widersprüche zwischen Risikoakte, Vertrag und Register als Feststellungen bearbeiten.
• Maßnahmen, Restentscheidungen und Berichte in einem gemeinsamen Review abstimmen.

Praxisworkshop

1. Den Fallbetrieb abgrenzen und eine Rollen- sowie Maßnahmenübersicht erstellen.
2. Eine kritische Geschäftsleistung inventarisieren und drei Risikoszenarien bewerten.
3. Die Dienstleisterakte um Vertragsanforderungen, Nachweise und Exit-Aufgaben ergänzen.
4. Ein zugehöriges Musterregister erstellen und mit einem Korrekturlauf bereinigen.
5. Eine ausgewählte Kontrollkette von der Anforderung bis zum Beleg prüfen.
6. Die zusammenhängenden Unterlagen in einer simulierten Management- und Prüfungsbesprechung vertreten.