3 Risiko-Framework für
den Einsatz von EDI
Im Kapitel 3 wird das Risiko-Framework für den Einsatz von EDI vorgestellt. Es umfasst in der Grobgliederung die drei Teile
· Umfeld des Unternehmens (Kapitel 3.1),
· Organisatorische Aspekte (Kapitel 3.2) sowie
· Informations- und Kommunikationssysteme (Kapitel 3.3).
Die Dreiteilung des Frameworks begründet sich in drei verschiedenen Sichtweisen auf ein Un-ter-nehmen, das EDI einführt: die erste Sichtweise betrachtet das Unternehmen als abgeschlos-senen Einheit in seinem Umfeld. Dazu gehören beispielsweise die Beziehungen zu anderen Unternehmen oder das institutionelle Umfeld (bspw. Kapitel 3.1.3, Rechtliches Umfeld). Der zweite Teil des Frameworks blickt in die Unternehmung hinein und untersucht Risiken, die sich durch verschiedene Aspekte der organisatorischen (Neu-) Gestaltung bei der Einführung von EDI ergeben. Die beiden ersten Teile befassen sich dabei schwer-gewichtig mit Aktionsrisiken (sh. Kapitel 2.4, Risiko-Management und Sicherheit). In einem dritten Teil schliesslich werden Risiken aus der technischen Sicht analysiert. Diese umfassen insbesondere Bedingungsrisiken rund um die für den Betrieb von EDI notwendigen technischen Informatik- und Kommunikati-ons-Infrastruktur.
In den einzelnen Kapitel werden jeweils zuerst die Risikopotentiale
aufgeführt; direkt anschliessend folgen zu jedem Kapitel die Ausführungen
zu den möglichen Massnahmen zur Bekämpfung der Risiken. Jeweils
am Ende eines jeden Kapitels fasst eine Tabelle die Zuordnung von Risiken
und Massnahmen zusammen. Um den Zusammenhang der in den Tabellen nur stichwortartig
aufgeführten Risiken bzw. Massnahmen mit deren detaillierten Be-schreibung
im vorangehenden Text zu verdeutlichen, wird jeweils das erste entsprechende
Auftauchen eines Risikos bzw. einer Massnahme durch Unterstreichung des
Begriffes verdeut-licht.
Zu den verwendeten Tabellen
Die Tabellen charakterisieren mit den Symbolen (+), +, ++, (–), –, –
– die Zusammenhänge zwischen den aufgeführten Risikopotentialen
(Zeilen) und den Massnahmen (Spalten), die diese Risiken reduzieren bzw.
vermindern können. Fig. 3.0 zeigt den grundsätzlichen Aufbau
der Tabellen.
Tabellen können beim Autor bezogen werden.
Fig. 3.0: Beispiel zu den verwendeten Risiko-Massnahmen Tabellen.
Die Bedeutung der verwendeten Symbole lautet wie folgt:
+ Die Massnahme kann eingesetzt werden, um das in der Zeile beschriebene Risikopo-tential zu vermindern oder zu eliminieren.
++ Die Massnahme ist speziell für das in der Zeile beschriebene Risikopotential geschaffen oder weisst eine sehr gute Eignung zu dessen Elimination oder zu dessen starker Minderung auf.
(+) Die Massnahme ist nur in einem bestimmten (im Text beschriebenen) Zusammenhang sinnvoll und trägt deshalb nur beschränkt oder teilweise zur Verminderung des das in der Zeile beschriebenen Risikopotentials bei.
– Beim Einsatz dieser Massnahme wird das in der Zeile beschriebene Risiko erhöht; die Massnahme wirkt also kontraproduktiv und erhöht das Risiko. Es bleibt abzuklären, ob die Massnahme trotzdem (zur Verminderung anderer Risiken) eingesetzt werden soll und ob allen-falls entsprechende Massnahmen gegen die neu entstehenden Risiken zu treffen sind.
– – Beim Einsatz dieser Massnahme wird das das in der Zeile beschriebene Risiko ausser-ordentlich stark erhöht. Entweder müssen geeignete Massnahmen gegen das neu entstandene Risikopotential gefunden werden oder die Massnahme darf nicht eingesetzt werden.
(–) Die Massnahme kann in einem bestimmten (im Text beschriebenen) Zusammenhang
kontraproduktiv wirken und das Risiko erhöhen.
In den Fällen, in denen eine Massnahmen zwar ein Risiko vermindert
oder eliminiert, jedoch ein anderes Risiko erhöht, wird darauf im
Text hingewiesen. In den Tabellen werden diese Beziehungen nicht aufgeführt.
3.1 Umfeld eines Unternehmens
3.1.1 Kooperation und Abhängigkeit
Im Kapitel 2.3 (EDI und Kooperation) wurde eine Übersicht über
die wichtigsten Kooperationsformen, die durch den Einsatz von EDI entstehen
können, gegeben. In diesem Kapitel werden nun mögliche Risikopotentiale
aufgezeigt und entsprechende Gegen-massnahmen aufgeführt. Grundsätzlich
geht es dabei um Fragen der Stellung, Abhängig-keit und der Dominanz
von einzelnen EDI-Partnern. Risiken, die aus der Kooperation von ver-schiedenen
Unternehmen entstehen sind generell typische Aktionsrisiken. Das Risiko
besteht für ein Unternehmen grundsätzlich darin, technische Entwicklungen
(z.B. EDI) nicht mit-zu-ma-ch-en und so entweder gegenüber Konkurrenz-Unternehmen
ineffizient zu arbeiten oder als Handels-partner nicht mehr akzeptiert
zu werden. Der letztere Fall wird speziell im Ab-schnitt "EDI als Knock-out
Faktor" untersucht.
Abhängigkeit und Fremdbestimmung
Unter dem Begriff "Abhängigkeit" soll in diesem Zusammenhang die
organisatorische und un-ternehmerische Fremdbestimmung verstanden werden,
die sich in einer starken Einfluss-nahme auf unternehmerische und organisatorische
Abläufe ausdrückt. Das heisst, ein Unter-nehmen beeinflusst seinen
EDI-Partner so stark, dass dieser in seinem unter-nehmer-ischen Handeln
nicht mehr frei ist. In der Praxis ist dabei meist an einen dominierenden
Pro-duzenten und an viele beherrschte Zulieferer zu denken. Beispiele dieser
Art finden sich aus-geprägt beispielsweise bei grossen Automobilproduzenten
mit sehr vielen Komponenten-Liefer-anten [Kili94, S. 318]. Diese "informationstechnischen
Fremd-steuerung" öffnet Möglich-keiten zum nutzenmaximierenden,
opportunistischen Verhalten auf Kosten der Partner. Auf diese Proble-matik
wird im folgenden Kapitel 3.1.2 (Cross-Vulnerabilities) ein-gegangen.
Die Fremdbestimmung bzw. Abhängigkeit "begründet sich in
der engen zwischen-betrieblichen technischen und wirtschaftlichen Vernetzung"
[Neub94, S. 117]. Für das abhängige Unternehmen entsteht daraus
das Risiko, in eine ineffiziente, wirtschaftlich sub-optimale Situa-tion
zu geraten. "Die rechtliche Selbständigkeit wird faktisch ausgehöhlt.
Unter-nehmer-ische Entscheidungen unterliegen weniger eigenen unternehmerischen
Ziel-setzungen als vielmehr den Entscheidungskalkülen der herrschenden
Unternehmen. Diese eklatanten Beschränkungen der selbständigen
Unternehmensführung sind für das abhängige Unter-nehmen
letztlich ineffizient".
Die Ineffizienzen aufgrund einer starken Abhängigkeitsrelation
können so gross werden, dass dem beherrschten Unternehmen organisatorische
Umstrukturierungs-Massnahmen, "stra-tegische Neuorientierung oder Neudefinition
der Unternehmensaufgabe" aufoktroyiert werden können, was einer "externen
Fremdorganisation" entspricht [Kili94, S. 89]. Im Extrem--fall wird eine
faktische Konzernierung der abhängigen EDI-Partner erreicht.
Versuch-en beherrschte Unternehmen ihrerseits, die Probleme und Suboptimalitäten
zum eige-nen Vorteil auf die Zulieferer weiterzuverlagern, "entwickeln
sich starke Abhängigkeits- und Beher-rschungs-verhältnisse auf
jeder Stufe der Wertkette. Faktisch entsteht eine Hierarchie, die über
die Unternehmensgrenzen hinausgeht und sämtliche Stufen der Wert-kette
einschliesst. Durch EDI elektronisch unterstützt bilden sich womöglich
'elektronische Hierarchien' heraus" [Kili94 S. 94 und S. 327].
Solch enge Kooperationsformen reagieren insbesondere auch sehr sensibel
auf die wirtschaftliche Situation des dominierenden Partners, wodurch eine
Abhängigkeit vom Geschäfts-gang des Partners entstehen kann.
Ein schlechter Geschäftsgang beispielsweise des dominierenden Produzenten
hat unmittelbar Auswirkungen auf einen schlechten Bestel-lungs-eingang
bei den nachfolgenden, abhängigen Zulieferern. Durch die starke Ausrichtung
der Produktion auf einen oder sehr wenige Abnehmer bleibt den Zulieferern
in so einer Krisensituation sehr wenig Handlungsspielraum.
Das Ausmass bzw. die Stärke der Abhängigkeitsbeziehungen
zwischen zwei EDI-Partnern resultiert zunächst aus der Koordinationsform
zwischen diesen Unternehmen: Bei einer markt--lichen Beziehung sind im
allgemeinen keine Abhängigkeitsstrukturen festzustellen, bei einer
Verschiebung Richtung hierarchischer Beziehung jedoch werden die Abhängig-keitsstrukturen
tendenziell immer stärker und die damit verbundenen Risiken nehmen
zu.
EDI-Einführung als "Knock-out Factor"
Bei der Einführung von EDI wird die Marktmacht einzelner Kommunikationspartner
als mass-geblich beurteilt [Kili94, S. 241f]. Dabei ist es oft der Fall,
"dass die fehlende EDI-Fähig-keit eines Zulieferers zu einem 'Knock-out-Faktor'
wird, d.h. zum Verlust des Geschäfts-partners führt". Dieser
Druck des Produzenten kann so stark sein, dass "EDI aus-schliesslich, also
ohne sonstige Vorteilserwägungen, zur Vermeidung von Geschäfts-abbrüchen
eingeführt wurde" [Kili94, S. 245]. Die Beeinflussungsmöglichkeiten
zur Einführung von EDI sind dabei umso grösser, je konzentrierter
die Marktmacht innerhalb einer Branche ist [Kili94, S. 56]. Beispiele aus
der Praxis sind die Automobilproduzenten Ford und General Motors (Buick),
die in einem Brief allen ihren Zulieferern mitgeteilt haben, für eine
weitere Geschäftstätigkeit sei der Einsatz von EDI erforderlich
[Emme90, S. 26]. EDI als "vendor selection criteria" wird dabei mit zu-nehmender
Verbreitung des elektronischen Datenaustausches bedeutender. Auch eine
empiri-sche Schweizer Studie nennt als wichtigsten Grund zur Einführung
von EDI die "Anforderung an die Lieferanten" [Seff96, S. 48]. Die Einführung
von EDI allein aufgrund vorgegebener Anforderungen eines Partners ist ein
typisches Merkmal des substitutiven Einsatzes von EDI. Darauf wird näher
im Kapitel 3.2.1 (Aufbau- und Ablauforganisation) eingegangen.
Gegenseitige Abhängigkeit
Bisher wurde jeweils von einer Abhängigkeit der Zulieferer vom
Produzenten ausgegangen. Eine weitgehende Integration von EDI kann jedoch
eine gegenseitige Abhängigkeiten auf bei-den Seiten einer Beziehung
schaffen bzw. vergrössern. So ist es durchaus vorstellbar, dass sich
auch mächtige Produzenten, zu denken ist etwa an die Automobilindustrie,
auf einen einzigen oder sehr wenige Zulieferer vertrauen und die
Endproduktion teilweise auf die gelieferten Komponenten ausgerichet haben.
Ein Ersatz wäre nur schwer möglich oder aber mit grossen Umstellungs-Kosten
verbunden.
Die hier gemeinten gegenseitigen Abhängigkeits-Relationen sind
abzugrenzen von den im folgenden Kapitel beschriebenen Cross-Vulnerabilities:
Diese bezeichnen zwar in gewisser Weise auch gegenseitige Abhängigkeiten,
jedoch solche, die aus dem risikoreichen Ver-halten des Partner-Unternehmens
zustande kommen.
Risiken aus der operative Zusammenarbeit
Neben den bisher eher strategischen Überlegungen zu Risikopotentialen
bei der EDI-unter-stützten Kooperation muss auch die operative Ebene
der Zusammenarbeit berücksichtigt wer-den.
Ein gutes Beispiel einer sehr engen operativen Zusammenarbeit geben
die amerikanische Su-permarktkette Wal-Mart und der Produzent Procter and
Gamble [Clem92, S. 25f]: Procter and Gamble erhält laufend Absatzdaten
direkt aus den Kassa-Scanner-Systemen der Wal-Mart Supermärkte. Aufgrund
dieser Daten richtet Procter and Gamble seine Produktions-planung, Produktion
und Auslieferung an die Supermärkte aus. Die Grundlage dieser engen
operativen Zusammenarbeit ist der Zugang zu (im Normalfall geheimen) Daten
des EDI-Partners. Somit wird, wie es ein Wal-Mart Vizepräsident ausdrückte,
die geteilte Information zur Basis einer wahren Partnerschaft: "Shared
information is the basis to a true partner-ship" [Clem92, S. 26].
Bei der konkreten operativen Zusammenarbeit verbirgt insbesondere die
gemeinsame Nutz-ung von Datenbeständen ein grosses Risikopotential,
ist jedoch bei der geforderten umfassend-en Integration von EDI in die
Geschäftsabläufe zweier kooperierender Unter-nehmen unabdingbar.
Formen der Zusammenarbeit wie das "Just-in-Time"-Konzept er-fordern ebenfalls
Zugriff auf die Datenbestände des EDI-Partners. Dabei besteht das
einerseits das Risiko, dass für das ei-gene Geschäft wichtige
Daten herausgegeben werden und somit eventuell auch ein Teil der eigenen
Kompetenzen wegfliesst (Know-How-Ab-fluss). Andererseits besteht das Risiko,
dass der Partner die überlassenen Daten nicht mit genügender
Sorgfalt verwaltet, verwendet oder sie an Dritte weitergibt (Missbrauch
der Daten).
Auf der technischen Seite geht es vor allem um die Konzeption von Kommunikations-mitteln,
Hard- und Software: der in seiner Position stärkere EDI-Partner wird
bei der Ein-führung von EDI kaum dazu zu bewegen sein, vom eigenen
EDI-Konzept abzuweichen; die schwächer-en Partner müssen sich
weitgehend an die Spezifikationen des mächtigeren Partners halten
[Jasp94, S. 109; Vorl2]. Nicht selten jedoch kann eine genaue Vorgabe der
Spezifikationen sowie Unterstützung bei der Installation des EDI-Systems
für einen kleinen Zulieferer wünschbar sein.
Massnahmen
Um den Gefahren, die aus den oben dargestellten Ebenen der EDI-unterstützten
Ko-operati-o-nen entstehen können, begegnen zu können, ist in
erster Linie der Aufbau einer vertrauensvol-len, langfristigen Partnerschaft
mit den Kommunikationspartnern unabdingbar. "Auf gegensei-tigem Vertrauen
basierende Kooperationsverhältnisse implizieren weniger Risik-en für
abwei-chendes, opportunistisches Verhalten" [Kili94, S. 97]. Vertrauen
zwischen Geschäfts-partnern kann dort entstehen, wo zwar beide ein
Interesse an gegenseitigen Geschäften haben, jedoch keiner der Partner
kurzfristiges Profitstreben auf Kosten des andern betreibt. Demnach sind
vertrauensvolle Partnerschaften immer langfristig angelegt. Diese langfristigen,
partnerschaftli-chen Kunden-Lieferanten Beziehungen können durchaus
als "strategischen Wert" gesehen werden [Wars92, S. 59]. Die konkrete Ausgestaltung
der Partnerschaft kann individuell und je nach Branche unterschiedlich
ausgestaltet sein. Oft wird sich eine enge Partnerschaft auch in einer
engen informationstechnischen Kopplung wider-spiegeln, wie beispielsweise
im Beispiel Wal-Mart und Procter and Gamble weiter vorne in diesem Kapitel
gezeigt wurde.
In der Bedeutung sekundär sind Formen der vertraglichen Regelungen
der Kooperation: "The importance of legal contracts (...) is secondary
to that of trust" [Holl94, S. 408]. Grund dafür ist sicher auch die
rechtlich nicht vollständig abgesicherte Lage, in der sich die Kom-munikation
mittels EDI bewegt (siehe dazu Kapitel 3.1.4, Rechtliches Umfeld). Kon-flikt-potentiale
lassen sich dennoch, soweit sie bei Vertragsgestaltung vorhersehbar sind,
beschränkt auch in Verträ-gen regeln. Das Ziel sollen hier langfristig
angelegte Rahmen-verträge sein, die aber das Unter-nehmen nur lose
an die Partner bindet [Neub94, S. 125]. Insbesondere sind Verträge
denkbar und auf Seiten der schwächeren Zulieferer sicher auch wünschbar,
die deren Situation in Zeiten schlechten Geschäftsgang des dominierenden
Ab-nehmers regeln. Vorstellbar sind etwa län-gerfristig garantierte
Abnahmemengen u.ä. Diese bieten dem Zulieferer wenigstens eine be-schränkte
Sicherheit. Trotzdem bleibt jedoch grund-sätzlich die Abhängigkeit
vom Geschäfts-gangs des Partners bestehen.
Neben dem positiven Fall einer fruchtbaren Zusammenarbeit tritt in
der Praxis der Gross-Industrien (z.B. Automobil-Bau) jedoch häufig
die Situation auf, dass ein dominierender Part-ner auf seiner Machtstellung
beharren und wegen seiner starken Stellung gar keine partner-schaftliche
Zusammenarbeit suchen will. "Die Ursachen für diese mangelnde Kooperations-be-reitschaft
sind häufig auf emotionaler Ebene zu finden. So existieren einerseits
bei den Herstel-lern Befürchtungen wegen eines Macht- und Autonomieverlustes
und anderer-seits herrscht auf Seiten der Einezelhändler eine unzureichende
Vertrauensbasis. Auch das Gefühl, in eine Ab-hängigkeitssituation
zu geraten, ist auf beiden Wirtschaftsstufen Ursache der eher distanzierten
Kooperationsbereitschaft" [Fisc94, S. 416.18]. In solchen Fällen dürften
die oben genannten vertragliche Regelungen, beispielsweise über Abnahme-mengen
und -Bedingungen, an primärer Stelle stehen.
Um nicht einer erzwungenen EDI-Einführung gehorchen zu müssen,
empfiehlt es sich, das EDI-Ein-führungs-Projekt zu starten, bevor
man dazu von einem Partner gezwungen wird. Bessere Evaluierungsmöglichkeiten,
allgemein einen Zeitvorsprung und damit eine bessere Inte-gration in die
Geschäftsprozesse sind nur einige Vorteile eines "proaktiven" Handelns
im Gegensatz zur "reaktiven" Schnellösung [Emme90, S. 28].
EDI als Chance erkennen
Beherrschungsverhältnisse durch die Einführung von EDI müssen
nicht zwingend als etwas grundsätzlich negatives beurteilt werden.
Für ein Unternehmen ergibt sich durch aktives Mit--machen am Einführungsprozess
auch die Chance auf eine langfristige Sicherung der Geschäfts--beziehung
zum Produzenten und damit auch eine Vermeidung von Wettbewerbs-nachteilen.
Dieses "positive thinking" kam in den USA bereits in einer Studie von 1986
zum Ausdruck: 87 Prozent der befragten Unternehmen gaben damals an, dass
durch den Aufbau des EDI-Netz-werkes zum gegenseitigen Vorteil sowohl das
gegenseitige Vertrauen verbes-sert worden sei als auch der gegenseitige
Informationsaustausch [Emme90, S. 37f]. Unter diesem Blickwinkel gilt es,
eine Chance zu nutzen und in eine Technologie einzusteigen, die schliesslich
ohnehin zum Standard im zwischenbetrieblichen Informationsaustausch werden
wird.
Bezüglich der Nutzung von gemeinsamen Datenbeständen sollten
die für das Unternehmen kriti-schen und sensitiven Informationen isoliert
und ohne weiteres nicht über EDI weiter-gegeben werden [Fran96,
S. 476]. Über die tatsächlich ausgetauschten Daten soll im Trading
Partner Agreement eindeutig die Verwendungszweck dieser Informationen festgeschrieben
werden (sh. Kapitel 3.1.4, Rechtliches Umfeld). Auf technische Sicherungs-massnahmen
des Datenaustausches wird im Kapitel 3.3.3 (Datenübertragung und -sicher-heit)
näher eingegangen.
Tabelle
kann beim Autor bezogen werden.
Tab. 3.1: Risiken-Massnahmen Beziehungen zum Kapitel "Kooperation und
Abhängigkeit".
3.1.2 Cross-Vulnerabilities
Unter "Cross-Vulnerabilities" (wörtlich: "Kreuz-Verwundbarkeiten")
wird ein Risiko-poten-tial verstanden, das sich für ein Unternehmen
durch risikoreiches bzw. unvorsichtiges Ver-halten des Partnerunternehmens
ergibt. Dieses Risiko befindet sich damit definitions-gemäss ausser-halb
des direkten Einflussbereichs eines Unternehmens. Damit ergeben sich Ab-hängig-keiten
von den EDI-Partnern nicht nur auf der Ebene der Kooperation (Kapitel 3.1.1)
sondern auch auf der Risiko-Ebene; Riggins bezeichnet sie deshalb als "inter-dependent
risks" [Rigg94, S. 42]. Cross-Vulnerabilities stellen schwer handhabbare
Risiken dar, da sie einerseits grundsätzlich ausserhalb des eigenen
Einflussbereichs liegen und anderer-seits meistens ein zukünftiges
Verhalten betreffen.
Cross-Vulnerabilities können auf verschiedenen Ebenen entstehen.
Beispiele für Cross-Vul-nerabilities im Zusammenhang mit EDI sind
der unvorsichtige Umgang mit sensitiven Daten eines Partnerunternehmens,
die fehlende Audit-Möglichkeit über die eigenen Unternehmens-grenzen
hinweg (vgl. Kapitel 3.2.3, Interne Kontrolle und Audits) oder auch das
Risiko, einen ungeeigneten Partner in ein EDI-Netzwerk einzubinden. Das
kann z.B. bedeuten, dass der Partner nach einer Änderung seiner Geschäftsstrategie
nicht mehr in das EDI-Netz passt oder dass der Partner bankrott geht.
Diese verhaltensbedingten Unsicherheitsfaktoren resultieren aus "Marktveränderungen,
Be-dürfniswandel, Globaliserungs- und Internationalisierungstendenzen"
[Kili94, S. 88].
Zu dieser Kategorie an Risikopotential gehören auch Interessenskonflikte,
die aufgrund der Freiräume für nutzenmaximierendes, möglicherweise
opportunistisches Verhalten auf Kost-en der Partnerunternehmen entstehen
können. Studien haben empirisch nachgewiesen, dass vor allem mächtige
Produzenten ihre Produktion auf Kosten der kleineren Zulieferer optimier-en
und diese so opportunistisch ausnutzen [Reek96, S. 120]. Dieses Verhalten,
das die eigene Machtposition ausnützt, stört oder verunmöglicht
die im vorhergehenden Kapitel ange-sprochene, notwendige Vertrauensbasis
für eine langfristige Partnerschaft. Als direkte Fol-ge entsteht "die
Gefahr des 'Shirkings': das Engagement des Partnerunternehmens bei der
gemein-samen Aufgabenbewältigung wird auf Kosten des eigenen Unternehmens
zunehmend geringer" [Kili94, S. 88]. Das potentielle Risiko aus Cross-Vulnerabilites
steigt mit der An-zahl EDI-Partner [Marc93, S. 8f]. Das Ausmass des Risikopotential
hängt dabei vom schwächsten Glied in der Kette der EDI-Partner
ab [Marc93, S. 61].
Massnahmen
Die Literatur sieht mögliche Massnahmen zur Minimierung der Risiken
aus Cross-Vul-nerabili-ties vor allem im Umfeld einer guten EDI-Kooperation.
Grundsätzlich gelten somit die gleichen Aussagen über den Aufbau
einer vertrauensvollen und langfristigen Geschäfts-beziehung wie im
Kapitel 3.1.1 (Kooperation und Abhängigkeit).
Zu erwartende Risikofelder sollten zudem bereits in der Planungsphase
eines EDI-Projekts berücksichtigt werden [Marc93, S. 53]. So sollte
gemäss den Ausführungen zum Risiko-mana-ge-ment (Kapitel 2.4,
Risiko-Management und Sicherheit) für jeden in Frage kom-menden Part-ner
die Risiken aus Cross-Vulnerabilities zugeordnet und bewertet oder zumin-dest
gewichtet werden.
Risiken aus Cross-Vulnerabilities können gemindert werden, wenn
der EDI-Partner genüg-end bekannt ist. In einer Art Checkliste listet
[Brac94] folgende Sachkreise zur Überprüfung der gemeinsamen
Interessen auf, die vor der Anbindung eines Partners an das EDI-Netz-werk
durchgegangen werden sollten [Brac94, S. 85]:
· Zielsetzung des Partners,
· Gegenseitiges Geschäfts- und Umsatzvolumen,
· EDI-Erfahrung des Partners,
· Geschäftsbeziehungen des Partners mit Drittfirmen,
· Bedeutung von EDI als Organisationsbestandteil in der Unternehmung,
· Aktuelle und zukünftige Wettbewerbsposition des Partners,
· Voraussetzungen zum EDI-Ausbau bei der Partnerfirma,
· Momentaner Stellenwert von EDI in der Branche.
Verhaltensbedingte Konfliktpotentiale, wie es die dargestellten Cross-Vulnerabilities
sind, tre-ten im Zeitlauf auf und sind somit nur teilweise mit vertraglichen
Regelungen wie Trading Partner Agreements (vgl. Kapitel 3.1.4, Rechtliches
Umfeld) zu regeln. Denkbar wären recht-li-che Mittel allenfalls etwa
bezüglich der Regelung im Zusammenhang mit dem Um-gang mit vertraulichen
Daten des Partners.
Um die lückenlose Audit-Möglichkeit über die Unternehmensgrenze
hinweg zu gewähr-leisten, kann die Audit-Funktion für diese
Teile eine unabhängige Drittperson bzw. -Firma über-nehmen. Ein
externer Auditor wird so beispielsweise oft zur Prüfung von EDI-Service-Provid-ern
eingesetzt, da diese sich im Normalfall nicht dem Auditprozess eines an-geschlos-senen
Unternehmens unterziehen lassen [Gilb96, S. 49]. Detailliertere Aus-führ-ung-en
zum Audit folgen in Kapitel 3.2.3 (Interne Kontrolle und Audits).
Tabelle
kann beim Autor bezogen werden.
Tab. 3.2: Risiken-Massnahmen Beziehungen zum Kapitel "Cross-Vulnerabilities".
3.1.3 Rechtliches Umfeld
Rechtliche Rahmenbedingungen im weitesten Sinne sind ein wesentlicher
Bestandteil der insti-tutionellen Umwelt einer EDI-Umgebung. Aus rechtlichen
Unsicherheiten können für ein Un-ternehmen Risiken entstehen,
die es im folgenden darzustellen gilt. Die Kern-probleme sind Fragen
der Rechtsgültigkeit, der Wirksamkeit und des Beweiswertes elek-tronisch
ausgetausch-ter Willenserklärungen sowie Fragen der Aufbewahrungspflicht,
der Haft-ungs-regelungen und des Datenschutzes.
Das durch EDI begründete Vertragsverhältnis
Rechtliche Unsicherheit und damit ein potentielles Risiko besteht in der Frage, ob mit dem Austausch von EDI-Nachrichten eine gültiger Vertrag bzw. gültige Willenserklärungen zu-stande kommen können. Ein Vertrag erfordert gemäss Art. 1, Abs. 1 OR eine "übereinstim-mende gegenseitige Willensäusserung". Dabei ist unbestritten, dass dort, wo In-formatik-mit-tel nur zur Formulierung oder Übertragung dieser Willenserklärungen eingesetzt werden, diese auch gültig sind. Der Einsatz von EDI geht jedoch einen bedeutenden Schritt weiter: Ins-besondere problematisch ist nämlich die Frage, ob Willenserklärungen, die (von einem Anwendungs-programm des Senders) automatisch generiert und an einen EDI-Partner geschickt werden, gültig sind. Beispiele ergeben sich etwa bei einer automatischen Lager-ver-waltung, wenn beim Erreichen eines bestimmten Bestandes die Software neue Bestel-lungen auslöst. Die Bildung eines konkreten rechtsgeschäftlichen Willens (durch eine Person) ist zu zur Zeit der Erklärungsabgabe nicht möglich [Kili94, S. 110]. Die spezielle Problematik liegt darin, dass der "Wille" als solcher nicht ausdrücklich erkennbar gemacht wird und auch nicht ohne weiteres als, gemäss Art. 1, Abs. 2 OR, als stillschweigend ange-nommen werden darf.
Neben der Frage, ob eine Willenserklärung durch EDI zustande kommen
kann, interessiert weiter, der Zeitpunkt des Vertragsabschlusses, Eine
rechtlich unklare Situation ergibt sich dies-bezüglich beim Einsatz
eines EDI-Providers: Der Sender übermittelt die Daten zur Weiter--verarbeitung
an den Provider, dieser stellt sie sodann dem Empfänger in seiner
Mail-box zum Abruf bereit. Unklar ist aber vorerst, zu welchem Zeitpunkt
die Willenserklärungen in den Herrschaftsbereich des Empfängers
gelangen und ab wann durch die Zustellung einer EDI-Meldung eine Rechtswirkung
entsteht.
Aus der Frage der Gültigkeit von Willenserklärungen abgeleitet
ist die Frage der rechtlichen Verbindlich-keit und der rechtlichen Anerkennung
von EDI-Meldungen. Mit dem Begriff der "Verbindlic-hkeit" befassen sich
insbesondere digitale Unterschriften, auf die im Abschnitt "Mas-s-nahmen"
einzugehen sein wird.
Eben-falls Unsicherheit herrscht bezüglich des Beweiswertes von
EDI-Aufzeichnungen, bei-spiels-weise im Zivil- oder Steuerrecht.
Zu untersuchen sind auch Fragen der Haftung, die bei einem Einsatz
von EDI entstehen kön--nen. Auf die Haftungsfrage beim Einsatz eines
EDI-Providers wird weiter unten detail-liert ein-gegangen.
Aufbewahrungsvorschriften und Revisionsfähigkeit
Ein signifikantes Erschwernis bei der Realisierung des papierlosen Geschäftverkehrs
bilden die Aufbewahrungsvorschriften des schweizerischen Obligationenrechts.
Art. 962, Abs. 2 OR er-laubt zwar, "Geschäftskorrespondenz und Buchungsbelege
als Aufzeichnung auf Bild- oder Datenträgern" aufzubewahren, "wenn
die Aufzeichnungen mit den Unterlagen überein-stim-men". Die im Gesetz
als "Unterlagen" bezeichneten Dokumente meinen die Original-Papier-do-kumente,
deren Fehlen ja gerade ein Merkmal von EDI ist. Es stellt sich also die
Frage, was für Vorschriften gelten, wenn gar kein Original im Sinne
des Gesetzes vor-handen ist. Die momen-tane Revision des entsprechenden
Artikels 962 OR wird voraus-sichtlich zur Lösung gelangen, dass (ausser
der Jahresrechnung) alle Dokumente auch aus-schliess-lich in elektronischer
Form vorliegen dürfen.
Die oben genannten Forderungen nach Integrität und Wahrheit der
elektronisch archivierten Dokumente werden in den Vorschriften der "Verordnung
über die Aufzeichnung auf-zu-bewahrender Unterlagen" (AV) konkretisiert;
dazu gehören unter anderem eine ordnungs-gemässe Aufzeichnung
(Art. 3 AV) sowie jederzeitige Verfügbarkeit (Art. 4 AV). Bei einer
Viel-zahl von EDI-Meldungen handelt es sich um Belege (Rechnungen, Quittungen
etc.) oder Korrespondenz, so dass die Bestimmungen aus OR 962 bzw. der
dazugehörenden Auf-zeichnungs-verordnung (AV) Gültigkeit erlangt.
Mit den Aufbewahrungsvorschriften verknüpft sind die Anforderungen
an eine Revisions-fähgkeit des EDI-Verkehrs. Es geht hier vor allem
darum, wie die Echtheit der elek-tronische gespeicherten Dokumente sichergestellt
werden kann. Ebenfalls in diesem Zusammen-hang an der Authentizität
der EDI-Meldungen interessiert sind interne Kontroll-stellen (Audit).
Datenschutz
Mit EDI werden Datenbestände über ausserbetriebliches Gebiet,
evtl. über einen EDI-Provider, zu einem bestimmten Empfänger
geschickt. Dies wirft vom rechtlichen Standpunkt aus Fragen des Datenschutzes
und der Datensicherheit auf, wenn mittels EDI Personendaten übertragen
werden. Der Begriff Datenschutz meint den Schutz vor Ver-öffentlichung
von Daten über Per-sonen.
Im internationalen EDI-Verkehr können die jeweiligen nationalen
Daten-schutz-bestim-mungen nicht-tarifäre Handelshemmnisse darstellen,
indem bestimmte, personenbezogene Daten nicht übertragen werden dürfen
[Kili94, S. 199].
Vertragsbeziehung mit Dritten
Neben den eigentlichen, durch EDI begründeten Vertragsbeziehungen,
entstehen durch den Einsatz von EDI noch weitere Vertragsbeziehungen mit
Dritten. In erster Linie handelt es sich dabei um Verträge im technischen
bzw. Kommunikationsbereich von EDI. In vielen Fällen wird beispielsweise
die Zusammenarbeit mit einem EDI-Provider auf vertraglicher Basis gere-gelt.
Risiken bestehen hier insbesondere darin, dass Sicherheits- und Haftungs-aspekte
bei Fehlfunktionen oder Unterbrüchen des Netzwerkes nicht klar vertraglich
geregelt sind. Eine Studie in Deutschland hat beispielsweise gezeigt, dass
bei zwei Dritteln der Unternehmen nach voller Inbetriebnahme Fehler aufgetreten
sind, die in der Regel zwar unter 10 Prozent des EDI-Transaktionsvolumens
ausmachten, in Ausnahmefällen jedoch bis 20 Prozent betrugen [Kili94,
S. 126].Rechts-Fragen bezüglich der Verlässlichkeit und vor allem
auch der Verfügbarkeit des EDI-Netzwerkes birgen ebenfalls Risikopotential
[Marc93, S. 8].
"Internationalität" von EDI
Der EDI-Verkehr stoppt nicht an nationalen Grenzen. Aus dieser Tatsache
ergeben sich zahl-reiche Fragen der internationalen rechtlichen Zusammenarbeit.
Zentral ist dabei insbesondere die Frage des Gerichtsstandes bei Streitigkeiten.
Dazu kommt, dass EDI-Rechts-fragen je nach Land unterschiedlich beurteilt
werden und so erhebliche rechtliche Unsicherheit entstehen kann. Besonders
gilt dies auch für die Belange des Datenschutzes, auf dessen unterschiedliche
Regelungen in jedem Land Rücksicht zu nehmen ist.
Massnahmen
Der Abschnitt Massnahmen soll Lösungsansätze und -Verfahren
zu den oben ange-sprochenen rechtlichen Problemfeldern und Unsicherheiten
beim EDI-Einsatz aufzeigen. Grundsätzlich sind drei verschiedene Ansätze
zur Lösung der angesprochenen Rechts-probleme denkbar und teil-weise
in anderen Ländern bereits in der Praxis umgesetzt. Die drei An-sätze
sind das Aufstellen einer Spezialgesetzgebung, Individualverträge
oder genormte Verträge (Trading Partner Agreements). Nachdem die heute
bestehenden Möglichkeiten des schweizerischen Rechts dar-gelegt werden,
wird danach auf diese drei Ansätze zur Behebung der rechtlichen Unsicherhei-ten
eingegangen. Die gesetzlichen Grundlagen beziehen sich dabei, sofern nicht
explizit er-wähnt, jeweils auf das schweizerische Recht.
Bestehende Gesetzesgrundlagen
Wie in der Informatik üblich, hinkt die Rechtssetzung um
Jahre resp. Jahrzehnte der gelebten Praxis nach. Auch das schweizerische
Recht hat die EDI-Technologie bisher noch nicht be-rücksichtigt. Trotzdem
können viele bestehende Gesetze und Vorschriften auch auf den EDI-Bereich
angewandt werden.
Bezüglich der Frage, ob eine automatisch durch Computer-Systeme
erzeugte und mittels EDI übermittelte Willensäusserung zustande
kommen können, wird heute weitgehend bejaht. [Kili96, S. 111ff; Wald94,
S. 11ff]. Der Anerkennung von ausgetauschten EDI-Nach-richten voraus geht
ein gegenseitiges Einverständnis über Zustellungsmodalität
sowie eine Absprache über verschiedene Mechanismen der zur Authentifizierung
und anderen sicherheitstechnischen Fragestellungen. Dies wird allerdings
nicht von bestehenden Gesetz-en geregelt, sondern im Normalfall durch den
Abschluss eines EDI-Rahmenvertrags gescheh-en. Darauf wird im Ab-schnitt
"Trading Partner Agreement" eingegangen.
Aus der Tatsache, dass elektronisch geäusserte Willensäusserungen
im allgemeinen als gültig akzeptiert werden und Formvorschriften (insbesondere
Schriftlichkeit) nur dann gelten, wenn das Gesetz dies ausdrücklich
vorschreibt, sonst aber Vertrags- und Form-Freiheit herrscht, kann festgestellt
werden, dass Verträge auch auf elektronischem Wege abge-schlossen
werden können.
Bestehen bleibt jedoch das Problem der Beweisbarkeit des Vertragsabschlusses.
Wie bei einem mündlichen Vertrag fehlt beim Einsatz von EDI im Streitfall
die Schriftlichkeit zur Beweis-führung. Der Abstreitbarkeit
von Willensäusserungen bzw. ganzen Verträgen kann leider zur
Zeit nur theoretisch mit digitalen Signaturen begegnet werden, juristisch
akzeptiert sind sie nicht (sh. weiter unten). Ausgetauschte EDI-Nachrichten
haben gemäss Art. 92ff OR den Charakter von "Korrespondenz"
bzw. "Belegen". Ihre Aufzeichnung ist auf Datenträgern zulässig
[Sike96a, S. 20]. Davon explizit ausgeschlossen sind Urkunden, die Schriftlichkeit
erfordern und deshalb nicht über EDI ausgetauscht werden können.
Eben-falls ausgeschlossen ist nach geltendem Schweizer Recht die elektronische
Abwicklung von Verträgen, die an Formvorschriften gebunden sind.
Auch bezüglich der Rechtswirkung von versandten EDI-Meldungen
kann bestehendes Recht angewandt werden. Analog Art. 33, Abs. 3 OR beginnt
die Rechtswirkung sowie die Kennt-nis-nahme der EDI-Meldungen beim Eintreffen
derselben im "vereinbarten Daten-speicher inner-halb der vereinbarten Betriebszeiten"
Mit den heute vorliegenden Gesetzen können jedoch viele Rechtsfragen
nicht oder nicht mit der im Streitfall benötigten Klarheit der Rechtslage
gelöst werden. Beispielsweise ist unklar, ob die mit EDI verbunden
Haftungsfragen mit dem zivilrechtlichen Haftungssystem adäquat gelöst
werden können [Wald94, S. 19]. Unklar ist ebenfalls, welchen Beweiswert
elektronisch er-zeugte, gesendete und archivierte Nachrichten vor Gerichten
haben würden. Wie bereits ange-sprochen, werden durch die Anforderungen
der Gesetze nach eigen-händiger Unterschrift oder nach der Papierform
bestimmte Geschäfte von der papierlosen Ab-wicklung ausgeschlossen.
Spezialgesetzgebung
Die fehlenden gesetzlichen Grundlagen können durch Ergänzung
der Gesetzesbücher mit einer EDI-Spezialgesetzgebung geschaffen werden.
Diesen eher radikalen Weg geht beispiels-weise Südkorea mit einem
Gesetz, das den gesamten Fragenkomplex rund um EDI umfass-end zu regeln
versucht [Neue97, S. 178]. In einem spezielles EDI-Gesetz sind Regel-ungen
aller rele-vanten Rechtsunsicherheiten denkbar, vordergründige Beispiele
sind Aus-sagen über die Gül-tigkeit elektronischer Dokumente
und Unterschriften, über den Zeit-punkt des Zustandekom-mens übereinstimmender
Willenserklärungen oder über den Beweis-wert elektronisch gespei-cherter
Dokumente.
Individualverträge
Neben Spezialgesetzen wäre die andere Extremlösung, einzig auf individualvertragliche Be-stimmungen zwischen den Parteien bzw. den EDI-Partnern zu vertrauen [Neue94, S: 81]. Dies kann durch das Einfügen von EDI-spezifischen Klauseln in den allgemeinen Verkaufs-bedingungen oder durch einen eigenständigen Vertrag zwischen zwei Partnern er-reicht werden. Dieses Vorgehen stösst schnell an Grenzen: Zum einen gibt es der Parteiauto-nomie ent-zogene Bereiche wie etwa die Erfüllung von Aufbewahrungsvorschriften [Neue97, S. 178]. Zum anderen ist das Aufsetzen von Individualverträgen bei offenen EDI-Systemen mit einer unbestimmten und möglicherweise sehr grossen Anzahl Teilnehmer kaum effizient um-setzbar.
Genormte Verträge - "Trading Partner Agreements" (TPA)
Ein gangbarer Mittelweg zwischen der Spezialgesetzgebung und Individualverträgen,
der sich auch in der Praxis durchzusetzen scheint, stellen genormte Verträge
dar. Durchgesetzt hat sich dafür der Begriff Trading Partner Agreement"
(TPA) oder "Interchange Agreement". Es han-delt sich dabei um meist von
Benutzergruppen aufgesetzten Muster-ver-trägen. Die bekanntesten Rahmenverträge
stammen aus Frankreich, Grossbritannien, Deutsch-land und den USA. Auch
die EG-Kommission hat 1994 eine Empfehlung für einen EDI-Modellvertrag
im Rahmen des "TEDIS"-Programms veröffentlicht [Kili96, S. 8]. Sie
alle wurden aus der Notwendigkeit heraus geschaffen, dem Datenaustausch
über EDI mehr Rechts-sicherheit zu geben, da in den jeweiligen nationalen
Gesetzen viele Rechts-nsicherheiten bestehen.
In dieser Arbeit interessiert aber insbesondere die schweizerische
Version der EDI-Modell-er-einbarung. Das Trading Partner Agreement will
als sogenannte Nebenabrede zum Grund-ge-schäft und unter Ausnutzung
der Vertragsfreiheit im Bereich des dispositiven Rechts des OR generelle
rechtliche Probleme bei der EDI-Kommunikation regeln und Unsicherheiten
beseiti-g-en. Aus diesen Erfordernissen ist der Inhalt von Trading Partner
Agreements abgeleitet. Die Mustervereinbarung für die Schweiz beinhaltet
zusammen-gefasst folgende Bestimmungen [Sike96b, S. 21]:
· Gegenstand und Zweck der Mustervereinbarung,
· Begriffsbestimmungen,
· Geltungsbereich,
· Verfahren, Formate und technische Spezifikationen,
· EDI-Systeme und -Anwendungen,
· Dienstleistungen Dritter,
· Verantwortung der Partner beim EDI,
· Rechtswirkung der Zustellung von Nachrichten,
· Aufbewahrung, Prüfung und Herausgabe,
· Datenschutz und Datensicherheit,
· Kosten,
· Haftung, Versicherung,
· Dauer und Beendigung der Vereinbarung,
· Schlussbestimmungen.
In der Schweiz wird eine Modellvereinbarung von der EurOSInet und von
SWISSPRO her-ausgegeben, von wo sie auch bezogen werden kann (Bleicherweg
5, Postfach, 8022 Zürich).
Zentrale Bedeutung kommt bezüglich der angesprochenen rechtlichen
Problemkreise dem Ab-schnitt "Rechtswirkung der Zustellung von Nachrichten"
zu. Es wird in diesem Abschnitt unter anderem geregelt, wann EDI-Meldungen
als zugestellt gelten, wann die Rechts-wirkung eintritt und wie mit der
Schriftform und der Beweiskraft von EDI-Nachrichten um-zugehen ist.
Im darauf folgenden Abschnitt "Aufbewahrung, Prüfung und Herausgabe"
wird der eben-falls angesprochene Bereich der Aufbewahrungsvorschriften
angesprochen.
Unter dem Titel "Datenschutz und Datensicherung" verweist das schweizerische
Trading Partner Agreement auf die Einhaltung der gesetzlichen Datenschutzbestimmungen.
Grundsätz-lich bringt das Datenschutzgesetz für die Bearbeitung
von Personendaten mittels EDI kei-ne weitergehenden Auflagen als für
die Bearbeitung mit konventionellen Verfahren [Sike96b, S. 21]. Speziell
hingewiesen wird auf die Einhaltung der jeweils geltenden Vor-schriften
zum Datenschutz im internationalen EDI-Verkehr.
Bei einer Gesamtbetrachtung zeigt sich, dass dank der jeweiligen, individuellen
Ausge-staltung des Trading Partner Agreements ein effizientes Werkzeug
zur Regelung der im ersten Teil die-ses Kapitels aufgezeigten Unsicherheiten
im rechtlichen Umfeld von EDI ex-istiert. Gleichwohl muss man sich bewusst
sein, dass es sich bei einem Trading Partner Agree-ment "nur" um einen
Vertrag zwischen zwei Parteien handelt, der nur innerhalb der erlaubten
gesetzlichen Schranken ausgestaltet werden kann. Zudem ist eine solche
Verein-barung für neu eintretende Dritte nicht bindend; für jede
EDI-Beziehung muss ein separates Doku-ment unter-zeichnet werden. Es ist
jedoch gerade Sinn und Zweck der Normierung von Verträgen, diese jeweilige
Vertragsunterzeichnung effizient abzuwickeln, so dass im Ideal-fall nur
das Einsetzen der Na-men der Parteien sowie die Unterzeichnung des genormten
Vertrages nötig ist.
Vertragsbeziehungen mit Dritten
Unter dem Punkt "Dienstleistungen Dritter" wird im schweizerischen Mustervertrag
der Ein-satz eines EDI-Providers angesprochen. Dabei wird darauf verwiesen,
dass diese ausser-halb des eigentlichen EDI-Datenaustausches stehende Beziehung
mit einem mit dem Dritten separat abzuschliessenden Vertrag geregelt werden
soll. Spezielle Regelungen zu treffen sind vor al-lem bezüglich
Fragen der Haftung und der Verfügbarkeit des EDI-Systems.
Werden diese Fragen nicht im Detail vertraglich geregelt, so treten
die Bestimmungen des OR in Kraft. Art. 97 OR fordert beispielsweise allgemein
Schadenersatz bei Nicht-Erfüllung einer Leistung; Art. 398 OR verweist
auf die Haftungsbestimmungen.
Digitale Signaturen und Trusted Third Parties
Obwohl, wie in Kapitel 3.3.3 (Datenübertragung und -sicherheit)
gezeigt wird, die digitale Signatur ein wesentliches und sicheres Mittel
ist, um im Verkehr mit elektronisch über-mittelten Dokumenten Gewissheit
über Authentizität und Integrität zu erhalten, wird sie
rechtlich nicht als der eigenhändigen Unterschrift ebenbürtig
anerkannt. Somit wird die digitale Signatur zwar in der Praxis als verlässliche
Sicherheitsmassnahme eingesetzt, juristisch jedoch weist sie keine Beweiskraft
auf [Neub96, S. 80]. Eine Akzeptanz in den gesetz-lichen Grundlagen könnte
so-wohl für die Verbindlichkeit als auch für die Beweiskraft
von EDI-Nachrichten sorgen.
Um eine rechtliche Anerkennung und Gleichstellung der digitalen Signatur
mit der eigen-händigen Unterschrift bemüht sich derzeit das Bundesamt
für Justiz und verschiedene schweizer-ische Fachgruppen. Auslöser
dazu bildete eine Motion im März 1994 zu einer Änderung des Art.
14 OR, die eine Rechtsverbindlichkeit elektronischer Unterschriften bewirken
sollte [Neue97, S. 194].
Ebenfalls in diesem Zusammenhang denkbar und wünschbar wäre
die Schaffung von sogenannt-en "Trusted Third Parties" (sh. Kapitel 3.3.3,
Datenübertragung und -sicherheit), die als übergeordnete Instanz
die Authentizität eines Kommunikationspartners garantieren kann.
Aufbewahrungsvorschriften (AV)
Die Modellvereinbarung für EDI geht unter dem Punkt "Aufbewahrung, Prüfung und Heraus---gabe" nur sehr allgemein auf die Einhaltung der Aufbewahrungsvorschriften ein. Es wird dort lediglich gefordert, dass "die Partner (...) während der an ihrem Geschäftssitz geltend-en Auf-bewahrungsdauer (Art. 962 Abs. 1 OR) die im Transaktionsjournal auf-ge-zeichneten Meldungen nach den jeweils geltenden Regeln für die ordnungsgemässe Auf--zeichnung und Aufbewahrung von Geschäftskorrespondenz und Buchungsbelegen auf einem Datenträger auf-bewahren". Die geltenden Regeln sind in der Schweiz grösstenteils in der "Verordnung über die Aufzeichnung von aufzubewahrenden Unterlagen" (AV) zu OR 962 zu finden. Diese Auf-bewahrungsverordnung regelt die Voraussetzungen und Umstände, unter denen "Aufzeichnungen auf Bild- oder Datenträger (...) die gleiche Beweiskraft wie die Unter-lagen selbst" haben (Art. 962, Abs. 4). Dazu gehört eine geeignete Organisation, so dass Aufzeich-nungen jederzeit und ohne grösseren Aufwand verfügbar und lesbar sind (Art. 4 und 9 AV) sowie eine lückenlose und auf Mängel überprüfte Aufzeichnung (Art. 3 und 7 AV). Weitere Voraussetzungen, damit Aufzeichnungen die gleiche Beweiskraft haben wie das Original, sind eine systematische Aufbewahrung (Art. 8 AV) sowie die Angabe der Ver--ant-wort-lichkeiten (Art. 6, 10 AV). In der Praxis lassen sich diese Forderungen aus der Auf--zeich-nungsverordnung (AV) durch physische Massnahmen (Zugangskontrolle, Warn-sys-teme etc.), softwaretechnische Massnahmen (Logsystem, Zutrittsrechte etc.) und organi--sa-torische Massnahmen (Festlegen der Verantwortlichkeiten, Datensicherungspläne etc.) um-setzen.
Tabelle
kann beim Autor bezogen werden.
Tab. 3.3: Risiken-Massnahmen Beziehungen zum Kapitel "Rechtliches Umfeld".
Anmerkungen:
(1) Der Einsatz von Spezialgesetzen als Massnahme gegen die dargestellten
Risiken hängt von deren Existenz im jeweiligen
Land ab; in der Schweiz bspw. fehlen bis heute EDI-Gesetze.
(2) Voraussetzung ist die gesetzliche Anerkennung von digitalen
Signaturen.
3.1.4 Externe Bedrohungen
In diesem Kapitel soll ein kurzer Überblick über bei der EDI-Einführung
zu berücksichtig-ende Risiken gegeben werden, deren Ursache nicht
(in erster Linie) im Einsatz von EDI liegt. Viel-mehr geht es darum,
die Risiken zu analysieren, die auf ein EDI-System ein-dring-en und dieses
von aussen bedrohen. Wie im Kapitel 2.4 (Risiko-Management und Siche-r--heit)
einleitend dar-gestellt, handelt es sich gemäss der dort aufgeführten
Klassifikation um "Be-dingungs-risiken". Es geht dabei insbesondere um
die physische Gefährdung und Be-droh-ung der "Endsysteme" durch Naturereignisse,
menschliches Verhalten oder technisches Ver-sagen [Fisc94, S. C4125.05].
Da diese Risiken nicht EDI-spezifisch sind, sondern für alle
Arten von technischen Systemen bestehen, kann auf viele bereits bestehende
Frame-works und Management-Modelle zurückgegriffen werden.
Bedrohungen der IT-Infrastruktur
Heinrich gibt folgende drei Kategorien an, von denen Bedrohungen für die Informations-infra--struktur, also auch die EDI-Infrastruktur, ausgehen [Hein92, S. 225f]:
· Unzuverlässigkeit: In diese Kategorie gehören alle
umgangssprachlich als "Fehler" bezeichneten Ereignisse. Sie können
sowohl von der technischen Infra-struktur (EDI-Komponenten) oder aber von
den das System bedienenden Men-schen ausgehen. Menschliche Fehler können
weiter unterteilt werden in unbeab-sichtigte, unbewusste, fahrlässige
oder absichtlich böswillige Handlungen. Gründe für menschliche
Fehler können vielschichtig sein, sie reichen von ungenügender
oder falscher Information bzw. Fähigkeiten, über eine ungenügend
vor Fehler schützende Arbeitsumgebung bis hin zu persönlichen
Merkmalen wie der Fähig--
keit zur Stressbewältigung [Cox91, S. 61].
· Deliktische Handlungen: In diese Kategorie fällt das gesamte
Spektrum der Comp-u-ter-Kriminalität, sowohl der internen Mitarbeitern
als auch von externen Kriminellen. Beispiele sind etwa Computer-Spionage,
Sabotage, Hacking oder der Diebstahl von Daten.
· Umgebungseinflüsse: Zu den Umgebungseinflüssen werden
Bedrohungen aus der Natur gezählt. Beispiele sind Überschwemmungen,
Feuer oder Erdbeben. Deren Ein-treten steht typischerweise vollständig
ausserhalb des menschlichen Einfluss-be-reiches.
Etwas detaillierter, aber letztlich mit gleicher Aussagekraft, ist die
Aufgliederung der ex-ternen Bedrohungen, wie sie die Schweizerische Informatik-Konferenz
vorschlägt [Bauk95, S. 39]. Unterschieden werden hier die Kategorien
Mitarbeiter, Kriminelle Handlungen, Sabo-tage, Terror, Feuer, Umgebungsrisiken,
Höhere Gewalten und Technische Störungen.
Massnahmen
Es gehört gemäss Definition (Kapitel 2.4) zu den Merkmalen
der hier aufgeführten Klasse der Bedingungsrisiken, dass diese mit
geeigneter Präventionsmassnahmen gemildert werden kön-nen und
auch grösstenteils versicherbar sind.
Risiken dieser Art sollten deshalb grundsätzlich bereits im Rahmen
des existierenden Risiko-Manage-ment Programms, das sich typischerweise
mit solchen Bedingungsrisiken beschäftigt, analysiert worden sein
[Salt93, S. 34].
Ein allgemeines Risiko-Management-Programm, wie es typischerweise in
Unternehmen zu finden ist (sein sollte), hat zum Ziel, "das Bedrohungspotential
(...) so weit zu reduzieren, dass keine unkalkulierbaren Risiken für
das Unternehmen bestehen bleiben [Hein92, S. 227]. Ein solches "integriertes
Sicherungssystem" kann übersichtsmässig wie folgt aufgegliedert
werden [Hein92, S. 227f]:
· Sicherungsmassnahmen zum Schutz von Objekten wie Gelände,
Gebäude, Räume;
· Sicherungsmassnahmen zum Schutz von Hardware und Kommunikationsnetzen;
· Sicherungsmassnahmen zum Schutz von Software;
· Sicherungsmassnahmen zum Schutz von Daten (Datenschutz).
Entsprechende Schutztechniken sind nicht Gegenstand dieser Arbeit. Deren
Anwendung und Umsetzung orientiert sich an den im Kapitel 2.4 (Risiko-Management
und Sicherheit) bereits vorgestellten Konzepten und Frameworks zum allgemeinen
Risikomanangement in einer Un-ternehmung.
Tabelle
kann beim Autor bezogen werden.
Tab. 3.4: Risiken-MassnahmenBeziehungen zum Kapitel "Externe Bedrohungen".