Zehn Fragen für den Aufsichtsrat: Sicherheit und Compliance gehören in die Transformationsentscheidung

Was ist passiert

Im SAP News Center vom 15.10.2026 stellt der Chief Security Officer von SAP, Mitglied des Aufsichtsrats der SAP SE, zehn Fragen vor, mit denen Aufsichtsgremien Sicherheit und Compliance beaufsichtigen sollen, jeweils ergänzt um Nachweise, die sie vom Management verlangen können.

Wen betrifft es

Zuerst Aufsichtsrat und Vorstand, an die sich die Fragen richten. Der Beitrag betont, dass ein Aufsichtsgremium keine technischen Entscheidungen treffen, sondern informiert beaufsichtigen soll. Für ein SAP-Programm wird das an zwei Stellen konkret: Große Investitionen, Cloud-Programme und die Auswahl von Lieferanten sollen laut dem Beitrag von Anfang an auch unter Sicherheits- und Compliance-Gesichtspunkten bewertet werden, solange sich Entscheidungen noch ändern lassen. Und Systeme, die nicht mehr voll unterstützt werden, beschreibt er als Risiko für das Unternehmen und als Investitionsfrage, nicht als bloße Frage des IT-Lebenszyklus. Damit sind auch der CFO-Bereich und die Programmleitung angesprochen, wenn Sie noch ECC betreiben oder mitten in der Umstellung auf S/4HANA stehen.

Was ist zu tun

Wo sich die Modernisierung verzögert, verlangt der Beitrag dokumentierte ausgleichende Kontrollen, eine klare Zuständigkeit und einen Plan mit Termin. Wir würden diese drei Punkte für jedes Altsystem, dessen Wartung ausläuft, in die Unterlagen für den Lenkungskreis aufnehmen – nicht als Anhang der IT, sondern neben Budget und Zeitplan. Ebenso lohnt ein Blick auf die Fragen zu Dritten: Der Beitrag nennt neben kritischen Lieferanten ausdrücklich Cloud-Anbieter, Softwareabhängigkeiten und Berater als mögliche Quelle von Risiken und fragt nach unabhängigen Nachweisen und nach dem Umgang mit Ausstiegsrisiken. Er fragt außerdem, wie schnell Zugriffe angepasst werden, wenn sich Lieferantenbeziehungen ändern. Für ein Programm mit mehreren Dienstleistern heißt das aus unserer Sicht, schon bei der Auswahl festzulegen, welche Nachweise man erwartet, wer wann Zugriff auf welche Systeme erhält und wann dieser wieder endet. Und bei KI fragt der Beitrag, welche Entscheidungen der menschlichen Prüfung vorbehalten bleiben – eine Frage für jedes Konzept mit KI-Funktionen im Prozess.

Unsere Einschätzung

Der Beitrag stammt von SAP und schließt mit dem Gedanken, dass Modernisierung ein wichtiger Hebel für Governance sein kann; die Fragen selbst lassen sich davon getrennt bewerten. Wir halten sie für nützlich, weil sie nicht technisch sind. Aus unserer Sicht liegt ihr Wert für ein SAP-Programm darin, dass sie Sicherheit und Compliance von der Abnahme am Ende an den Anfang der Entscheidung holen. Aus großen SAP-Programmen kennen wir den Druck in Test und Cut-over, wenn dort noch grundlegende Fragen auftauchen; Berechtigungen, Schnittstellen und Prüfnachweise gehören deshalb zu den Themen, die man früh klären sollte. Eine Programmleitung, die zu ihren Altsystemen einen Plan mit Termin und Zuständigkeit vorlegen kann, beantwortet die Frage des Aufsichtsrats, bevor sie zum Thema einer Sitzung wird.