Ein Sicherheitskonzept soll die wesentlichen Informationen einer Institution schützen. Welche dazu zählen, wird in der Regel bei einer Betrachtung der Geschäftsprozesse deutlich: Welche Informationen sind erforderlich, damit diese reibungslos funktionieren? Welche haben einen besonderen Geheimhaltungsbedarf und dürfen daher nur Befugten zugänglich sein? Welche Informationen unterliegen den Vorgaben des Datenschutzes, welche anderen rechtlichen Verpflichtungen (beispielsweise um die Nachweisbarkeit von geschäftlichen Vorgängen zu sichern)?

Oft kann auf eine bereits vorhandene Aufstellung der wesentlichen Geschäftsprozesse oder Fachaufgaben zurückgegriffen werden (eine „Prozesslandkarte“) oder die Prozesse können anhand von Aufgabenbeschreibungen oder eines Organigramms der Institution identifiziert werden.

Ergebnisdarstellung

Tabellen bieten eine übersichtliche Möglichkeit, die Ergebnisse der Erhebung der Prozesse und Informationen darzustellen. Für jeden Geschäftsprozess sollten Sie die folgenden Angaben vermerken:

• eine eindeutige Kennung (Nummer oder Kürzel),
• einen Namen für den Prozess,
• eine kurze Beschreibung des Ziels, der Abläufe und der verarbeiteten Informationen,
• die für den Prozess Verantwortlichen,
• wichtige Anwendungen, die für den Prozess benötigt werden.

Beispiel

Die folgende Tabelle zeigt einen Teil der für die RECPLAST GmbH erfassten Geschäftsprozesse. Diese werden durch das Präfix „GP“ als Geschäftsprozess gekennzeichnet und fortlaufend durchnummeriert. Die für einen Prozess benötigten Anwendungen werden in einer separaten Tabelle zugeordnet.

Geschäftsprozesse

Kennung: Name (Art) und Beschreibung des Prozesses sowie der verwendeten Informationen	Verantwortlicher/ Mitarbeiter
GP001: Produktion (Kerngeschäft): Die Produktion der Kunststoffartikel umfasst alle Phasen von der Materialbereitstellung bis hin zur Einlagerung des produzierten Materials. Hierzu gehören innerhalb der Produktion die internen Transportwege, die Produktion und Fertigung der verschiedenen Komponenten und das Verpacken der Teile. Es werden alle Informationen über Aufträge, Lagerbestände und Stücklisten verarbeitet.	Leiter Produktion/ Alle Mitarbeiter
GP002: Angebotswesen (unterstützender Prozess): In der Angebotsabwicklung werden die Kundenanfragen für Produkte verarbeitet. Im Regelfall werden Kundenanfragen formlos per E-Mail oder Fax geschickt. Die Angebote werden elektronisch erfasst und ein schriftliches Angebot per Post an den Kunden versendet. Im Angebotswesen werden Kundendaten, Lagerbestände, Anfragen und Angebote bearbeitet.	Leiter Angebotswesen/ Vertrieb
GP003: Auftragsabwicklung (Kerngeschäft): Kunden schicken die Bestellungen im Regelfall per Fax oder E-Mail. Alle Belege müssen ausgedruckt und elektronisch erfasst werden. Eine Auftragsbestätigung erhält der Kunde nur, wenn er dies ausdrücklich wünscht oder der Produktionsprozess von der üblichen Produktionszeit abweicht. Die Auftragsabwicklung verwendet Kundendaten, Lagerbestände, Aufträge und Bestellungen.	Leiter Auftragsabwicklung/ Vertrieb
GP004: Einkauf (unterstützender Prozess): In der Einkaufsabteilung werden alle erforderlichen Artikel bestellt, die nicht für den Produktionsprozess erforderlich sind. In dieser Abteilung werden externe Projekte verhandelt, IT-Verträge gestaltet und Verbrauchsmaterial im organisatorischen Umfeld (Papier, Toner etc.) beschafft. Die verwendeten Informationen sind Lagerbestände, Bedarfsmeldungen und Informationen über Lieferanten.	Leiter Einkauf/ Einkauf
GP005: Disposition (Kerngeschäft): In der Disposition werden alle für die Produktion benötigten Materialien (Kunststoffe, Schrauben, Tüten etc.) beschafft. Hierzu liegen normalerweise Rahmenverträge vor. Geplant wird in diesem Umfeld anhand von Jahresplanmengen und verschiedenen Bestellwerten.	Leiter Disposition/ Disposition, Produktion