SOA stärkt Compliance: Compliance Oriented Architecture

Auf den ersten Blick erscheint die Verbindung zwischen serviceorientierten IT-Architekturen (SOA) und den unzähligen regulatorischen Anforderungen der Compliance nicht unbedingt nahe liegend. SOA benötigen die Unternehmen, um durch die „richtigen“ Komponenten eine Struktur zu schaffen, die änderungsfreundlich ist, sei es mit Hilfe von Software-Services auf Softwareebene, Applikationskomponenten auf Applikationsebene, fachliche Komponenten auf Organisations- und Prozessebene oder durch Business-Services auf Strategieebene.

Compliance bedeutet aber auch, regulatorischen Auflagen etwa gemäß den Kreditvergaberichtlinien nach Basel II hinsichtlich Transparenz, Revisionsfähigkeit und Sicherheit nachzukommen, und diese durch geeignete IT-Strukturen zu unterstützen. „Das sind zwei ziemlich unterschiedliche Konzepte“, sagt Robert Winter, Direktor des Instituts für Informationsmanagement an der Universität St. Gallen. Er sieht den theoretischen Nutzwert einer Compliance-orientierten Architektur aber zumindest darin, durch mehr Serviceorientierung geeignete Strukturen zu schaffen, mit denen sich Veränderungen beispielsweise im Bereich regulatorischer Auflagen einfacher umsetzen lassen als mit herkömmlichen, inflexiblen Architekturen.

Eine bessere Nachvollziehbarkeit und Transparenz lässt sich wiederum nur über eine bessere Prozess-Orientierung erzielen. „Prozess-Orientierung wiederum beruht auf einer SOA als Infrastruktur“, sagt Marktanalyst Wolfgang Martin. Die wichtigsten Methoden im Rahmen der Prozess-Orientierung für Compliance sei das Informations-Lebenszyklusmanagement, insbesondere Stammdaten und Metadaten-Management. Und genau hier sollte das komplizierte Feintuning der Informationslandschaft nach Auffassung des Wolfgang Martin Teams zunächst ansetzen: „Prozess-Orientierung erfordert ein sinnvolles Metadaten-Management“, gibt der Experte zu bedenken.

Die Metadatenschicht sollte sich dabei über alle Schichten der SOA erstrecken. Metadaten sind der Schlüssel zu einem konsistenten Datenmodell mit Lebenszyklus-Management für konsequentes Verständnis und Kommunikation des Datenmodells, für Datenqualität, Zugriffsschutz und datenschutzrechtliche Aspekte. „Sie sind das Business-Vokabular des Unternehmens“, bekräftigt Martin.