Der daraus entstehende Handlungsbedarf ist weniger technologisch als vielmehr konzeptionell geprägt. Es geht nicht allein darum, eine bestehende Lösung zu ersetzen. Vielmehr stellt sich die grundsätzliche Frage, wie Identitäten, Zugriffsrechte und Compliance-Anforderungen künftig in einer zunehmend hybriden und cloudbasierten IT-Landschaft gesteuert werden sollen.

Die zentrale Frage lautet daher nicht: Womit ersetzen wir SAP IdM? Sondern vielmehr: Auf welcher Plattform und entlang welcher Prinzipien steuern wir künftig Governance, Risk und Compliance (GRC)?

Gerade im Finance-Umfeld kommt dem Identity & Access Management eine zentrale Rolle zu. Regulatorische Anforderungen wie beispielsweise BAIT [3], MaRisk [4], DORA [5] und NIS2 [6] verlangen nachvollziehbare Berechtigungskonzepte, eine konsequente Funktionstrennung (Segregation of Duties), regelmäßige Rezertifizierungen sowie revisionssichere Nachweise über Zugriffe. IAM wird damit vom operativen IT-Thema zum integralen Bestandteil der Unternehmenssteuerung und Compliance-Sicherung.

Von IdM zu IAM: Erweiterte Anforderungen in modernen Systemlandschaften

Klassisches Identity Management (IdM) fokussiert sich auf die technische Verwaltung von Benutzeridentitäten und Berechtigungen. Identity & Access Management (IAM) erweitert diesen Ansatz um Governance, Prozesse, Richtlinien sowie Risiko- und Auditfähigkeit. Diese Entwicklung ist eine direkte Folge veränderter IT-Landschaften. Unternehmen betreiben heute hybride Umgebungen aus ERP-Systemen, Cloud-Anwendungen und Fachlösungen, wodurch sich die Komplexität der Berechtigungssteuerung erheblich erhöht hat. Stand früher die reine Provisionierung im Mittelpunkt, zählen heute vor allem Transparenz, Kontrolle und Nachvollziehbarkeit. Damit wird IAM zur zentralen Governance-
Plattform für Identitäten und Zugriffe.

Typische Herausforderungen in ERP- und financenahen Systemen

Im Kontext von ERP und finanznahen Anwendungssystemen zeigen sich in der praktischen Umsetzung von Identity & Access Management (IAM) wiederkehrend strukturelle Defizite, die nur selten auf technologische Limitierungen im engeren Sinne zurückzuführen sind. Vielmehr handelt es sich überwiegend um historisch gewachsene Schwächen in Prozessgestaltung und Governance-Strukturen. Diese manifestieren sich insbesondere in über die Zeit entstandenen Rollenmodellen, die häufig durch Sonder- und Ausnahmerechte geprägt sind und nur begrenzt den Prinzipien der Minimalprivilegierung folgen.

Manuelle Lifecycle-Prozesse, uneinheitliche Genehmigungen und fehlende Transparenz führen zu inkonsistenter Berechtigungsvergabe, hohem Auditaufwand und erhöhten Compliance-Risiken. Dies betrifft insbesondere die Einhaltung von Funktionstrennungsanforderungen, den Umgang mit privilegierten Zugängen sowie die Qualität der Dokumentation.

Ein zentraler Engpass liegt dabei in der unzureichenden Automatisierung der zugrunde liegenden Prozesse. Die Folge sind verlängerte Durchlaufzeiten von der Beantragung bis zur tatsächlichen Umsetzung von Berechtigungen, verbunden mit erhöhten Fehleranfälligkeiten und zusätzlichen Sicherheitsrisiken. Vor diesem Hintergrund wird deutlich, dass die Weiterentwicklung von IAM in Finance-nahen Systemen weniger eine Frage der reinen Technologieeinführung ist, sondern vielmehr eine grundlegende Neuordnung von Prozessen, Verantwortlichkeiten und Governance-Mechanismen erfordert.

IAM als Enabler für effiziente und auditfähige Finance-Prozesse

Ein modernes Identity- und Access-Management-System (IAM) adressiert zentrale Herausforderungen im Finanzumfeld und transformiert die Steuerung von Identitäten und Zugriffen grundlegend. Durch die Automatisierung und Standardisierung von Prozessen schafft IAM die Voraussetzung für Effizienz, Transparenz und Compliance.

Im Kern umfasst dies ein durchgängiges User-Provisioning und Lifecycle-Management, das automatisierte Joiner-, Mover- und Leaver-Prozesse ermöglicht. Neue Mitarbeitende erhalten zeitnah die benötigten Zugriffe, Rollenwechsel werden strukturiert abgebildet und beim Ausscheiden werden Berechtigungen zuverlässig entzogen. Als führende Datenquelle dienen dabei integrierte HR-Systeme, die eine konsistente Datenbasis sicherstellen. Anstelle individueller Einzelberechtigungen erfolgt die Vergabe zunehmend jobrollenbasiert, was die Komplexität reduziert und die Steuerbarkeit deutlich erhöht.

Ergänzend spielt Access Governance eine zentrale Rolle für die Einhaltung regulatorischer Anforderungen. Klare Genehmigungsworkflows und definierte Verantwortlichkeitsstrukturen sorgen dafür, dass Zugriffsrechte nachvollziehbar vergeben werden. Regelmäßige Rezertifizierungen durch die Fachbereiche stellen sicher, dass Berechtigungen weiterhin angemessen sind, während revisionssichere Dokumentationen die Grundlage für interne und externe Prüfungen bilden.

Ein weiterer wesentlicher Baustein ist das integrierte Risikomanagement. IAM-Systeme ermöglichen eine kontinuierliche Analyse von Funktionstrennungskonflikten und bieten die Möglichkeit, potenzielle Risiken bereits vor der Vergabe von Berechtigungen zu simulieren. Auf dieser Basis lassen sich gezielte Maßnahmen zur Risikoreduktion definieren und umsetzen, wodurch Sicherheits- und Compliance-Risiken nachhaltig minimiert werden.

Schließlich gewährleistet ein modernes IAM auch ein hohes Maß an Auditfähigkeit und Reporting. Berechtigungsstrukturen werden transparent dargestellt, belastbare Nachweise für Revision und Wirtschaftsprüfer können jederzeit bereitgestellt werden, und standardisierte Reports unterstützen eine konsistente Berichterstattung.

Das Zusammenspiel dieser Komponenten ermöglicht es Unternehmen, Governance nicht nur konzeptionell zu definieren, sondern operativ wirksam umzusetzen. IAM entwickelt sich damit vom reinen Verwaltungswerkzeug zu einem strategischen Enabler für effiziente, sichere und auditfähige Finance-Prozesse. Governance-Strukturen werden dadurch überprüfbar, nachvollziehbar und revisionssicher.