"Endlich weiß ich, was auf mich zukommt"

Mit CloudGate läuft unser Onboarding neuer Services endlich standardisiert ab. Früher wusste ich nie, was mich erwartet und wie viel Arbeit und Zeit ich für ein Onboarding in meinem Projekt einplanen muss.

Endlich sehe ich, wer was prüfen muss, und vor allem sehe ich jederzeit den Fortschritt und weiß, wo es hängt.

Das Beste ist aber, dass ich nicht mehr als "Nachrichtenübermittlerin" unterwegs bin: Ich involviere meine Provider direkt in die Informationssammlung bzw. in Prüfungen und muss keine Excelsheets mehr durch die Gegend schicken.

Mir gefällt, dass ich nach dem Onboarding direkt sehe, welche Steuerungsmaßnahmen und Kontrollen für meine Services in den nächsten Jahren bevorstehen.

Schön ist auch, dass meine Rolle kostenfrei ist, da wir die First Class Edition nutzen.

"Keine Hängepartien mehr dank Votum"

In meiner Rolle als Digital Coordinator habe ich die Aufgabe, Digitalisierung möglich zu machen. Der Druck der Fachseite, sich vom Mitbewerb abzusetzen ist so groß, dass wir insbesondere bei Freigaben von SaaS-Lösungen kaum noch hinterherkommen und meist drei bis vier Lösungen parallel onboarden müssen.

CloudGate hilft mir, den Überblick zu behalten und gegenüber unserer Fachseite sowie unserem Management immer sprechfähig zu sein.

Außerdem schätze ich den kollaborativen Ansatz der Lösung sehr. Ich habe unsere Zuständigkeiten sauber festgelegt und muss dies nicht jedesmal neu tun.

Aber mein absoluter Favorit ist das Votum am Prüfungsende:
Endlich müssen unsere Prüfbereiche "von Aufsichtsrecht bis ZAM" eindeutig PRO oder CONTRA eines Services stimmen. Die langen Hängepartien mit unklaren Aussagen und Positionen haben wir seit Nutzung von CloudGate nicht mehr.
Und wenn's doch mal hakt, dann sehe ich das in CloudGate sofort, und wir lösen das in unserer nächsten Service-Board-Sitzung.

"Der Umstieg hat Vieles erleichtert - insbesondere die BaFin-Meldungen"

Ich muss zugeben, dass wir unsere bisherigen Excel-basierten Prozesse zur Risikobewertung nur schweren Herzens aufgegeben haben. Es ist natürlich nicht einfach loszulassen, aber geholfen hat uns, dass microfin unsere Prüflisten direkt in CloudGate importiert hat, so dass wir direkt mit unserem gewohnten Ansatz loslegen konnten.

Richtig cool finde ich übrigens den PDF-Report für Use Cases:
Das komplette Dossier eines Services lässt sich mit wenigen Klicks als Bericht an die BaFin schicken. Apropos BaFin: Die vorgeschaltete Datenvalidierung bei Absichtsanzeigen und Vollzugsmeldungen sowie die automatische Übermittlung erspart uns Fehler und viel Zeit - vorher haben wir das im MVP-Frontend mühsam per Hand gemacht.

Dass microfin auch noch den rechtlichen und regulatorischen Content pflegt und Neuerungen auf nationaler wie EU-Ebene schnell verfügbar macht, gibt mir ein gutes Gefühl.

"Daten in den Fokus genommen"

Endlich werden unsere Fachbereiche motiviert, die zu verarbeitenden Daten im Zusammenhang mit der Einführung neuer Services klar zu benennen. CloudGate erleichtert uns so die Schutzbedarfs- und Risikoanalysen massiv.

Außerdem greifen wir schon nach wenigen Onboardings auf eine gute Sammlung von Risiken und Schutzmaßnahmen zurück, ohne diese jedes Mal neu formulieren zu müssen. Hier hilft uns CloudGate, indem wir diese Informationen aus vorangegangen Use Cases bequem auf neue übertragen können.

Die klare Länder-Zuordnung hinsichtlich Datenspeicherung und -verarbeitung hilft uns ungemein, diejenigen Services besonders unter die Lupe zu nehmen, die schützenswerte Daten außerhalb der EU verarbeiten.

Genial finden wir die Möglichkeit, in CloudGate betroffene Personengruppen, Rechtsgrundlagen, Datenerhebungsmethoden, Datenrichtlinien und zugriffsberechtigte Gruppen an unsere Terminologie anzupassen.

"Gamechanger bei immer knappen Legal-Ressourcen"

Dank des in CloudGate abgebildeten Prozesses wissen wir bereits vor der Verhandlungsphase, ob eine wesentliche/wichtige Auslagerung bzw. Ausgliederung vorliegt. Je weniger aufsichtsrechtliche Anforderungen wir in Provider-Verträge oder Hyperscaler-Verträge hineinverhandeln müssen, desto besser: Das spart Zeit und Nerven.

In CloudGate können unsere Kolleginnen und Kollegen auch die i.d.R. zahlreichen Subprovider eines Anbieters in Klassen einteilen, so dass wir uns bei späteren Vertragsprüfungen auf die wirklich kritischen Subprovider konzentrieren können.

Was uns aber noch viel mehr Zeit und Ressourcen spart, ist die automatische Änderungserkennung in Allgemeinen Nutzungsbestimmungen. Wir könnten ohne CloudGate unserer Pflicht zu Prüfung von Änderungen, insbesondere bei der hohen Zahl an SaaS-Lösungen gar nicht nachkommen - ein echter Gamechanger.

Übrigens haben wir uns sehr gefreut, dass wir nicht gezwungen waren, unsere bisherige Vertragsmanagement-Lösung aufzugeben, sondern diese sehr schnell mit CloudGate koppeln konnten. Dank der gut dokumentierten Schnittstelle konnte unsere IT das sogar selbst umsetzen.

"Kurz: Wow!"

Naturgemäß schauen wir aus der IT-Architektur ja gerne mal unter die Motorhaube. Das sah bei CloudGate richtig gut aus: eine Kubernetes-basierte moderne Anwendungsarchitektur mit Mandantentrennung und Verschlüsselung.

Viel Wert legen wir bei SaaS-Lösungen auf eine kontinuierliche Weiterentwicklung. Nach Abstimmungen mit microfin war klar, dass über die automatisierte CI/CD-Strecke drei bis vier Releases pro Monat an alle Kunden ausgerollt werden - ein Evergreening ist also gesichert.

In der Regel bewerten wir aber nicht nur die eingesetzte Technik, sondern auch das UX-Design. Die Benutzerschnittstelle, die intuitive Bedienbarkeit, die Übersichtlichkeit und vielfältige Export-Funktionen haben uns gut gefallen.

Abgerundet wird das Ganze durch eine ordentliche Knowledge Base. Unser Beifall gilt aber insbesondere der richtig nützlichen Schnittstellen-Doku in der Lösung selbst: Als Entwickler kannst du da alle REST-API-Funktionen direkt ausprobieren. Erste Sahne!

"Top Delivery model inklusive Beratung"

Uns ist microfin empfohlen worden, als wir auf der Suche nach einem Auslagerungsmanagement-Tool waren. Schon nach dem ersten Termin war klar, dass die Outsourcing- und Cloud-Beratung, gepaart mit mehr als zwanzig Jahren Beratungserfahrung bei Finanzdienstleistern und Versicherungen, sowie einer praxisorientierten SaaS-Lösung für uns ein belastbares Zukunftsversprechen darstellt.

Zuerst war ich etwas zurückhaltend, da ich erwartet hatte, dass ein Sourcing-Berater sein Delivery model im Offshore organisiert. Das Gegenteil ist jedoch der Fall: Alle Leistungen - vom deutschsprachigen Support, über DevOps bis hin zum Infrastrukturbetrieb - liefert microfin aus Deutschland heraus. Insbesondere die Wahl der Open Telekom Cloud als Infrastruktur-Provider hat bei uns für viel Vertrauen gesorgt.

Wir setzen microfin auch bei kniffligen Risikoanalysen als Berater ein: So konnten wir z.B. auf die vorgefertigten Risikoanalysen für Microsoft 365 in CloudGate zurückgreifen und dadurch MS Teams & Co. schneller einführen und notwendige Kontrollen implementieren.

Das i-Tüpfelchen war die Whitelabeling-Option, die maßgeblich zur Akzeptanz von CloudGate bei unseren Usern beigetragen hat:
Wir konnten damit das Erscheinungsbild von CloudGate ohne Programmieraufwand an unser Unternehmens-CI anpassen.

"Die sind auf Zack"

Schon in der Vorbereitung der CloudGate-Teststellung haben mich die Reaktionszeiten von microfin positiv überrascht. Wir hatten innerhalb weniger Stunden ein kostenfreies Angebot, einen NDA und die Allgemeinen Nutzungsbedingungen auf dem Tisch, so dass ich zur Freude meiner Kolleginnen und Kollegen die Teststellung direkt beauftragen konnte.

Im weiteren Verlauf habe ich mir natürlich das Preismodell angeschaut und mit microfin über die Verrechnungsmodalitäten gesprochen. "Pay as you go", basierend auf den genutzten Rollen, und eine über die Lösung selbst einfach kontrollierbare Nutzungsabrechnung erleichtert mir die kaufmännische Abwicklung massiv - ich war sofort ein Fan.

Außerdem habe ich begeistert zur Kenntnis genommen, dass die Rolle des Bedarfsträgers in der First Class Edition von CloudGate kostenfrei genutzt werden kann. Das ist für uns sehr wichtig, da unseren Demand-Prozess im Grunde jeder Mitarbeiter im Unternehmen anstoßen kann - egal ob Fachseite oder IT - und wir somit die Zahl der Bedarfsträger gar nicht benennen können. Einfach rund!

"Neue ISM-Messlatte"

Wir wollten es genau wissen und haben CloudGate unserer bewährten ISM-Prüfung mit mehr als 200 Prüfpunkten unterzogen. Angeschaut haben wir uns im Detail alle technischen und organisatorischen Maßnahmen, quasi von Applikationssicherheit bis Zugangskontrolle.

Was soll ich sagen: Unser Erwartungen wurden deutlich übertroffen. microfin hat mit ihren Antworten eine neue Messlatte geschaffen, und wir hatten echt mal nichts zu meckern - fast ein bisschen schade!

Okay, mit der Open Telekom Cloud als Partner für das Infrastructure Management haben wir ehrlich gesagt auch kein anderes Ergebnis erwartet.

Ganz besonders gut gefallen hat uns, dass microfin für jede Anforderung die Maßnahmen jeweils klar getrennt für das Application und das Infrastructure Management dargestellt hat.

Übrigens haben wir CloudGate auch für uns entdeckt und die Provider, die wir prüfen, können jetzt unsere ISM-Prüflisten direkt in CloudGate bearbeiten. So sehen wir direkt den Fortschritt und greifen sofort und nicht erst nach vier bis sechs Wochen ein, falls der Detaillierungsgrad nicht passt.

Top!

"Compliance auch in anderen Themen"

Unser ZAM fand den rechtlichen und regulatorischen Content in CloudGate ja so gut. Ist ja nett, der Fokus liegt auf Outsourcing- und IT-Themen, da geht aber mehr, habe ich mir anfangs gedacht.

Dann habe ich die Funktionalitäten rund um Prüfkataloge und digitale Checklisten mal ausprobiert und das Potenzial der vordefinierten Antworten, Fragebäume, Entscheidungs-Unterstützung sowie Prüfpunkt-Hintergrundinformationen erkannt.

Inzwischen haben wir uns eine ganze Reihe von Prüfkatalogen für fachliche Compliance-Themen und auch interne Revisionsprüfungen selbst angelegt. Das hilft uns, Compliance auch in anderen Themenbereichen zu erzielen - Revisionssicherheit bringt die Lösung ja mit, und für die neuen Themenbereiche haben wir einfach weitere agile Boards angelegt und separieren uns so sehr elegant von den ZAM-Themen.

Sehr universell mit Zusatznutzen - das begeistert mich.

"Just do it!"

Wir wollten uns erst gar nicht mit CloudGate beschäftigen - unsere Denke war: "Nicht noch ein Risikomanagementsystem". Allerdings haben wir das Argument gekauft, dass Risiken im Zusammenhang mit Managed Services, KI oder Cloud-Anwendungen am besten dort aufgehoben sind, wo auch die Onboardings und Risikoprüfungen durchgeführt werden.

Wir haben dann erst Monate nach Start mit CloudGate die Risikomatrix angepasst. Da waren leider schon etliche Risiken erfasst!
Aber was soll ich sagen: Obwohl wir die Risikomatrix bezüglich Eintrittshäufigkeit, Schadenshöhe und Klassen angepasst haben, mussten wir die erfassten Risiken nicht neu zuordnen - das hat CloudGate automatisch gemacht. Da hat sich jemand echt mal 'nen Kopf gemacht.

Genial ist, dass wir problemlos Risiken für einzelne Services, Verträge oder Provider ad hoc nacherfassen können und dass wir über das zentrale Risiko-Dashboard sofort sehen, welche Services unsere Risiken treiben bzw. welche Maßnahmen diese mitigieren.

Natürlich wollten wir die operationellen Risiken aus CloudGate regelmäßig an unser zentrales Risikomanagementsystem übermitteln. Das war zum Glück nicht so schwer wie befürchtet - in wenigen Tagen hat microfin eine Schnittstelle über die REST-API bereitgestellt.

"Endlich von Anfang an dabei"

Mit CloudGate haben wir endlich die Möglichkeit, auch die von unseren Fachbereichen so heiß begehrten SaaS-Lösungen hinsichtlich Ergonomie, Leistungs- und Verhaltenskontrolle von Anfang an zu prüfen. Sowohl wir als auch unsere Personalabteilung waren es leid, erst kurz vor Freigabe eines Services "nebenbei" gefragt zu werden und dann quasi in letzter Instanz eine Lösung abzulehnen zu müssen.

Jetzt können wir im Onboarding direkt mit eigenen Prüfkatalogen parallel zu unseren Kolleginnen und Kollegen neue Lösungen unter die Lupe nehmen und diese auf potenzielle Verletzungen von Persönlichkeitsrechten unserer Belegschaft prüfen.

Dabei haben wir gelernt, dass sich bei vielen Lösungen kritische Berichte oder Telemetriedaten einschränken lassen, um so eine Nutzung doch noch zu ermöglichen.

Uns hat imponiert, dass microfin bereits mit der Bereitstellung der CloudGate-Instanz entsprechende Prüfkataloge für uns bzw. HR bereitgestellt hat. Das zeugt von Praxiserfahrung, und wir starten jetzt in unserer neuen Rolle als Innovator und Möglichmacher durch!

"Jou, da kann die BaFin gerne mal klingeln"

Wir müssen gelegentlich die Ordnungsmäßigkeit von Onboarding-Entscheidungen prüfen bzw. Entscheidungsketten nachvollziehen. Da trifft es sich gut, dass es in CloudGate eine explizite Revisorenrolle für mich gibt.

Ich kann mir alles anschauen, ohne Sorge haben zu müssen, un­be­ab­sich­tigt was zu ändern: Meine CloudGate-Rolle lässt mich über­all "read-only" reinschauen und ich bin auch der Einzige, der den kompletten Audit-Trail in Gänze und im Detail einsehen kann.

Was mich besonders begeistert, ist die integrierte Option für digitale Signaturen. Damit lassen sich z.B. Risk Acceptances oder Produk­tions­frei­gaben durch mehrere Verantwortliche digital signieren. Damit wird endlich nichts mehr gedruckt, und trotzdem können wir Kenntnisnahmen oder Freigaben zweifelsfrei nachweisen.

Coole Sache das!