„Die in Brasilien machen das schon irgendwie" – dieser Satz fällt laut Validato, Schweizer Anbieter für Background-Checks und Human Risk Management, in international tätigen Schweizer Konzernen erstaunlich oft, wenn es um Background Checks in Tochtergesellschaften geht. Seit der Verschärfung des nDSG und angesichts zunehmender globaler Cyber-Risiken ist „irgendwie" nach Einschätzung von Validato keine Option mehr: Das Headquarter trägt die ultimative Verantwortung, sei es durch Reputationsrisiken oder durch konzernweite Haftung bei Datenschutzverstössen.
Das eigentliche Problem ist laut Validato ein Governance-Problem: In dezentralen Strukturen fehlt dem Global HR Head oder dem CISO oft der Überblick, ob in der Tochtergesellschaft in Polen wirklich alle IT-Administratoren gescreent werden, wo die sensiblen Ergebnisse eines Checks aus Singapur gespeichert sind oder ob in den USA tatsächlich ein zertifizierter Anbieter zum Einsatz kommt. Dieser Kontrollverlust ist gefährlich, weil sich ein einheitliches Sicherheitsniveau nur über konzernweite Standards erreichen lässt – ein Flickenteppich lokaler Praktiken lässt sich im Audit- oder Krisenfall kaum verteidigen.
Die Antwort sind laut Validato Multi-Entity-Dashboards: Moderne Screening-Plattformen bilden eine hierarchische Struktur ab, in der Zürich als globale Policy etwa definiert, dass jede Person mit Finanzzugriff einen Credit Check durchlaufen muss. Das System übersetzt diese Vorgabe lokal, für die deutsche Tochter in eine SCHUFA-Auskunft, für die britische Tochter in einen Credit Report. „Im Dashboard sieht das Headquarter den Status Grün, ohne die sensiblen Detailergebnisse einsehen zu müssen. Datenschutz und zentrale Kontrolle schliessen sich damit nicht aus, im Gegenteil", meint André Naef, CEO von Validato.
Sobald das Schweizer Headquarter Daten der Tochtergesellschaften verarbeitet oder dafür einen zentralen Dienstleister beauftragt, fliessen Personendaten über Landesgrenzen. Intercompany Data Processing Agreements regeln laut Validato, dass die Schweizer Mutter als Verantwortliche oder als Auftragsbearbeiterin agiert und die lokalen Töchter entsprechend instruiert; für jeden grenzüberschreitenden Datenfluss müssen dabei die nötigen SCC- und TIA-Absicherungen hinterlegt sein – im Idealfall automatisiert über die Plattform statt manuell für jeden Einzelfall erstellt. Zentralisierung zahlt sich dabei auch finanziell aus: Handelt jede Tochtergesellschaft eigene Verträge mit lokalen Anbietern aus, verliert der Konzern seine Einkaufsmacht und riskiert Doppelspurigkeiten, während ein zentraler Rahmenvertrag Skaleneffekte ermöglicht und die genaue Kostenzuordnung pro Cost Center erlaubt.
Für Schweizer Konzernzentralen mit internationalen Aktivitäten führt laut Validato kein Weg am zentralen Screening-Management vorbei: Es ist aus Sicht des Anbieters der einzige Weg, einheitliche Qualitätsstandards durchzusetzen, Compliance-Risiken global zu minimieren und Prozesskosten zu senken – und macht aus einem Flickenteppich lokaler Praktiken ein robustes, auditierbares Sicherheitsnetz. Validato bietet Schweizer Konzernzentralen dafür eine zentrale Plattform mit Multi-Entity-Steuerung und lokal anpassbaren Prüfmodulen an.
Das eigentliche Problem ist laut Validato ein Governance-Problem: In dezentralen Strukturen fehlt dem Global HR Head oder dem CISO oft der Überblick, ob in der Tochtergesellschaft in Polen wirklich alle IT-Administratoren gescreent werden, wo die sensiblen Ergebnisse eines Checks aus Singapur gespeichert sind oder ob in den USA tatsächlich ein zertifizierter Anbieter zum Einsatz kommt. Dieser Kontrollverlust ist gefährlich, weil sich ein einheitliches Sicherheitsniveau nur über konzernweite Standards erreichen lässt – ein Flickenteppich lokaler Praktiken lässt sich im Audit- oder Krisenfall kaum verteidigen.
Die Antwort sind laut Validato Multi-Entity-Dashboards: Moderne Screening-Plattformen bilden eine hierarchische Struktur ab, in der Zürich als globale Policy etwa definiert, dass jede Person mit Finanzzugriff einen Credit Check durchlaufen muss. Das System übersetzt diese Vorgabe lokal, für die deutsche Tochter in eine SCHUFA-Auskunft, für die britische Tochter in einen Credit Report. „Im Dashboard sieht das Headquarter den Status Grün, ohne die sensiblen Detailergebnisse einsehen zu müssen. Datenschutz und zentrale Kontrolle schliessen sich damit nicht aus, im Gegenteil", meint André Naef, CEO von Validato.
Sobald das Schweizer Headquarter Daten der Tochtergesellschaften verarbeitet oder dafür einen zentralen Dienstleister beauftragt, fliessen Personendaten über Landesgrenzen. Intercompany Data Processing Agreements regeln laut Validato, dass die Schweizer Mutter als Verantwortliche oder als Auftragsbearbeiterin agiert und die lokalen Töchter entsprechend instruiert; für jeden grenzüberschreitenden Datenfluss müssen dabei die nötigen SCC- und TIA-Absicherungen hinterlegt sein – im Idealfall automatisiert über die Plattform statt manuell für jeden Einzelfall erstellt. Zentralisierung zahlt sich dabei auch finanziell aus: Handelt jede Tochtergesellschaft eigene Verträge mit lokalen Anbietern aus, verliert der Konzern seine Einkaufsmacht und riskiert Doppelspurigkeiten, während ein zentraler Rahmenvertrag Skaleneffekte ermöglicht und die genaue Kostenzuordnung pro Cost Center erlaubt.
Für Schweizer Konzernzentralen mit internationalen Aktivitäten führt laut Validato kein Weg am zentralen Screening-Management vorbei: Es ist aus Sicht des Anbieters der einzige Weg, einheitliche Qualitätsstandards durchzusetzen, Compliance-Risiken global zu minimieren und Prozesskosten zu senken – und macht aus einem Flickenteppich lokaler Praktiken ein robustes, auditierbares Sicherheitsnetz. Validato bietet Schweizer Konzernzentralen dafür eine zentrale Plattform mit Multi-Entity-Steuerung und lokal anpassbaren Prüfmodulen an.
