Rollen und Berechtigungen in SAP SuccessFactors wachsen oft organisch und werden unübersichtlich
Ein großer Vorteil von SAP SuccessFactors ist Flexibilität. Verschiedene Projektteams können mehrere Module, Prozesse oder Add-Ons in kurzer Zeit implementieren und anwenden. Die Prozesse lassen sich immer wieder optimieren. Eine zentrale Grundlage für umfangreich digitalisierte Prozesse sind strukturierte Vorgaben, welche die Systemzugänge regeln und Zugriffsrechte steuern. SAP bietet in diesem Zusammenhang das Konzept der rollenbasierten Berechtigungen an. Rollenbasierte SAP-Berechtigungen gewähren unterschiedlichen Personengruppen verschiedene Handlungsoptionen und Ansichten im System, regeln bspw. den Zugriff auf Gehaltsdaten. Die rollenbasierten Berechtigungen sind flexibel und erleichtern globale Implementierungen von SAP SuccessFactors, bspw. in verschiedenen Landesgesellschaften. Einmal umgesetzt, lassen sich Rollen mit ihren Berechtigungen schnell auf die neue Region ausrollen. Die Rollen müssen nicht jedes Mal komplett neu konfiguriert werden. Leichte Anpassungen genügen.
Besitzt ein Unternehmen jedoch kein Konzept für das Einführen neuer SAP-Berechtigungen und werden diese stets mit neuen Rollen gekoppelt, wachsen die Rollen und Berechtigungen immer weiter an. Neue Module, neue Prozesse und neue Benutzergruppen führen sehr schnell zu vielen Berechtigungsgruppen, zahlreichen Berechtigungsrollen und einer komplexen Dokumentation (selbst unter der Annahme des Idealfalls, dass Unternehmen bei allen bisherigen Implementierungen & Erweiterungen die Dokumentation bspw. über Excel durchgeführt und aktuell gehalten haben.). Welches Ziel hat eine Rolle? Welcher User besitzt welche Berechtigung? Durch die Menge an Rollen und Berechtigungen wird es für die Anwender schnell unübersichtlich. Auch die System-Performance leidet mit zunehmender Datenmenge.
Beratungshäuser passen die Rollen und Berechtigungen im Nachgang an. Das bedeutet meist „das Beste daraus zu machen“ und Ad-Hoc-Anpassungen vorzunehmen – also nicht, die Ursache zu beheben und von Grund auf aufzuräumen. Unternehmen sollten sich daher fragen: Wie lässt sich das vermeiden? Welche Voraussetzungen muss ein DSGVO-konformes Berechtigungskonzept erfüllen? Wie können wir aussagekräftig bezüglich der Berechtigungen bestimmter Personen im System und dem Zweck der Berechtigungen bleiben?
Ein Konzept für SAP-Berechtigungen beugt Systemfehlern und DSGVO-Verstößen vor
Als SAP SuccessFactors-Implementierungspartner werden wir öfter mit komplexen Berechtigungskonstellationen konfrontiert. Sicher: Wenn ein Beratungshaus nicht als erstes einen Prozess implementiert und der „Rahmen“ dadurch fehlt, müssen die bestehenden SAP-Berechtigungen nachträglich analysiert und das zugrunde liegende Konzept verstanden werden. Erst danach kann der neue Prozess sinnvoll in das Berechtigungskonzept eingefügt werden.
Manchmal sind Implementierungsberater auch mit der Situation konfrontiert, dass noch gar kein Berechtigungskonzept vorhanden ist. Das passiert bspw. dann, wenn Änderungen bei den SAP SuccessFactors-Verantwortlichkeiten auf Kundenseite geschehen oder in der Vergangenheit unterschiedliche Umsetzungspartner tätig waren. Ein fehlendes Konzept kann jedoch zu Fehlern im System führen. Nutzer können bestimmte Aktionen nicht durchführen oder noch schlimmer: Personen sehen sensible Daten, die sie nicht sehen dürften. Dies kann, im schlimmsten Fall, einen DSGVO-Verstoß darstellen und zu einem Bußgeld für das Unternehmen führen.
Wir geben nun einen Überblick, wie sich das vermeiden lässt.
Analyse- und Reportingtool für SAP SuccessFactors sorgt für Ordnung und Überblick
Wissen, warum welcher Nutzer welche SAP-Berechtigung hat
Das Ziel ist, dass SAP SuccessFactors-Anwender den Überblick über Rollen und Berechtigungen im System behalten. Analyse- und Reportingtools helfen dabei. Bei ABS Team nutzen wir eine eigene Kombination aus einer SAP SuccessFactors-Lösung und einer externen Dokumentation dafür. Wie die erste Grafik zeigt, baut unser Ansatz auf einem Delta-Konzept auf: alle SAP-Berechtigungen und Prozesse funktionieren unabhängig voneinander.
Anwender können Prozesse aktivieren oder deaktivieren, ohne andere Prozesse zu beeinflussen. Zum Beispiel können sie Succession & Development aktiv schalten, ohne das Planstellenmanagement in Employee Central zu beeinflussen. Mit Hilfe des Tools wissen die Anwender immer, zu welchem Zweck ein bestimmter Benutzer eine bestimmte Berechtigung bekommen hat. Basisberechtigungen, die für jeden Benutzer identisch sind, werden nur einmal in einer Plattform-Rolle hinterlegt. Damit wird sichergestellt, dass die Systemleistung optimal bleibt.
Dank Rollenbeschreibungen und Echtzeit-Bericht aussagefähig bleiben
Haben Anwender den Zweck der Rollen einmal hinterlegt, können sie die Berechtigungen im SAP-System vergeben. Damit der Überblick gewahrt wird, nutzen wir einen ABS Team-eigenen Bericht (siehe Abb. 3 -5).
Der Bericht zeigt den Systemverantwortlichen in Echtzeit, welche Rollen in SAP SuccessFactors vorhanden sind und welche Berechtigungen diese Rollen beinhalten. Der Bericht zeigt auch, welche Rollen welchen Benutzern zugeordnet sind und ob es Duplikate, bspw. von Gruppen oder Berechtigungen, gibt. Der Anwender kann diese Übersicht jederzeit exportieren.
Die für das System verantwortlichen Personen sollten Rollenbeschreibungen am besten vorab mit Ihren Fachbereichen erarbeiten und außerhalb von SAP SuccessFactors dokumentieren (wie bspw. in Abb. 2). Bei Rückfragen können sie mit dieser Grundlage genau erklären, warum jemand eine bestimmte Berechtigung bekommen hat. Die Rollenbeschreibungen und der Bericht helfen dabei, DSGVO-konform zu arbeiten. Da sich der Bericht automatisch aktualisiert, haben Unternehmen keinen zusätzlichen Aufwand für das Dokumentieren der Änderungen – eine ungeliebte (und oft „vergessene“) Aufgabe weniger.
Durch rollenbasierte Berechtigungen Ordnung schaffen
Viele Unternehmen schenken dem Thema Berechtigungen in SAP SuccessFactors nicht genug Beachtung. Oft erscheint es zu komplex und unübersichtlich. Sowohl die Erstellung eines Konzepts als auch die Harmonisierung bestehender Strukturen erscheint häufig wie eine Mammut-Aufgabe. SAP liefert mit den rollenbasierten Berechtigungen jedoch ein sehr starkes Steuerungstool, welches mit ein wenig Hilfe und Dokumentation übersichtlich bleibt.
Es ist nie zu spät, sein Berechtigungskonzept zu überdenken. Beginnen Sie mit der Definition des Ziels jeder einzelnen Rolle und nutzen Sie die angebotenen Auswertungen in SAP SuccessFactors.
Ich persönlich bin großer Fan der rollenbasierten Berechtigungen in SAP SuccessFactors und bin froh, dass das System so umfangreiche Möglichkeiten hat. Um Ihren Handlungsbedarf in diesem Bereich zu überprüfen, rate ich Ihnen, sich folgende Fragen zu stellen: Wissen Sie, welche Benutzer welche SAP-Berechtigungen bekommen und warum? Können Sie Ihrem Datenschutzbeauftragten das Konzept erklären? Ist es bei Ihnen einfach, einen neuen Prozess einzuführen, weil Sie wissen, wie die Berechtigungen funktionieren? Wenn Sie hier (mehrmals) mit „Nein“ antworten müssen, empfehle ich Ihnen sich dem Thema zu widmen. Es wird ihnen in Zukunft das Leben erleichtern. Wenn Sie Hilfe dabei benötigen, melden Sie sich sehr gerne bei uns!
