Die Einführung des ServiceNow Zurich Release markiert einen bedeutenden Fortschritt für Organisationen, die die Integrated Risk Management (IRM) Suite nutzen. Dieses Update, das auf den Grundpfeilern Einheitlichkeit und Automatisierung basiert, bringt leistungsstarke neue Funktionen mit sich, die darauf ausgerichtet sind, Governance, Risk & Compliance Prozesse (GRC) zu optimieren und die Widerstandsfähigkeit von Unternehmen zu stärken. Im Folgenden werfen wir einen Blick auf die interessantesten Erweiterungen.
Now Assist IRM
Das ServiceNow Zurich Release stellt eine Reihe von Verbesserungen im Bereich der KI-Funktionalitäten vor. Die wichtigsten Neuerungen sind:
- Risk Event Zusammenfassung: Anstatt umfangreiche Datensätze manuell zu analysieren, können Risikomanager nun Now Assist nutzen, um prägnante Zusammenfassungen komplexer Risikovorfälle automatisch zu erstellen. Die KI hebt dabei Ursachen, ergriffene Maßnahmen und finanzielle Auswirkungen hervor, sodass Teams innerhalb weniger Sekunden die wichtigsten Informationen erfassen und fundiertere Entscheidungen treffen können.
- Regulatorische Änderungen werden Kontrollen zugeordnet: Dieses Feature beseitigt den mühsamen und fehleranfälligen Prozess, neue regulatorische Anforderungen mit internen Kontrollen abzugleichen. Now Assist analysiert automatisch eingehende regulatorische Benachrichtigungen und schlägt die betroffenen internen Kontrollen vor. Dadurch wird der gesamte Compliance-Prozess schneller, einfacher und präziser.
- Rationalisierung von Kontrollzielen: Um redundante Arbeiten zu reduzieren, analysiert Now Assist die gesamte Bibliothek von Kontrollzielen und identifiziert semantisch ähnliche Einträge. Anschließend werden diese zu einem einheitlichen, konsolidierten Kontrollziel zusammengeführt. Das verringert die Gesamtzahl der zu verwaltenden Kontrollen und steigert die Effizienz und Produktivität des GRC-Teams.
Diese Verbesserungen durch Now Assist ermöglichen es GRC-Fachkräften, ihren Fokus von manueller Datenverarbeitung hin zu strategischer Risikominderung zu verlagern – und so eine effizientere und widerstandsfähigere Organisation aufzubauen.
AI Control Tower
Eine der spannendsten neuen Funktionen ist zweifellos der AI Control Tower – ein zentralisiertes Steuerungszentrum, das es ermöglicht, künstliche Intelligenz strategisch und verantwortungsvoll unternehmensweit zu managen. Er bietet den notwendigen Rahmen, damit Organisationen über die reine Nutzung von KI hinausgehen und Ausrichtung, Risiken und Mehrwert aktiv steuern können. Zu den wichtigsten Funktionen gehören:
- Ausrichtung der KI-Strategie am Business Value: Der Control Tower verknüpft KI-Initiativen direkt mit den strategischen Unternehmenszielen. Er ermöglicht die Erstellung strategischer Roadmaps und – besonders wichtig – die Nachverfolgung von Wertschöpfung und Produktivität jeder einzelnen KI-Lösung. So können datenbasierte Entscheidungen über zukünftige Investitionen und Einsatzstrategien getroffen werden.
- Vereinheitlichung von Risiko, Compliance und Inventarisierung: Der Control Tower schafft eine Single Source of Truth, indem er eine vollständige Inventarisierung sämtlicher KI-Assets – einschließlich solcher auf Hyperscalern wie AWS Bedrock oder Microsoft Azure – direkt innerhalb der CMDB ermöglicht. Die Plattform bietet Echtzeit-Transparenz über das aktuelle Risikoprofil der KI-Landschaft, einschließlich Scoring, Sicherheitsüberwachung und Compliance-Kontrolle, um eine verantwortungsvolle und ethische Implementierung sicherzustellen.
- Durchsetzung granularer LLM-Kontrollen: Eine Schlüsselfunktion ist die Möglichkeit, unternehmensweite Richtlinien für Large Language Models (LLMs) durchzusetzen. So lässt sich zentral steuern, welche LLM-Anbieter freigegeben sind und wie Daten regional oder global verarbeitet werden dürfen, um strenge Datenschutz- und Compliance-Anforderungen zu erfüllen.
Der AI Control Tower liefert damit die Werkzeuge, um innovativ und zugleich sicher zu agieren – und stellt sicher, dass KI verantwortungsvoll, ethisch und mit maximalem geschäftlichem Nutzen eingesetzt wird.
Erweitertes Risikomanagement
Risikobewertung – Rasteransicht
Mit dem ServiceNow Zurich Release wurde eine neue, dynamische Raster- bzw. Grid-Ansicht eingeführt, die Power-Usern eine tabellenähnliche Oberfläche zur Datenprüfung und -verwaltung bietet. Dieses flexible und intuitive Format verbessert die Bewertungsgenauigkeit und steigert die Produktivität, beschleunigt Entscheidungen und erhöht die Effizienz und Effektivität des Risikomanagements im gesamten Unternehmen.
- Flexibles, tabellenbasiertes RCSA (Risk and Control Self-Assessment) für Power-User, um Risiken und Kontrollen schnell zu vergleichen, bearbeiten und priorisieren – eine moderne Alternative zur bisherigen gestapelten Ansicht.
- Excel-ähnlicher Ansatz für die Bewertung eines einzelnen Risikos, der einen fokussierten, datengetriebenen Blick erlaubt.
- Unterstützung von Datenanalysen, Entwurfsmodus und Fehlerprüfungen, um präzise Bewertungen zu gewährleisten.
- Navigation zwischen Listen, Anzeige von Risikodetails und kontrollbasierten Bewertungen direkt innerhalb der Oberfläche.
- Schnelle, intuitive Risikobewertung mit Funktionen wie Massenbearbeitung, nebeneinander gestellten Vergleichen und verbesserter Risikopriorisierung.
- Beibehaltung aller Funktionen der gestapelten Ansicht, kombiniert mit einer vereinfachten und flexibleren Benutzererfahrung.
Früher umfasste das RCSA die Bewertung mehrerer Risiken und Kontrollen über vorgeschriebene Workflows und komplexe Datenebenen, was wenig flexibel war und die Priorisierung von Risikoinformationen erschwerte. Die neue Rasteransicht bietet nun eine übersichtliche, tabellenähnliche Oberfläche, in der Power-User Risiken und Kontrollen schneller vergleichen, bearbeiten und priorisieren können – alles in einem konsolidierten Arbeitsbereich.
Business Outcome:
- Schnellere Risikobewertung und schnellere Entscheidungen – insbesondere in Umgebungen mit komplexen Bewertungsprozessen können Risiken deutlich effizienter analysiert und priorisiert werden.
- Höhere Produktivität und Analysequalität für Power-User – durch die neue Arbeitsweise steigt die Genauigkeit und Aussagekraft der Risikobewertungen.
- Flexibles und intuitives Format – fördert eine beschleunigte Entscheidungsfindung und sorgt für mehr Effizienz und Wirksamkeit im gesamten Risikomanagement der Organisation.
TPRM
Smart Assessment Engine
Mit dem ServiceNow Zurich Release hält die Smart Assessment Engine (SAE) nun auch Einzug in das Third-Party Risk Management (TPRM). Diese Integration verändert grundlegend, wie Bewertungen durchgeführt werden, und bietet ein modernes, kollaboratives Framework für interne wie externe Assessments. Anstelle eines statischen Prozesses ermöglicht die SAE eine dynamische, intuitive Benutzeroberfläche, die effizientere und präzisere Drittanbieterbewertungen unterstützt.
Bisher: Bewertungen basierten auf statischen Fragebögen, die nur begrenzt flexibel waren. Vorlagen ließen sich kaum anpassen, und es fehlte an integrierter Echtzeit-Kollaboration. Zudem war die Benutzeroberfläche unübersichtlich und zeitaufwendig in der Handhabung.
Jetzt: Die neue Smart Assessment Engine bietet eine moderne, intuitive Nutzererfahrung. Teams können Bewertungen in Echtzeit gemeinsam bearbeiten, profitieren von automatischem Speichern (Auto-Save) und der Möglichkeit, Dateianhänge direkt an einzelne Fragen anzufügen. Zudem können bestehende klassische Vorlagen in großen Mengen migriert werden, was den Umstieg für Bestandskunden erheblich erleichtert.
Business Outcome:
Durch die Einführung der Smart Assessment Engine (SAE) können Unternehmen die Effizienz ihrer Third-Party-Risikobewertungen deutlich steigern. Die kollaborativen Funktionen reduzieren den sonst üblichen zeitaufwendigen Kommunikationsaufwand zwischen internen Teams und externen Partnern erheblich. Gleichzeitig sorgt die verbesserte Benutzererfahrung für eine vereinfachte Handhabung seitens der Drittanbieter, was zu schnellerer Durchführung und Abschluss der Assessments führt.
Smart Assessments Erweiterungen
Mit dem ServiceNow Zurich Release werden zwei zentrale Neuerungen innerhalb des Smart Assessment Engine (SAE) Core eingeführt: Echtzeit-Kollaboration und Scoring-Normalisierung.
Echtzeit-Kollaboration für Multi-Stakeholder-Assessments
Diese Funktion wurde entwickelt, um die Durchführung von Assessments mit mehreren Beteiligten grundlegend zu verändern:
- Mehreren Nutzern können gleichzeitig Bewertungen erstellen, prüfen und kommentieren – direkt innerhalb der Plattform.
- Reduziert den Bedarf an manueller Abstimmung und externem Austausch, wodurch Transparenz und Nachvollziehbarkeit verbessert werden; jeder Beitrag ist sichtbar und revisionssicher.
- Verkürzt die Zeit für den Abschluss der Bewertung erheblich.
Business Outcome:
Die Echtzeit-Ausrichtung aller Stakeholder ermöglicht schnellere und präzisere Bewertungen, sodass alle Beteiligten, die mit der Smart Assessment Engine (SAE) arbeiten, bessere Ergebnisse erzielen und Nacharbeiten minimieren können.
Scoring Normalisation
Die neue Funktion „Scoring Normalisation“ beschreibt den Prozess, Bewertungsergebnisse aus unterschiedlichen Skalen oder Formaten in einen standardisierten, vergleichbaren Bereich zu überführen.
Wenn Bewertungsdaten aus verschiedenen Teams oder Fachbereichen stammen, stoßen Prüfer häufig auf verschiedene Bewertungsskalen, z. B. quantitative Skalen wie 1–5 oder 0–10 oder qualitative Skalen.
Vorteile der Scoring-Normalisierung für präzisere Erkenntnisse und fundiertere Entscheidungen:
- Standardisierung: Bewertungsergebnisse aus unterschiedlichen Skalen werden mithilfe einer benutzerdefinierten Normalisierungsmethodik in einen gemeinsamen Bereich überführt.
- Reduzierte Komplexität: Erleichtert die Aggregation von Bewertungen, selbst wenn unterschiedliche Skalen oder Methoden verwendet wurden.
- Flexible Konfiguration: Möglichkeit, eine Standard-Normalisierungsstrategie festzulegen, einschließlich Minimal- und Maximalwerten, sowie Definition, wie Ergebnisse innerhalb der Skala interpretiert werden sollen.
- Konsistente Vergleichbarkeit: Schafft ein einheitliches Bewertungsmodell, das direkte Vergleiche und eine konsistente Metrik-Bewertung ermöglicht.
Business Outcome:
Die Normalisierung ermöglicht die Erstellung eines einheitlichen Bewertungsmodells, wodurch Metriken zuverlässig verglichen, Risiken fundiert priorisiert und entscheidungsrelevante Maßnahmen im gesamten Unternehmen gezielter getroffen werden können.
Licensing: Pro or Enterprise only
Audit Management
Steps im Control-Testing
Mit dem ServiceNow Zurich Release wurde eine Funktion eingeführt, die es Testern und Auditoren ermöglicht, die Wirksamkeit einzelner Testschritte während der Kontrollevaluation klar zu definieren und zu dokumentieren. Dies erleichtert insbesondere die Ursachenanalyse bei Testfehlern.
- Auditoren können detaillierte, einzelne Testschritte für eine effektive Kontrolle festlegen.
- Tester können Ergebnisse für jeden Testschritt während der Kontrollevaluation festhalten.
Früher: Auditoren suchten nach Möglichkeiten, die Wirksamkeit jedes Testschritts klar zu dokumentieren, nach Vorlagen für konsistente und wiederholbare Testschritte und nach Methoden zur Ermittlung der Ursache bei einem fehlerhaften Control-Test.
Jetzt: Die neue Funktion ermöglicht automatisch konsistente und wiederholbare Testschritte mithilfe vordefinierter Vorlagen. Bei einem Testfehler kann der fehlerhafte Schritt schnell identifiziert und die Ursache bestimmt werden, wodurch Nacharbeiten reduziert werden.
Business Outcome:
Durch die Nutzung vordefinierter Vorlagen für Testschritte und Testpläne können Nutzer automatisch konsistente und wiederholbare Testschritte für alle Kontrollen erzeugen.
Entity Based Access (EBA)
Entity Based Access bietet eine strukturierte Möglichkeit, Daten basierend auf dem Organisationsmodell zu segmentieren. Entitäten können dabei Geschäftseinheiten, Regionen oder Abteilungen darstellen, denen Nutzer oder Gruppen zugewiesen werden. Nach Aktivierung sind alle Datensätze, die einer Entität zugeordnet sind – wie Risiken, Kontrollen, Issues oder Audit-Dokumente – nur für die zugewiesenen Nutzer zugänglich.
Dieses Konzept stellt sicher, dass die Sichtbarkeit sensibler Informationen den organisatorischen Strukturen folgt. Die Entitäten selbst bleiben auf der Plattform sichtbar, aber die zugehörigen Datensätze werden ausgeblendet, sofern ein Nutzer nicht über explizite Zugriffsrechte verfügt.
Mit dem Zurich Release hat ServiceNow die Nutzung von Entity Based Access (EBA) deutlich erweitert und vereinfacht:
- Erweiterter Umfang: Erweiterter Umfang: EBA deckt nun nicht mehr nur die Kern-GRC-Datensätze ab, sondern auch auditbezogene Tabellen, Metrikdefinitionen, Metrikaufgaben und Metrikdaten. Dadurch wird EBA zu einer plattformübergreifenden Funktion, statt auf Risk- und Compliance-Daten beschränkt zu sein.
- Massenverwaltung: Administratoren können Nutzer–Entitäten-Zuordnungen in Bulk aktualisieren, was den Verwaltungsaufwand in großen Umgebungen mit vielen Entitäten erheblich reduziert.
- IRM Integration: EBA ist nun mit anderen IRM-Funktionen, wie Risikomatrizen und fortgeschrittenen Risiko-Features, abgestimmt. Dies erleichtert die konsistente Anwendung von entity-basierten Zugriffsbeschränkungen bei Risikoanalysen und Bewertungen.
- Hilfsmittel: Das Release bietet Schritt-für-Schritt-Anleitungen, um Record-Level-Zugriffsupdates anzuwenden, sodass Administratoren EBA zuverlässiger und fehlerfreier einführen können.
Die Erweiterung von EBA im Zurich Release bietet mehrere greifbare Vorteile:
- Reduzierter Verwaltungsaufwand: Durch Massenaktualisierungen und geführte Hilfsmittel sinkt der Zeitaufwand für die Konfiguration und Pflege von EBA deutlich.
- Granularität: Der Zugriff ist nicht mehr nur rollenbasiert, sondern orientiert sich an der tatsächlichen Organisationsstruktur.
- Konsistenz: Regeln werden automatisch auf neue Datensätze angewendet, wodurch eine kontinuierliche Ausrichtung sichergestellt wird.
- Modulübergreifende Sicherheit: Metriken, Audit-Datensätze und Risiken werden alle durch dasselbe Framework gesteuert.
Es gibt auch praktische Aspekte zu beachten:
- Bestehende Daten: Datensätze, die vor der Einführung von EBA erstellt wurden, müssen möglicherweise nachträglich angepasst (backfilled) werden, damit sie den neuen Regeln entsprechen.
- Geschichtete Kontrollen: EBA ersetzt keine ACLs, Rollen oder Vertraulichkeitseinstellungen; diese bleiben weiterhin gültig und können sich überschneiden. Tests sind erforderlich, um die erwarteten Ergebnisse sicherzustellen.
- Performance: Große Implementierungen mit hunderten Entitäten und tausenden Datensätzen erfordern sorgfältige Planung, um Performance Probleme bei Zugriffsanfragen zu vermeiden.
- Benutzerbewusstsein: Da die Entitäten selbst sichtbar bleiben, können Nutzer Entitäten sehen, auf die sie keinen Zugriff auf die zugehörigen Datensätze haben. Kommunikation ist notwendig, um Verwirrung zu vermeiden.
Business Outcome:
Mit dem Zurich Release wird EBA von einer Nischenfunktion zu einem zentralen Zugriffskontrollmechanismus für IRM. Durch die Verknüpfung der Datensatzsichtbarkeit mit organisatorischen Einheiten können Unternehmen die Governance besser an der Unternehmensstruktur ausrichten, das Risiko unangemessener Datenzugriffe reduzieren und die Administration vereinfachen. Das Ergebnis ist ein sicherer und skalierbarer Ansatz, um den Zugriff auf Risiken, Kontrollen, Metriken und Audits konsistent zu steuern.
Fazit
Das ServiceNow Zurich Release stellt einen umfassenden und strategischen Fortschritt im Bereich Integrated Risk Management (IRM) dar. Die sieben zentralen Verbesserungen – insbesondere die Integration von Now Assist GenAI zur Automatisierung von Kontrollprozessen sowie die deutlichen Erweiterungen in Kernbereichen wie Audit Management und Third-Party Risk – befähigen Unternehmen, über traditionelle, reaktive GRC-Ansätze hinauszugehen. Durch die Nutzung dieser leistungsstarken Funktionen können Unternehmen ihr Risikoprogramm in ein proaktives, effizientes und tief integriertes System verwandeln. So wird sichergestellt, dass risikobasierte Entscheidungen in die täglichen Abläufe des gesamten Unternehmens eingebettet sind.