Kontinuierliche Rollenoptimierung bei Union Investment

Union Investment betreibt eine ausgereifte IAM-Umgebung – doch Größe und Komplexität führen zu dauerhaften Governance-Herausforderungen. Bei über 300.000 Berechtigungsobjekten und mehr als 1.000 angebundenen Anwendungen erfordert eine saubere, effiziente Rollenstruktur kontinuierlichen Aufwand.

Business-Rollen in einem mehrstufigen Modell verändern sich zwangsläufig mit der Zeit. Wenn sich Organisationsstruktur und Anwendungslandschaft wandeln, veralten Rollen, die ursprünglich gut konzipiert waren. Die Verantwortung für Business-Rollen liegt bei den Fachbereichen – doch die Pflege und Optimierung von Rollen ist eine komplexe administrative Aufgabe außerhalb ihrer Kernarbeit.

Gleichzeitig verursacht die wiederkehrende manuelle Rezertifizierung von Systemrollen-Zuweisungen erheblichen Aufwand. Viele dieser Zuweisungen könnten durch bestehende Business-Rollen abgedeckt werden – doch herauszufinden, welche, und dabei SoD-Anforderungen und Vererbungshierarchien zu berücksichtigen, ist in dieser Größenordnung manuell nicht praktikabel.

Die Ziele waren:

• Die Berechtigungsstruktur kontinuierlich und mit hohem Automatisierungsgrad vereinfachen
• Systemrollen, die in Business-Rollen konsolidiert werden können, automatisch identifizieren
• Die Anzahl manueller Systemrollen-Zuweisungen reduzieren, die rezertifiziert werden müssen
• Sicherstellen, dass alle Optimierungsvorschläge SoD-Vorgaben und Anforderungen an die Rollenreinheit einhalten
• Business-Rollen-Owner in der Kontrolle halten und gleichzeitig ihren administrativen Aufwand minimieren

Union Investment setzt NEXIS als kontinuierliche Optimierungsebene auf der OneIM-Umgebung ein. Die Rollenoptimierung hat sich von einer wiederkehrenden manuellen Aufgabe zu einem laufenden, teilautomatisierten Prozess entwickelt.

Systemrollen, die sich für eine Konsolidierung in Business-Rollen eignen, werden nun automatisch identifiziert und in einem strukturierten Workflow geprüft. Sobald der verantwortliche Business-Rollen-Owner einen Vorschlag freigibt, werden die dadurch ersetzten manuellen Zuweisungen direkt in OneIM aufgelöst. Jede freigegebene Konsolidierung reduziert somit die Zuweisungen, die in den nächsten Rezertifizierungszyklus eingehen.

Ergebnisse:

• Automatisierung etabliert:
  Konsolidierungsvorschläge werden kontinuierlich erzeugt und ersetzen die periodische manuelle Rollenanalyse.
• Rezertifizierungsumfang an der Quelle reduziert:
  Jede freigegebene Konsolidierung löst die ersetzten manuellen Zuweisungen auf und senkt so das Volumen künftiger Rezertifizierungszyklen.
• Compliance by Design:
  Vorschläge entstehen innerhalb der SoD-Matrix und der Regeln zur Rollenreinheit, sodass keine Konsolidierung einen SoD- oder Reinheitsverstoß verursacht.
• Verantwortung bleibt im Fachbereich:
  Jede Änderung durchläuft eine strukturierte Prüfung und die Freigabe durch den Business-Rollen-Owner – ohne zusätzlichen Analyseaufwand für die Fachbereiche.
• Volle Transparenz:
  Ein Reporting-Dashboard erfasst angenommene Vorschläge und die je Runde eingesparten Rezertifizierungszuweisungen, ergänzt durch eine Aufgabenübersicht für offene, laufende und abgeschlossene Punkte.