Ein Vorstand kann ein Richtliniendokument genehmigen und gleichzeitig nicht wissen, ob diese Richtlinie auch angewendet wird. Das ist keine Ausnahme, es ist der Normalzustand in einer Organisation, in der Richtlinien zentral geschrieben und dezentral ausgeführt werden. Die Frage, die ein Prüfer stellt, ist nicht „Haben Sie eine Richtlinie“, sondern „Können Sie zeigen, dass diese Richtlinie funktioniert“. Das ist eine andere Art von Frage, und die verlangt eine andere Art von Antwort.
Eine Richtlinie ist eine Absicht. Sie beschreibt, was eine Organisation tun möchte: wie sie mit Lieferanten umgeht, mit Daten, mit Risiken. Wirkung ist das, was tatsächlich geschieht, auf dem Arbeitsplatz, in einem System, in einer Entscheidung, die letzten Monat getroffen wurde. Zwischen diesen beiden kann ein Unterschied bestehen, den niemand bemerkt hat, einfach weil niemand systematisch geprüft hat, ob die Richtlinie auch so umgesetzt wurde, wie beabsichtigt.
Nachweisbarkeit überbrückt diesen Unterschied. Es ist nicht die Richtlinie selbst, sondern die Spur, die belegt, dass die Richtlinie angewendet wurde: eine Entscheidung, eine Genehmigung, eine Abweichung, die signalisiert und nachverfolgt wurde. Ohne diese Spur ist eine Richtlinie eine Absichtserklärung, keine Aussage über die Ausführung.
Nicht jedes Dokument, das ein Thema behandelt, ist ein Beweis dafür, dass die Verpflichtung eingehalten wurde. Eine Prozessbeschreibung zeigt, wie etwas funktionieren sollte, nicht dass es so funktioniert hat. Ein Nachweis, der standhält, ist in der Regel konkreter: eine Genehmigung mit Datum und Namen, ein Systemprotokoll, ein Abweichungsbericht mit dem ergriffenen Folgeschritt. Was als Nachweis bei einer Verpflichtung gilt, ausgearbeitet für eine Gruppe mit mehreren Einheiten zeigt, welches Detailniveau erforderlich ist, um eine Verpflichtung nachweisbar zu machen, und welches Niveau nicht ausreicht.
Dieser Unterschied ist wichtiger, als er scheint. Eine Organisation, die sich mit Richtliniendokumenten und Schulungsübersichten begnügt, hat in der Regel mehr Papier als Nachweis. Die Frage ist nicht, wie viel Dokumentation vorhanden ist, sondern ob diese Dokumentation belegt, dass eine bestimmte Handlung zu einem bestimmten Zeitpunkt von einer bestimmten Person durchgeführt wurde.
In einer einzelnen Einheit mit einer übersichtlichen Organisation ist der Nachweis meist an einer begrenzten Anzahl von Stellen zu finden. In einer Gruppe mit mehreren Einheiten, Ländern oder Abteilungen entsteht ein anderes Bild. Richtlinien werden zentral festgelegt, aber die Ausführung findet in Tochtergesellschaften statt, die eigene Systeme, eigene Verantwortliche und eigene Arten der Erfassung haben. Der Nachweis, dass die Richtlinie funktioniert, entsteht also an Dutzenden Stellen gleichzeitig, ohne dass ein zentraler Überblick besteht, wo genau dieser Nachweis liegt.
Wo Nachweise sich bei einer Gruppe mit mehreren Einheiten verstreuen beschreibt, wie diese Zersplitterung entsteht und warum sie sich oft erst in dem Moment offenbart, in dem jemand den Nachweis tatsächlich benötigt. Dieser Moment ist meist eine Prüfung, eine Due Diligence oder eine Frage einer Aufsichtsbehörde, und genau das ist der Moment, in dem Eile und Unsicherheit am schädlichsten sind.
Ein Nachweis, der existiert, aber nicht auffindbar ist, funktioniert in der Praxis nicht als Nachweis. Ein Prüfer, der drei Wochen auf eine Antwort warten muss, die anderswo bereits vorlag, zieht daraus eine Schlussfolgerung über die Qualität der internen Kontrolle, unabhängig davon, ob die zugrunde liegende Richtlinie inhaltlich in Ordnung war. Nachweisbarkeit erfordert also nicht nur Belege, sondern eine Struktur, in der diese Belege innerhalb angemessener Zeit auftauchen.
Wie Sie Nachweise so aufbewahren, dass ein Prüfer sie findet, ausgearbeitet für eine Gruppe mit mehreren Einheiten geht auf diese Auffindbarkeit ein: wo Nachweise erfasst werden, wer Zugriff darauf hat, und wie verhindert wird, dass die Antwort auf eine einfache Frage zu einer wochenlangen Suche wird. Dazu gehört auch eine klare Zuweisung von Eigentümerschaft: wer Eigentümer einer Verpflichtung bei einer Gruppe mit mehreren Einheiten ist bestimmt nämlich nicht nur, wer für die Ausführung verantwortlich ist, sondern auch, wer angesprochen werden kann, wenn der Nachweis angefordert wird.
Um Richtlinie und Praxis zusammenzubringen, muss für jede Verpflichtung klar sein, wer der Eigentümer ist, was als Nachweis gilt, und welche Kontrolle belegt, dass der Nachweis regelmäßig überprüft wird. Diese drei Elemente zusammen bilden eine Control-Matrix: eine Übersicht, die Verpflichtung, Eigentümer und Nachweis verknüpft, sodass ein Vorstand nicht bei jeder Frage rekonstruieren muss, wer wofür verantwortlich war. Dieselbe Struktur, spezifisch ausgearbeitet für die Komplexität einer Gruppenstruktur, ist beschrieben in wie Sie nachweisen, dass Richtlinie auch Praxis ist bei einer Gruppe mit mehreren Einheiten.
Der Compliance Check von csrdcompliance.net befindet sich im Aufbau. Ziel ist eine Übersicht, in der pro Verpflichtung der Eigentümer, der Nachweis und die zugehörige Kontrolle festgehalten sind, sodass ein Vorstand nachweisen kann, dass er in Control ist, statt es behaupten zu müssen. Wer dies nutzen möchte, sobald es verfügbar ist, kann sich für die Warteliste anmelden.
Die Kartierung von Eigentümerschaft und Nachweis ist die eine Seite der Sache, die Durchführung all dieser Kontrollen und Erfassungen ist die andere. Wer sich fragt, wie viel dieser ausführenden Arbeit tatsächlich Menschenarbeit bleiben muss, kann beim Werkscan von FTE TO AI vorbeischauen: Der berechnet pro Aufgabe, welcher Teil der Arbeit von KI übernommen werden kann und welcher Teil eine Beurteilung erfordert, die bei einem Menschen bleibt.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.