Eine Verpflichtung ist erst dann nachgewiesen, wenn es etwas gibt, das jemand anderes prüfen kann, ohne Sie dafür fragen zu müssen. Das ist der Kern der Nachweisbarkeit: nicht das, was Sie wissen, dass es geschehen ist, sondern das, was ein Auditor, eine Aufsichtsbehörde oder ein neuer Compliance Officer wiederfinden kann, ohne dass Sie es erklären müssen. Viele Unternehmen entdecken erst während einer Prüfung, dass der Nachweis zwar existiert, aber nicht auffindbar ist.
Ein Nachweis ist nicht dasselbe wie eine Richtlinie. Ein Richtliniendokument besagt, was beabsichtigt ist; ein Nachweis zeigt, dass diese Absicht auch umgesetzt wurde. Denken Sie an einen genehmigten Beschluss mit Datum und Namen des Genehmigenden, einen E-Mail-Wechsel, aus dem eine Abwägung hervorgeht, ein Protokoll einer Kontrolle, die tatsächlich durchgeführt wurde, oder einen Bericht, der mit den zugrunde liegenden Daten übereinstimmt. Was genau als ausreichender Nachweis gilt, unterscheidet sich je nach Verpflichtung, und was als Nachweis gilt bei einer Verpflichtung bei einer Gruppe mit mehreren Entitäten zeigt, wie sich diese Frage zuspitzt, sobald mehrere Standorte oder Tochtergesellschaften hinzukommen. Der rote Faden ist stets, dass der Unterschied zwischen Richtlinie und Praxis oft unterschätzt wird: Ein Dokument, das gut aussieht, ist kein Nachweis dafür, dass auch jemand danach gehandelt hat. Wie sich dieser Unterschied sichtbar machen lässt, ist ausgearbeitet unter wie Sie nachweisen, dass Richtlinie auch Praxis ist.
Ein Nachweis entsteht meist nicht an dem Ort, an dem er letztlich benötigt wird. Eine Risikoeinschätzung wird von einem operativen Team erstellt, eine Genehmigung erfolgt per E-Mail, eine Kontrolle wird in einer Tabelle festgehalten, die nur auf einer lokalen Festplatte liegt. Bis ein Auditor verlangt nachzuweisen, dass eine Verpflichtung erfüllt wurde, muss jemand diesen Nachweis wieder aufspüren. Bei einer einzelnen Entität ist das schon schwierig; bei einer Gruppe mit mehreren Standorten, Ländern oder Tochtergesellschaften wird es zu einer eigenen Suche. Jede Entität hat womöglich ein eigenes Archiv, ein eigenes System, eine eigene Art der Dokumentation. Wo das genau schiefläuft und warum es nicht nur eine Frage der Disziplin ist, ist beschrieben unter wo Nachweise bei einer Gruppe mit mehreren Entitäten verstreut landen. Für Gruppenstrukturen speziell gibt es eine Ausarbeitung derselben Frage wie auf dieser Seite, zugeschnitten auf jene Situation: wie Sie Nachweise so aufbewahren, dass ein Auditor sie findet bei einer Gruppe.
Auffindbarkeit beginnt bei der Eigentümerschaft. Ein Nachweis, der nirgends einen Eigentümer hat, wird nirgends gepflegt und somit auch nicht an einem Ort aufbewahrt, an dem ihn jemand finden kann. Für jede Verpflichtung gibt es jemanden, der letztlich erklären kann, was getan wurde und warum; wer das ist, ist innerhalb einer Organisation mit mehreren Abteilungen oder Entitäten nicht immer selbstverständlich. Wie diese Eigentümerschaft festgestellt wird und warum sie nicht automatisch bei der Compliance-Abteilung liegt, steht unter wer Eigentümer einer Verpflichtung ist. Sobald diese Eigentümerschaft geklärt ist, ist die nächste Frage nicht noch ein Dokument, sondern eine Struktur, die Verpflichtung, Eigentümer und Nachweis miteinander verknüpft. Diese Struktur wird meist Control Matrix genannt, und was diese Matrix löst und was nicht, wird erläutert unter was eine Control Matrix ist.
Der Reflex bei Nachweisbarkeit ist oft: mehr festhalten, mehr archivieren, mehr Ordner anlegen. Das löst das Problem nicht. Ein Auditor, der drei Systeme durchsuchen muss, um eine einzige Verpflichtung zu prüfen, erlebt das nicht als „in control", auch wenn der Nachweis durchaus existiert. Die Frage ist nicht, wie viel Nachweis es gibt, sondern ob er sich zurückverfolgen lässt: von der Verpflichtung zum Eigentümer, zum Nachweis, zur Kontrolle, die belegt, dass es geschehen ist. Ohne diese Rückverfolgbarkeit bleibt der Nachweis verstreut liegen, selbst wenn er auf dem Papier vollständig ist.
Das gilt umso stärker, je größer und komplexer eine Organisation ist. Nationale Umsetzungen ein und derselben europäischen Regel fallen je Land unterschiedlich aus, mit anderen Fristen, anderen Behörden und anderen Erwartungen darüber, was als Nachweis gilt. Was in einem Land ausreicht, ist es im anderen nicht automatisch. Das macht eine zentrale, rückverfolgbare Struktur für Nachweise nicht zu einer Frage der Ordentlichkeit, sondern zu einer Voraussetzung, um den Überblick darüber zu behalten, was pro Land, pro Entität und pro Verpflichtung tatsächlich festgehalten wurde.
Das Festhalten, Pflegen und Auffindbarmachen von Nachweisen ist selbst eine Form von Arbeit: Dokumente ordnen, Verweise anlegen, prüfen, ob eine Akte vollständig ist, bevor ein Auditor danach fragt. Ein Teil dieser Arbeit ist repetitiv und folgt je Verpflichtung einem festen Muster. Wer wissen möchte, welcher Teil dieser Arbeit von KI übernommen werden kann und welcher Teil vom menschlichen Urteil abhängig bleibt, kann das mit dem Werkscan von FTE TO AI berechnen lassen, der pro Aufgabe angibt, wie viel Raum für Automatisierung besteht.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.