Ein Auditor, der Nachweisbarkeit prüft, stellt eine einfache Frage: wo steht der Beweis, dass diese Verpflichtung erfüllt wurde, und wer kann das zeigen. Bei einer einzelnen Entität ist das oft noch überschaubar. Bei einer Gruppe mit mehreren Niederlassungen, Tochtergesellschaften oder Länderorganisationen verteilt sich der Beweis über Systeme, Ordner und Personen, die einander nicht kennen. Das ist nicht unbedingt ein Zeichen schlechter Politik. Es ist oft nur ein Zeichen, dass niemand festgelegt hat, wo Beweise stehen müssen, und wer dafür verantwortlich ist, dass sie dort auch bleiben.
Beweis ist nicht das Richtliniendokument selbst. Ein Auditor fragt nach dem, was zeigt, dass die Richtlinie auch angewendet wurde: ein Beschluss, eine Genehmigung, ein Bericht, ein Abweichungsprotokoll, eine E-Mail, in der ein Verantwortlicher etwas festgestellt hat. Was genau zählt, unterscheidet sich je nach Verpflichtung und je nach Zeitpunkt im Prozess. Auf was als Beweis bei einer Verpflichtung gilt ist ausgeführt, welche Beweisformen zu welcher Art von Verpflichtung gehören, und warum eine Absichtserklärung ohne Anwendung meist nicht ausreicht.
Bei einer Gruppe mit mehreren Entitäten entsteht Verstreuung an einigen vorhersehbaren Stellen. Jede Entität kann eine eigene Verwaltung führen, in einem eigenen System, mit einer eigenen Benennung für Dokumente. Ein lokaler Direktor kann einen Beschluss gefasst haben, der nirgendwo zentral festgehalten wurde. Ein Mutterunternehmen kann annehmen, dass eine Tochtergesellschaft etwas geregelt hat, ohne das je nachgefragt zu haben. Und eine nationale Niederlassung kann zusätzlichen Regeln unterliegen, die die Gruppe als Ganzes nicht kennt, wodurch dafür überhaupt keine Beweise gesammelt werden. Was in einem Land verpflichtend ist, muss es anderswo nicht sein, und umgekehrt: Beispiele dafür stehen auf welche nationalen Zusätze in Deutschland gelten und welche nationalen Zusätze in Frankreich gelten. Wer nur auf die europäische Regel schaut, verpasst den Teil, der lokal hinzugefügt wurde, und damit auch den dazugehörigen Beweis.
Beweis, dem niemand zugeteilt wird, wird meist nicht gepflegt, oder geht verloren, sobald jemand die Funktion wechselt. Auffindbarkeit beginnt daher nicht bei einem Archivsystem, sondern bei der Frage, wer für jede Verpflichtung der Eigentümer ist: wer sorgt dafür, dass der Beweis entsteht, wer verwahrt ihn, und wer kann ihn zeigen, wenn danach gefragt wird. Bei einer Gruppe mit mehreren Entitäten ist das selten eine einzige Funktion für die gesamte Organisation. Wie diese Verteilung aussehen kann, und warum ein einzelner Koordinator auf Gruppenebene meist nicht ausreicht, steht auf wer Eigentümer einer Verpflichtung ist bei einer Gruppe mit mehreren Entitäten.
Ein Auditor, der Beweise sucht, prüft nicht nur, ob eine Verpflichtung in einer Richtlinie festgehalten ist, sondern ob diese Richtlinie auch befolgt wurde. Eine Gruppe kann ein ausgezeichnetes Richtliniendokument zur Lieferantenbewertung haben, während in der Praxis nur ein Teil der Entitäten diese Richtlinie je angewendet hat. Der Unterschied zwischen diesen beiden Ebenen, und wie Sie diesen Unterschied sichtbar machen statt verborgen zu lassen, ist ausgeführt auf wie Sie nachweisen, dass Richtlinie auch Praxis ist bei einer Gruppe mit mehreren Entitäten. Beweis, der nur aus Richtlinientexten besteht, ist für einen Auditor unzureichend, unabhängig davon, wie sorgfältig die Richtlinie geschrieben ist.
Um Beweise über mehrere Entitäten hinweg auffindbar zu machen, hilft es, pro Verpflichtung festzulegen: wer der Eigentümer ist, welcher Beweis erwartet wird, und welche Control zeigt, dass der Prozess wiederholbar ist und nicht von einer Person abhängt. Diese drei Elemente zusammen bilden eine Übersicht, die ein Vorstand konsultieren kann, ohne zuerst bei jeder Entität nachfragen zu müssen. Was eine solche Matrix beinhaltet, und wie sie pro Entität unterschiedlich sein kann, ohne den Zusammenhang zu verlieren, steht auf was eine Control-Matrix ist bei einer Gruppe mit mehreren Entitäten.
Der Compliance Check erfasst, welche Verpflichtungen für die Gruppe gelten, wer davon Eigentümer ist, welcher Beweis dazu passt und welche Control zeigt, dass der Prozess steht. Das ist kein Ersatz für ein Audit, und keine Garantie, dass ein Auditor mit dem Vorliegenden zufrieden ist. Es ist eine Struktur, die dafür sorgt, dass ein Vorstand weiß, wo der Beweis sein sollte, bevor jemand danach fragt.
Das Tool ist im Aufbau. Wer dies nutzen möchte, sobald es verfügbar ist, kann sich für die Warteliste anmelden.
Das Festhalten und Pflegen von Beweisen ist selbst auch Arbeit: Dokumente sammeln, Versionen prüfen, Übersichten über mehrere Entitäten hinweg aktuell halten. Ein Teil dieser Arbeit ist wiederholbar genug, um mit KI unterstützt zu werden. Der Werkscan von FTE TO AI berechnet pro Aufgabe, welcher Teil der Arbeit dafür in Frage kommt, sodass deutlich wird, wo Zeit für die Suche nach Beweisen aufgewendet wird, und wo für deren tatsächliche Beurteilung.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.