Kennisbank

Was eine Control-Matrix genau festlegt

Ein Vorstand, der aufgefordert wird nachzuweisen, dass er in control ist, kann sich nicht mit der Mitteilung begnügen, dass Richtlinien bestehen. Es muss eine Struktur vorhanden sein, die pro Verpflichtung zeigt, wer verantwortlich ist, welcher Nachweis vorliegt und welche Control dafür sorgt, dass dieser Nachweis weiterhin zutrifft. Diese Struktur heißt eine Control-Matrix. Sie ist keine Berichtsform und keine Vorlage, die man für einen Auditor ausfüllt; sie ist die Art, wie eine Organisation sich selbst erklären kann, was geschieht und warum das ausreicht.

Die drei Spalten, die wirklich zählen

Eine Control-Matrix besteht aus mehr als einer Liste mit Verpflichtungen. Pro Verpflichtung stehen mindestens drei Dinge fest: wer der Eigentümer ist, was der Nachweis ist, dass dieser Verpflichtung entsprochen wurde, und welche Control überwacht, dass dieser Nachweis aktuell und zutreffend bleibt. Ohne Eigentümer wird eine Verpflichtung niemandes Aufgabe. Ohne Nachweis ist eine Verpflichtung eine Absicht. Ohne Control ist ein Nachweis eine Momentaufnahme, die veraltet, sobald die Organisation sich verändert. Wer Eigentümer einer Verpflichtung ist bei einer Gruppe mit mehreren Entitäten ist deshalb kein Detail, das später ausgefüllt wird, sondern das Erste, was feststehen muss, bevor eine Matrix irgendetwas bedeutet.

Was als Nachweis gilt, unterscheidet sich je nach Verpflichtung und je nach Land, in dem die Verpflichtung gilt. Eine europäische Regel, die im Grundtext eindeutig erscheint, wird in der nationalen Umsetzung häufig anders ausgestaltet: andere Nachweisform, andere Häufigkeit, anderes Gremium, das sie feststellen muss. Eine Matrix, die dafür keinen Raum lässt, wirkt vollständig und ist es nicht. Für eine genaue Ausarbeitung dessen, was in einem konkreten Fall als Nachweis gilt, ist was als Nachweis gilt bei einer Verpflichtung bei einer Gruppe mit mehreren Entitäten der Ausgangspunkt, nicht diese Seite.

Warum Nachweis auseinanderfällt

In einer Gruppe mit mehreren Entitäten, mehreren Ländern oder mehreren Abteilungen entsteht Nachweis selten an einem Ort. Richtlinien liegen bei der Rechtsabteilung, die Umsetzung bei einer lokalen Niederlassung, die Berichterstattung bei Finance und die Genehmigung bei einem Vorstand, der das Ganze nicht täglich sieht. Eine Control-Matrix, die dies nicht abbildet, verschleiert, dass Fragmentierung das eigentliche Risiko ist. Nicht das Fehlen von Richtlinien, sondern die Unmöglichkeit, den Nachweis wiederzufinden, dass Richtlinien auch angewendet wurden. Wo das genau schiefgeht und warum es bei Gruppenstrukturen häufiger vorkommt als bei einer einzelnen Entität, ist ausgearbeitet unter wo Nachweis sich verstreut bei einer Gruppe mit mehreren Entitäten.

Eine Matrix löst diese Fragmentierung nicht, indem alles an einem Ort gesammelt wird — das ist häufig nicht realisierbar und auch nicht nötig. Was die Matrix tatsächlich tut, ist anzugeben, wo sich jedes Stück Nachweis befindet und wer in dem Moment, in dem danach gefragt wird, darauf verweisen kann. Das ist ein anderes Ziel als Zentralisierung: Es geht um Auffindbarkeit, nicht um Sammlung.

Richtlinie ist nicht dasselbe wie Praxis

Ein häufiger Fehler in einer Control-Matrix ist, dass der Nachweis aus dem Richtliniendokument selbst besteht. Ein Richtliniendokument zeigt, dass eine Organisation etwas beschlossen hat, nicht dass es geschieht. Ein Auditor oder eine Aufsichtsbehörde, die nachfragt, will wissen, wie sich die Richtlinie in eine konkrete, wiederholbare Handlung übersetzt: eine Genehmigung, die festgehalten wurde, eine Kontrolle, die durchgeführt wurde, eine Abweichung, die erkannt und nachverfolgt wurde. Wie diese Unterscheidung in der Praxis funktioniert, wird erläutert unter wie Sie nachweisen, dass Richtlinie auch Praxis ist bei einer Gruppe mit mehreren Entitäten. Eine Control-Matrix, die diese Unterscheidung nicht trifft, vermittelt Scheinsicherheit: auf dem Papier vollständig, in der Praxis nicht zu verteidigen.

Auffindbarkeit als Anforderung, nicht als Nebensache

Der Wert einer Control-Matrix hängt nicht davon ab, wie vollständig sie zum Zeitpunkt der Erstellung ist, sondern davon, wie gut sie sich in dem Moment behauptet, in dem jemand von außen danach fragt. Das bedeutet, dass Nachweis nicht nur bestehen muss, sondern auch so aufbewahrt werden muss, dass ein Auditor ohne Vorwissen über die Organisation ihm folgen kann. Eine Matrix, die auf Nachweis verweist, den niemand mehr wiederfinden kann, ist in der Praxis eine leere Matrix. Was dafür in Bezug auf Aufbewahrung und Struktur nötig ist, steht unter wie Sie Nachweis aufbewahren, damit ein Auditor ihn findet, bei einer Gruppe mit mehreren Entitäten. Bei einer Gruppe mit mehreren Entitäten ist dies ein eigener Aufmerksamkeitspunkt, da Nachweis, der lokal gespeichert ist, selten von selbst sichtbar ist für diejenigen, die auf Gruppenebene Rechenschaft ablegen. Mehr zum Aufbau der Matrix selbst bei einer solchen Struktur steht unter was eine Control-Matrix ist bei einer Gruppe mit mehreren Entitäten.

Von der Matrix zur Umsetzung

Eine Control-Matrix macht sichtbar, wer welchen Nachweis sammeln, aktuell halten und vorlegen können muss. Das ist Arbeit, die wiederkehrt: dieselbe Kontrolle, dieselbe Sammlung, dieselbe Verifizierung, immer wieder, oft über mehrere Entitäten und Länder gleichzeitig. Sobald diese Wiederholung sichtbar wird, entsteht die Frage, welcher Teil davon eine Aufgabe ist, die jemand jedes Mal erneut erledigen muss, und welcher Teil systematisch genug ist, um anders organisiert zu werden. Der Werkscan von FTE TO AI berechnet pro Aufgabe, welcher Teil dieser Arbeit von KI übernommen werden kann, ausgehend von den Aufgaben, wie sie in einer Control-Matrix bereits beschrieben sind.