Eine Verpflichtung, die auf Papier steht, ist noch keine Verpflichtung, die erfüllt wurde. Zwischen „wir haben eine Richtlinie“ und „wir zeigen, dass wir in control sind“ liegt eine Ebene, die oft übersprungen wird: der Nachweis. Und nicht jedes Dokument, das irgendwo liegt, zählt als Nachweis.
Ein Richtliniendokument beschreibt eine Absicht. Es sagt, was eine Organisation tun will, nicht was tatsächlich geschehen ist. Ein Auditor oder eine Aufsichtsbehörde fragt nicht nach der Richtlinie, sondern nach deren Ergebnis: Ist die Risikoeinschätzung tatsächlich vorgenommen worden, ist die Genehmigung dokumentiert, wurde die Abweichung in dem Moment gemeldet, in dem sie auftrat. Wie dieser Schritt von der Richtlinie zur Praxis nachweisbar gemacht wird, hängt von der Art der Verpflichtung und davon ab, wie ein Prozess eingerichtet ist; wie Sie nachweisen, dass eine Richtlinie auch Praxis ist geht auf diesen Unterschied ein.
Ein Nachweis ist eine Spur, die eine Handlung, eine Entscheidung oder eine Kontrolle in dem Moment festhält, in dem sie stattfand, mit einem Datum, einem Namen und einem Ergebnis. Eine E-Mail, in der ein Risiko gemeldet wurde. Eine Protokollzeile, in der ein Vorstand eine Abwägung getroffen hat. Eine Logdatei, die zeigt, dass eine Kontrolle tatsächlich durchgeführt wurde, nicht nur, dass sie geplant war. Eine unterschriebene Erklärung eines Lieferanten. Das gemeinsame Merkmal: Es lässt sich nachträglich rekonstruieren, wer was wann getan hat, ohne dass jemand es erneut erzählen muss.
Ob etwas als Nachweis zählt, hängt stark von der Verpflichtung ab, auf die es sich bezieht. Eine Berichtspflicht verlangt eine andere Art von Spur als eine Sorgfaltspflicht, und eine Sorgfaltspflicht wiederum etwas anderes als eine Meldepflicht. Es gibt keine feste Liste, die für jede Verpflichtung dieselbe Antwort liefert; was zählt, ergibt sich aus der Art der Verpflichtung selbst und aus dem, was eine Aufsichtsbehörde dazu festgelegt hat.
In der Praxis entsteht ein Nachweis selten an einem einzigen Ort. Eine Risikoeinschätzung steht in einer Tabelle bei der ersten Verteidigungslinie. Die Genehmigung steht in einem E-Mail-Wechsel mit einer Führungskraft. Die eigentliche Kontrolle steht in einem System eines Dritten. Wenn eine Verpflichtung nachgewiesen werden muss, muss jemand diese drei Spuren wieder zusammenführen — und das gelingt nicht immer. Je größer eine Organisation wird, je mehr Abteilungen sie hat oder je mehr sie mit externen Parteien zusammenarbeitet, desto größer wird die Wahrscheinlichkeit, dass ein Nachweis an einem Ort liegt, den niemand mehr kennt. wo Nachweise verstreut geraten beschreibt die häufigsten Muster dabei: Übergaben zwischen Abteilungen, Systemwechsel und Prozesse, die bei einer externen Partei angesiedelt sind.
Ein Nachweis, der für niemanden außer dem Ersteller auffindbar ist, funktioniert nicht als Nachweis. Ein Auditor, ein neuer Compliance Officer oder eine Aufsichtsbehörde muss eine Spur verfolgen können, ohne dass der ursprüngliche Verfasser daneben sitzt, um sie zu erklären. Das stellt Anforderungen daran, wo ein Nachweis aufbewahrt wird und wie er gekennzeichnet ist: verknüpft mit der Verpflichtung, auf die er sich bezieht, mit einem Datum und einem Verantwortlichen, an einem Ort, der nicht von einer einzelnen Person abhängt, die zufällig noch im Dienst ist. wie Sie Nachweise so aufbewahren, dass ein Auditor sie findet geht auf diese Einrichtung ein.
Jedes Beweisstück gehört zu einer Verpflichtung, und jede Verpflichtung gehört zu jemandem, der erklären kann, warum der Nachweis ausreicht. Ohne diese Verknüpfung entsteht ein Archiv von Dokumenten, bei denen niemand mehr weiß, welche Verpflichtung sie belegen sollten oder wer für ihre Qualität verantwortlich war. wer Eigentümer einer Verpflichtung ist beschreibt, warum diese Zuweisung keine Formalität ist, sondern das Bindeglied, das einen Nachweis in dem Moment nutzbar macht, in dem danach gefragt wird.
Die vier Elemente — Verpflichtung, Eigentümer, Nachweis, Control — gehören gemeinsam in eine Übersicht, nicht verteilt über Abteilungen und Systeme. Diese Übersicht hat einen Namen: eine Control Matrix. Was diese Matrix genau enthält und wie sie aufgebaut wird, steht beschrieben unter was eine Control Matrix ist. Bei einem Konzern mit mehreren Gesellschaften oder Standorten in verschiedenen Ländern wird diese Frage komplexer, weil ein Nachweis auf einer Ebene nicht automatisch auf einer anderen gültig ist; was als Nachweis bei einer Verpflichtung innerhalb eines Konzerns mit mehreren Gesellschaften zählt geht speziell auf diese Situation ein.
Diese Seite beschreibt, was ein Nachweis ist und wo es schiefgeht, nicht welcher Nachweis für Ihre Organisation konkret ausreicht. Das hängt von der Verpflichtung, der Branche und dem Land ab, in dem eine Gesellschaft ansässig ist — und von der Art, wie nationale Gesetzgeber eine europäische Regel umgesetzt haben. csrdcompliance.net zeigt diesen Unterschied auf, ersetzt aber keine Rechtsberatung und gibt keine Garantie für ein Ergebnis bei einer Aufsichtsbehörde.
Das Erfassen und In-Ordnung-Bringen von Nachweisen kostet Arbeit: Spuren sammeln, mit einer Verpflichtung verknüpfen, so kennzeichnen, dass ein anderer sie wiederfindet. Ein Teil dieser Arbeit ist wiederholbar und folgt einem festen Muster, was sie geeignet macht, (teilweise) automatisiert zu werden. Der Werkscan von FTE TO AI berechnet pro Aufgabe, welcher Teil dieser Arbeit von KI übernommen werden kann, sodass klar wird, wo Menschen für die Beurteilung nötig bleiben und wo das Sammeln und Ordnen von Nachweisen unterstützt werden kann. Der Compliance Check von csrdcompliance.net befindet sich im Aufbau; wer darüber benachrichtigt werden möchte, kann sich für die Warteliste anmelden.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.