Eine Verpflichtung, die auf dem Papier besteht, aber keinen Eigentümer hat, existiert für einen Auditor nicht. Das ist der Kern dessen, worauf viele Organisationen ins Stocken geraten. Es wurde eine Berichtspflicht identifiziert, es wurde eine Richtlinie geschrieben, aber die Frage, wer täglich dafür sorgt, dass die Richtlinie umgesetzt wird, und wer nachweisen kann, dass dies geschieht, bleibt unbeantwortet. Ohne einen Namen bei einer Verpflichtung gibt es keine Kontrolle, und ohne Kontrolle gibt es keine nachweisbare Compliance.
Eigentümerschaft einer Verpflichtung ist mehr als ein Name in einem Organigramm. Es bedeutet, dass eine Person oder eine Funktion für drei Dinge verantwortlich ist: dass die Verpflichtung ausgeführt wird, dass der Nachweis darüber erfasst wird, und dass dieser Nachweis auffindbar ist in dem Moment, in dem jemand danach fragt. Ein Eigentümer, der nur weiß, dass eine Aufgabe zu ihm gehört, aber nicht zeigen kann, was davon erfasst wurde, ist in der Praxis kein Eigentümer, sondern ein Name auf einer Liste.
Dieser Unterschied ist genau der Punkt, an dem viele interne Kontrollsysteme versagen. Richtlinien werden auf Vorstandsebene festgelegt, die Umsetzung findet auf Abteilungsebene statt, und die Verknüpfung dazwischen wird selten explizit gemacht. Wie diese Verknüpfung hergestellt werden kann, und warum Richtlinie und Praxis ohne diese Verknüpfung voneinander abweichen, steht beschrieben in wie Sie nachweisen, dass Richtlinie auch Praxis ist.
Bei einer einzelnen Organisation ist der Eigentümer einer Verpflichtung meist noch zu finden: Es gibt eine juristische Einheit, einen Vorstand, eine Buchführung. Bei einer Gruppe mit mehreren Einheiten ändert sich das. Eine Verpflichtung, die auf Gruppenebene gilt, muss irgendwo in der Organisation ausgeführt werden, und das kann auf Gruppenebene sein, auf Ebene einer Tochtergesellschaft, oder verteilt über mehrere Einheiten, die jeweils einen Teil der Information liefern.
Die Frage, wer Eigentümer ist, wird dann zu einer Frage der Struktur: welche Einheit die Daten konsolidiert, welche Einheit die zugrunde liegenden Daten liefert, und wer verantwortlich ist, wenn eines dieser Glieder fehlt. Diese Frage stellt sich bei Gruppenstrukturen so häufig und so spezifisch, dass es eine eigene Behandlung dafür gibt: wer Eigentümer einer Verpflichtung bei einer Gruppe mit mehreren Einheiten ist geht darauf ein, wie sich diese Verantwortung verteilt und wo die Verteilung schiefläuft.
Eigentümerschaft und Nachweis gehören zusammen, aber in der Praxis fallen sie auseinander. Ein Eigentümer wird anhand eines Organigramms benannt, während der Nachweis der Ausführung anderswo erfasst wird: in einer E-Mail, einer Tabelle auf einer lokalen Festplatte, einem System, das nur bei einer Tochtergesellschaft im Einsatz ist. Wer auf Gruppenebene Rechenschaft ablegen muss, muss dann erst herausfinden, wo sich der Nachweis befindet, bevor er zeigen kann, dass die Verpflichtung erfüllt wurde.
Dieses Problem ist nicht zufällig, es ist strukturell bei jeder Organisation, die aus mehreren Teilen besteht. Genau hier setzt wo Nachweise bei einer Gruppe mit mehreren Einheiten verstreut liegen an: welche Stellen in einer Organisation Nachweise entstehen lassen, ohne dass jemand diese Nachweise zentral sammelt, und warum das erst auffällt, wenn ein Auditor danach fragt.
Nicht jedes Dokument, das vorgelegt wird, gilt für einen Auditor als Nachweis. Ein Richtliniendokument zeigt, dass eine Absicht besteht, nicht, dass diese Absicht umgesetzt wurde. Ein Protokoll einer Vorstandssitzung zeigt, dass ein Thema besprochen wurde, nicht, dass ein Beschluss befolgt wurde. Ein Nachweis muss eine direkte Verbindung zur Verpflichtung haben, die er belegen soll: wer hat was getan, wann, und wie wurde das erfasst.
Bei einer Gruppe mit mehreren Einheiten wird diese Frage komplexer, weil Nachweise auf verschiedenen Ebenen entstehen können und nicht jede Ebene die gleiche Aussagekraft hat. Was in dieser Situation konkret als Nachweis gilt, und warum ein Nachweis der einen Einheit nicht ohne Weiteres ein Nachweis für die Verpflichtung der Gruppe ist, wird ausgeführt in was als Nachweis bei einer Verpflichtung bei einer Gruppe mit mehreren Einheiten gilt.
Eine Liste von Eigentümern ist ein Ausgangspunkt, kein System. Um nachweisbar in Control zu sein, muss jede Verpflichtung mit einem Eigentümer verknüpft sein, mit dem Nachweis, den dieser Eigentümer liefert, und mit einer Control, die feststellt, ob dieser Nachweis vollständig und aktuell ist. Diese Verknüpfung wird häufig in einer Control-Matrix festgehalten, einer Übersicht, die pro Verpflichtung zeigt, wer verantwortlich ist und wie das kontrolliert wird. Was eine Control-Matrix genau bedeutet und warum eine Liste mit Eigentümern ohne diese Matrix bei einem Audit nicht standhält, wird behandelt in was eine Control-Matrix ist.
Ebenso wichtig ist die Frage, wo dieser Nachweis aufbewahrt wird, und ob ein Auditor ihn ohne Hilfe der Organisation wiederfinden kann. Ein System, das vom Wissen eines einzelnen Mitarbeiters abhängt, ist kein System, sondern ein Risiko. Wie Nachweise so aufbewahrt werden, dass sie auffindbar bleiben, auch wenn eine Gruppe aus mehreren Einheiten besteht, steht beschrieben in wie Sie Nachweise so aufbewahren, dass ein Auditor sie bei einer Gruppe mit mehreren Einheiten findet.
Das Zuweisen von Eigentümerschaft und das Einrichten der Nachweisführung ist Arbeit: das Erstellen von Übersichten, das Sammeln von Dokumentation, das Nachhalten, wer was geliefert hat. Ein Teil dieser Arbeit ist wiederholbar und folgt einem festen Muster, was sie für Unterstützung durch KI geeignet macht. Der Werkscan von FTE TO AI berechnet pro Aufgabe, welcher Teil dieser Arbeit übernommen werden kann, sodass sichtbar wird, wo Menschen für die Beurteilung notwendig bleiben und wo Systeme das Sammeln und Ordnen von Nachweisen übernehmen können.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.