Welche Systeme gelebte Compliance tragen
Wie Vorgänge, Entscheidungen und Wiedervorlagen im Betrieb zusammenbleiben
Teil 1 der Reihe ordnet betriebliche Compliance-Kompetenz als Dachmodell ein. Teil 2 übersetzt diese Kompetenz in Compliance im Prozessdesign. Teil 3 setzt dort an, wo der Ablauf fachlich steht: Der Vorgang läuft durch vorhandene Systeme und muss seinen Zusammenhang behalten.
HR meldet, der Vorgesetzte begründet, der Systemowner entscheidet, IT setzt um, das System hält den Stand.
Ein Prozess kann über mehrere Systeme laufen. Für die Auskunftsfähigkeit muss trotzdem erkennbar bleiben, was ihn ausgelöst hat, wer entschieden hat, was umgesetzt wurde und wann erneut geprüft wird.
Gelebte Compliance entsteht, wenn Anlass, Daten, Entscheidung, Umsetzung und Wiedervorlage einen zusammenhängenden Arbeitsstand ergeben.
Ein neuer Mitarbeiter startet. HR meldet Eintritt, Rolle und Organisationseinheit. Der Vorgesetzte benennt die benötigten Systeme. Ein Systemowner genehmigt einen kritischen Zugriff. IT richtet Konto, Gerät und MFA ein.
Drei Wochen später ist das Ticket geschlossen. Die fachliche Freigabe liegt in einer E-Mail. Die tatsächlich vergebenen Rechte stehen im Verzeichnisdienst. Der Schulungsnachweis liegt in einer Lernplattform. Für den Access Review wurde kein verbindlicher Termin gesetzt.
Der Prozess wurde durchgeführt. Der vollständige Arbeitsstand ist trotzdem nicht ohne Rekonstruktion erkennbar. Die Leitfrage lautet daher: Welche Systemfunktionen sorgen dafür, dass Anlass, Daten, Freigabe, Umsetzung und Wiedervorlage über den gesamten Vorgang verbunden bleiben?
Ein Prozess kann seine Spur verlieren
Ein fachlich gestalteter Prozess beantwortet, wer was prüft, entscheidet und umsetzt. Im Betrieb verteilt sich diese Arbeit auf Rollen und Systeme. HR eröffnet den Vorgang. Der Vorgesetzte ergänzt den Bedarf. Der Systemowner gibt Rechte frei. IT setzt die Entscheidung um. Das führende Vorgangssystem hält Status und offene Punkte.
Nach Abschluss liegen die Informationen oft getrennt: Eintritt im HR-System, Bedarf im Ticket, Freigabe in einer E-Mail, Rechte im IAM, Schulung in der Lernplattform, Review im Kalender. Die Daten existieren. Sie ergeben jedoch nicht automatisch einen gemeinsamen Arbeitsstand.
Die Herausforderung liegt häufig nicht in fehlenden Daten. Sie liegt in der fehlenden Verbindung zwischen Anlass, Entscheidung, Umsetzung und Wiedervorlage.
Jedes System braucht eine klare Aufgabe
Die Systemlandschaft muss nicht aus einem einzigen Werkzeug bestehen. Für jeden Vorgang muss jedoch feststehen, welches System welchen Teil verbindlich führt. Ein HR-System darf auslösen, ein Ticketsystem darf führen, ein IAM darf umsetzen, eine Ablage darf Freigaben halten und eine Aufgabenlogik darf die nächste Prüfung starten.
Ein System muss nicht alle Funktionen erfüllen. Der Vorgang braucht aber eine klare Zuordnung, damit niemand nachträglich erraten muss, welche Information führend war.
Fünf Mindestfunktionen für einen belastbaren Arbeitsstand
Damit ein Vorgang später auskunftsfähig bleibt, braucht er fünf betriebliche Mindestfunktionen. Diese Mindestarchitektur kann durch ein System oder durch mehrere verbundene Systeme erbracht werden.
Ein Vorgang läuft durch mehrere Systeme
Die Benutzeranlage zeigt, wie Systemunterstützung funktioniert. Der Zusammenhang entsteht durch eindeutige Referenzen, gemeinsame Kennungen, Links, Zeitstempel und benannte Owner. Dafür braucht es keine technische Integrationszeichnung. Es braucht eine verbindliche Übergabe.
Anlass, Datenbasis, Entscheidung, Umsetzung, offene Punkte und nächster Termin ergeben eine aktuelle Aussage zum Vorgang.
Das Praxisbeispiel IT-Onboarding und Zugriff dokumentieren zeigt denselben Vorgang aus der operativen Perspektive.
Vorhandene Systeme gezielt nutzen
Viele mittelständische Unternehmen haben bereits HR-System, Ticket- oder Workflowsystem, Microsoft 365 oder vergleichbare Bürosoftware, Verzeichnisdienst oder IAM, Dokumentenablage, Kalender, Aufgabenverwaltung, Schulungsplattform sowie Einkaufs- oder Lieferantensystem. Der Einstieg gelingt, wenn diese Systeme klare Aufgaben erhalten und Übergaben verbindlich gestaltet werden.
Verbindliche Arbeitsweise mit vorhandenen Werkzeugen
- einheitliche Vorgangsnummer
- definierte Ablage
- feste Freigabefelder
- benannte Owner
- verbindliche Wiedervorlage
Geführter Workflow
- standardisierte Formulare
- Statuslogik
- Pflichtfelder
- automatische Erinnerungen
- rollenbasierte Freigaben
Verbundene Systemlandschaft
- Stammdatenübernahme
- automatische Übergaben
- Statusrückmeldungen
- gemeinsame Auswertung
- konsistente Historie
Der erforderliche Integrationsgrad richtet sich nach Häufigkeit, Risiko, Prozesskomplexität und Zahl der Beteiligten. Ein seltener Vorgang kann mit verbindlicher Arbeitsweise auskommen. Ein häufiger oder risikoreicher Vorgang braucht mehr Führung.
Der Arbeitsstand verbindet die Systeme
Am Ende soll keine möglichst große Dokumentensammlung stehen. Der Arbeitsstand beantwortet: Welcher Vorgang läuft? Was hat ihn ausgelöst? Wer trägt ihn? Welche Daten liegen vor? Was wurde geprüft? Wer hat entschieden? Was wurde umgesetzt? Welche Ausnahme bleibt offen? Wann wird erneut geprüft? Wo liegen die zugehörigen Belege?
System
Die technische Umgebung, in der Daten oder Arbeitsschritte geführt werden.
Datensatz oder Beleg
Eine einzelne Information, Entscheidung oder Umsetzung.
Arbeitsstand
Die aktuelle, zusammenhängende Aussage über Anlass, Verantwortung, Entscheidung, Umsetzung, offene Punkte und Wiedervorlage.
Systeme tragen gelebte Compliance, wenn sie den betrieblichen Vorgang nicht in Einzelinformationen zerlegen, sondern seine Entscheidungen, Umsetzungen und nächsten Prüfpunkte als zusammenhängenden Arbeitsstand erhalten.
Drei weitere Vorgänge folgen derselben Logik
Lieferant mit Systemzugriff
Einkauf, Vertrag, Ticket, IAM, Fernzugang, Nachweisablage und Wiedervorlage halten Zweck, Umfang, Freigabe, Authentifizierung, Laufzeit, Logging, Meldeweg und Review zusammen.
Lieferantenzugriff ansehen →Patch-Ausnahme
Schwachstellenscanner, Ticket, Assetdaten, Entscheidungsablage, Change Management und Wiedervorlage verbinden Schwachstelle, Begründung, Maßnahme, Owner, Freigabe und neues Datum.
Patch Management ansehen →Sicherheitsvorfall und Meldebewertung
Monitoring, Incident-Ticket, Vorfalldokumentation, Meldebewertung, Kommunikationsweg und Wiedervorlage verbinden Kenntniszeitpunkt, Lagebild, Wirkung, Entscheidung und Meldestatus.
Meldebewertung ansehen →Sind Vorgang und Systeme verbunden, bleibt eine zweite Frage: An welchen Stellen darf der Prozess weiterlaufen, und wann braucht er Prüfung, Entscheidung oder Eskalation? Diese Frage behandelt der nächste Beitrag.
Von verbundenen Systemen zu wirksamen Prüfpunkten
Ein verbundener Arbeitsstand macht sichtbar, was im Vorgang bekannt, entschieden und umgesetzt wurde. Im nächsten Schritt muss der Prozess an den richtigen Stellen prüfen, freigeben oder eskalieren. Der folgende Beitrag behandelt Quality Gates im Tagesgeschäft.