Audit und Review · Entscheidungen nachvollziehen
Auditfähige Risikoakzeptanz: Die damalige Entscheidung verständlich belegen
Im Audit zählt nicht nur, dass heute ein Status „genehmigt“ sichtbar ist. Eine unbeteiligte Person sollte verstehen können, welches Risiko damals bekannt war, wer entschieden hat und ob die vereinbarten Bedingungen anschließend verfolgt wurden.
Direkte Antwort
Was macht eine Risikoakzeptanz auditfähig?
Mit auditfähig ist hier eine nachvollziehbare Dokumentation gemeint: eindeutiger Umfang, bewertetes Risiko, begründete Entscheidung, zuständige Person, Datum und Versionsbezug sowie Belege zu Maßnahmen und Reviews. Ob Nachweise für eine konkrete Prüfung ausreichen, hängt von deren Anforderungen und dem jeweiligen Kontext ab.
Die Akte aus Sicht einer unbeteiligten Person lesen
Wer den Fall ursprünglich bearbeitet hat, kennt Abkürzungen, mündliche Zusagen und die Geschichte des Systems. Ein Prüfer oder eine neue verantwortliche Person besitzt dieses Wissen häufig nicht. Die Akte sollte deshalb den Zusammenhang erklären, ohne eine Rekonstruktion aus persönlichen Postfächern zu verlangen.
Beginnen Sie mit einer eindeutigen Kennung und einem verständlichen Titel. Benennen Sie betroffene Systeme und Anforderungen, das konkrete Szenario und den geschäftlichen Grund. Eine lange Sammlung von Anhängen ist weniger hilfreich als eine kurze Akte mit passenden, erreichbaren Referenzen.
Trennen Sie dabei aktuelle Sicht und damalige Entscheidungsgrundlage. Die heutige Bewertung kann niedriger sein, weil inzwischen Maßnahmen umgesetzt wurden. Für die Prüfung einer früheren Freigabe bleibt der damalige Zustand entscheidend. Beide Stände müssen im Zusammenhang erkennbar sein.
Eine Nachweiskette mit sechs Gliedern prüfen
Sachverhalt und Umfang
Die Akte zeigt, welche Anforderung in welchem System oder Prozess abwich. Ausschlüsse und betrachtete Daten sind erkennbar. Ein Prüfer kann die Entscheidung von ähnlichen Fällen unterscheiden.
Bewertung und Annahmen
Szenario, Folgen, angewandte Kriterien und Unsicherheiten sind nachvollziehbar. Die Wirkung berücksichtigter Maßnahmen ist erläutert. Der Versionsstand passt zeitlich zur dokumentierten Entscheidung.
Entscheidung und Befugnis
Ergebnis, Begründung, Name beziehungsweise identifizierbare Person und Datum stehen fest. Das erforderliche Mandat ergibt sich aus dem geregelten Verfahren. Eine fachliche Empfehlung ist nicht mit der Risikoübernahme verwechselt.
Bedingungen und Umsetzung
Auflagen sind konkret und verantwortlichen Personen zugeordnet. Nachweise zeigen den tatsächlichen Zustand. Ein bloßer Haken „erledigt“ sollte nicht die einzige Grundlage für eine behauptete Schutzwirkung sein.
Review und Änderungen
Spätere Prüfungen beziehen sich auf die bestehende Entscheidung. Umfangsänderungen, Verzögerungen und neue Erkenntnisse sind erkennbar. Verlängerungen behalten einen eigenen Entscheidungsstand.
Abschluss und Aufbewahrung
Die Akte erklärt, warum die Ausnahme beendet wurde und welche Belege das Ergebnis stützen. Frühere Unterlagen bleiben gemäß den eigenen Regeln zugänglich. Der Abschluss darf die vorherige Entwicklung nicht verdecken.
Belege auswählen statt möglichst viel Material sammeln
Ein Nachweis sollte eine konkrete Aussage stützen. Eine geprüfte Konfiguration kann die Zugangsbeschränkung zeigen; ein Testprotokoll kann die Wiederherstellung belegen. Wählen Sie die Unterlage passend zur Behauptung. Ein Screenshot einer Softwareversion erklärt möglicherweise die Installation, aber nicht die Wirksamkeit aller Schutzmaßnahmen.
Referenzen müssen für die erforderlichen Rollen erreichbar sein. Persönliche Laufwerke, abgelaufene Freigabelinks oder unverständliche Ticketnummern erschweren die Prüfung. Dokumentieren Sie den Bezug und sorgen Sie für eine geregelte Ablage. Die Fallakte muss nicht jeden technischen Inhalt kopieren, solange die Zusammenhänge zuverlässig auffindbar bleiben.
Vermeiden Sie unnötige sensible Informationen in Prüfunterlagen. Beschränken Sie sich auf die für die Aussage erforderlichen Details und nutzen Sie die vorgesehenen Berechtigungen. Dies ist auch praktisch hilfreich: Ein überschaubarer Nachweis lässt sich leichter verstehen und aktuell halten.
Eine interne Stichprobe vor dem Audit durchführen
Wählen Sie nicht ausschließlich den am besten gepflegten Fall. Prüfen Sie zusätzlich eine Verlängerung, eine Genehmigung mit Auflagen und einen abgeschlossenen Vorgang. Diese Fälle zeigen, ob das Verfahren auch nach der ersten Entscheidung konsistent bleibt.
Lassen Sie eine unbeteiligte Person anhand der Akte beantworten, was akzeptiert wurde, welche Bedingungen galten und was seitdem geschah. Notieren Sie fehlende Angaben als konkrete Verbesserungsaufgaben. Erfundene oder rückdatierte Ergänzungen wären keine belastbare Reparatur; nachträgliche Klarstellungen sollten als solche erkennbar sein.
Prüfen Sie auch einen Rollenwechsel. Kann die neue verantwortliche Person die offenen Aufgaben erkennen, während die historische Entscheidung weiterhin der ursprünglichen Person zugeordnet ist? Diese Trennung ist für die laufende Steuerung ebenso wichtig wie für eine Prüfung.
Nachvollziehbarkeit und Revisionssicherheit nicht gleichsetzen
Ein Änderungsverlauf unterstützt die Nachvollziehbarkeit. Ob eine Ablage bestimmte Anforderungen an Unveränderbarkeit und Aufbewahrung erfüllt, ist eine weitergehende Frage. Begriffe wie „revisionssicher“ sollten deshalb nur mit einem klaren Bezug auf tatsächliche technische und organisatorische Eigenschaften verwendet werden.
Bei Abweichwerk sind eingereichte Revisionen, Entscheidungen und Auditereignisse anwendungsseitig geschützt. Daraus folgt keine pauschale Aussage über kryptografische Archivierung oder jede denkbare Aufbewahrungsanforderung. Bewerten Sie für Ihren Einsatz auch Berechtigungen, Betrieb und den Umgang mit exportierten Unterlagen.
Fiktives Praxisbeispiel
Eine Verlängerung muss sechs Monate später erklärt werden
Ein fiktives Team hatte eine Ausnahme für fehlende Ereignisprotokollierung zunächst für acht Wochen genehmigt. Wegen einer Herstellerverzögerung wurde später eine weitere Laufzeit beantragt. Im internen Audit wird genau diese Fortsetzung ausgewählt.
- Ursprüngliches Risiko
- Bestimmte Änderungen ließen sich nur eingeschränkt untersuchen. Kontrollierte Administration und zusätzliche Arbeitsnachweise sollten die Auswirkungen begrenzen.
- Neue Grundlage
- Die zweite Fassung dokumentiert Erfahrungen mit den Zwischenmaßnahmen, den neuen Herstellertermin und weiterhin bestehende Lücken. Sie ist von der ersten Bewertung unterscheidbar.
- Entscheidung
- Die zuständige Risikoeigentümerin genehmigt nach erneuter Prüfung sechs weitere Wochen. Name, Datum, Begründung und Bedingungen sind mit dieser Fassung verbunden.
- Review und Abschluss
- Nach drei Wochen erfolgt ein dokumentierter Review. Nach Umsetzung wird die Protokollierung getestet; das Ergebnis belegt den späteren Abschluss.
Die prüfende Person kann beide Entscheidungen verstehen, ohne die beteiligten Mitarbeitenden nach ihrer Erinnerung zu fragen. Ein lediglich überschriebenes Enddatum hätte diese Erklärung nicht ermöglicht.
Nachweise mit Abweichwerk im Fallzusammenhang halten
Abweichwerk verbindet die Fallbearbeitung mit Revisionen, Entscheidungen und einem Audit-Verlauf. Vorhandene Exportmöglichkeiten unterstützen die Bereitstellung von Unterlagen. Wichtig bleibt, dass die Inhalte fachlich vollständig und die Referenzen verständlich sind.
Nutzen Sie im Pilot eine eigene Prüfaufgabe: Eine nicht beteiligte Person soll eine Genehmigung und deren spätere Entwicklung erklären. So beurteilen Sie den praktischen Nutzen der Fallakte anhand eines nachvollziehbaren Ergebnisses.
Den Abweichwerk-Workflow ansehenHäufige Fragen: auditfähige Risikoakzeptanz
Garantiert eine vollständige Akte ein erfolgreiches Audit?
Nein. Die Beurteilung hängt von Prüfauftrag, geltenden Anforderungen und tatsächlicher Umsetzung ab. Eine nachvollziehbare Akte erleichtert die Prüfung, ersetzt aber weder wirksame Maßnahmen noch ein insgesamt geeignetes Managementverfahren.
Dürfen fehlende Angaben nachträglich ergänzt werden?
Nachträgliche Klarstellungen können sinnvoll sein, sollten aber als solche erkennbar bleiben. Sie dürfen nicht vortäuschen, Informationen seien bereits zum damaligen Entscheidungszeitpunkt bekannt gewesen. Bewahren Sie ursprünglichen Stand und Zeitpunkt der Ergänzung nachvollziehbar auf.
Muss jeder Nachweis direkt in der Anwendung liegen?
Nicht zwingend. Eine geregelte, erreichbare Referenz kann ausreichen, wenn sie die benötigte Aussage zuverlässig belegt. Prüfen Sie Zugriffsrechte und Aufbewahrung, damit Unterlagen auch bei Rollenwechsel oder späteren Stichproben verfügbar bleiben.
Welche Fälle eignen sich für eine interne Stichprobe?
Neben einem einfachen Fall sind Verlängerungen, Genehmigungen mit Auflagen und abgeschlossene Ausnahmen besonders aufschlussreich. Sie zeigen, ob Bewertungen, Bedingungen und spätere Änderungen nachvollziehbar verbunden bleiben und nicht nur die erste Freigabe dokumentiert wird.
Die nächste Prüfungsfrage aus der Fallakte beantworten
Prüfen Sie im Abweichwerk-Pilot, wie nachvollziehbar Ihre Entscheidungen und Nachweise zusammenstehen.