Compliance · Kontrollen · Entwurf

Ein Compliance-Datensatz ist ein Zustandsautomat

Ein Risiko, ein Lieferant, eine Kontrolle oder eine Ausnahme ist kein Dokument. Es ist ein kleines Ding, das immer in genau einem Zustand ist und sich nur auf erlaubten Wegen bewegen kann. Wenn Sie es so in einem Werkzeug aufbauen, das die Leute schon nutzen, ist der Prüfpfad keine Rekonstruktion mehr.

Fragen Sie ein Team, wo sein Risikoregister lebt, und Sie hören oft „in einer Tabelle, und vor dem Audit aktualisiert sie jemand“. Die Tabelle ist nicht das Problem. Das Problem ist, dass nichts eine Zeile daran hindert, „akzeptiert“ zu sagen, ohne dass jemand etwas akzeptiert hat.

Es gibt eine ältere Idee, die das löst: den Zustandsautomaten. Ein Ding hat eine feste Menge von Zuständen und eine feste Menge von Übergängen zwischen ihnen. Es ist immer in einem Zustand. Ein Übergang kann Bedingungen haben.

Compliance-Pflichten verhalten sich bereits so. Ein Risiko wird erkannt, bewertet, behandelt, akzeptiert oder geschlossen. Ein Lieferant wird angefragt, geprüft, freigegeben, überwacht und verlassen. Eine Kontrolle wird geplant, umgesetzt, wirksam betrieben und überprüft. Eine Ausnahme wird beantragt, bis zu einem Datum genehmigt und läuft ab. Wir schreiben die Regeln nur selten als Regeln auf.

Was Sie gewinnen, wenn Sie es tun

• Berichten wird zu Zählen. Jeder Datensatz ist in einem Zustand, also ist „wie viele Risiken sind unbehandelt“ eine Abfrage und keine Besprechung.
• Ein Übergang kann eine Bedingung tragen: Nur die verantwortliche Person darf ein Risiko akzeptieren. Er kann eine Anforderung tragen: Eine Begründung muss vorliegen, bevor eine Kontrolle als nicht anwendbar markiert wird.
• Jeder Übergang wird mit Wer und Wann gespeichert. Das ist der Prüfpfad, als Nebenprodukt erzeugt statt unter Druck rekonstruiert.

Wo es leben kann

Die meisten Teams arbeiten bereits in einem Ticketsystem, dessen Workflows genau das sind: Zustände, Übergänge, Bedingungen. Die Datensätze liegen in einem Projekt, die Erläuterung und die Live-Ansichten in einem Wiki. Eine Risikobehandlung wird zu einer Aufgabe im eigenen Backlog des Teams, mit dem Risiko verknüpft, sodass die Compliance-Arbeit in derselben Warteschlange steht wie die übrige Arbeit. Ein Dokument wie die Erklärung zur Anwendbarkeit wird dann zu einer Ansicht der Datensätze, und deshalb bleibt es wahr.

Drei Gewohnheiten, die es ehrlich halten

1. Der Workflow ist eine Kontrolle, also ist seine Änderung ein kontrollierter Vorgang: Wenige Personen dürfen ihn bearbeiten, und alle sehen den Verlauf.
2. Befristete Entscheidungen laufen ab. Eine Ausnahme mit Enddatum, die sich von selbst wieder öffnet, kann nicht leise dauerhaft werden.
3. Fangen Sie klein an. Wenige Workflows, die genutzt werden, schlagen viele, die niemand öffnet, und jeder soll eine Tabelle ersetzen, statt neben ihr zu stehen.

Was es nicht leistet

Ein Ticketsystem sammelt keine maschinellen Nachweise aus Ihren Systemen; eine Plattform dafür kann daneben laufen. Und ein Zustandsautomat macht Umgehung sichtbar und schwerer, nicht unmöglich: Die Berechtigungen darum herum bleiben Teil der Kontrolle.

Das ist derselbe Gedanke wie „harte Kontrollen zuerst“: Bitten Sie die Leute nicht, sich an die Regel zu erinnern, bauen Sie den Ort, an dem die Regel durchgesetzt wird.