Vor einigen Jahren begannen wir, über DevOps zu sprechen. Danach folgten SecOps, FinOps und DataOps.
All diese Disziplinen kamen zu demselben Schluss: Bei der Steuerung eines komplexen Prozesses geht es nicht darum, über gute Werkzeuge zu verfügen, sondern ein System aufzubauen, das kontinuierlich, automatisiert und messbar funktioniert.
Es gibt jedoch einen Bereich im Unternehmen, der diesen Wandel noch nicht durchlaufen hat. In allzu vielen Organisationen ist die Compliance nach wie vor einer der letzten großen Prozesse, die noch auf der Grundlage von E-Mails, Tabellenkalkulationen und persönlichen Erinnerungen verwaltet werden.
Paradoxerweise gab es noch nie so viele regulatorische Auflagen … und noch nie so viele Instrumente zu deren Bewältigung. Und dennoch verbringen viele Compliance-Abteilungen nach wie vor einen Großteil ihrer Zeit damit, Dokumente aufzuspüren, Belege zusammenzustellen und sich an noch zu erledigende Aufgaben zu erinnern.
Der Grund dafür ist nicht, dass es an Instrumenten mangelt. Vielmehr wurden die meisten davon entwickelt, um konkrete Anforderungen zu erfüllen, und nicht, um die Compliance ganzheitlich zu steuern. Ein Instrument für den Meldekanal, ein anderes für das Management von Dritten, ein weiteres für Risiken … aber keines für das Gesamtbild.
Das Problem ist nicht mehr der Mangel an Software. Es ist vielmehr das Fehlen eines Betriebssystems für die Compliance.
Vielleicht lag das Problem gar nicht in den Vorschriften.
Das Problem waren nie die Vorschriften
Wenn man einen Compliance-Beauftragten nach seiner größten Schwierigkeit fragt, antwortet er so gut wie nie, dass es die Auslegung eines Gesetzes sei.
Die Probleme sind in der Regel weitaus alltäglicher.
- Wer war für die Überprüfung dieser Richtlinie zuständig?
- Welcher Anbieter steht noch zur Bewertung an?
- Wo sind die Belege für diese Kontrolle?
- Wer hat die letzte Genehmigung erteilt?
- Welche Mitarbeiter haben die obligatorische Schulung noch nicht abgeschlossen?
- Welche Risiken wurden seit sechs Monaten nicht mehr überprüft?
Die Arbeit im modernen Compliance-Bereich beschränkt sich nicht nur darauf, die Vorschriften zu kennen.
Dabei geht es darum, sicherzustellen, dass Hunderte kleiner Prozesse genau dann ablaufen, wenn sie ablaufen sollen. Und vor allem, dass dies dokumentiert wird.
Compliance ist nicht mehr nur eine Frage der Dokumentation
Seit Jahren verbinden wir die Einhaltung gesetzlicher Vorschriften mit Dokumenten: Richtlinien, Verfahren, Risikomatrixen, Berichten oder Aufzeichnungen.
Die Realität sieht jedoch anders aus. Compliance ist heutzutage eine fortlaufende Aufgabe. Jeden Tag geschieht etwas Neues:
- Ein neuer Mitarbeiter wird eingestellt.
- Ein Lieferant wird unter Vertrag genommen.
- Eine Richtlinie wird geändert.
- Es kommt zu einem Zwischenfall.
- Es wird ein neues Risiko festgestellt.
- Ein Zertifikat läuft ab.
- Ein Kontrollvorgang wird durchgeführt.
Jedes dieser Ereignisse begründet eine Verpflichtung. Und jede Verpflichtung erfordert einen Verantwortlichen, eine Frist, einen Nachweis und Rückverfolgbarkeit. Der eigentliche Gegenstand der Compliance sind nicht mehr die Dokumente, sondern die Prozesse, aus denen diese Dokumente hervorgehen. Mit anderen Worten: Wir verwalten nicht mehr nur Unterlagen.
Wir wickeln derzeit Transaktionen ab.
Compliance-Ablauf
Immer mehr Organisationen erkennen, dass die Einhaltung gesetzlicher Vorschriften als kontinuierlicher Prozess funktionieren muss und nicht als Projekt, das jedes Mal wieder aufgenommen wird, wenn ein Audit bevorsteht.
Es reicht nicht aus, sich auf ein Audit vorzubereiten. Man muss jederzeit auf jedes Audit vorbereitet sein.
Es reicht nicht aus, Belege aufzubewahren. Sie müssen im Rahmen der täglichen Arbeit der Organisation auf natürliche Weise entstehen.
Es reicht nicht aus, erst zu reagieren, wenn ein Problem auftritt. Man muss bereits im Vorfeld erkennen, welche Aufgaben noch zu erledigen sind, bevor das Problem überhaupt entsteht.
Wir bezeichnen diese Arbeitsweise als „Compliance Operations“ (ComplianceOps): ein Compliance-Management, das auf kontinuierlichen Prozessen, Automatisierung, Zusammenarbeit und Rückverfolgbarkeit basiert.
Compliance Operations in der Praxis
Anstatt sich auf E-Mails, Excel-Tabellen und das Gedächtnis einzelner Personen zu verlassen, werden die Prozesse zu einem festen Bestandteil des normalen Betriebsablaufs der Organisation.
Wenn ein neuer Mitarbeiter eintritt, erhält er automatisch die Richtlinien, denen er zustimmen muss; ihm werden die obligatorischen Schulungen zugewiesen, die erforderlichen Formulare werden von ihm angefordert, und jede Zustimmung wird protokolliert. (People Compliance).
Bei der Aufnahme eines Lieferanten wird dessen Zulassungsverfahren eingeleitet, die erforderlichen Unterlagen werden zusammengestellt, seine Kritikalität wird ermittelt und der Termin für seine künftige Neubewertung wird automatisch festgelegt. (Third Party Manager).
Wenn ein Vorfall auftritt, wird dieser unmittelbar nach seinem Auftreten dokumentiert, es werden Verantwortliche und Fristen festgelegt, Maßnahmen zur Behebung werden erstellt, die Nachweise werden aufbewahrt und der gesamte zeitliche Ablauf – von der Erkennung bis zum Abschluss – wird protokolliert. (Incident Manager).
Wenn sich eine Richtlinie ändert, durchläuft sie den Genehmigungsprozess, die neue Version wird veröffentlicht, die zuständigen Personen werden erneut um ihre Zustimmung gebeten, und die vollständige Historie der Versionen und Unterschriften wird aufbewahrt. (Policy Manager).
Wenn ein Risiko seit Monaten nicht mehr überprüft wurde, beschränkt sich das System nicht darauf, lediglich daran zu erinnern, dass es existiert. Es zeigt dessen gesamte Entwicklung auf: wer es identifiziert hat, wie sich seine Kritikalität verändert hat, welche Kontrollmaßnahmen eingeführt wurden, welche Nachweise vorliegen und wann es erneut bewertet werden muss. (Risikomanager).
Es hängt nicht davon ab, ob sich jemand daran erinnert.
Das System begleitet den Prozess.
Die Prüfung ist kein Projekt mehr
Viele Organisationen erleben das Audit als einen Wettlauf gegen die Zeit.
- Seit Wochen bin ich auf der Suche nach Unterlagen.
- Entscheidungen neu überdenken.
- Auf der Suche nach Beweisen.
- Das Problem liegt so gut wie nie bei der Prüfung.
- Die Sache ist die, dass die Beweislage von Anfang an nie ordnungsgemäß erstellt wurde.
Die erfahrensten Organisationen gehen genau umgekehrt vor. Sie sammeln Tag für Tag Belege. Wenn das Audit stattfindet, legen sie einfach vor, was bereits vorliegt.
Denn die beste Prüfung ist die, die sich praktisch von selbst vorbereitet.
Das wahre Kapital ist das Vertrauen
Die meisten Organisationen werden nicht in Frage gestellt, nur weil ihnen eine Richtlinie fehlt.
Sie werden in Frage gestellt, weil sie nicht nachweisen können, dass diese Richtlinie in Kraft war, verabschiedet, kommuniziert, akzeptiert und überprüft wurde. Immer mehr Kunden, Investoren, öffentliche Verwaltungen, Zertifizierungsstellen und Aufsichtsbehörden legen genau darauf Wert.
Sie wollen keine Versprechungen. –> Sie wollen Beweise.
Und dieser Unterschied verändert das Verständnis von Compliance grundlegend.
Die Zukunft des Compliance-Bereichs wird operativ sein
So wie DevOps die Art und Weise der Softwareentwicklung verändert und SecOps die Sicherheit revolutioniert hat, deutet alles darauf hin, dass sich die Einhaltung gesetzlicher Vorschriften in Richtung wesentlich operativerer Modelle weiterentwickeln wird.
- Weniger isolierte Dokumente.
- Weniger manuelle Arbeitsschritte.
- Weniger Tabellenkalkulationen.
- Mehr Automatisierung.
- Mehr Integration.
- Mehr Nachverfolgung.
- Weitere Belege.
Denn das Ziel der Compliance besteht nicht mehr nur darin, eine Vorschrift einzuhalten. Vielmehr geht es darum, die Einhaltung von Vorschriften zu einem natürlichen Bestandteil der Arbeitsabläufe des Unternehmens zu machen. Unternehmen, die diesen Wandel verstehen, werden nicht nur weniger Zeit für die Vorbereitung von Audits aufwenden. Sie werden auch bessere Entscheidungen treffen, schneller auf Risiken reagieren und ihre Compliance jederzeit nachweisen können.
Das ist Compliance Operations.
Und dies dürfte wohl die nächste große Entwicklung im Bereich Compliance sein.
Die Compliance der Zukunft wird nicht an der Anzahl der Richtlinien gemessen, über die eine Organisation verfügt. Sie wird daran gemessen, inwieweit die Organisation jederzeit nachweisen kann, dass diese Richtlinien tatsächlich funktionieren und eingehalten werden.
Compliance ist keine eigene Abteilung mehr.
Es entwickelt sich allmählich zum Betriebssystem des Unternehmens.
In Ithikios arbeiten wir bereits seit einiger Zeit daran, diese Vision zu verwirklichen: eine Plattform, auf der Personen, Richtlinien, Risiken, Vorfälle, Dritte, Kontrollen und Nachweise Teil ein und desselben Compliance-Betriebssystems sind.
Denn wir sind der Ansicht, dass die Zukunft nicht in der Nutzung weiterer isolierter Tools liegt, sondern in einer Plattform, die in der Lage ist, die Einhaltung von Vorschriften kontinuierlich sicherzustellen.
Wie würde sich die Arbeit Ihres Teams verändern, wenn die Compliance nicht mehr auf Excel, E-Mails und Erinnerungen angewiesen wäre, sondern zu einem dynamischen, automatisierten Prozess würde, der jederzeit bereit ist, Nachweise vorzulegen?
Wenn Sie sehen möchten, wie sich dies auf Ihr Unternehmen anwenden lässt, fordern Sie eine Demo an.
