Seit Jahren basiert Compliance auf Vorschriften, Richtlinien, Verfahren und Audits. Unternehmen ermittelten die für sie geltenden Verpflichtungen, erstellten die erforderlichen Unterlagen und überprüften regelmäßig deren Einhaltung.
Dieses Modell ist nach wie vor notwendig. Doch das reicht nicht mehr aus.
Unternehmen sehen sich einer wachsenden Zahl von Anforderungen in den Bereichen Cybersicherheit, Datenschutz, Ethik, künstliche Intelligenz, Nachhaltigkeit und Management von Drittanbietern gegenüber. Gleichzeitig fragen Kunden, Wirtschaftsprüfer und andere Interessengruppen nicht mehr nur, ob ein Unternehmen die Vorgaben erfüllt, sondern verlangen Nachweise dafür.
Die Herausforderung besteht nicht mehr nur darin, festzulegen, wie eine Organisation handeln sollte. Es geht vielmehr darum, die Einhaltung der Vorschriften zu einem festen Bestandteil ihres täglichen Betriebs zu machen.
Dieser Übergang vom Dokument zur Umsetzung ist es, was wir unter „Operational Compliance“ verstehen.
Was versteht man unter „Operational Compliance“?
Wir können „Operational Compliance“ als das kontinuierliche Management der Compliance einer Organisation definieren, bei dem Vorschriften und Richtlinien in Prozesse, Verantwortliche, Kontrollen und Nachweise umgesetzt werden, die es ermöglichen, die Einhaltung der Vorschriften zu gewährleisten und nachzuweisen.
Einfach ausgedrückt geht es darum, jederzeit vier Fragen beantworten zu können:
Was müssen wir tun? Wer muss dies tun? Wann muss dies geschehen? Können wir nachweisen, dass dies geschehen ist?
Dies bedeutet nicht, juristisches Fachwissen oder traditionelle Compliance-Modelle zu ersetzen. Es bedeutet vielmehr, eine operative Ebene hinzuzufügen, die diese in die tatsächliche Arbeitsweise der Organisation überträgt.
Eine Richtlinie kann vorsehen, dass kritische Lieferanten regelmäßig bewertet werden müssen. Die operative Compliance stellt sicher, dass wir wissen, welche Lieferanten kritisch sind, wer sie bewerten muss, wann dies zu erfolgen hat, welche Kontrollen überprüft werden müssen, welche Nachweise anzufordern sind und was geschieht, wenn das Ergebnis nicht zufriedenstellend ist.
Zusammenfassend lässt sich sagen:
Von der dokumentierten Compliance zur funktionierenden Compliance gelangen.
Der Bereich Compliance befindet sich im Wandel
Zwei Veränderungen erklären, warum dieser neue Ansatz notwendig geworden ist.
Von der gesetzlichen Verpflichtung zur geschäftlichen Verpflichtung
Traditionell war die Regulierung der wichtigste Antrieb für die Compliance: Eine neue gesetzliche Verpflichtung veranlasste Unternehmen dazu, bestimmte Verfahren oder Kontrollen einzuführen.
Dieser Faktor ist nach wie vor von entscheidender Bedeutung, doch es ist ein weiterer, ebenso wichtiger Faktor hinzugekommen: die Kunden.
Große Unternehmen übertragen ihre Anforderungen in Bezug auf Cybersicherheit, Datenschutz, Ethik, Nachhaltigkeit, Geschäftskontinuität oder die Steuerung künstlicher Intelligenz zunehmend auf ihre Lieferkette. Infolgedessen müssen viele kleine und mittlere Unternehmen bestimmte Maßnahmen umsetzen – nicht, weil eine Norm direkt auf sie anwendbar ist, sondern weil ihre Kunden sich vergewissern müssen, dass sie ausreichende Garantien bieten.
Sicherheitsfragebögen, Lieferantenbewertungen, Ethikrichtlinien, Datenschutzrichtlinien, Zertifizierungen, Zugangskontrollen, Vorfallmanagement oder Informationen zur Nutzung künstlicher Intelligenz sind mittlerweile fester Bestandteil vieler B2B-Beziehungen.
Compliance ist nicht mehr nur eine gesetzliche Verpflichtung, sondern entwickelt sich zunehmend auch zu einer Voraussetzung für die Ausübung geschäftlicher Tätigkeiten.
Für viele Unternehmen wird die Fähigkeit, die Einhaltung von Vorschriften nachzuweisen, zunehmend zu einem Wettbewerbsvorteil und in einigen Fällen sogar zu einer Voraussetzung für den Zugang zu bestimmten Kunden.
Vom Dokument zur Evidenz
Die zweite Umwandlung ist ebenso wichtig.
Das Vorhandensein einer Sicherheitsrichtlinie ist kein Beweis dafür, dass die Zugriffsrechte überprüft werden. Das Vorhandensein eines Zulassungsverfahrens für Lieferanten ist kein Beweis dafür, dass kritische Lieferanten bewertet wurden. Das Vorhandensein eines Schulungsplans bedeutet nicht, dass die Mitarbeiter die Schulung tatsächlich absolviert haben. Und das Vorhandensein eines Verfahrens zum Vorfallmanagement zeigt nicht, wie beim letzten Vorfall vorgegangen wurde.
Die tatsächliche Einhaltung der Vorschriften hinterlässt Spuren: Genehmigungen, Bewertungen, Aufzeichnungen, durchgeführte Kontrollen, Dokumente, Unterschriften, Überprüfungen, Mitteilungen und Maßnahmen.
Aus diesem Grund wird es immer wichtiger, dass Organisationen nicht mehr nur sagen : „Wir haben ein Verfahren dafür“ , sondern nachweisen können : „Wir setzen es um, und hier sind die Belege dafür.“
Im Bereich Compliance geht der Schwerpunkt zunehmend von der Dokumentation hin zur Nachweisführung: Es reicht nicht mehr aus, lediglich festzulegen, was zu tun ist – man muss auch nachweisen können, dass dies tatsächlich umgesetzt wird.
Das Problem der Compliance-Steuerung in isolierten Bereichen
Mit zunehmenden Verpflichtungen taucht ein weiteres Problem auf: die Fragmentierung.
Einerseits ISO 27001, andererseits NIS2. ENS, DSGVO, KI-Gesetz, strafrechtliche Compliance, ESG-Anforderungen, Kundenanforderungen…
Wenn jede neue Vorschrift eine neue Excel-Datei, ein neues Dokumentenarchiv, einen neuen Fragebogen, neue Kontrollmaßnahmen und mitunter auch ein neues Tool mit sich bringt, nimmt die Komplexität unaufhaltsam zu.
Die Realität innerhalb der Organisation lässt sich jedoch nicht anhand von Vorschriften unterteilen.
Ein Anbieter ist derselbe Anbieter, ganz gleich, ob man ihn unter den Gesichtspunkten Datenschutz, Cybersicherheit oder künstliche Intelligenz betrachtet. Ein Vorfall kann gleichzeitig mehrere Verpflichtungen betreffen. Eine Richtlinie kann mehrere Anforderungen gleichzeitig erfüllen. Und ein und dieselbe Kontrollmaßnahme kann verschiedene Risiken mindern und als Nachweis im Rahmen verschiedener Regelwerke dienen.
Das Problem besteht daher nicht nur darin, immer mehr Vorschriften zu verwalten, sondern darin, die Beziehungen zwischen ihnen richtig zu handhaben.
Von der dokumentierten Compliance zur operativen Compliance
Operational Compliance soll das traditionelle Compliance-Modell nicht ersetzen. Es ergänzt dieses, indem es die Verpflichtungen, Richtlinien und Kontrollen in den täglichen Geschäftsbetrieb der Organisation integriert.
| Dokumentarischer Ansatz | Operativer Ansatz |
|---|---|
| Vorschriften | Prozesse |
| Dokumente | Beweise |
| Richtlinien | Umsetzung der Politik |
| Festgelegte Kontrollen | Durchgeführte Kontrollen |
| Regelmäßige Überprüfungen | Kontinuierliche Überwachung |
| Zerstreute Informationen | Verwandte Informationen |
| Manuelle Aufgaben | Automatisierung |
| „Wir halten unsere Versprechen“ | „Wir können dies nachweisen“ |
Beide Ansätze bedingen sich gegenseitig.
Die Vorschriften legen die Verpflichtungen und die zu erreichenden Ziele fest; Fachwissen ermöglicht es, diese zu interpretieren und auf die konkrete Situation jeder Organisation zu übertragen.
Der Bereich „Operational Compliance“ sorgt dafür, dass all dies im Tagesgeschäft umgesetzt wird.
Die Komponenten der operativen Compliance
Um dies zu ermöglichen, muss man aufhören, sich ausschließlich auf Vorschriften zu konzentrieren, und stattdessen beginnen, über die tatsächlichen Elemente nachzudenken, aus denen sich eine Organisation zusammensetzt:
Personen · Lieferanten · Vermögenswerte · Anwendungen · Risiken · Richtlinien · Kontrollmaßnahmen · Vorfälle · Bewertungen · Nachweise
Sie alle stehen miteinander in Zusammenhang.
Stellen wir uns einen kritischen Technologieanbieter vor, der Unternehmensdaten speichert, personenbezogene Daten verarbeitet und bei der Erbringung seiner Dienstleistungen künstliche Intelligenz einsetzt.
Diese Sachverhalte sollten nicht mehrfach erfasst werden, nur weil sie unterschiedliche Verpflichtungen betreffen. Die Informationen zu diesem Lieferanten sollten ausreichen, um festzustellen, welche Risiken bestehen, welche Kontrollen erforderlich sind, welche Unterlagen anzufordern sind, welche Fragebögen ausgefüllt werden müssen, in welchen Abständen eine Neubewertung erfolgen muss und welche Compliance-Rahmenbedingungen davon betroffen sein könnten.
Informationen sollten nur einmal vorliegen und dort wiederverwendet werden, wo sie benötigt werden.
Die operative Compliance muss folgende Bereiche miteinander verknüpfen:
Risiken → Kontrollmaßnahmen → Richtlinien → Personen → Dritte → Vermögenswerte → Vorfälle → Bewertungen → Nachweise
Der Wert liegt nicht allein darin, jedes dieser Elemente für sich zu verwalten. Er liegt vielmehr darin, die Beziehungen zwischen ihnen zu steuern.
Ein lebendiges Vorbild für die Einhaltung von Vorschriften
Wenn diese Elemente miteinander verknüpft sind, ist Compliance nicht mehr nur eine Momentaufnahme zum Zeitpunkt eines Audits, sondern kann zu einem lebendigen System werden.
Wenn ein Lieferant wechselt, ein neues Risiko auftritt, ein Nachweis abläuft, eine Person neu eingestellt wird, eine Kontrolle versagt oder ein Vorfall eintritt, sollte das System in der Lage sein, zu ermitteln, welche Aspekte der Compliance davon betroffen sein könnten und welche Maßnahmen erforderlich sind.
Dies ermöglicht den Übergang von einem Modell, das hauptsächlich auf regelmäßigen Überprüfungen basiert, zu einem Modell, bei dem bestimmte Veränderungen in der Organisation automatisch Überprüfungen, Aufgaben oder Kontrollen auslösen können.
Die Einhaltung der Vorschriften ist somit nicht mehr nur ein Thema, das gelegentlich überprüft wird, sondern wird schrittweise in die eigentlichen Betriebsabläufe des Unternehmens integriert.
Eine einzige Informationsquelle für mehrere Rahmenwerke
Diese Arbeitsweise ermöglicht es, ein weiteres großes Problem der heutigen Compliance-Praxis zu lösen: Doppelarbeit. Nehmen wir beispielsweise eine Multi-Faktor-Authentifizierung (MFA) als Beispiel. Das Unternehmen sollte nicht eine MFA-Kontrolle für ISO 27001, eine weitere für NIS2 und noch eine für ENS benötigen.
Es verfügt über eine Multi-Faktor-Authentifizierung.
Diese Kontrolle kann anschließend mit verschiedenen Risiken, Vermögenswerten und regulatorischen Anforderungen verknüpft werden. Gleiches gilt für eine Richtlinie, eine Lieferantenbewertung, eine Schulung oder einen Nachweis.
Daher lautet einer der Kerngedanken der operativen Compliance:
Die Kontrollmaßnahmen sind Teil der Organisation; die verschiedenen Compliance-Rahmenwerke greifen darauf zurück.
Auf diese Weise schreitet man in Richtung eines wesentlich effizienteren Modells voran:
Eine Maßnahme → ein Nachweis → vielfältige Anforderungen an die Einhaltung.
Eine einzige Informationsquelle, die sich für unterschiedliche Rahmenbedingungen, Kunden, Prüfungen oder Bewertungsverfahren eignet.
Automatisierung ohne zusätzlichen Verwaltungsaufwand
Die Umsetzung von Compliance-Maßnahmen sollte nicht dazu führen, dass das Unternehmen mit Verwaltungsaufgaben überlastet wird. Genau das Gegenteil sollte der Fall sein.
Wenn Prozesse und Informationen strukturiert sind, lässt sich ein Großteil der Arbeit automatisieren.
Wenn das Zertifikat eines Lieferanten abläuft, kann das System automatisch dessen Verlängerung beantragen. Wird eine neue Person aufgenommen, können ihr die entsprechenden Richtlinien, Schulungen und Einwilligungen zugewiesen werden. Wenn ein Lieferant beginnt, künstliche Intelligenz einzusetzen, können neue Fragen, Kontrollen oder Bewertungen aktiviert werden.
Sollte ein Vorfall eintreten, kann das entsprechende Verfahren mit den dazugehörigen Aufgaben, Verantwortlichen und Fristen automatisch eingeleitet werden. Und sollte eine Kontrolle nicht mehr ausgeführt werden, kann eine Maßnahme ausgelöst und bei Bedarf eskaliert werden.
Das Ziel besteht nicht darin, um der Automatisierung willen zu automatisieren, sondern dafür zu sorgen, dass die Menschen ihre Zeit den Entscheidungen widmen, bei denen sie tatsächlich einen Mehrwert schaffen.
Systeme sollen für die Menschen da sein, nicht die Menschen dafür, die Systeme aufrechtzuerhalten.
Welche Rolle spielt die künstliche Intelligenz?
Künstliche Intelligenz eröffnet enorme Möglichkeiten im Bereich der Compliance, doch es gibt einen vorbereitenden Schritt, der häufig übersehen wird:
Zunächst müssen die Informationen strukturiert werden; erst danach kann man sie intelligent auswerten.
Sind die Informationen über Dokumente, E-Mails, Tabellenkalkulationen und eigenständige Anwendungen verstreut, sind die Möglichkeiten zur Automatisierung und Analyse begrenzt.
Sind hingegen die Zusammenhänge zwischen Lieferanten, Risiken, Kontrollmaßnahmen, Richtlinien, Vorfällen und Belegen bekannt, kann die KI zu einem echten Assistenten für Compliance-Fachkräfte werden: Sie kann dabei helfen, Unterlagen zu prüfen, fehlende Informationen zu erkennen, Belege ausfindig zu machen, Bewertungen vorzubereiten, mögliche Risiken zu identifizieren oder Maßnahmen vorzuschlagen.
Das Ziel besteht nicht darin, dass die KI die Entscheidung trifft, sondern dass der Fachmann die Entscheidung auf der Grundlage bereits geleisteter Vorarbeit treffen kann, wobei stets die Vertraulichkeit der Informationen, der Datenschutz, die Sicherheit und eine angemessene menschliche Aufsicht gewährleistet sind.
Operative Compliance für kleine und mittlere Unternehmen
Große Konzerne bewältigen diese Anforderungen seit Jahren mithilfe von GRC-Plattformen, spezialisierten Abteilungen und komplexen Projekten.
Die Einhaltung der Vorschriften breitet sich jedoch weit über große Organisationen hinaus aus.
Ein Unternehmen mit 100 oder 200 Mitarbeitern muss heute möglicherweise Sicherheitsfragebögen seiner Kunden beantworten, kritische Lieferanten bewerten, Richtlinien verwalten, seine Mitarbeiter schulen, Vorfälle dokumentieren, Risiken analysieren und Nachweise für seine Kontrollmaßnahmen vorlegen.
Die Antwort kann nicht darin bestehen, ihm dieselbe Struktur und Komplexität zu übertragen, wie sie ein multinationales Unternehmen verwendet.
Kleine und mittlere Unternehmen benötigen dieselbe Sorgfalt, jedoch nicht dieselbe Komplexität.
Und hier spielt die Technologie eine entscheidende Rolle: Sie vereinfacht Prozesse, ermöglicht die Wiederverwendung von Informationen, automatisiert Aufgaben und macht eine Form des Compliance-Managements zugänglich, die bislang vor allem Organisationen mit weitaus größeren Ressourcen vorbehalten war.
Die Vision von ithikios: Compliance in die Praxis umsetzen
Bei ithikios entwickeln wir uns von einer Lösung, die ursprünglich rund um den Meldekanal entstanden ist, hin zu einer Plattform für Operational Compliance.
Meldestellen, Richtlinienverwaltung, Dritte, Risiken, Kontrollen, Vorfälle, Bewertungen, das Trust Center oder Automatisierung sind Teil dieses Prozesses.
Unser Ziel ist es jedoch nicht, zahlreiche Compliance-Tools auf einer einzigen Plattform zusammenzuführen.
Es geht darum, dass alle Beteiligten Informationen austauschen und zusammenarbeiten.
Dass ein Risiko mit den Kontrollmaßnahmen in Zusammenhang steht, die es mindern. Dass diese Kontrollmaßnahmen Nachweise liefern. Dass ein Wechsel des Lieferanten eine Bewertung auslösen kann. Dass ein Vorfall Auswirkungen auf Risiken und Kontrollmaßnahmen hat. Dass ein und derselbe Nachweis für verschiedene Rahmenwerke herangezogen werden kann.
Und dass all diese Informationen es ermöglichen, zu jedem Zeitpunkt nicht nur zu wissen, was die Organisation tun sollte, sondern auch, was sie tatsächlich tut.
Denn die Zukunft des Compliance-Managements besteht nicht darin, immer mehr Dokumente, immer mehr Instrumente und immer mehr Bürokratie anzuhäufen.
Dabei geht es darum, die Einhaltung der Vorschriften in die eigentlichen Geschäftsabläufe des Unternehmens zu integrieren.
Von der Einhaltung der Vorschriften zum Vertrauen
Das Endergebnis der operativen Compliance besteht nicht nur darin, die Vorschriften einzuhalten. Es geht darum, Vertrauen zu schaffen.
Vertrauen für die Geschäftsleitung, die den tatsächlichen Stand der Compliance kennt. Vertrauen für den Compliance-Beauftragten, der über Nachvollziehbarkeit und Belege verfügt. Vertrauen für Kunden und Partner, die bestimmte Garantien überprüfen können. Und Vertrauen für das Unternehmen selbst, das weiß, dass seine Richtlinien und Kontrollen nicht nur auf dem Papier existieren.
Operational Compliance bedeutet, Compliance im Tagesgeschäft umzusetzen: Verpflichtungen in Maßnahmen, Maßnahmen in Nachweise und Nachweise in Vertrauen umzuwandeln.
ithikios · Operative Compliance
Wir setzen Compliance in die Praxis um: einfach zu verwalten, in den Arbeitsalltag integriert und anhand von Belegen nachweisbar.
