Erledigt ist nicht wirksam: die Rolle der Wirksamkeitskontrolle

Eine Richtlinie wird verabschiedet, eine Schulung durchgeführt, ein Berechtigungskonzept eingeführt – Maßnahme erledigt, Haken dran. Zwei Jahre später stellt ein Prüfer fest: Die Richtlinie kennt niemand mehr, geschult wurde seither nicht, und im Berechtigungskonzept stehen drei ausgeschiedene Mitarbeiter mit Adminrechten. Formal war alles erledigt. Wirksam war nichts davon.

Dieses Muster ist der häufigste Konstruktionsfehler mittelständischer Compliance-Systeme. Maßnahmen werden als Projekte behandelt, die enden – dabei sind die meisten Dauerzustände, die driften, sobald niemand hinsieht. Die einschlägigen Standards ziehen daraus dieselbe Konsequenz: Die DIN SPEC 91524 verlangt neben Prävention und Detektion ausdrücklich die Überprüfung der getroffenen Vorkehrungen, und § 30 BSIG zählt Konzepte zur Bewertung der Wirksamkeit der eigenen Risikomanagementmaßnahmen zu den Pflichtbereichen. Dahinter steht der bekannte PDCA-Zyklus: planen, umsetzen, prüfen, nachsteuern.

Wie viel Kontrolle angemessen ist

Wirksamkeitskontrolle heißt nicht, jede Maßnahme monatlich zu auditieren. Es heißt, für jede abgeschlossene Maßnahme drei Fragen zu beantworten: Woran erkennen wir, dass sie wirkt? In welchem Abstand prüfen wir das? Und wer ist dafür verantwortlich? Bei einer Backup-Strategie ist der Prüfmaßstab ein erfolgreicher Wiederherstellungstest, bei einer Unterweisungspflicht die Teilnehmerquote, bei einem Vier-Augen-Prozess eine Stichprobe. Weicht das Ergebnis ab, entsteht keine Schuldzuweisung, sondern eine Folgemaßnahme – der Kreis schließt sich.

Der organisatorische Engpass ist selten die Prüfung selbst, sondern das Nachhalten: Kontrolltermine geraten in Vergessenheit, weil sie in keinem Kalender stehen und niemand erinnert wird. Deshalb gehört zu jeder Kontrolle ein Termin mit Verantwortlichem und Erinnerung – und zu jeder Abweichung ein dokumentierter Folgeschritt. Erst diese lückenlose Kette aus Maßnahme, Kontrolle und Reaktion ergibt den Nachweis, den Prüfer und Aufsichtsbehörden sehen wollen.

SPECTOR automatisiert genau diese Mechanik: Beim Abschluss einer Maßnahme entsteht automatisch eine Wirksamkeitskontrolle mit Fälligkeitsdatum, Abweichungen erzeugen Folgemaßnahmen, Erinnerungen kommen per E-Mail. Die Details stehen auf der Seite zum Modul Compliance.