Das Zertifikat gilt drei Jahre. Der Nachweis nur bis morgen.

Das Problem mit Momentaufnahmen

Compliance wird meist als Projekt aufgesetzt: Kickoff, Bestandsaufnahme, Maßnahmen, Audit, Zertifikat, Erleichterung. Danach geht das Team zurück an seine eigentliche Arbeit, und das Managementsystem steht still.

Das erste Überwachungsaudit bringt es ans Licht. Nicht weil der Auditor streng wäre, sondern weil die Nachweise es verraten: Die Rechteprüfung ist von letztem Jahr, die Lieferantenbewertung auch, das interne Auditprogramm wurde nie fortgeschrieben. Drei Abweichungen, die niemand wollte, jede in zwei Stunden vermeidbar.

Continuous GRC heißt nicht, mehr zu tun. Es heißt, die wenigen Dinge rechtzeitig zu tun und sie dabei gleich nachzuweisen.

Was zwischen den Audits weiterlaufen muss

Keine dieser Aufgaben ist groß. Gefährlich sind sie, weil sie unsichtbar ausfallen.

1. 1
   Zugriffsrechte prüfenWer hat heute Zugriff worauf, und ist das noch begründet. Die klassische Abweichung, weil Austritte und Rollenwechsel zwischen die Prüfungen fallen.
2. 2
   Lieferanten neu bewertenKritische Dienstleister mindestens jährlich, mit Blick auf Zertifikate, Vorfälle und Vertragsänderungen. NIS2 macht daraus eine ausdrückliche Pflicht.
3. 3
   Schulung und AwarenessNeue Beschäftigte innerhalb einer festgelegten Frist, alle anderen im festen Turnus. Nachzuweisen ist die Kompetenz, nicht die Teilnahme.
4. 4
   Wiederherstellung testenEin nie zurückgespieltes Backup ist eine Annahme. Der Test gehört in einen Nachweis, mit Datum, Umfang und Ergebnis.
5. 5
   Internes Audit und ManagementbewertungDie beiden Kapitel, an denen Organisationen tatsächlich scheitern. Beide brauchen einen Termin im Kalender, keinen Vorsatz.
6. 6
   Risiken fortschreibenNach jeder wesentlichen Änderung und mindestens einmal im Jahr. Ein Risikoregister, das sich zwölf Monate nicht ändert, beschreibt Ihren Aufwand, nicht Ihre Organisation.

Wie Sightadel das trägt

1. 1
   Jeder Prüfpunkt hat einen VerantwortlichenKeine Abteilung, eine Person. Was niemandem gehört, wird nicht gemacht — das ist keine Zynik, sondern die häufigste Ursache abgelaufener Nachweise.
2. 2
   Jeder Nachweis hat ein AblaufdatumDer Turnus, den Sie festlegen, wird zur Erinnerung. Läuft ein Nachweis ab, fällt das auf — bevor der Auditor es findet.
3. 3
   Eine Änderung erreicht jedes RegelwerkEin Nachweis hängt an jeder Anforderung, der er dient. Sie pflegen ihn einmal statt dreimal, und er kann nicht in drei Fassungen auseinanderlaufen.
4. 4
   Das Dashboard zeigt Richtung, nicht ProzenteWichtig ist nicht die Gesamtzahl, sondern was seit dem letzten Monat abgelaufen ist und wer es hat.