Kontrollen und Nachweise
Wissen Sie, ob Ihre Kontrollen tatsächlich wirken - nicht nur, ob eine Richtlinie ihre Existenz behauptet.
Verknüpfen Sie Kontrolldefinitionen mit tatsächlichen Umsetzungen, Tests, Nachweisen und einer unabhängigen Freigabe. Alles aus einer Bibliothek, die Qualitäts- und Risikomanagement gemeinsam nutzen.
Sehen Sie, ob Ihre Kontrollen tatsächlich wirken
Eine Kontrollbibliothek enthält die Definitionen: wozu eine Kontrolle dient, wer sie verantwortet, ob sie präventiv oder aufdeckend ist und ob sie manuell oder automatisch abläuft. Mit einem Kontrollpaket erhalten Sie diesen Ausgangspunkt. Mehr ist es aber nicht.
Real wird eine Kontrolle erst durch ihre Umsetzung: wo sie konkret gilt, wann ihr Nachweis fällig ist, wer sie getestet und wer das Ergebnis freigegeben hat. Qualitäts- und Risikomanagement greifen auf dieselbe Bibliothek zu. Eine Kontrolle, mit der Sie ein Risiko behandeln, ist damit derselbe Datensatz, den das Auditprogramm testet.
So sieht es aus
Halten Sie Ihre Kontrolldefinitionen in einer gemeinsamen Bibliothek. Qualitätsmanagement und Risikomanagement greifen auf dieselbe Bibliothek zu.
Anwendungsfälle
Eine Maßnahme, zwei Verwendungen
Eine Maßnahme, mit der Sie ein Risiko behandeln, folgt derselben Definition, die das Auditprogramm testet. So widersprechen sich Nachweis und Risikomanagement nicht mehr darüber, was tatsächlich existiert.
Sehen, was überfällig ist
Das Fälligkeits-Board zeigt fehlende und veraltete Nachweise als fehlend und veraltet an. Nichts gilt als erfüllt, nur weil niemand hingesehen hat.
Eine Abweichung an einer beliebigen Stelle nachverfolgen
Eine fehlgeschlagene Beobachtung erzeugt eine Abweichung. Diese Abweichung wird mit der Korrekturmaßnahme oder dem Risiko verknüpft, das die Arbeit trägt.
Von der Definition zum Nachweis des Betriebs
Eine gemeinsame Bibliothek
Kontrolldefinitionen, die das Qualitätsmanagementsystem und das Risikomanagement gemeinsam nutzen. So pflegen Sie eine Kontrolle nicht zweimal mit zwei unterschiedlichen Antworten.
Einführung
Konkrete Zielimplementierungen und ihre Anwendbarkeit, getrennt von der Definition, die den Zweck beschreibt.
Fälligkeitsübersicht
Was fällig ist, was fehlt und was veraltet ist - ohne fehlende Nachweise als bestanden zu werten.
Test und Freigabe
Ein abgeschlossener Test und ein freigegebenes Ergebnis sind zwei verschiedene Zustände. Die unabhängige Freigabe wird als eigener Vorgang erfasst.
Nichtkonformitäten
Aus einer nicht bestandenen Beobachtung wird ein Eintrag über eine Abweichung. Von dort führt ein Weg in die Korrekturmaßnahme oder ins Risikomanagement. Automatisch behoben wird dabei nichts.
Abdeckung mit Begründung
Erklärung zur Anwendbarkeit, Ausschlüsse und Abdeckung des Regelwerks, mit der zugehörigen Begründung.
Definition von Kontrollen
Das Versprechen von seiner Umsetzung trennen
Eine Kontrolldefinition beschreibt das Ziel der Kontrolle, den Verantwortlichen, die Art der Kontrolle und ihre Funktionsweise. Genau das leistet die obige Definition: Sie beschreibt, was die Kontrolle erreichen soll. Sie belegt aber für sich genommen nicht, dass die Kontrolle tatsächlich läuft.
Das entscheidet sich erst in der Umsetzung. Jede Umsetzung legt fest, wo die Kontrolle gilt und welcher Nachweis wann erwartet wird. Erst das Testergebnis und dessen unabhängige Freigabe machen aus einer Absicht eine belastbare Zusicherung. Unvermeidbare Ausnahmen bei der Funktionstrennung werden dokumentiert und nicht stillschweigend geduldet.
- Ziel, Inhaber, Art und Funktionsweise der Definition
- Anwendbarkeit und erwartete Nachweise zur Umsetzung
- Test und Freigabe als getrennte Zustände erfasst
- Erfasste Ausnahmen von der Funktionstrennung, wenn Unabhängigkeit nicht erreichbar ist