Rolle
Compliance
Wer verantwortet, dass eine Verfahrensanweisung angewendet wird - ihr Autor oder die Abteilungsleitung, die sie nicht geschrieben hat? Compliance beginnt dort, wo diese Antwort aufhört, offensichtlich zu sein.
Erstgespräch
Vier Fragen, mit denen wir beginnen würden
Wer verantwortet die Anwendung einer Verfahrensanweisung?
Wenn Sie nicht für jede eine Person nennen können, haben manche Pflichten keinen Eigentümer - und das zeigt sich meist bei einer Prüfung.
Woher wissen Sie, dass eine Verfahrensanweisung gegenüber den Vorschriften aktuell ist?
Wenn daher, dass niemand Einwände erhoben hat, ist ihre Aktualität eine Annahme.
Was tun Sie nicht, obwohl Sie wissen, dass es getan werden muss?
Meist: Verfahrensanweisungen überprüfen, interne Kontrollen und Auffrischungsschulungen. Immer aus demselben Grund - es ist keine Zeit.
Wohin geht die Meldung eines Mitarbeitenden über eine mögliche Unregelmäßigkeit?
Wenn es dafür keinen einzelnen, geschützten Weg gibt, unterbleibt die Meldung entweder oder sie geht nach außen.
Wir übernehmen das Nachverfolgen und Nachhalten, Sie behalten das Urteil und das Gespräch
Die Pflichtenlandkarte zu pflegen, die Aktualität der Verfahrensanweisungen zu überwachen, Schulungen zu organisieren und Prüfungen vorzubereiten, lässt sich vom Schreibtisch nehmen. Die Beurteilung, ob etwas eine Unregelmäßigkeit ist, bleibt bei einem Menschen.
- Eine Pflicht hat einen Eigentümer und einen Termin. - Jede Anforderung ist einem Prozess, einer Person und der Verfahrensanweisung zugeordnet, die sie erfüllt, und Lücken sind als Lücken sichtbar.
- Eine Verfahrensanweisung hat einen Überprüfungstermin. - Ein seit Jahren unverändertes Dokument meldet sich selbst, statt auf eine Prüfung zu warten.
- Eine Meldung hat einen geschützten Weg. - Mit Eingangsbestätigung, einer Frist und eingeschränktem Zugriff, damit die Vertraulichkeit nicht davon abhängt, wer gerade in den Posteingang schaut.
Umfang
Was sich aus Compliance herausnehmen lässt
Zwanzig Aufgaben als Beispiel. Jede hat einen Punkt menschlicher Freigabe. Unten eine Auswahl; den Umfang passen wir an Ihre regulatorischen Pflichten an.
Die Pflichtenlandkarte
- Ein Register der Pflichten nach Bereich und Rechtsgrundlage
- Verknüpfung einer Pflicht mit einem Prozess und einer Verfahrensanweisung
- Hinweis auf Pflichten ohne zugewiesenen Eigentümer
- Ein Signal, wenn sich eine Vorschrift ändert, die eine Pflicht betrifft
Verfahrensanweisungen und ihre Aktualität
- Ein Register der Verfahrensanweisungen mit dem Datum der letzten Überprüfung
- Ein Signal, wenn eine Verfahrensanweisung zu überprüfen ist
- Hinweis auf Verfahrensanweisungen, die eine Gesetzesänderung betrifft
- Der Freigabelauf für eine neue Fassung (Freigabe: der Prozessverantwortliche)
Schulungen und Erklärungen
- Die Liste der von einer Schulungspflicht erfassten Personen
- Der Stand der Schulungen und Erklärungen nach Person und Termin
- Eine Erinnerung vor Ablauf des Termins
- Offene Punkte zusammengefasst nach Abteilung
Meldungen und Hinweisgeber
- Ein geschützter Meldeweg mit Eingangsbestätigung
- Zuweisung des Vorgangs mit eingeschränktem Zugriff
- Überwachung der von den Vorschriften gesetzten Antwortfristen
- Ein Register der Meldungen ohne identifizierende Daten in den Übersichten
Interne Kontrollen
- Ein Kontrollplan auf Basis des Risikos des Bereichs (Entscheidung: der Spezialist)
- Die Liste der Fragen und der zu sammelnden Nachweise
- Ein Register der Feststellungen und Korrekturmaßnahmen
- Material für eine externe Prüfung
Ein Arbeitstag
Heute
- Ihre Pflichtenlandkarte ist eine Tabelle, unregelmäßig aktualisiert
- Von einer Gesetzesänderung erfahren Sie aus einem Newsletter oder von einem Juristen
- Sie prüfen von Hand, welche Verfahrensanweisungen zu überprüfen sind
- Offene Schulungen erfassen Sie, indem Sie Abteilungen um Listen bitten
- Meldungen landen in einem Postfach, auf das mehrere Personen Zugriff haben
- Vor einer Prüfung tragen Sie die Nachweise über zwei Wochen zusammen
Mit AI-Unterstützung
- Pflichten sind Prozessen und Eigentümern zugeordnet, und Lücken sind sichtbar
- Eine Gesetzesänderung zeigt die betroffenen Verfahrensanweisungen und Pflichten auf
- Eine zur Überprüfung anstehende Verfahrensanweisung meldet sich
- Sie sehen offene Schulungen nach Abteilung, ohne zu fragen
- Eine Meldung hat einen geschützten Weg und eine überwachte Frist
- Nachweise für eine Prüfung werden laufend gesammelt
- Abgedeckte Pflichten
weniger Anforderungen ohne zugewiesenen Eigentümer
Pflichten sind mit einem Prozess und einer Person verknüpft
- Aktuelle Verfahrensanweisungen
weniger Dokumente, die den Stand vor einer Gesetzesänderung beschreiben
eine Überprüfung hat einen Termin und ein Signal
- Pflichtschulungen termingerecht
weniger Menschen ohne die erforderliche Schulung
Stände und Erinnerungen entstehen ohne Handarbeit
- Bereit für eine externe Prüfung
die Nachweise sind vorher gesammelt, nicht in der Woche davor
das Material entsteht laufend mit
Wir beginnen mit der Pflichtenlandkarte, weil sich ohne sie nicht sagen lässt, was zu überwachen ist.
- Schritt 1
Pflichten, Prozesse, Eigentümer
Ein Register mit Rechtsgrundlage und Zuordnung. Lücken zeigen sich meist schon auf dieser Stufe.
- Schritt 2
Verfahrensanweisungen und Überprüfungstermine
Signale über Dokumente, die zu aktualisieren sind.
- Schritt 3
Schulungen und Meldungen
Stände, Erinnerungen und ein geschützter Meldeweg.
- Schritt 4
Interne Kontrollen
Ein risikobasierter Plan und ein Register der Feststellungen. Zuletzt, weil es auf der Landkarte aus Schritt 1 beruht.
Häufige Fragen
Fragen, die beim ersten Treffen aufkommen
Worin unterscheidet sich das von einem Juristen und einem Datenschutzbeauftragten?
Ein Jurist beurteilt einen bestimmten Fall und Vertrag. Ein Datenschutzbeauftragter wacht über einen Bereich - personenbezogene Daten - und hat eigene gesetzliche Pflichten. Compliance verantwortet, ob die Prozesse des Unternehmens zu den Pflichten passen, die es binden, in welchem Feld auch immer.
Lässt sich Compliance von einem kleineren Team betreuen?
Compliance besteht in den meisten Unternehmen aus ein oder zwei Personen für einen Bereich, der die ganze Organisation umfasst - das Problem ist kein Überschuss an Händen, sondern dass sich nicht alles überwachen lässt. Das Nachverfolgen von Terminen und Ständen zu übernehmen ersetzt niemanden, es lässt die Aufmerksamkeit die Pflichten erreichen, die heute im Register existieren und sonst nirgends.
Fällt das unter die KI-Verordnung?
Compliance zu unterstützen ist nach der KI-Verordnung keine Hochrisiko-Anwendung. Die Grenze, die man sich für Meldungen über bestimmte Personen merken sollte, kommt aus einer anderen Ordnung - aus Artikel 22 DSGVO: Ob eine Unregelmäßigkeit vorlag, darf nicht allein automatisiert entschieden werden. Es lohnt sich, die beiden Regime auseinanderzuhalten, denn sie zu verwechseln ist der häufigste Fehler in Gesprächen über Compliance.
Ihre Frage steht nicht dabei? Gespräch vereinbaren
Nächster Schritt
Wie viele Ihrer Verfahrensanweisungen sind seit über zwei Jahren nicht überprüft worden?
Wir zeigen Ihnen, wie Compliance aussieht, wenn eine Pflicht einen Eigentümer hat und eine überfällige Verfahrensanweisung sich selbst meldet.