Automatisierung,
die dem Prüfer standhält

Das ist die richtige Frage, und sie entscheidet über den Nutzen. Wir bauen keine neuen Anwendungsfälle, solange die bestehenden nicht verlässlich laufen: Ein Hebel wird einzeln gebaut, qualitätsgesichert und so lange stabilisiert, bis der manuelle Eingriff die Ausnahme ist. Erst dann kommt der nächste. Ein System mit hoher Nacharbeitsquote ist schlechter als gar keine Automatisierung, weil der Aufwand bleibt und das Vertrauen weg ist.

Wir behandeln sie als Entwurfsparameter, nicht als Checkliste am Projektende. Konkret heißt das Mandanten- und Umgebungstrennung, revisionssichere Protokollierung, dokumentierte Wiederanlaufzeiten und ein Berechtigungskonzept, das man einem Prüfer erklären kann. Die formale Feststellung trifft Ihre Aufsicht oder Ihre Revision, nicht wir. Unsere Aufgabe ist, dass die Antworten vorliegen, bevor gefragt wird.

Ja, und das ist der Grund für die Arbeitsweise. Wir haben IT-Compliance-Prozesse für einen global tätigen Asset Manager entlang KAIT, BAIT und DORA aufgearbeitet und bei einer Förderbank Risiko- und Kontrollprozesse in einem GRC-System abgebildet, um bestehende Audit Findings nachhaltig zu schließen. Wer beide Rollen kennt, baut anders.

In aller Regel nicht. Wir binden an, was da ist, statt es zu ersetzen. Eine Ablösung ist in diesem Umfeld ein eigenes Vorhaben mit eigener Risikobetrachtung, und sie ist selten die Voraussetzung dafür, den Engpass zu beseitigen, um den es eigentlich geht.

Wir schauen zuerst auf die gelebte Praxis. Ein Prozess, der umgangen wird, weil er zu umständlich ist, produziert eine Dokumentation, die nichts beschreibt. Die Lücke zwischen Soll und Ist ist meist die eigentliche Feststellung, und sie lässt sich nicht durch zusätzliche Vorgaben schließen, sondern nur dadurch, dass der vorgesehene Weg der bequemste wird.

Ein abgegrenzter Hebel, etwa die Unterlagenprüfung in einem Fallprozess, erreicht typischerweise nach vier bis sechs Wochen einen produktiv nutzbaren Stand. Der Zuschnitt ist bewusst eng: lieber ein Vorgangstyp, der verlässlich läuft, als fünf, die alle geprüft werden müssen.