„Audit ohne Befund“ ist kein Zufall und keine Nachlässigkeit des Prüfers. Es ist das teuerste Ergebnis, das man in diesem Geschäft erarbeiten kann.
Der Satz klingt, als sei nichts passiert. Tatsächlich steht dahinter harte Entwurfsarbeit. Bei einem Automobilzulieferer, Tochter eines rund dreißigfach größeren Konzerns, ging es um die Berechtigungen im ERP-System, gemessen an DSGVO und SOX, mit einem Programmvolumen von rund drei Millionen Euro. Am Anfang stand nicht die saubere Landschaft. Am Anfang stand der Befund.
Der Befund, der die Entscheidung auslöste
Das Muster hieß schleichende Rechteanhäufung. Rollen wurden bei organisatorischem Wechsel nicht entzogen. Das vom Mutterkonzern übernommene Berechtigungskonzept war für ein viel größeres Haus geschnitten, sodass für dieselbe Funktion mehr Rollen zugewiesen werden mussten, weil die Bausteine im fremden Konzept verstreut lagen. Und über dem Ganzen fehlte die Transparenz: Im Überkonzept der dreißigfach größeren Mutter blickte niemand mehr durch. Erst dieser Befund trug die Entscheidung: Hier müssen wir etwas tun.
Der kritische Entwurfsentscheid war, sich vom fremden Überbau zu lösen: ein eigenes Konzept, eigene Werkzeuge, eigene Dokumentation und ein durchgängiges Trennung der Verantwortungen (SoD) über alle relevanten Bereiche, Finanzwesen, Materialwirtschaft, Vertrieb. Man adaptiert nicht das größere Konzept, man baut das passende. Erst das machte die saubere Zertifizierung möglich.
Was Firmen an solchen Audits unterschätzen
Für einen erfahrenen Prüfer zählt nicht nur der Regeltext, sondern der Geist dahinter. Hat das Unternehmen verstanden, was die Vorschrift bezweckt? Wurde der Regel gefolgt oder dem Prinzip? Wurden Lücken selbst gefunden und geschlossen, oder war es eine defensive Abwehrschlacht? Auch ein Auditor ist kein Feind. Er hat ein Ziel, bei dessen Erreichung man ihm besser hilft. Das im Einklang mit den eigenen Zielen zu tun, darin liegt die eigentliche Kunst.
Wenn Ihnen jemand ein „Audit ohne Befund“ meldet, fragen Sie, ob dahinter Konstruktion steht oder Glück. Befundfreiheit, die man erarbeitet hat, hält beim nächsten Prüfer. Befundfreiheit, die einem zuflog, nicht.
