Compliance-Lexikon · Praxis
Compliance Monitoring – Praxis
Compliance Monitoring ist in nahezu allen Frameworks als Anforderung verankert – trotzdem fehlt in vielen Organisationen ein strukturiertes Monitoring-Programm. Was vorhanden ist, läuft oft ad hoc und ohne nachweisbare Dokumentation. Das ist ein Auditrisiko.
Was Auditoren konkret prüfen
Der Auditor erwartet ein dokumentiertes Monitoring-Programm: Welche Kontrollen werden wie häufig überwacht? Wer ist verantwortlich? Wie werden Abweichungen eskaliert und nachverfolgt? Und: Gibt es Berichte, die belegen, dass das Monitoring tatsächlich stattfindet?
Häufige Fehler
- Monitoring-Berichte existieren, werden aber nicht datiert und nicht archiviert
- Eskalationspfade sind nicht definiert – Abweichungen versanden
- KPIs sind nicht festgelegt, Monitoring bleibt qualitativ und damit nicht prüfbar
Praxis-Tipp
Ein Monitoring-Programm ohne Dokumentation zählt im Audit nicht. Selbst ein einfacher monatlicher Status-Report in einer Excel-Datei – mit Datum, Prüfer und Ergebnis – ist besser als kein Nachweis. Der Aufwand ist gering, die Auditrelevanz hoch.
Mindeststruktur eines Monitoring-Programms
Ein auditrelevantes Monitoring-Programm enthält: Liste der zu überwachenden Kontrollen mit Prüffrequenz, Verantwortlichkeiten für die Durchführung, KPIs und Schwellenwerte für Eskalation, Eskalationspfade und Dokumentationsregeln. Diese Struktur kann in einer einfachen Tabelle abgebildet werden – ein aufwendiges GRC-System ist keine Voraussetzung.
Evidence-Anforderungen im Audit
Vorzulegen sind: Monitoring-Programm-Dokumentation mit Datum, Monitoring-Berichte für den Prüfungszeitraum, Nachweise der Eskalation und Behebung von Abweichungen sowie KPI-Auswertungen. Das BAM-Objekt CROSS-CM-01 strukturiert diese Anforderungen als prüfbare Checkliste.
Nächster Schritt
NIS-2-Stresstest starten
Kostenloser Compliance-Check auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – wie Compliance Monitoring als kontinuierlicher Systemzustand statt periodischer Prüfung funktioniert – findet sich auf Ebene 3.