1. Mit der Frage beginnen, die der Nachweis beantworten soll
Ein gefüllter Auditordner bedeutet noch keine Prüfungsbereitschaft. Zahlreiche Exporte können Informationen enthalten, ohne zu zeigen, ob eine Kontrolle für die richtigen Personen, Systeme oder Zeiträume wirksam durchgeführt wurde. Aussagekräftige betriebliche Nachweise verbinden eine definierte Anforderung mit einer Handlung, einem Ergebnis und einer überprüfbaren Quelle.
Bestimmen Sie für jede Nachweisanforderung das Kontrollziel, die betrachtete Grundgesamtheit und den Prüfungszeitraum. Ein Beleg zum Berechtigungsentzug sollte beispielsweise mehr als einen eingereichten Antrag zeigen: Er sollte erkennen lassen, welches Konto betroffen war und ob der Entzug bestätigt wurde.
- Dokumentieren Sie die zu beantwortende Frage und die Grenzen des Nachweises.
- Unterscheiden Sie beantragte Maßnahmen, Ausführungsversuche und verifizierte Ergebnisse.
2. Zeitstempel, Verantwortliche und Rückverfolgbarkeit ergänzen
Der Kontext bestimmt, was eine Aufzeichnung tatsächlich belegen kann. Ein Zeitstempel kann das ursprüngliche Ereignis, die letzte Synchronisierung oder die Erstellung eines Exports bezeichnen. Das sind unterschiedliche Sachverhalte. Erhalten Sie diese Bedeutung einschließlich der Zeitzone, statt sämtliche Datumsangaben gleichzusetzen.
Benennen Sie eine verantwortliche Person, die den Nachweis erläutern kann, und verknüpfen Sie ihn mit dem zugehörigen Gerät, Beschäftigten, Prozess oder der Richtlinie. Prüfende sollten eine Schlussfolgerung bis zur Quelle zurückverfolgen können, einschließlich Ausnahmen und späterer Korrekturen.
- Erfassen Sie Quellkennungen, Erfassungszeitpunkt, gegebenenfalls Ereigniszeitpunkt und Angaben zur prüfenden Person.
- Kennzeichnen Sie fehlende Informationen ausdrücklich, statt Lücken durch Annahmen zu schließen.
3. Strukturierte Aufzeichnungen statt isolierter Bildschirmfotos
Ein Bildschirmfoto kann zeigen, was eine Person zu einem bestimmten Zeitpunkt gesehen hat. Als ergänzende Unterlage ist es mitunter hilfreich, lässt aber häufig Filter, Geltungsbereich, Kontokennungen oder die Vorgeschichte des angezeigten Zustands offen. Auch Vergleiche innerhalb größerer Stichproben sind oft schwierig.
Strukturierte Nachweise bewahren klar definierte Felder und Beziehungen. Das erleichtert Stichproben und Abgleiche, garantiert jedoch keine Richtigkeit: Fehlerhafte Feldzuordnungen oder unzureichende Quellberechtigungen können irreführende Datensätze erzeugen. Ergänzen Sie strukturierte Aufzeichnungen durch Erläuterungen, wenn ein Export den notwendigen Kontrollkontext nicht abbildet.
- Bewahren Sie Abfrageumfang oder Auswahlkriterien zusammen mit dem Export auf.
- Prüfen Sie eine Stichprobe anhand der Quelle, bevor Sie die Daten als Nachweis vorlegen.
4. Gezielt erfassen und angemessen aufbewahren
Erfassen Sie Nachweise im laufenden Betrieb, statt kurz vor einer Prüfung monatelange Abläufe zu rekonstruieren. Legen Sie fest, wann die Erfassung erfolgt, wer Fehler prüft und wo ergänzende Dokumente abgelegt werden. Sammeln Sie keine unnötigen personenbezogenen Daten, nur weil eine Quelle sie bereitstellt.
Die Aufbewahrung sollte vereinbarte Prüfungsanforderungen, anwendbare Pflichten und interne Richtlinien berücksichtigen. Regeln Sie Zugriff, Überprüfung und Löschung. Prüfen Sie aktuelle Angaben zu Lojycal unter /privacy, /dpa, /sub-processors und /data-retention. Klären Sie offene Anforderungen mit dem Team, statt bestimmte Aufbewahrungsfristen oder Hostingbedingungen vorauszusetzen.
- Erstellen Sie einen Erfassungsplan mit Zuständigkeit und einem Verfahren für Ausnahmen.
5. Die Grenzen der Nachweisfunktionen von Lojycal verstehen
Lojycal bietet ausschließlich ergänzbare Auditprotokolle und Mechanismen für signierte Nachweisexporte. Diese unterstützen Rückverfolgbarkeit und Integritätsprüfungen, machen aber nicht sämtliche betrieblichen Datensätze unveränderlich. Eine Signatur bestätigt weder die Vollständigkeit der Ausgangsdaten noch die Wirksamkeit einer Kontrolle.
Welche Nachweise verfügbar sind, hängt von Arbeitsabläufen, angebundenen Quellen, Berechtigungen und Konfiguration ab. Bestätigen Sie die Funktionen für Ihren Tarif und Arbeitsbereich. Richtlinien, Kontrollauslegungen und Nachweispakete erfordern weiterhin menschliche Prüfung. Integritätsmechanismen sind weder eine Zertifizierung noch eine Garantie für gerichtliche Verwertbarkeit oder einen erfolgreichen Audit.
- Fragen Sie, welche Ereignisse protokolliert werden und wie sich die Exportintegrität prüfen lässt.
6. Die Prüfung vorab durchspielen
In einem fiktiven Austrittsfall vermerkt ein Ticket den Berechtigungsentzug am Freitag; die Prüfung im Quellsystem erfolgt jedoch erst am Montag. Bewahren Sie beide Datumsangaben auf und erläutern Sie den Abstand. Die Montagsprüfung darf nicht nachträglich als Beleg für den Kontostand am Freitag ausgegeben werden.
Ordnen Sie jeder Prüfungsanfrage Verantwortliche, Quelle, Zeitraum und Prüfstatus in einem Nachweisverzeichnis zu. Lassen Sie eine unbeteiligte Person eine kleine Stichprobe nachvollziehen. Klären Sie Widersprüche, dokumentieren Sie verbleibende Lücken und stimmen Sie das erwartete Format mit den Prüfenden ab.
- Bewerten Sie Lojycal anhand einer typischen Nachweisanforderung und eines Beispiel exports.
- Prüfen Sie Verständlichkeit, Rückverfolgbarkeit, Zugriffsbeschränkungen und den Umgang mit Ausnahmen.