Effektive Compliance geht über die Schulung von Mitarbeitern zu neuen Vorschriften und die Verfolgung der Anzahl von Nichteinhaltungsfällen hinaus. In diesem Implementierungsleitfaden konzentrieren wir uns auf eine ganzheitliche Sichtweise der Compliance, die wichtige Interessengruppen einbezieht und eine spezifische Quantifizierung der Compliance-Bemühungen und -Ergebnisse durch 7 Schritte vorschlägt.
Stakeholder-Definition
Beginnen wir mit der Definition der generischen Stakeholder, die in die Compliance involviert sind:
- Vorstand. Vertritt die Interessen der Organisationen.
- Compliance-Abteilung. Eine spezialisierte Abteilung, die die Einhaltung der Organisation in Übereinstimmung mit geltenden Gesetzen, Vorschriften, internen Richtlinien usw. sicherstellt.
- Interne Geschäftssysteme. IT und andere Geschäftssysteme, die die Compliance-Bemühungen unterstützen.
- Mitarbeiter, die die Compliance-Richtlinien beeinflussen oder von ihnen beeinflusst werden können.
- Dritte. Partner und ähnliche externe Stakeholder.
- Externer Prüfer. Ein Experte in der betreffenden Regulierung.
- Regulierungsbehörde. Behörde, die die Regulierung festlegt.
In BSC Designer navigieren Sie zu Einstellungen > Strategie > Stakeholder, um relevante Stakeholder zur Liste hinzuzufügen. Später können diese Stakeholder über das Eigentümer-Feld mit spezifischen Zielen und Kennzahlen abgestimmt werden.
Compliance-Vorlage und KPIs
Benutzer von BSC Designer haben Zugang zur Compliance-Scorecard-Vorlage mit den im Artikel besprochenen KPIs:
Compliance Template. - Diese Vorlage kann angepasst werden, um den Anforderungen der spezifischen Vorschrift zu entsprechen.
- Die für verschiedene Vorschriften erstellten Scorecards können später kombiniert werden, um eine umfassende Compliance-Scorecard mit einem allgemeinen Compliance-Index zu erstellen.
1. Strategien Proaktiv Anpassen
Regulierungsbehörden beginnen, neue Vorschriften zu formulieren, als Reaktion auf verschiedene Faktoren wie soziale, technologische, politische usw. Organisationen können sich proaktiv auf potenzielle Vorschriften vorbereiten, indem sie eine Analyse externer Faktoren durchführen, ähnlich wie die von Regulierungsbehörden durchgeführte.
Verwenden Sie die im BSC Designer verfügbare PESTEL-Analyse-Vorlage, um:
- potenzielle treibende Kräfte zu formulieren und
- Frühindikatoren zu definieren.
Um diese proaktive Vorbereitung zu quantifizieren, können wir den Indikator verwenden:
Anzahl der mit regelmäßiger PESTEL-Analyse identifizierten treibenden Kräfte.
In der Vorlage ist diese Metrik für jährliche Aktualisierungen konfiguriert:
Compliance Template. Zum Beispiel werden aufstrebende Technologien, insbesondere Fortschritte in der KI, als eine der treibenden Kräfte in der PESTEL-Analyse identifiziert.
2. Neue Anwendbare Vorschriften Frühzeitig Identifizieren
Die Aufgabe des Compliance-Büros besteht darin, neue anwendbare Vorschriften frühzeitig zu identifizieren und mit der Vorbereitung innerhalb der Organisation zu beginnen. In der Regel geben die Regulierungsbehörden genügend Zeit für die Analyse und Vorbereitung, indem sie zunächst einen Entwurf der Vorschrift veröffentlichen, und es gibt eine Übergangsfrist, sobald die Vorschrift offiziell veröffentlicht wird.
Um die Effizienz des Compliance-Büros zu quantifizieren, verwenden wir:
Regelungsabdeckung, %. Verfolgung des Prozentsatzes der anwendbaren Vorschriften, die vom Compliance-Büro in einem frühen Stadium erkannt wurden.
Im Template hat die Regelungsabdeckungsmetrik ein höheres Gewicht im Index im Vergleich zu anderen Metriken.
Zeit zur Überprüfung der Vorschrift. Durchschnittliche Zeit von der ersten Veröffentlichung der Vorschrift bis zur Entwicklung des Vorbereitungsplans.
Entwicklungszeit für Richtlinien. Durchschnittliche Zeit, die benötigt wird, um interne Richtlinien und relevante Schulungsmaterialien zu entwickeln.
Compliance Template. Schätzungen für die Zeitmetriken könnten als Kriterien verwendet werden, um zu bestimmen, ob die Arbeit an bestimmten Vorschriften intern durchgeführt oder an ein externes Beratungsunternehmen ausgelagert werden sollte.
Zum Beispiel veröffentlichen und aktualisieren viele Regulierungsbehörden KI-bezogene Richtlinien. Mit den genannten Metriken können wir sicherstellen, dass diese Richtlinien im Kontext einer spezifischen Organisation ordnungsgemäß geprüft und in leitende Verfahren übersetzt werden.
3. Mitarbeiter Schulen, Um Neue Vorschriften Zu Befolgen
Sobald die entsprechenden Richtlinien formuliert sind, muss die Organisation ihre Mitarbeiter schulen, um die neuen Vorschriften zu befolgen. Um den Prozess zu verfolgen, nutzen wir eine grundlegende Metrik:
Abschluss der Schulung zu Vorschriften. Kann grundlegendes Bewusstsein über neue Vorschriften oder detaillierte Modellierung von Szenarien der Einhaltung und Nichteinhaltung umfassen.
Für komplexere Vorschriften sollten Sie in Betracht ziehen, eine spezielle Schulungs-Scorecard zu verwenden, um den Prozess zu verfolgen.
4. Einhaltung von Drittparteien Validieren
Die meisten Vorschriften erfordern einen Blick entlang der Wertschöpfungskette und die Validierung der Einhaltung durch Drittparteien. Die Organisation könnte nicht daran interessiert sein, die Details zu betrachten; stattdessen kann sie sich darauf konzentrieren, die gesamte Compliance-Bewertung der Partner und den Prozentsatz der bewerteten Partner zu verfolgen.
% der auf Compliance bewerteten Partner.
Gesamtbewertung der Partner-Compliance (siehe zum Beispiel, Lieferanten-Risikomanagement-Scorecard).
Risikoidentifikation und -minderung sind entscheidend für den langfristigen Erfolg der Compliance. In diesem Fall wurde ein Risiko als „Änderungen in der Regulierung“ mit einem Minderungsplan identifiziert:
- „Minderung der Auswirkungen regulatorischer Änderungen auf Drittparteien, die die Compliance-Prüfung bereits bestanden haben, durch regelmäßige Überprüfungen und Revisionen der Compliance-Bewertung.“
Compliance Template. 5. Simulieren Sie Vorfälle der Nichteinhaltung
Um den Erfolg des Compliance-Trainings zu validieren, kann die Organisation Vorfälle der Nichteinhaltung simulieren und die angemessenen Reaktionen der verantwortlichen Mitarbeiter bewerten. Die Ergebnisse einer solchen Validierung können wie folgt quantifiziert werden:
Wirksamkeit des regulatorischen Trainings, validiert durch Simulationen der Nichteinhaltung.
Quantifizierung der Auswirkungen von Nicht-Konformität
Der Einfluss von Nicht-Konformität kann validiert werden durch:
Reputationsschaden-Metrik – kann durch die Dauer der negativen Medienberichterstattung quantifiziert werden.
Direkter Gewinnverlust.
Regulatorische Geldbußen und Strafen.
Ihre Dynamik im Laufe der Zeit wird die Effektivität der eingeführten Compliance-Maßnahmen anzeigen. Obwohl all diese Metriken ihrer Natur nach Spätindikatoren sind, kann die Compliance-Abteilung die mit diesen Metriken verbundenen Risiken nutzen, um bestimmte Aktivitäten zu priorisieren und Compliance-Budgets zu rechtfertigen.
6. Auditsysteme durch externen Auditor prüfen
In Fällen mit kritischen Vorschriften, bei denen eine potenzielle Nichteinhaltung zu erheblichen wirtschaftlichen und reputationsbezogenen Konsequenzen führen könnte, beauftragt der Vorstand unabhängige Auditoren.
Die Kennzahlen, auf die im Kontext eines externen Auditors zu fokussieren ist:
Audit-Abdeckung, %. Uns interessiert eine umfassende Prüfung aller relevanten Funktionen der Organisation, um sicherzustellen, dass die maximal möglichen Compliance-Risiken frühzeitig erkannt wurden.
Anzahl der Audit-Feststellungen. Neben ihrer direkten Anwendung kann diese Kennzahl genutzt werden, um die Wirksamkeit der Compliance-Stelle bei der Analyse und Umsetzung der Anforderungen der Vorschrift zu validieren.
Für wiederkehrende Maßnahmen wie externe Audits ist es ratsam, Kennzahlen im Zeitverlauf zu verfolgen. Benutzer von BSC Designer können Aktualisierungsintervalle für die Kennzahlen festlegen, um Datenkonsistenz sicherzustellen.
Eine weitere Nuance bei dieser Art von Kennzahl ist die Schwierigkeit, ein Ziel festzulegen. So könnte beispielsweise eine geringe Anzahl von Audit-Feststellungen als unzureichende Aufmerksamkeit des Auditors gesehen werden, während ein hohes Niveau an Feststellungen darauf hindeuten kann, dass die Compliance-Stelle keine wirksame interne Prüfung durchgeführt hat. Um diese Idee abzubilden, wurde die Leistungsfunktion des Indikators angepasst.
Compliance Template. Zusätzlich können alle Feststellungen nach ihrer Wirkung kategorisiert werden, wobei den kritischsten Feststellungen das höchste Gewicht zugewiesen wird. Dies hilft, einen Missbrauch der Kennzahl zu vermeiden, indem der Fokus auf eine große Anzahl von Feststellungen mit geringem Wert gelegt wird. Ein Beispiel für eine solche Kategorisierung ist der gewichtete Risikoindex in der Cybersecurity-Scorecard.
Ein Hinweis auf die Wirksamkeit der Umsetzung der Feststellungen des Auditors kann quantifiziert werden durch:
Abschlussquote der Audit-Feststellungen. Während das naheliegende Ziel für diese Kennzahl 100% ist, kann es Zeit- und Ressourcenbeschränkungen geben, die eine sofortige Umsetzung aller Empfehlungen des Auditors verhindern.
Reaktionszeit auf Audit-Feststellungen. Eine weitere Sicht auf die Behebung von durch das Audit erkannten Nichteinhaltungs-Schwachstellen: Wir betrachten die Zeit, die benötigt wird, um das Problem ab seiner Erkennung zu schließen.
Benutzer von BSC Designer können die Indikatoren mit den neuesten Daten aktualisieren und eine Notiz zur jüngsten Aktualisierung hinzufügen. So können sie beispielsweise zusätzliche Details bereitstellen, die erklären, warum es in einer bestimmten Phase möglicherweise nicht möglich ist, einige der Audit-Feststellungen zu schließen.
Sowohl Abschlussquote als auch Reaktionszeit sind Frühindikatoren für die Verbesserung der Compliance-Systeme; sie konzentrieren sich darauf, den gesamten Prozess agiler und für die Stakeholder der Endbenutzer weniger komplex zu gestalten.
Verwaltung von Nichtkonformitätsvorfällen
Ordnungsgemäße Vorbereitungen durch das interne Compliance-Büro und externe Audits sichern die Organisation nicht gegen mögliche Compliance-Verstöße ab.
Metriken, die in diesem Zusammenhang verfolgt werden sollten:
Reaktionszeit bei Vorfällen. Um sicherzustellen, dass Compliance-Verstöße schnell gelöst werden, um den Einfluss auf die Organisation zu minimieren.
Wiederauftreten von Vorfällen. Die Verhinderung des Wiederauftretens von Vorfällen derselben Art ist ein Indikator dafür, wie gut eine Organisation aus Fehlern lernt.
Die Maßeinheit für die Metrik der Reaktionszeit kann Stunden oder Tage sein, abhängig von der Art des Vorfalls.
Der Logik folgend, dass das Wiederauftreten von Vorfällen ein Indikator für die Effektivität des Compliance-Büros ist, wurde der Indikator „Wiederauftreten von Vorfällen“ mit dem Ziel ‚Mitarbeiter schulen, um die neuen Vorschriften zu befolgen‘ als Spätindikator durch Daten abgestimmt.
7. Compliance-Scorecards ausrichten
Die besprochenen Kennzahlen werden spezifisch für eine bestimmte Vorschrift sein. Für jede Vorschrift wird es eine eigene Compliance-Scorecard geben, die die für diese spezifische Vorschrift angepassten Kennzahlen enthält. Beispielsweise gibt es Scorecards für Disaster Recovery, Business Continuity und Lieferantenvalidierung.
Strategy Cascading. Um ein Gesamtbild der GRC-(Governance, Risiko und Compliance)-Aktivitäten zu erhalten, können wir die GRC-Scorecards für spezifische Vorschriften in einer übergreifenden GRC-Scorecard ausrichten.
Um Compliance-Kontrollen mit der Lieferantenaufsicht zu verknüpfen, sehen Sie sich an, wie die Lieferantenrisikobewertung Auditnachweise, Risikobewertung und Korrekturmaßnahmen unterstützt.
Nutzen Sie Compliance Scorecard Vorlage
BSC Designer hilft Organisationen bei der Implementierung ihrer komplexen Strategien:
- Melden Sie sich für einen kostenlosen Plan auf der Plattform an.
- Verwenden Sie die
Compliance Scorecard Vorlage als Ausgangspunkt. Sie finden sie unter Neu > Neue Scorecard > Weitere Vorlagen. - Folgen Sie unserem Strategie-Implementierungssystem, um Stakeholder und strategische Ambitionen in eine umfassende Strategie zu integrieren.
Fangen Sie noch heute an und sehen Sie, wie BSC Designer Ihre Strategieimplementierung vereinfachen kann!
Alexis Savkin ist Strategiearchitekt und Gründer von BSC Designer, einer Softwareplattform zur Strategieumsetzung, deren Kern die Balanced Scorecard bildet. Er unterstützt Organisationen dabei, Strategien in messbare Ziele, KPIs und Initiativen zu übersetzen. Alexis ist der Entwickler des Strategy Execution Canvas, Autor von über 100 Artikeln zu Strategie und Leistungsmessung sowie regelmäßiger Redner.