Effektive Compliance geht über die Schulung von Mitarbeitern zu neuen Vorschriften und die Verfolgung der Anzahl von Nichteinhaltungsfällen hinaus. In diesem Implementierungsleitfaden konzentrieren wir uns auf eine ganzheitliche Sichtweise der Compliance, die wichtige Interessengruppen einbezieht und eine spezifische Quantifizierung der Compliance-Bemühungen und -Ergebnisse durch 7 Schritte vorschlägt.
Stakeholder-Definition
Beginnen wir mit der Definition der generischen Stakeholder, die in die Compliance involviert sind:
- Vorstand. Vertritt die Interessen der Organisationen.
- Compliance-Abteilung. Eine spezialisierte Abteilung, die die Einhaltung der Organisation in Übereinstimmung mit geltenden Gesetzen, Vorschriften, internen Richtlinien usw. sicherstellt.
- Interne Geschäftssysteme. IT und andere Geschäftssysteme, die die Compliance-Bemühungen unterstützen.
- Mitarbeiter, die die Compliance-Richtlinien beeinflussen oder von ihnen beeinflusst werden können.
- Dritte. Partner und ähnliche externe Stakeholder.
- Externer Prüfer. Ein Experte in der betreffenden Regulierung.
- Regulierungsbehörde. Behörde, die die Regulierung festlegt.
In BSC Designer navigieren Sie zu Einstellungen > Strategie > Stakeholder, um relevante Stakeholder zur Liste hinzuzufügen. Später können diese Stakeholder über das Eigentümer-Feld mit spezifischen Zielen und Kennzahlen abgestimmt werden.
Compliance-Vorlage und KPIs
Benutzer von BSC Designer haben Zugang zur Compliance-Scorecard-Vorlage mit den im Artikel besprochenen KPIs:
Compliance Template. - Diese Vorlage kann angepasst werden, um den Anforderungen der spezifischen Vorschrift zu entsprechen.
- Die für verschiedene Vorschriften erstellten Scorecards können später kombiniert werden, um eine umfassende Compliance-Scorecard mit einem allgemeinen Compliance-Index zu erstellen.
1. Strategien Proaktiv Anpassen
Regulierungsbehörden beginnen, neue Vorschriften zu formulieren, als Reaktion auf verschiedene Faktoren wie soziale, technologische, politische usw. Organisationen können sich proaktiv auf potenzielle Vorschriften vorbereiten, indem sie eine Analyse externer Faktoren durchführen, ähnlich wie die von Regulierungsbehörden durchgeführte.
Verwenden Sie die im BSC Designer verfügbare PESTEL-Analyse-Vorlage, um:
- potenzielle treibende Kräfte zu formulieren und
- Frühindikatoren zu definieren.
Um diese proaktive Vorbereitung zu quantifizieren, können wir den Indikator verwenden:
Anzahl der mit regelmäßiger PESTEL-Analyse identifizierten treibenden Kräfte.
In der Vorlage ist diese Metrik für jährliche Aktualisierungen konfiguriert:
Compliance Template. Zum Beispiel werden aufstrebende Technologien, insbesondere Fortschritte in der KI, als eine der treibenden Kräfte in der PESTEL-Analyse identifiziert.
2. Neue Anwendbare Vorschriften Frühzeitig Identifizieren
Die Aufgabe des Compliance-Büros besteht darin, neue anwendbare Vorschriften frühzeitig zu identifizieren und mit der Vorbereitung innerhalb der Organisation zu beginnen. In der Regel geben die Regulierungsbehörden genügend Zeit für die Analyse und Vorbereitung, indem sie zunächst einen Entwurf der Vorschrift veröffentlichen, und es gibt eine Übergangsfrist, sobald die Vorschrift offiziell veröffentlicht wird.
Um die Effizienz des Compliance-Büros zu quantifizieren, verwenden wir:
Regelungsabdeckung, %. Verfolgung des Prozentsatzes der anwendbaren Vorschriften, die vom Compliance-Büro in einem frühen Stadium erkannt wurden.
Im Template hat die Regelungsabdeckungsmetrik ein höheres Gewicht im Index im Vergleich zu anderen Metriken.
Zeit zur Überprüfung der Vorschrift. Durchschnittliche Zeit von der ersten Veröffentlichung der Vorschrift bis zur Entwicklung des Vorbereitungsplans.
Entwicklungszeit für Richtlinien. Durchschnittliche Zeit, die benötigt wird, um interne Richtlinien und relevante Schulungsmaterialien zu entwickeln.
Compliance Template. Schätzungen für die Zeitmetriken könnten als Kriterien verwendet werden, um zu bestimmen, ob die Arbeit an bestimmten Vorschriften intern durchgeführt oder an ein externes Beratungsunternehmen ausgelagert werden sollte.
Zum Beispiel veröffentlichen und aktualisieren viele Regulierungsbehörden KI-bezogene Richtlinien. Mit den genannten Metriken können wir sicherstellen, dass diese Richtlinien im Kontext einer spezifischen Organisation ordnungsgemäß geprüft und in leitende Verfahren übersetzt werden.
3. Mitarbeiter Schulen, Um Neue Vorschriften Zu Befolgen
Sobald die entsprechenden Richtlinien formuliert sind, muss die Organisation ihre Mitarbeiter schulen, um die neuen Vorschriften zu befolgen. Um den Prozess zu verfolgen, nutzen wir eine grundlegende Metrik:
Abschluss der Schulung zu Vorschriften. Kann grundlegendes Bewusstsein über neue Vorschriften oder detaillierte Modellierung von Szenarien der Einhaltung und Nichteinhaltung umfassen.
Für komplexere Vorschriften sollten Sie in Betracht ziehen, eine spezielle Schulungs-Scorecard zu verwenden, um den Prozess zu verfolgen.
4. Einhaltung von Drittparteien Validieren
Die meisten Vorschriften erfordern einen Blick entlang der Wertschöpfungskette und die Validierung der Einhaltung durch Drittparteien. Die Organisation könnte nicht daran interessiert sein, die Details zu betrachten; stattdessen kann sie sich darauf konzentrieren, die gesamte Compliance-Bewertung der Partner und den Prozentsatz der bewerteten Partner zu verfolgen.
% der auf Compliance bewerteten Partner.
Gesamtbewertung der Partner-Compliance (siehe zum Beispiel, Lieferanten-Risikomanagement-Scorecard).
Risikoidentifikation und -minderung sind entscheidend für den langfristigen Erfolg der Compliance. In diesem Fall wurde ein Risiko als „Änderungen in der Regulierung“ mit einem Minderungsplan identifiziert:
- „Minderung der Auswirkungen regulatorischer Änderungen auf Drittparteien, die die Compliance-Prüfung bereits bestanden haben, durch regelmäßige Überprüfungen und Revisionen der Compliance-Bewertung.“
Compliance Template. 5. Simulieren Sie Vorfälle der Nichteinhaltung
Um den Erfolg des Compliance-Trainings zu validieren, kann die Organisation Vorfälle der Nichteinhaltung simulieren und die angemessenen Reaktionen der verantwortlichen Mitarbeiter bewerten. Die Ergebnisse einer solchen Validierung können wie folgt quantifiziert werden:
Wirksamkeit des regulatorischen Trainings, validiert durch Simulationen der Nichteinhaltung.
Quantifizierung der Auswirkungen von Nicht-Konformität
Der Einfluss von Nicht-Konformität kann validiert werden durch:
Reputationsschaden-Metrik – kann durch die Dauer der negativen Medienberichterstattung quantifiziert werden.
Direkter Gewinnverlust.
Regulatorische Geldbußen und Strafen.
Ihre Dynamik im Laufe der Zeit wird die Effektivität der eingeführten Compliance-Maßnahmen anzeigen. Obwohl all diese Metriken ihrer Natur nach Spätindikatoren sind, kann die Compliance-Abteilung die mit diesen Metriken verbundenen Risiken nutzen, um bestimmte Aktivitäten zu priorisieren und Compliance-Budgets zu rechtfertigen.
6. Systeme durch Externe Auditoren Prüfen
In Fällen, die kritische Vorschriften betreffen, bei denen potenzielle Nichteinhaltung zu erheblichen wirtschaftlichen und reputativen Konsequenzen führen könnte, engagiert der Vorstand unabhängige Auditoren.
Die Kennzahlen, auf die im Kontext eines externen Auditors geachtet werden sollte:
Prüfungsabdeckung, %. Wir sind an einer umfassenden Prüfung aller relevanten Funktionen der Organisation interessiert, um sicherzustellen, dass die maximal möglichen Compliance-Risiken frühzeitig erkannt wurden.
Anzahl der Prüfungsfeststellungen. Neben ihrer direkten Anwendung kann diese Kennzahl verwendet werden, um die Effektivität der Compliance-Abteilung bei der Analyse und Umsetzung der Vorgaben der Vorschriften zu validieren.
Für wiederkehrende Maßnahmen wie externe Audits ist es ratsam, Kennzahlen über die Zeit zu verfolgen. Benutzer von BSC Designer können Aktualisierungsintervalle für die Kennzahlen festlegen, um Datenkonsistenz sicherzustellen.
Ein weiterer Aspekt bei dieser Art von Kennzahl ist die Schwierigkeit, ein Ziel festzulegen. Beispielsweise könnte eine geringe Anzahl von Prüfungsfeststellungen als unzureichende Aufmerksamkeit des Auditors angesehen werden, während ein hohes Maß an Feststellungen darauf hindeuten könnte, dass die Compliance-Abteilung keine effektive interne Prüfung durchgeführt hat. Um diese Idee zu erfassen, wurde die Leistungsfunktion des Indikators modifiziert.
Compliance-Vorlage. Zusätzlich können alle Feststellungen nach ihrem Einfluss kategorisiert werden, wobei den kritischsten Feststellungen das höchste Gewicht gegeben wird. Dies hilft, den Missbrauch der Kennzahl zu vermeiden, der sich auf eine große Anzahl von Feststellungen mit geringem Wert konzentriert. Ein Beispiel für eine solche Kategorisierung ist der gewichtete Risikoindex in der Cybersicherheits-Scorecard.
Einige Hinweise auf die Effektivität der Umsetzung der Feststellungen des Auditors können quantifiziert werden durch:
Rate des Abschlusses von Prüfungsfeststellungen. Während das offensichtliche Ziel für diese Kennzahl bei 100 % liegt, könnten zeitliche und ressourcenbezogene Einschränkungen verhindern, dass alle Empfehlungen des Auditors sofort umgesetzt werden.
Reaktionszeit auf Prüfungsfeststellungen. Eine weitere Sichtweise auf die Behebung von durch die Prüfung aufgedeckten Nichteinhaltungsanfälligkeiten ist die Betrachtung der benötigten Zeit, um das Problem von seiner Entdeckung an zu schließen.
Benutzer von BSC Designer können die Indikatoren mit den neuesten Daten aktualisieren und eine Notiz über das jüngste Update hinzufügen. Beispielsweise können sie zusätzliche Details bereitstellen, die erklären, warum es in einem bestimmten Stadium möglicherweise nicht möglich ist, einige der Prüfungsfeststellungen abzuschließen.
Sowohl die Abschlussrate als auch die Reaktionszeit sind Frühindikatoren für die Verbesserung der Compliance-Systeme, die darauf abzielen, den gesamten Prozess agiler und weniger komplex für die Endbenutzer-Stakeholder zu gestalten.
Verwaltung von Nichtkonformitätsvorfällen
Ordnungsgemäße Vorbereitungen durch das interne Compliance-Büro und externe Audits sichern die Organisation nicht gegen mögliche Compliance-Verstöße ab.
Metriken, die in diesem Zusammenhang verfolgt werden sollten:
Reaktionszeit bei Vorfällen. Um sicherzustellen, dass Compliance-Verstöße schnell gelöst werden, um den Einfluss auf die Organisation zu minimieren.
Wiederauftreten von Vorfällen. Die Verhinderung des Wiederauftretens von Vorfällen derselben Art ist ein Indikator dafür, wie gut eine Organisation aus Fehlern lernt.
Die Maßeinheit für die Metrik der Reaktionszeit kann Stunden oder Tage sein, abhängig von der Art des Vorfalls.
Der Logik folgend, dass das Wiederauftreten von Vorfällen ein Indikator für die Effektivität des Compliance-Büros ist, wurde der Indikator „Wiederauftreten von Vorfällen“ mit dem Ziel ‚Mitarbeiter schulen, um die neuen Vorschriften zu befolgen‘ als Spätindikator durch Daten abgestimmt.
7. Compliance-Scorecards Ausrichten
Die besprochenen Metriken werden spezifisch für eine bestimmte Regulierung sein. Für jede Regulierung wird es ein eigenes Compliance-Scorecard geben, das die Metriken für diese spezifische Regulierung anpasst. Zum Beispiel gibt es Scorecards für Katastrophenwiederherstellung, Geschäftskontinuitätsmanagement und Lieferantenvalidierung.
Strategiekaskadierung. Um ein umfassendes Bild der GRC (Governance, Risiko und Compliance)-Bemühungen zu erhalten, können wir die GRC-Scorecards für spezifische Regulierung zu einem übergeordneten GRC-Scorecard ausrichten.
Nutzen Sie Compliance-Scorecard Vorlage
BSC Designer hilft Organisationen bei der Implementierung ihrer komplexen Strategien:
- Melden Sie sich für einen kostenlosen Plan auf der Plattform an.
- Verwenden Sie die
Compliance-Scorecard Vorlage als Ausgangspunkt. Sie finden sie unter Neu > Neue Scorecard > Weitere Vorlagen. - Folgen Sie unserem Strategie-Implementierungssystem, um Stakeholder und strategische Ambitionen in eine umfassende Strategie zu integrieren.
Fangen Sie noch heute an und sehen Sie, wie BSC Designer Ihre Strategieimplementierung vereinfachen kann!
Alexis ist Senior Strategy Consultant und CEO bei BSC Designer mit über 20 Jahren Erfahrung in der strategischen Planung. Mit einem Hintergrund in angewandter Mathematik und Informationstechnologie bringt er eine starke analytische und systemorientierte Perspektive in die Strategie- und Leistungsmanagement ein. Alexis entwickelte das „5-Schritte-Strategie-Implementierungssystem“, das Unternehmen bei der praktischen Umsetzung ihrer Strategien unterstützt. Er ist regelmäßiger Redner auf Branchenkonferenzen und hat mehr als 100 Artikel über Strategie- und Leistungsmanagement sowie das Buch „10-Schritte-KPI-System“ geschrieben. Seine Arbeit wird häufig in der akademischen Forschung zitiert.