Wie man interne Kontrollen einrichtet und überwacht, um die Einhaltung zu gewährleisten

Aus der Automatisierungsperspektive könnte eine Kontrolle sein:

• So einfach wie ein Aktionsplan mit abgestimmten Fortschrittsmetriken oder
• So komplex wie ein hierarchisches Set von Kontrollen und Unterkontrollen, jede mit ihrem eigenen Satz von Metriken, Risikoeinschätzungen, Minderungsplänen, kontextuellen Abhängigkeiten und Eigentümern.

Kontrollen haben spezifische Anwendungsbereiche, die definieren, wann bestimmte Kontrollen aktiviert werden sollen.

In BSC Designer:

1. Verwenden Sie die Hinzufügen-Schaltfläche, um ein neues Element zu erstellen.
2. Identifizieren Sie die Kontrolle über die Namens- und Beschreibungsfelder.
3. Verknüpfen Sie die Kontrolle mit relevanten früheren Zielen, Ereignissen oder regulatorischen Anforderungen.

In BSC Designer:

• Fügen Sie Dokumente zu einer Kontrolle über den Beschreibungsdialog hinzu.
• Fügen Sie Dokumente zum Aktionsplan der Kontrolle über den Initiativen-Dialog hinzu.

In BSC Designer:

• Definieren Sie erforderliche Eigenschaften von Kontrollen über benutzerdefinierte Felder.
• Die neuen Felder werden für Kontrollen, Metriken und Initiativen verfügbar sein.

Beispielsweise können Software-Wartungskontrollen Updates automatisieren, aber ein IT-Spezialist wird benötigt, um Konflikte zu lösen, wenn ein Update fehlschlägt.In BSC Designer:

1. Fügen Sie verantwortliche Personen für die Kontrolle als Benutzer hinzu; ordnen Sie die Person einem Team zu.
2. Weisen Sie die Person oder das Team als Eigentümer der Kontrolle über das Feld Eigentümer zu.

Eigentümer erhalten Benachrichtigungen, die für die Kontrolle relevant sind.

In BSC Designer:

• Verwenden Sie benutzerdefinierte Felder, um Eigenschaften der Kontrolle wie „Zertifizierungsstatus“ und „Zertifiziert von“ zu definieren.
• Beim Testieren der Kontrollen kann das Management diese Eigenschaften aktualisieren.
• Verwenden Sie Filter in Berichten, um Kontrollen ohne ordnung

  sgemäße Zertifizierung zu identifizieren.

Um eine nicht zertifizierte Kontrolle zu deaktivieren, aber im Scorecard zu behalten:

1. Wählen Sie eine Kontrolle aus.
2. Wechseln Sie zum Leistungs-Tab.
3. Aktivieren Sie das Kontrollkästchen Rohdaten-Indikator.

In BSC Designer:

• Kopieren und Einfügen von Elementen zwischen Scorecards.
• Wenn Sie dazu aufgefordert werden, verwenden Sie die Option „Verbindung durch Kontext“, um zwei Elemente zu verknüpfen.

In BSC Designer:

1. Erstellen Sie eine Scorecard, die Kontrollen gewidmet ist.
2. Verwenden Sie eine hierarchische Struktur, um Kontrollen zu organisieren.
3. Bei Bedarf kopieren Sie die Kontrolle in die aktive Scorecard.

Zum Beispiel im Vorfallberichtsverfahren:

• Könnte die Effizienzmetrik der „% des Personals, das in der Vorfallberichterstattung geschult wurde“ sein.
• Könnte die Effektivitätmetrik der „% der Vorfälle, die nicht ordnungsgemäß kommuniziert wurden“ sein.

In BSC Designer:

• Verwenden Sie die Hinzufügen-Schaltfläche, um Metriken innerhalb des Kontrollelements hinzuzufügen.

In BSC Designer:

1. Wählen Sie eine Metrik aus
2. Wechseln Sie zum Leistungstab
3. Ändern Sie das Gewicht der Metrik

Die Leistung/Fortschritt der Kontrolle wird in der entsprechenden Spalte angezeigt.

In BSC Designer:

1. Wählen Sie eine Metrik
2. Wechseln Sie zum Kontext
3. Ändern Sie den Typ der Metrik zu Frühindikator

In BSC Designer:

1. Erstellen Sie einen neuen Indikator
2. Ändern Sie den Typ zu ‚Risiko‘
3. Aktualisieren Sie die Indikatoren für Wahrscheinlichkeit und Auswirkung des Risikos

Beispiel: „Business Continuity Plan aktualisiert unter Berücksichtigung einer neu identifizierten Bedrohung“ kann mit einem binären Indikator automatisiert werden.In BSC Designer:

1. Wählen Sie einen Indikator
2. Wechseln Sie zum Tab „Allgemein“
3. Ändern Sie die Maßeinheiten in „Ja/Nein“

Beispiel: Eine Kontrolle Policy Management and Communication kann mit einer qualitativen Metrik Effectiveness of Communicating Compliance Policies bewertet werden, mit möglichen Zuständen:

• Hoch

  effektiv (100): Mitarbeiter verstehen die Compliance-Richtlinien klar.

• Moderat effektiv (60): Einige Mitarbeiter verstehen die Richtlinien.
• Ineffektiv (10): Mitarbeiter sind im Allgemeinen nicht mit den Richtlinien vertraut.

In BSC Designer:

1. Wählen Sie einen Indikator
2. Klicken Sie auf die Schaltfläche Bearbeiten neben den Maßeinheiten, um benutzerdefinierte Maßeinheiten hinzuzufügen

Beispiel: Um die Effektivität der Implementierung einer bestimmten Kontrolle zu bewerten, führen wir ein internes Audit durch, um den % der Richtlinieneinhaltung zu verfolgen. In diesem Fall ist die Leistungsformel eine lineare Maximierung, mit Ziel = 100%. Ein weiteres Beispiel könnte die Durchschnittliche Zeit bis zur Erkennung Metrik sein, die als lineare Minimierung mit einem Ziel von 24 Stunden konfiguriert ist.

In BSC Designer:

• Wechseln Sie zum „Leistung“-Tab, um die Leistungsfunktion zu definieren.
• Wechseln Sie zum „Daten“-Tab, um den aktuellen Zustand des Indikators, die Basislinie und das Ziel zu definieren.

Beispielsweise könnte die Kontrolle Backup- und Wiederherstellungstest erfordern, Testergebnisse oder Protokolle als Nachweis für die erfolgreiche Ausführung der Kontrolle hochzuladen.

In BSC Designer:

1. Wählen Sie einen Indikator
2. Ändern Sie die Maßeinheiten in Beweis
3. Laden Sie Dokumente zum Indikator hoch, um dessen Zustand zu ändern

In BSC Designer:

• Verwenden Sie das Initiative-Tool, um Aktionspläne zu den Kontrollen hinzuzufügen.
• Richten Sie Risiken und Effizienzmetriken mit der Initiative aus.
• Weisen Sie einen Eigentümer der Initiative zu; die Person erhält Benachrichtigungen, wenn sich der Status ändert.

In BSC Designer:

1. Fügen Sie eine neue Initiative zur Kontrolle hinzu.
2. Öffnen Sie den Initiativen-Dialog.
3. Wählen Sie die Fortschritts-KPI im Feld „Abgestimmte KPI“ aus.

Beispiel für die Überprüfung der Mechanik der Kontrolle:

• Überprüfung von Compliance-Checklisten – jährliche Überprüfung
• Wissensbewahrung, % – vierteljährliche Überprüfung

Beispiele für die periodische Anwendung der Kontrolle:

• Schwachstellenscanning – monatliche Überprüfung/Aktualisierung

Beispiele für einmalig initiierte Kontrolle:

• Erst-Risiko-Bewertung – einmalig zu aktualisieren

In BSC Designer:

• Verwenden Sie die Update-Intervall-Einstellung des Indikators, um regelmäßige Überprüfungen zu planen.

In BSC Designer:

1. Wählen Sie eine Kontrollmetrik
2. Wählen Sie ein Datum im internen Kalender
3. Wechseln Sie zum Tab „Daten“
4. Geben Sie den neuen Zustand im Feld „Wert“ ein

Zum Beispiel:

• % der geschulten Mitarbeiter – ist wahrscheinlich ein ererbter Indikator, da wir davon ausgehen können, dass der Prozentsatz der im Mai geschulten Mitarbeiter im Juni gleich bleibt oder steigt.
• Monatlicher Umsatz – ist wahrscheinlich ein nicht ererbter Indikator, da wir daran interessiert sind, die tatsächlichen Verkaufsdaten über Monate zu verfolgen.

In BSC Designer:

1. Wählen Sie einen Indikator
2. Klicken Sie auf die Schaltfläche Werte-Editor
3. Ändern Sie den Ver

   erbungstyp des Indikators

In BSC Designer:

1. Wechseln Sie zum Dashboard-Tab.
2. Fügen Sie relevante Diagramme hinzu, einschließlich Gantt-Diagramme für Initiativen, Risikodiagramme und Diagramme, die Kontrollen und deren Zustände auflisten.

In BSC Designer:

• Verbinden Sie den Spätindikator der Kontrolle mit den Risikoeinschätzungs- oder Risikobewertungsmetriken im Risikoregister durch Daten.

In BSC Designer:

• Verwenden Sie das Menü „Bericht“, um verschiedene Berichte zu erstellen
• Verwenden Sie die Schaltfläche „Planen“ im Menü „Bericht“, um Berichte automatisch an die Stakeholder zu senden

In BSC Designer:

• Alle Aktivitäten im Zusammenhang mit dem Design und der Ausführung von Kontrollen werden im Prüfprotokoll aufgezeichnet.
• Der Administrator des Kontos kann über Menü > Benutzer > Audit Trail auf Prüfprotokolle zugreifen.