Policy-Ausführung mit BSC Designer

„Richtlinien“ sind formalisierte Leitlinien, die Organisationen dabei helfen, das Verhalten an der strategischen Ausrichtung auszurichten und die Einhaltung sicherzustellen. In diesem Artikel besprechen wir das Framework zur Umsetzung von Richtlinien und konzentrieren uns auf Anwendungsfälle wie die kontinuierliche Überwachung von Kontrollen, Mechanismen zur Sammlung von Feedback von Stakeholdern sowie die Abstimmung zwischen den Richtlinien und der Gesamtstrategie.

Stakeholder des Policy-Lebenszyklus

Traditionell werden Richtlinien von verschiedenen Gruppen von Stakeholdern erstellt, durchgesetzt und angepasst:

• Gremien für Governance und Rechtsteams (erstellen Richtlinien)
• Operative Manager (setzen Richtlinien um)
• Compliance-Beauftragte oder Abteilungsleiter (pflegen Richtlinien)
• Auditoren oder Risikomanager (bewerten die Wirksamkeit von Richtlinien)

Während die Rollen im Policy-Lebenszyklus auf verschiedene Stakeholder verteilt sind, sollte diese Aufteilung nicht zu einer Fragmentierung führen. Das übergeordnete Ziel der Richtlinienumsetzung ist es, die Richtlinienabsicht mit der tatsächlichen Umsetzung zu vereinen¹.

Struktur eines Typischen Policy-Frameworks

Ein umfassendes Policy-Framework folgt einer hierarchischen Struktur, bei der der Abstraktionsgrad von der übergeordneten Regulierung oder strategischen Absicht bis hin zur operativen Umsetzung mit spezifischen Kontrollen schrittweise abnimmt:

• Regulierungen / Governance: Gesetzliche Anforderungen und interne Unternehmensprinzipien.
• Richtlinien: Übergeordnete Aussagen, die die Position der Organisation darlegen.
• Standards: Spezifische, messbare Regeln.
• Verfahren: Schritt-für-Schritt-Anweisungen zur praktischen Umsetzung der Standards.
• Leitlinien: Empfohlene Best Practices, die Verfahren unterstützen.
• Kontrollen: Mechanismen zur Vermeidung, Erkennung oder Korrektur von Nichtkonformität.

Automatisieren Sie die Richtlinienausführung mit BSC Designer

Wie von mehreren Standards betont (zum Beispiel ISO 37301, Compliance-Management-Systeme), sollte die Richtlinienausführung als Teil der gesamten Strategieimplementierung betrachtet werden.

Die BSC Designer Plattform bietet eine nahtlose Ausrichtung zwischen der Kernstrategie und den unterstützenden Richtlinien. Nachfolgend untersuchen wir, wie das Framework zur Richtlinienausführung in der Praxis mit strategischer Planungssoftware umgesetzt werden kann.

Richtlinienstruktur und Ausrichtung

Die Gesamtstruktur des Richtlinienrahmens:

• Auf der Scorecard-Ebene können Benutzer übergeordnete Richtlinien oder Vorschriften definieren. Diese Richtlinien können global für die Organisation oder spezifisch für eine Geschäftseinheit oder Funktion sein.
• Je nach Rolle erhalten verschiedene Gruppen von Stakeholdern Zugriffsrechte auf bestimmte Bereiche der Richtlinienumsetzung. Zum Beispiel nach dem RACI-Modell.
• Innerhalb der Scorecard kann die strategische Absicht mithilfe einer Hierarchie von Elementen in unterstützende Standards, Verfahren und Kontrollen unterteilt werden.
• Richtlinien oder deren Kontrollen können mit bestimmten Zielen aus strategischen Scorecards abgestimmt werden. Eine solche Ausrichtung unterstützt den Wandel von der traditionellen Compliance-Rolle der Richtlinien hin zu einer, bei der Compliance als wichtiger Ermöglicher der Unternehmensstrategie fungiert. ²

Richtlinienkontrollen und kontinuierliche Verbesserung

Die Mechanik der Leistungskennzahlen wird verwendet, um die Kontrollen zu definieren:

• Das Leistungsmessungs-Framework ermöglicht die Nachverfolgung der Effizienz und Effektivität der Richtlinienumsetzung.
• Die Eigenschaften der spezifischen Kontrollen können je nach Rolle der Kontrolle über benutzerdefinierte Felder angepasst werden. Zum Beispiel haben Kontrollen für die Geschäftskontinuität und die Validierung von Drittanbietern unterschiedliche Eigenschaften.

Im Rahmen der Richtlinienausführung sind die Kontrollen dynamisch:

• Kontinuierliches Monitoring wird durch Echtzeitdatenaktualisierungen ermöglicht, wobei die Rückverfolgbarkeit durch Prüfpfade unterstützt wird. Ein gutes Beispiel für die Notwendigkeit des kontinuierlichen Monitorings ist die Nachverfolgung von regelmäßigen Schulungen (siehe Vier-Stufen-Schulungsmessmodell) zu Richtlinienaktualisierungen ³.
• Verschiedene Fälle der Leistungsmessung werden unterstützt, wie qualitative Bewertungen, binäre Status (konform/nicht konform), schrittweise Leistungsänderungen sowie die Möglichkeit, Nachweise zu erkennen usw.

Die Plattform bietet traditionelle Funktionen für das Richtlinienmanagement:

• Unterstützende Dokumentation wie Richtliniendateien, Verfahren und Prüfberichte können hochgeladen und mit den relevanten Zielen oder Kontrollen verknüpft werden.
• Aktionspläne im Zusammenhang mit der Kontrolleinführung oder Richtlinienaktualisierungen können im System nachverfolgt werden, wobei Verantwortlichkeiten zugewiesen und Benachrichtigungen basierend auf Fristen oder Leistungsänderungen ausgelöst werden.
• Dashboards und Strategie-Karten bieten leistungsstarke Visualisierungstools, die Stakeholder dabei unterstützen, die Leistung schnell zu bewerten, Lücken zu erkennen und die Zusammenhänge zwischen Richtlinien, Kontrollen und Ergebnissen zu verstehen.

Zur Unterstützung der Feedback-Mechanismen:

• Stakeholder können sich direkt über die Kommentarfunktion einbringen, Feedback geben oder Probleme zu Prüfzwecken dokumentieren.
• Die Plattform kann automatische regelmäßige Berichte an die relevanten Stakeholder versenden.

Weitere Beispiele und Umsetzungstechniken haben wir im Artikel zu GRC-Kontrollen besprochen.

Skalierung und Wartung

Richtlinienwartung:

• Jede Kontrolle enthält standardmäßig ein erforderliches Aktualisierungsintervall. Dieses Intervall legt fest, wann Leistungsdaten automatisch oder durch den Verantwortlichen hochgeladen werden müssen. Wenn das Aktualisierungsintervall verpasst wird, werden diese Kontrollen als „Aktualisierung erforderlich“ markiert.

Um eine einfachere Skalierung von Richtlinien-Frameworks zu gewährleisten:

• Organisationen können Richtlinien-Vorlagen einmal definieren und sie über Abteilungen oder Geschäftseinheiten hinweg replizieren.
• Die Kontrollen und Vorlagen von Kontrollen können statisch sein oder dynamisch synchronisiert werden.

Fazit

Der diskutierte Ansatz verwandelt die Umsetzung von Richtlinien von einem statischen Dokumentationsprozess in ein dynamisches, messbares und strategisch ausgerichtetes System.

• Durch die Verknüpfung von Richtlinien mit operativen Kontrollen und strategischen Zielen können Organisationen nicht nur die Einhaltung sicherstellen, sondern auch die Rolle von Richtlinien als strategische Ermöglicher stärken.
• Die Rolle der Softwareautomatisierung besteht darin, die Komplexität des strategischen Planungsbereichs für die beteiligten Stakeholder zu reduzieren, sowie Konsistenz und Nachvollziehbarkeit der Leistungsdaten zu gewährleisten.

Alexis Savkin

Alexis Savkin ist Senior Strategy Consultant und CEO von BSC Designer, einer Plattform für Strategiearchitektur und -umsetzung. Er verfügt über mehr als 20 Jahre Erfahrung in diesem Bereich und hat einen Hintergrund in angewandter Mathematik und Informationstechnologie. Alexis ist Autor des „Strategy Implementation System“. Er hat über 100 Artikel zu Strategie und Leistungs­messung veröffentlicht, spricht regelmäßig auf Branchenveranstaltungen und seine Arbeiten werden häufig in der akademischen Forschung zitiert.