Thema
Eine Aussage ist kein Nachweis.
Der grösste Teil der Arbeit besteht darin, das, was Sie wirklich tun, in etwas zu verwandeln, das eine dritte Person prüfen kann. Das ist weniger eindrücklich als Sicherheit selbst, und es entscheidet über das Ergebnis.
Die drei Stufen an einem Beispiel
| Stufe | Wie es aussieht | Was eine prüfende Person damit macht |
|---|---|---|
| Aussage | «Die Zugriffe werden regelmässig überprüft» | Nicht brauchbar: weder Rhythmus noch Umfang noch Nachweis |
| Verfahren | Ein Dokument, das eine vierteljährliche Zugriffsüberprüfung mit benannter Verantwortung beschreibt | Brauchbar als Absicht, unzureichend als Nachweis der Ausführung |
| Datierter Nachweis | Das Protokoll der Überprüfung vom 12. Juni, die geprüfte Liste, die entfernten Konten und die Freigabe der verantwortlichen Person | Brauchbar: Die Massnahme ist beschrieben und ihre Ausführung belegt |
Wie eine Lücke ausgewiesen wird
- 01
Genau benennen, was fehlt
Nicht «in Einführung», sondern welche Massnahme, in welchem Umfang, und seit wann sie fehlt. Eine vage Lücke wird als Verschleierungsversuch gelesen.
- 02
Die Ersatzmassnahme angeben
Was das Risiko in der Zwischenzeit begrenzt. Eine manuelle Überprüfung anstelle einer automatischen Kontrolle ist eine legitime Ersatzmassnahme, sofern sie als solche beschrieben und nachgewiesen wird.
- 03
Eine haltbare Frist nennen
Mit benannter Verantwortung. Eine beim nächsten Fragebogen verstrichene Frist kostet mehr als die ursprüngliche Lücke: Sie belegt, dass der Plan nicht verfolgt wird.
Die Falle des veralteten Nachweises
Eine einmal aufgebaute Antwortbibliothek altert schnell. Das beschriebene Verfahren wurde geändert, die benannte Verantwortung hat die Stelle gewechselt, der genannte Anbieter ist nicht mehr der richtige, und der jüngste Nachweis ist achtzehn Monate alt.
Eine Kundschaft, die ihre Beurteilung erneuert, vergleicht mit der Vorfassung. Eine wortgleiche Antwort mit einem Nachweis aus dem Vorjahr signalisiert ein nicht gepflegtes Dossier und löst mehr Fragen aus als beim ersten Mal.
Dafür gibt es die periodische Revision. Sie bringt nichts Sichtbares hervor und unterscheidet dennoch ein brauchbares Dossier von einem Ordner.
Analyse anfragen
Sprechen wir über den nächsten Fragebogen
Sagen Sie uns, wer ihn verlangt, bis wann, und welche brauchbaren Nachweise Sie bereits haben. Antwort innerhalb von zwei Arbeitstagen, auf Deutsch, Französisch oder Englisch.
- Schweizer Ingenieurarbeit
- Antwort innerhalb von zwei Arbeitstagen
Certenor schreiben
Ein Fragebogen auf dem Tisch und eine kurze Frist? Der richtige Moment, uns zu schreiben.
Certenor schreiben