Compliance by Design: So stellen sich Banken und Versicherer in Sekundenschnelle revisionssicher auf

Sie brauchen kein kompliziertes Reifegradmodell, um ein Gefühl dafür zu bekommen, wie gut Sie in Sachen Compliance aufgestellt sind. Vier einfache Fragen reichen für einen ersten Check. Überlegen Sie bei jeder Frage: Könnte Ihr Team die Antwort innerhalb weniger Sekunden liefern oder würde erst einmal die Suche beginnen?

1. Wer hat dieses Dokument geändert und wann?
   Jede Version braucht eine eigene Bearbeitungshistorie: wer auf die Datei zugegriffen hat, was geändert wurde und wann. Denn sonst lässt sich die Vergangenheit nur anhand von E-Mail-Verläufen und Gesprächsfetzen rekonstruieren. In dem Fall bleibt nur zu hoffen, dass niemand einen Nachweis fordert.
   
   
2. Welche Dokumentenversion wurde freigegeben?
   Von einem Vertrag gibt es fünf Fassungen, verteilt auf ein freigegebenes Laufwerk, ein E-Mail-Postfach und den Desktop eines Teammitglieds. Darüber, welches die freigegebene Version ist, lässt sich ganz wunderbar streiten. Gibt es hingegen nur eine Version, entfallen jegliche Diskussionen. Dann zählen allein die Fakten.
   
   
3. Welcher Compliance-Prozess stand zu jenem Zeitpunkt in Kraft?
   Aufsichtsbehörden interessieren sich nicht nur für aktuelle Vorgänge. Sie wollen auch wissen, wie die Abläufe an einem bestimmten Datum waren, als dieser eine Kredit genehmigt oder diese eine Forderung beglichen wurde. Zur Beantwortung müssen Sie parat haben, welche Regeln, Berechtigungen und Workflows zu jenem Zeitpunkt in Kraft waren – was heute gilt, ist irrelevant.
   
   
4. Wer hat auf diese Datei zugegriffen?
   Das Need-to-know-Prinzip ist schnell formuliert. Im Audit zählt jedoch der konkrete Nachweis: Wer hatte Zugriff auf die Datei? Wann wurde sie geöffnet? Und war die jeweilige Person überhaupt dazu berechtigt? Nur wenn diese Zugriffe vollständig dokumentiert sind, lässt sich belegen, dass sensible Informationen tatsächlich geschützt waren.

Können Sie all diese Fragen innerhalb weniger Sekunden beantworten, haben Sie Compliance-relevante Nachweise jederzeit griffbereit. Dauert die Suche dagegen Stunden oder Tage, kostet das nicht nur wertvolle Arbeitszeit.

Mehr über die Folgen erfahren Sie in unserem Beitrag zu den versteckten Kosten einer mangelhaften Datenbasis im Finanzsektor.

Wenn sich solche Fragen nur mit Mühe beantworten lassen, liegt das meist nicht am Compliance-Team. Das eigentliche Problem sitzt tiefer: Informationen sind über verschiedene Systeme verteilt – und die Dokumente selbst liefern häufig nicht den nötigen Kontext.

Schauen wir uns zunächst an, wo die Dokumente liegen. Bei den meisten Banken und Versicherern befinden sich die Informationen zu einem Kunden nicht an einem zentralen Ort. Sie sind über Jahre hinweg in unterschiedlichen Systemen gelandet:

• Der Kredit- oder Versicherungsantrag liegt im Vergabesystem
• Abrechnungen und KYC-Dokumente befinden sich im Kernbanken- oder Fallmanagementsystem
• Ältere Unterlagen liegen im Archiv
• Unterzeichnete Formulare oder Freigaben per E-Mail finden sich noch auf einem gemeinsamen Laufwerk oder in einem Postfach

Niemand hat diese Informationslandschaft bewusst so geplant. Sie ist über Jahre gewachsen, weil Abteilungen jeweils die Systeme eingeführt haben, die sie für ihre Arbeit benötigten.

Problematisch wird das allerdings, sobald jemand das Gesamtbild benötigt. Dann reicht der Blick in ein einzelnes System nicht mehr aus. Mitarbeitende müssen wissen, wo relevante Informationen liegen und mehrere Anwendungen einzeln durchsuchen.  

Damit kommen wir zum zweiten Problem: Was weiß das System eigentlich über ein Dokument? In vielen Fällen lautet die Antwort: erstaunlich wenig. Ein eingescanntes PDF lässt sich zwar öffnen und lesen, doch wichtige Dokumenteninformationen fehlen häufig. Zum Beispiel:

• Wer hat die Datei wann geändert?
• Handelt es sich um die endgültig freigegebene Version oder um einen älteren Stand?
• Welche Regeln und Zugriffsreche galten zu diesem Zeitpunkt?
• Wer hat seither auf die Datei zugegriffen?

Wurden solche Informationen nicht automatisch erfasst, lassen sie sich später auch nicht einfach aus dem Dokument ablesen. Fragt die Finanzaufsicht danach, beginnt das Rekonstruieren: Jemand muss die relevanten Systeme durchsuchen und die einzelnen Spuren mühsam zusammensuchen.

Wenn Nachweise fehlen oder Informationen schwer auffindbar sind, liegen folgende Reaktionen nahe: noch genauere Checklisten, strengere Ablageregeln, mehr Kontrolle und die wiederholte Erinnerung, wirklich alles sauber zu dokumentieren.

Doch damit allein lässt sich das Problem nicht lösen.

Compliance sollte nie davon abhängen, dass jemand im richtigen Moment an den richtigen Arbeitsschritt denkt. Müssen Kontrollen immer und immer wieder manuell angestoßen, dokumentiert und gegengeprüft werden, bleiben Fehler unvermeidbar.

Versäumnisse fallen womöglich jahrelang nicht auf, bis genau dieser Punkt bei der Prüfung zur Sprache kommt. Darum braucht es nicht einfach „nur“ mehr Disziplin, sondern ein ganz neues Fundament: Dokumente und die dazugehörigen Informationen müssen von Anfang an so erfasst, gespeichert und verwaltet werden, dass Compliance Teil des Gesamtprozesses ist.

Was sich ändert, wenn Compliance nicht mehr nachträglich geprüft werden muss, sondern direkt in das Dokumentenmanagement integriert ist? Eine ganze Menge.

Jede Datei erhält automaisch eine nachvollziehbare Historie. Sie sehen auf einen Blick, wer wann welche Änderung vorgenommen hat. Für jeden Datensatz gibt es genau eine verbindliche Version, sodass keine Zweifel darüber entstehen, welche Fassung zuletzt freigegeben wurde. Zugriffe werden kontrolliert und protokolliert.

So müssen Sie nicht mehr behaupten, dass nur berechtige Personen Zugriff auf bestimmte Informationen hatten. Sie können es nachweisen! Und da diese Informationen während der täglichen Arbeit automatisch erfasst werden, entsteht ganz nebenbei ein lückenloser Audit-Trail.

Genau dafür benötigen Sie eine moderne Dokumentenmanagement-Plattform. Nicht, um Dokumente einfach nur irgendwo abzulegen (das können klassische Systeme längst), sondern um jederzeit nachvollziehen zu können, welche Version aktuell ist, wer auf ein Dokument Zugriff hat, welche Regeln gelten und wie die Informationen zusammenhängen.  

So wird aus der Frage „Können Sie uns das nachweisen?“ keine tagelange Suchaktion mehr. Die Antwort ist bereits da. Genau darin liegt der Unterschied zwischen einem Audit, auf das sich ein Team tagelang vorbereiten muss und einem Audit, bei dem die nötigen Nachweise mit wenigen Klicks parat stehen.