Compliance Audit: Vorbereitung, Ablauf und Nachbereitung

Ein Compliance Audit prüft systematisch, ob definierte gesetzliche, regulatorische, vertragliche und interne Anforderungen in einem festgelegten Bereich umgesetzt werden. Es untersucht nicht nur, ob eine Richtlinie existiert, sondern ob Verantwortlichkeiten, Kontrollen und Nachweise im Alltag funktionieren. Aussagekraft entsteht durch klare Kriterien, belastbare Stichproben und nachvollziehbare Feststellungen.

Kurzantwort: Legen Sie zuerst Prüfziel, Zeitraum, Organisationseinheiten und verbindliche Kriterien fest. Ordnen Sie jedes Risiko einer erwarteten Kontrolle und einem Nachweis zu. Im Audit werden Dokumente, Daten, Beobachtungen und Interviews trianguliert; danach folgen priorisierte Ursachenanalyse, Maßnahmen, Wirksamkeitsprüfung und formaler Abschluss.

Prüfziel und Umfang risikobasiert festlegen

„Compliance prüfen“ ist kein brauchbarer Auftrag. Definieren Sie konkrete Fragen: Werden Geschäftspartner vor Freigabe angemessen geprüft? Sind Geschenke oberhalb eines Schwellenwerts genehmigt? Werden Datenschutzlöschungen fristgerecht bearbeitet? Benennen Sie Zeitraum, Gesellschaften, Standorte, Systeme, Prozesse und bewusste Ausschlüsse.

Nutzen Sie Risikobewertung, Vorfälle, regulatorische Änderungen, frühere Feststellungen und Geschäftsveränderungen zur Priorisierung. Ein kleiner Hochrisikoprozess verdient möglicherweise mehr Tiefe als ein großer stabiler Bereich. Die ISO 37301:2021 beschreibt Anforderungen und Leitlinien für Aufbau, Entwicklung, Umsetzung, Bewertung, Aufrechterhaltung und Verbesserung eines Compliance-Managementsystems. Sie ersetzt nicht die Ermittlung der konkret geltenden Verpflichtungen.

Prüfkriterien und Kontrollmatrix aufbauen

Jede Prüfung braucht ein Soll. Quellen können Gesetze, behördliche Vorgaben, Genehmigungen, Verträge, Kodizes, Richtlinien oder verbindliche Prozessregeln sein. Zitieren Sie die genaue Fassung, den relevanten Abschnitt und den Geltungsbereich. Veraltete oder nur informelle Erwartungen dürfen nicht unbemerkt zum Auditmaßstab werden.

Übertragen Sie die Kriterien in eine Matrix: Verpflichtung, Risiko, erwartete Kontrolle, Eigentümer, Häufigkeit, Population und Nachweis. Eine kontrollierte Verfahrensanweisung hilft, Rollen und Eskalationen zu verankern. Prüfen Sie dennoch die tatsächliche Ausführung; eine formal perfekte Beschreibung beweist keine gelebte Kontrolle.

Vorbereitung und Datenanforderung

Versenden Sie einen sachlichen Auditauftrag mit Ziel, Umfang, Team, Zeitplan, Ansprechpartnern und benötigten Zugängen. Fordern Sie Unterlagen gestaffelt an, statt eine unstrukturierte Liste mit hundert Punkten zu senden. Beginnen Sie mit Prozesslandkarte, Risikoanalyse, Richtlinien, Kontrollübersicht und Datenpopulation. Daraus leiten Sie gezielte Nachweise ab.

Validieren Sie Vollständigkeit und Herkunft der Daten. Wenn eine Liste angeblich alle Zahlungen enthält, gleichen Sie Zeitraum, Gesellschaft, Währung, Stornos und Systemquelle ab. Dokumentieren Sie Filter und Extraktionsdatum. Sensible Daten werden nur zweckgebunden, zugriffsbeschränkt und so sparsam wie möglich verarbeitet. Die konkrete datenschutzrechtliche Bewertung gehört in fachkundige Hände; dieser Leitfaden ist keine Rechtsberatung.

Stichproben nachvollziehbar auswählen

Ein Audit prüft selten jede Transaktion. Definieren Sie Population, Auswahlmethode und Stichprobengröße vor der Detailprüfung. Kombinieren Sie gegebenenfalls zufällige Auswahl mit risikoorientierten Fällen, etwa hohen Beträgen, manuellen Änderungen, ungewöhnlichen Zeiten oder exponierten Ländern. Kennzeichnen Sie beide Gruppen, damit Ergebnisse nicht fälschlich statistisch verallgemeinert werden.

Für jede Probe halten Sie Kriterium, erwarteten Nachweis, Ergebnis und Abweichung fest. Fehlt ein Beleg, unterscheiden Sie zwischen nicht ausgeführter Kontrolle und bloß nicht auffindbarer Dokumentation. Beides kann relevant sein, verlangt aber unterschiedliche Ursachenarbeit. Ein standardisiertes Prüfprotokoll unterstützt konsistente Arbeitspapiere.

Interviews und Beobachtungen durchführen

Interviews erklären, wie ein Prozess tatsächlich funktioniert. Fragen Sie offen nach einem konkreten jüngsten Fall: „Zeigen Sie mir, wie Sie eine Ausnahme behandeln.“ Vermeiden Sie suggestive Fragen wie „Sie holen doch immer die Freigabe ein?“. Vergleichen Sie Aussagen mit Daten, Systemschritten und Dokumenten, ohne Einzelpersonen vorschnell zu beschuldigen.

Zu Beginn werden Zweck, Vertraulichkeit, Notizen und möglicher Aufnahmegebrauch erklärt. Aufzeichnungen sind nicht automatisch erforderlich. Falls ein Gespräch aufgezeichnet wird, informieren Sie alle Beteiligten vorher, holen Sie die erforderliche Zustimmung ein und bieten Sie eine gleichwertige Teilnahme ohne Aufnahme an. Besonders bei Hinweisgebern, Beschäftigtendaten oder Untersuchungen ist eine spezialisierte rechtliche und datenschutzfachliche Bewertung nötig.

Kuno ist ein privatsphärenorientierter physischer KI-Sprachrekorder, made in Germany. Audio wird auf dem Gerät erfasst; Verarbeitung und Speicherung erfolgen gemäß Produktbeschreibung EU-gehostet. Die Hardware erfordert einen monatlichen oder jährlichen KI-Plan. Kuno entscheidet keine Compliance-Frage, schreibt keine Feststellung verbindlich und ersetzt keine Prüfung der Originalnachweise.

Auditgespräche transparent und strukturiert nachbereiten: Kuno ansehen.

Feststellungen beweisbar formulieren

Eine gute Feststellung enthält vier Elemente: Kriterium, Zustand, Auswirkung und belegte Reichweite. Beispiel: „Die Richtlinie verlangt eine Freigabe vor Beauftragung. In 4 von 25 geprüften Fällen lag die Freigabe erst nach Bestellung vor. Dadurch war die präventive Kontrolle in diesen Fällen nicht wirksam.“ Ursachen und Maßnahmen folgen erst nach Rücksprache.

Vermeiden Sie absolute Aussagen aus kleinen Stichproben. Trennen Sie Nichtkonformität, Verbesserungshinweis und offenen Klärpunkt. Bewerten Sie Schwere anhand definierter Faktoren wie Rechtsfolge, Betroffenenzahl, Dauer, Kontrollumgehung und Wiederholungsrisiko. Geben Sie dem geprüften Bereich Gelegenheit, Faktenfehler zu korrigieren, ohne belastbare Feststellungen wegzuverhandeln.

Maßnahmen und Wirksamkeit nachverfolgen

Eine schnelle Textänderung ist selten ausreichend. Analysieren Sie, warum die Abweichung möglich war: unklare Verantwortung, fehlender Systemzwang, falscher Anreiz, unpraktische Regel oder mangelnde Überwachung. Die Maßnahme sollte die Ursache adressieren und Eigentümer, Termin, benötigte Ressourcen und erwarteten Wirksamkeitsnachweis enthalten.

Eine Mitarbeiterschulung ist nur dann passend, wenn Wissen oder Fähigkeit tatsächlich die Ursache ist. Prüfen Sie nach Umsetzung anhand neuer Fälle, ob die Kontrolle funktioniert. Das Schließen eines Tickets beweist lediglich Aktivität. Ergebnisse, Restrisiko und akzeptierende Instanz werden dokumentiert.

Bericht und Governance

Der Bericht beginnt mit Auftrag, Umfang, Zeitraum, Kriterien und Einschränkungen. Danach folgen Gesamtbild, priorisierte Feststellungen, positive Kontrollen und vereinbarte Maßnahmen. Benennen Sie ausdrücklich, dass eine Stichprobenprüfung keine Garantie vollständiger Compliance bietet. Auch eine Zertifizierung nach einem Managementsystem bedeutet nicht automatisch, dass jede einzelne Rechtsanforderung erfüllt ist.

Eine verständliche Prozessbeschreibung und regelmäßige Kontrolltests stabilisieren die Nachbereitung. Berichten Sie überfällige Hochrisikomaßnahmen an die zuständige Governance-Ebene. Schließen Sie das Audit erst, wenn Nachweise geprüft oder ein Restrisiko durch die befugte Stelle bewusst akzeptiert wurde.

Bewahren Sie Arbeitspapiere nach einem festgelegten Berechtigungs- und Löschkonzept auf. Nicht jede im Audit gesichtete Datei gehört dauerhaft in die Prüfakte. Die Akte muss Schlussfolgerungen tragen, darf aber sensible Kopien nicht ohne Zweck vervielfachen. Dokumentieren Sie auch wesentliche Prüfungsgrenzen, Datenlücken und spätere Ereignisse, die die Bewertung verändern können.

Aus Auditinterviews klare nächste Schritte gewinnen: Kuno mit KI-Plan entdecken.

Ein wirksames Compliance Audit sucht nicht nach möglichst vielen Fehlern. Es liefert begrenzte, aber belastbare Sicherheit darüber, ob wesentliche Verpflichtungen verstanden, Kontrollen ausgeführt und Abweichungen nachhaltig bearbeitet werden.