Compliance by Design
Compliance by Design bedeutet, regulatorische und interne Vorgaben bereits bei Gestaltung oder Änderung von Produkten, Prozessen und Systemen einzubauen, statt sie nachträglich zu prüfen.
Compliance by Design behandelt Anforderungen als Gestaltungsvorgaben. Jedes neue Produkt, jede Prozessänderung und jedes System-Release beginnt bei den anwendbaren Anforderungen und endet bei den Kontrollen und Nachweisen, die deren Einhaltung belegen. Es handelt sich um ein Arbeitsprinzip und keinen definierten aufsichtsrechtlichen Begriff, die Aufsicht verankert es aber in den Änderungsprozessen.
Die MaRisk verlangen, dass Risikocontrolling-Funktion, Compliance-Funktion und Interne Revision im Neu-Produkt-Prozess sowie vor wesentlichen Änderungen der Organisation oder der IKT-Systeme beteiligt werden. Das FINMA-Rundschreiben 2023/1 verlangt Ad-hoc-Risiko- und Kontrollbeurteilungen vor wesentlichen Änderungen bei Produkten, Aktivitäten, Prozessen und Systemen. Für die Geschäftsleitung bedeutet das weniger Nachbesserungen nach der Einführung und weniger Feststellungen, die teure Nacharbeit auslösen.
Typische Fehler sind eine Compliance-Freigabe am Projektende, wenn die Gestaltungsentscheide bereits gefallen sind, Anforderungen ohne Bezug zu Tests, automatisierte Kontrollen ohne Eigner und agile Vorhaben ohne festgelegten Zeitpunkt für die Compliance-Beurteilung.
In der Praxis
- 01Macht die Compliance- und Risikobeurteilung zu einem verbindlichen Schritt im Neuprodukt- und Änderungsprozess.
- 02Übersetzt die anwendbaren Anforderungen vor Entwicklungsbeginn in prüfbare Abnahmekriterien und Kontrollen.
- 03Bevorzugt automatisierte, präventive Kontrollen in den Systemen gegenüber nachträglichen manuellen Prüfungen.
- 04Stellt die Rückverfolgbarkeit von jeder Anforderung zu Gestaltungsentscheid, Kontrolle und Testnachweis sicher.
Wie MRM-Solution unterstützt
- 01Weisungen aus den modellierten Prozessen erzeugen, damit Rollen und Verantwortlichkeiten im Text der gelebten Praxis entsprechen.
- 02Pro Anforderung sehen, ob Weisung, Prozess und Governance sowie Kontrollen sie tragen: drei Lampen, und es zählt die schwächste.
Zu schön, um wahr zu sein? Dann sollten wir reden.
30 Minuten. Ihr Anwendungsfall, maximale Wirkung.
info@mrm-solution.com