Prüfpfad
Ein Prüfpfad (Audit Trail) ist eine chronologische, manipulationsgeschützte Aufzeichnung, wer wann was und warum getan hat, damit sachkundige Dritte Entscheide nachvollziehen können.
Ein Prüfpfad verknüpft jede Änderung, Freigabe und jeden Entscheid mit einer Person oder einem System, einem Zeitstempel, dem vorherigen und dem neuen Zustand und, wo relevant, der Begründung. Die MaRisk verlangen, dass Geschäfts-, Kontroll- und Überwachungsunterlagen systematisch und für sachkundige Dritte nachvollziehbar abgefasst und fünf Jahre aufbewahrt werden. In der Schweiz schreibt das Obligationenrecht für Geschäftsbücher und Buchungsbelege eine Aufbewahrung von zehn Jahren vor.
Für Hochrisiko-KI-Systeme verlangt der EU AI Act die automatische Protokollierung von Ereignissen über die gesamte Lebensdauer des Systems; Anbieter wie Betreiber müssen diese Protokolle aufbewahren, Finanzinstitute als Teil der nach Finanzmarktrecht geforderten Dokumentation. Für die Geschäftsleitung macht erst ein verlässlicher Prüfpfad aus einer Compliance-Behauptung einen Nachweis, der einer aufsichtsrechtlichen Prüfung standhält.
Typische Schwächen sind Protokolle, die technische Ereignisse, aber keine fachlichen Entscheide erfassen, Prüfpfade, die von genau jenen Administratoren geändert werden können, die sie überwachen sollen, Lücken beim Datenaustausch zwischen Systemen und Aufbewahrungsfristen, die enden, bevor die Unterlagen benötigt werden.
In der Praxis
- 01Erfasst Benutzer, Zeitstempel, Aktion, alte und neue Werte und bei Freigaben und Übersteuerungen die angegebene Begründung.
- 02Schützt Prüfpfade vor Veränderung und trennt deren Administration von den Tätigkeiten, die sie aufzeichnen.
- 03Hält IDs stabil, damit sich Weisungen, Kontrollen, Modelle und Entscheide über Versionen hinweg verfolgen lassen.
- 04Legt die Aufbewahrung je Unterlagenart nach der längsten anwendbaren gesetzlichen Frist fest.
- 05Prüft periodisch an einer Stichprobe von Entscheiden, ob sich die vollständige Historie tatsächlich rekonstruieren lässt.
Zu schön, um wahr zu sein? Dann sollten wir reden.
30 Minuten. Ihr Anwendungsfall, maximale Wirkung.
info@mrm-solution.com