Eine angekündigte Prüfung löst in vielen Unternehmen noch immer hektische Betriebsamkeit aus. Plötzlich werden E-Mails durchsucht, alte Tabellen geöffnet und verschiedene Abteilungen gebeten, Unterlagen zusammenzutragen. Häufig sind die benötigten Informationen grundsätzlich vorhanden. Das eigentliche Problem besteht darin, dass sie an unterschiedlichen Stellen gespeichert sind und sich nicht ohne Weiteres zu einem vollständigen Bild verbinden lassen.
Für eine belastbare Compliance-Dokumentation genügt es nicht, Richtlinien, Protokolle und Kontrollberichte lediglich abzulegen. Im Prüfungsfall sollte nachvollziehbar sein, welche Vorgabe zu einem bestimmten Zeitpunkt galt, wer für ihre Umsetzung verantwortlich war und ob vorgesehene Maßnahmen tatsächlich durchgeführt wurden. Abhängig vom Prüfungsgegenstand richtet sich der Blick daher nicht nur auf einzelne Dokumente, sondern auch auf die dahinterliegenden Abläufe.
Dokumente brauchen einen nachvollziehbaren Zusammenhang
Viele Unternehmen verfügen über umfangreiche Regelwerke. Dennoch können Lücken entstehen, sobald Prüfer genauer nachfragen. Eine gespeicherte Richtlinie belegt zunächst nur, dass das Dokument vorhanden ist. Sie zeigt jedoch nicht automatisch, ob die betreffende Fassung zum relevanten Zeitpunkt gültig war, wer sie freigegeben hat und welche Aufgaben oder Kontrollen daraus abgeleitet wurden.
Ähnlich verhält es sich mit Aufgabenlisten. Wird eine Maßnahme in einer Tabelle als erledigt markiert, fehlt mitunter der direkte Bezug zum dazugehörigen Beleg. Der Bearbeitungsstand ist dann zwar dokumentiert, die tatsächliche Umsetzung lässt sich jedoch erst durch zusätzliche Recherchen nachweisen. Besonders aufwendig wird dies, wenn mehrere Versionen derselben Datei im Umlauf sind oder wesentliche Änderungen ausschließlich per E-Mail abgestimmt wurden.
Regulatorische Anforderungen, Zuständigkeiten, Fristen und Nachweise sollten deshalb möglichst in einem gemeinsamen fachlichen Zusammenhang verwaltet werden. Eine zentrale Compliance-Plattform kann dabei helfen, diese Informationen miteinander zu verknüpfen. In einem Compliance Cockpit wird beispielsweise sichtbar, welche Anforderungen bereits bearbeitet wurden, welche Unterlagen fehlen und wo noch Aufgaben offen sind. Die klassische Dokumentenablage bleibt dabei wichtig, wird jedoch um Verantwortlichkeiten, Fristen und Bearbeitungsstände ergänzt.
Welche Nachweise häufig benötigt werden
Welche Unterlagen ein Unternehmen bereithalten muss, hängt von seiner Branche, seiner Größe, dem konkreten Prüfungsanlass und den jeweils geltenden Vorschriften ab. Dennoch gibt es bestimmte Nachweisarten, die in vielen Prüfungen eine wichtige Rolle spielen.
Dazu zählen aktuelle Richtlinien und Verfahrensanweisungen. Neben der gültigen Fassung kann es erforderlich oder zumindest sinnvoll sein, frühere Versionen, Freigaben und Zeitpunkte des Inkrafttretens aufzubewahren. Dadurch lässt sich später erkennen, welche Vorgaben zu einem bestimmten Zeitpunkt maßgeblich waren. Umfang und Dauer der Aufbewahrung müssen sich jedoch nach den einschlägigen gesetzlichen, vertraglichen und internen Anforderungen richten.
Ebenfalls relevant sind Nachweise über durchgeführte Kontrollen. Eine beschriebene Kontrollmaßnahme belegt noch nicht, dass sie tatsächlich und regelmäßig ausgeführt wurde. Je nach Prüfungsgegenstand sollten deshalb unter anderem das Datum, die verantwortliche Person, das Ergebnis und mögliche Folgemaßnahmen dokumentiert sein. Wurde eine Abweichung festgestellt, sollte nachvollziehbar bleiben, wie das Unternehmen damit umgegangen ist und ob die vereinbarten Maßnahmen abgeschlossen wurden.
Bei Schulungen kann eine reine Teilnehmerliste zu wenig aussagekräftig sein. Je nach Thema und regulatorischer Anforderung sind zusätzlich Angaben zum Schulungsinhalt, zum Termin, zur Zielgruppe und gegebenenfalls zu einer Lernerfolgskontrolle sinnvoll. Auf diese Weise lässt sich besser beurteilen, ob die Beschäftigten passend zu ihren Aufgaben und Verantwortlichkeiten informiert wurden.
Werden Aufgaben an externe Dienstleister ausgelagert, können weitere Unterlagen erforderlich sein. Dazu gehören beispielsweise Verträge, Leistungsbeschreibungen, Risikobewertungen, Prüfberichte und Nachweise über die laufende Überwachung. Welche Dokumente im Einzelfall benötigt werden, hängt von der ausgelagerten Tätigkeit und den damit verbundenen Risiken ab.
Für Finanzunternehmen können bei IKT-Drittdienstleistungen zusätzliche Anforderungen aus DORA gelten. Dazu zählen insbesondere die Führung und Aktualisierung eines Informationsregisters über Vereinbarungen zur Nutzung von IKT-Dienstleistungen sowie eine angemessene Steuerung und Überwachung der damit verbundenen Risiken. Das Informationsregister erfasst nicht nur IKT-Auslagerungen, sondern sämtliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen.
Auch Entscheidungen sollten nicht ausschließlich mit ihrem Ergebnis dokumentiert werden. Gerade bei risikobasierten Abwägungen ist die Begründung von Bedeutung. Im Nachhinein sollte erkennbar sein, welche Informationen vorlagen, welche Alternativen geprüft wurden und weshalb sich das Unternehmen für eine bestimmte Vorgehensweise entschieden hat.
Aufbewahrungs- und Löschfristen gemeinsam berücksichtigen
Eine umfassende Dokumentation bedeutet nicht, dass sämtliche Unterlagen dauerhaft gespeichert werden sollten. Unternehmen müssen sowohl gesetzliche und vertragliche Aufbewahrungspflichten als auch bestehende Löschvorgaben beachten.
Für steuerlich aufbewahrungspflichtige elektronische Unterlagen gelten zusätzlich die Anforderungen der GoBD. Elektronisch eingegangene oder im Unternehmen entstandene aufbewahrungspflichtige Daten und Dokumente sind grundsätzlich in elektronischer Form aufzubewahren. Sie dürfen vor Ablauf der jeweiligen Aufbewahrungsfrist nicht gelöscht werden und müssen während dieses Zeitraums nachvollziehbar, maschinell auswertbar und unveränderbar verfügbar bleiben. Dies betrifft insbesondere auch strukturierte Daten aus E-Rechnungen.
Insbesondere bei personenbezogenen Daten ist zu prüfen, wie lange die Speicherung für den jeweiligen Zweck erforderlich ist. Aufbewahrungsfristen sollten deshalb klar definiert, regelmäßig überprüft und technisch oder organisatorisch umgesetzt werden. Nach Ablauf der jeweils maßgeblichen Aufbewahrungsfrist sind Unterlagen zu löschen, zu anonymisieren oder – sofern eine weitere Verarbeitung auf einer tragfähigen Rechtsgrundlage beruht und weiterhin erforderlich ist – mit angemessenen Schutzmaßnahmen aufzubewahren. Gesetzliche Aufbewahrungspflichten gehen dabei einer Löschung entgegen, solange die jeweilige Pflicht fortbesteht.
Ein nachvollziehbares Lösch- und Aufbewahrungskonzept verhindert, dass Dokumente ohne erkennbaren Grund über Jahre hinweg gespeichert bleiben. Gleichzeitig reduziert es das Risiko, dass relevante Nachweise zu früh entfernt werden und bei einer späteren Prüfung nicht mehr zur Verfügung stehen.
Zugriffe und Änderungen kontrollierbar gestalten
Prüfungssicherheit betrifft nicht allein den Inhalt der Unterlagen. Auch der Umgang mit vertraulichen oder sensiblen Informationen sollte nachvollziehbar geregelt sein. Nicht jeder Beschäftigte benötigt Zugriff auf sämtliche Compliance-Dokumente. Rollenbasierte Berechtigungen sorgen dafür, dass Personen nur die Informationen einsehen oder bearbeiten können, die sie für ihre jeweiligen Aufgaben benötigen.
Bei besonders schützenswerten oder prüfungsrelevanten Unterlagen kann es sinnvoll sein, Änderungen, Freigaben und weitere wichtige Bearbeitungsschritte zu protokollieren. Dabei sollte jedoch nicht pauschal jeder Zugriff unbegrenzt gespeichert werden. Umfang und Dauer der Protokollierung müssen sich am konkreten Zweck, am Schutzbedarf und an den geltenden datenschutzrechtlichen Anforderungen orientieren.
Eine nachvollziehbare Änderungshistorie kann zeigen, wer ein Dokument ergänzt, ersetzt oder freigegeben hat. Sie verhindert unberechtigte Änderungen allerdings nicht automatisch. Dafür sind zusätzliche Maßnahmen wie klar geregelte Berechtigungen, Freigabeprozesse, Versionierung und technische Schutzmechanismen erforderlich.
Ein virtueller Datenraum kann die sichere Bereitstellung von Prüfungsunterlagen erleichtern. Interne Prüfer, Wirtschaftsprüfer oder externe Berater erhalten dadurch gezielten Zugriff auf einen klar abgegrenzten Dokumentenbestand. Vertrauliche Dateien müssen nicht unkontrolliert per E-Mail versendet werden, und Berechtigungen lassen sich bei Bedarf anpassen oder entziehen.
Ob ein Datenraum tatsächlich eine geeignete Lösung darstellt, hängt jedoch von seiner Konfiguration und dem jeweiligen Anbieter ab. Zu berücksichtigen sind unter anderem Zugriffsschutz, Verschlüsselung, Protokollierung, Speicherort, Löschmöglichkeiten und vertragliche Regelungen zur Datenverarbeitung.
Gute Prüfungsvorbereitung beginnt im Arbeitsalltag
Eine verlässliche Dokumentation lässt sich nur schwer wenige Tage vor einem Prüfungstermin vollständig nachholen. Sie entsteht während der laufenden Arbeit. Verantwortlichkeiten, Bearbeitungsstände und Belege sollten deshalb zeitnah gepflegt werden, sobald eine Aufgabe abgeschlossen, eine Kontrolle durchgeführt oder eine Entscheidung getroffen wurde.
Hilfreich sind verbindliche Vorgaben für Dateinamen, Versionen, Freigaben, Ablageorte sowie Aufbewahrungs- und Löschfristen. Ebenso sollte festgelegt sein, wer regelmäßig kontrolliert, ob relevante Unterlagen vollständig und aktuell sind.
Soweit steuerlich relevante Prozesse betroffen sind, sollte die Verfahrensdokumentation insbesondere den tatsächlichen Weg eines Dokuments beschreiben: von Eingang oder Entstehung über Erfassung, Verarbeitung, Freigabe und Aufbewahrung bis zur Löschung. Änderungen an Verfahren und eingesetzten Systemen sollten zeitnah nachvollziehbar dokumentiert werden.
Dabei muss nicht zwingend jedes Dokument fortlaufend einzeln geprüft werden. Ein strukturierter Überblick über offene Maßnahmen, auslaufende Fristen, fehlende Freigaben und unvollständige Nachweise zeigt häufig schnell, an welchen Stellen Handlungsbedarf besteht.
Besondere Aufmerksamkeit verdient der Wechsel von Zuständigkeiten. Liegen wichtige Informationen ausschließlich in persönlichen Postfächern oder lokalen Ordnern, kann beim Ausscheiden einer verantwortlichen Person wertvolles Wissen verloren gehen. Eine zentrale und nachvollziehbare Struktur sorgt dafür, dass Entscheidungen, Arbeitsstände und Zuständigkeiten auch später verständlich bleiben.
Unternehmen, die ihre Compliance-Dokumentation kontinuierlich pflegen, können auf Prüfungsanfragen schneller und gezielter reagieren. Noch wichtiger ist, dass mögliche Schwachstellen früher auffallen. Fehlende Belege, ungeklärte Verantwortlichkeiten und übersehene Fristen werden dadurch nicht erst sichtbar, wenn bereits ein Prüfer danach fragt.
