Audit Trail sicherstellen
User-Story - Auditor-Anforderungen an das für Geschäftsprozessmanagement (BPM)
Praxis Szenario
Das jährliche ISO 27001-Überwachungsaudit steht an. Der Auditor wählt stichprobenartig 10 Benutzerzugänge aus und möchte sehen, ob diese korrekt autorisiert wurden. Früher musste der IMS-Manager dafür E-Mails suchen, Tickets wälzen und hoffen, dass die PDF-Unterschriften auffindbar sind.
User Story
- Als IMS-Verantwortlicher
- möchte ich, dass jede Prozessinstanz eine unveränderbare Historie (Audit Trail) mit Zeitstempeln und digitalen Signaturen führt,
- damit ich bei einem Audit innerhalb von Sekunden die lückenlose Einhaltung unserer Compliance-Richtlinien nachweisen kann, ohne manuell Beweise sammeln zu müssen.
Mehrwert
- Rechtssicherheit: Minimierung des Risikos von Bußgeldern oder Zertifikatsverlusten.
- Effizienz im IMS: Der IMS-Manager wird vom "Dokumenten-Jäger" zum strategischen Qualitäts-Gestalter.
- Transparenz: Sofortige Sichtbarkeit, ob Korrekturmaßnahmen (CAPA) tatsächlich umgesetzt wurden.
Abnahmekriterien (Acceptance Criteria)
- Unveränderbarkeit: Die Protokollierung (Log) der Prozessschritte darf nachträglich nicht manipulierbar sein.
- Versionierung: Jede Änderung am Prozessmodell muss versioniert sein, sodass nachvollziehbar ist, welcher Standard zu einem bestimmten Zeitpunkt in der Vergangenheit galt.
- Export-Funktion: Bereitstellung eines "Audit-Reports" pro Instanz, der alle relevanten Kontrollpunkte und Genehmigungen zusammenfasst.
- Rollentrennung (Segregation of Duties): Das System muss sicherstellen, dass kritische Schritte (z.B. Erstellung vs. Freigabe) nicht von derselben Person ausgeführt werden können.