Im Audit fragt niemand, ob Sie compliant sind. Man fragt, ob Sie es zeigen können.
Sie haben Maßnahmen ergriffen. Prozesse eingeführt. Verantwortlichkeiten verteilt. Aber können Sie nachweisen, dass es funktioniert? Nicht behaupten – zeigen?
Diese Momente kennen Sie
„Zeigen Sie uns die Entwicklung der letzten zwölf Monate.“
Der Auditor fragt nicht, ob Sie compliant sind. Er fragt, seit wann. Mit welcher Entwicklung. Mit welchen KPIs. Und Sie merken: Sie haben keine Antwort, die über „wir sind auf einem guten Weg“ hinausgeht.
„Wie messen Sie Ihren regulatorischen Reifegrad?“
Der Investor fragt nicht aus Neugier. Er will wissen, ob Sie proaktiv steuern oder reaktiv reparieren. Ohne messbare KPIs gibt es auf diese Frage nur Bauchgefühl. Und Bauchgefühl senkt Bewertungen.
„Wo stehen wir mit DORA?“ – Stille im Meeting.
Das Management-Team sitzt zusammen. Die Frage liegt auf dem Tisch. Drei Personen schauen sich an. Jede hat eine andere Einschätzung. Keine kann sie belegen. Ohne KPIs gibt es keine gemeinsame Wahrheit.
Zwanzig Initiativen laufen. Niemand weiß, welche fertig sind.
DORA-Maßnahmen, NIS2-Projekte, AI-Act-Assessments – alles gestartet, vieles vergessen, einiges blockiert. Ohne Tracking entsteht Aktionismus statt Fortschritt. Und im nächsten Board-Meeting dieselbe Frage: Wo stehen wir eigentlich?
✓ Policies vorhanden
✓ Schulungen durchgeführt
✓ Ampeln auf Grün
? Reifegrad messbar
? Entwicklung über 12 Monate
? Steuerungsfähigkeit belegt
Die Lücke zwischen Aktivität und Nachweis.
Was die meisten dann tun: ein Dashboard bauen. Und warum das scheitert.
Die typische Reaktion: ein Tool kaufen, Ampeln einrichten, Reports automatisieren. Das Ergebnis: grüne Ampeln überall – und trotzdem keine Antwort auf die Frage des Auditors. Weil das Dashboard misst, was einfach messbar ist – nicht was relevant ist. Es zeigt, wo alles läuft. Nicht wo eingegriffen werden muss.
Was ich anders mache
- Ich messe, was für Audits, Investoren und Ihre Entscheidungen wirklich zählt
- Ich mache Fortschritt sichtbar – und Blockaden
- Ich baue ein System, das Ihr Management-Team tatsächlich nutzt – kein Dashboard für die Schublade
Vorschau
Mock-Audit für Vorstände und Geschäftsführer
Drei Regulierungen, dreißig Fragen, eine Vorbereitung. Was Aufsichtsbehörden unter DORA, NIS2 und dem AI Act tatsächlich fragen — mit den richtigen Antworten, den falschen Antworten und dem Haftungsrisiko hinter jeder Frage.
Wer in Ihrem Leitungsorgan hat das ICT-Risikomanagement-Framework genehmigt – und wann?
«Das Framework liegt bei unserer IT-Abteilung. Der CISO hat das verantwortet und dem Board regelmäßig berichtet.»
Führt direkt zu einem Finding der Kategorie «Governance-Defizit».«Das ICT-Framework wurde am [Datum] formell vom Verwaltungsrat genehmigt. Das Protokoll weist die namentliche Abstimmung aus. Ich kann es vorlegen.»
Schließt diese Prüfungsdimension ab.Art. 5 DORA verpflichtet das Leitungsorgan zur aktiven Genehmigung — nicht zur Kenntnisnahme. Persönliche Haftung der Board-Mitglieder ist unmittelbar ausgelöst.
Vor dem Audit: Protokoll mit Datum, namentlicher Abstimmung und letztem Bestätigungs-Datum bereitstellen. Nicht improvisieren.
Eine von 30 Fragen. Im vollen Mock-Audit: alle Antworten, jeder Haftungs-Hinweis, jede Vorbereitungs-Empfehlung — für DORA, NIS2 und den AI Act.
Nächster Schritt
Sie erzählen, was Sie steuern müssen. Ich sage Ihnen, welche KPIs wirklich zählen – und welche Sie weglassen können.
Gespräch anfragenAndere Anwendungsfelder der Methodik
- Integration: Legal · Tech · Regulatory Wenn drei Projekte parallel laufen, statt einer Architektur →
- Zusammenarbeit: drei Welten, eine Sprache Wenn Legal, Tech und Business aneinander vorbeireden →
Anschluss in den Leistungen: Governance & Architecture (Audit-Lesbarkeit) · Investment Readiness (KPI-Sicht aus Investorenperspektive).