Regelkonformität beginnt mit der Frage, welche Vorgaben eine konkrete Anwendung tatsächlich betreffen. Neben gesetzlichen und aufsichtlichen Anforderungen können interne Richtlinien, fachliche Abstimmungsregeln und vertragliche Verpflichtungen maßgeblich sein. Im Grassroot-Konzept wird dieser Bezug für die jeweilige Anwendung nachvollziehbar festgehalten.
Von der Vorgabe zur konkreten Wirkung
Ein pauschaler Hinweis auf ein Regelwerk hilft dem Betrieb wenig. Verständlicher ist die Zuordnung zu einer Handlung: Wer darf Eingaben verändern, wer prüft das Ergebnis und wer entscheidet über die Einführung einer neuen Fassung? Zu jeder erforderlichen Kontrolle gehören ein Verantwortlicher und ein geeigneter Nachweis ihrer Durchführung.
Ein ausgefülltes Formular allein beweist noch keine wirksame Kontrolle. Beispielsweise muß eine vorgesehene Abstimmung tatsächlich geeignete Ergebnisse vergleichen und eine festgestellte Abweichung zur Bearbeitung führen. Bei Änderungen wird geprüft, ob die bisherige Zuordnung weiterhin paßt.
Den Geltungsbereich richtig bestimmen
Im Finanzsektor ist insbesondere der datierte Beitrag zu BAIT und DORA relevant. Die Deutsche Bundesbank erläutert den Übergang und die unterschiedlichen Anwenderkreise. Eine einzelne Anwendung wird anschließend im Rahmen der für ihre Organisation geltenden Anforderungen beurteilt.
Informationssicherheit und Datenschutz werden ebenfalls von Beginn an berücksichtigt. Der Artikel zu Prüfung und Freigabe zeigt, wie fachliche Erwartungen mit einem nachvollziehbaren Ergebnis verbunden werden.