EFFECTIVENESS
Vorhanden ist nicht dasselbe wie wirksam
Assurance prüft nicht nur, ob etwas dokumentiert und implementiert ist, sondern ob Design und tatsächlicher Betrieb das gewünschte Ergebnis erreichen.
ROTER FADEN · RENTENZAHLUNG
10
Der Test kippt die Bewertung
Backup vorhanden, Verfahren dokumentiert, Restore möglich – aber 14 statt 8 Stunden. Die Steuerung existiert, erreicht ihr Ziel aber nicht.
Gesamten Fall ansehen →DREI FRAGEN
Design, Umsetzung und Betriebswirksamkeit getrennt betrachten
DESIGN
Ist das Control grundsätzlich geeignet?
Adressiert es das relevante Risiko oder die Anforderung mit einem plausiblen Mechanismus?
IMPLEMENTATION
Ist das Control tatsächlich eingerichtet?
Ist der vorgesehene Mechanismus im relevanten Scope umgesetzt und nachvollziehbar konfiguriert?
OPERATING
Funktioniert es über den betrachteten Zeitraum?
Wird es wie vorgesehen ausgeführt und erreicht es das gewünschte Ergebnis zuverlässig?
Beispiel: Ein einmal erfolgreicher Restore-Test zeigt, dass Wiederherstellung grundsätzlich möglich ist. Er beweist noch nicht automatisch, dass ein monatlich auszuführendes Control über zwölf Monate vollständig und zuverlässig funktioniert hat.
EVIDENCE
Dokument ≠ Durchführung ≠ Wirkung
DOKUMENTzeigt →BESCHREIBUNG≠DURCHFÜHRUNG≠WIRKUNG