ProAuditMap und die Mitbestimmung.
Was die Software erfasst, was nicht, und woran Betriebsräte den Einsatz prüfen können.
-
Keine Leistungsauswertung
ProAuditMap wertet die Arbeit einzelner Prüferinnen und Prüfer nicht aus. Es gibt keine Rangliste und keine Auswertung nach Person. Sollte künftig eine Auswertung je Person angeboten werden, ist sie ausgeschaltet und lässt sich nur über einen Schalter im Zugang des Unternehmens aktivieren.
-
Rollen
Zugriff über Rollen: Prüferinnen und Prüfer bearbeiten Prüfungen, die Qualitätssicherung reviewt, die Revisionsleitung bestimmt je Prüfung eine Prüfungsleitung, schließt Prüfungen ab und sieht das Protokoll vollständig. Die Administration verwaltet Mitglieder und Aufbewahrung und sieht im Protokoll keine zugewiesenen Personen. Geprüfte Stellen arbeiten nur im eigenen Portal.
-
Protokollierung
Änderungen an Prüfungen, Freigaben und Exporte stehen in einem manipulationssicheren Protokoll. Es nennt die handelnde Person und ist für Nachvollziehbarkeit gedacht. Auch deshalb empfiehlt sich eine Regelung mit dem Betriebsrat.
-
Löschfristen
Archivierte Prüfungen werden nach der eingestellten Aufbewahrungsfrist, mindestens 6 Jahre, zur Löschung vorgeschlagen; die Administration bestätigt die Löschung.
-
Aufgaben und Erinnerungen
Wer Aufgaben mit Termin zuweist und Überfälliges weitermeldet, setzt eine Einrichtung ein, die zur Überwachung geeignet ist. Wir sagen deshalb offen, welche Daten entstehen, wer was sieht und wie lange alles gespeichert bleibt, und liefern einen Formulierungsvorschlag zur Zweckbindung. Die Revisionsleitung sieht nur Zahlen je Prüfung, ab zwei Personen. Weitermeldungen lassen sich auf die Prüfungsleitung begrenzen oder ganz abschalten.
-
Planung und Dashboards
Kennzahlen, Jahresplan und Gremienbericht zählen Prüfungen, nicht Personen. Ein Feld erscheint erst ab drei Prüfungen, und bei weniger als drei Prüferinnen, Prüfern oder QS-Personen bekommen Leitung und Gremium keine Zahlen zu Aufwand und Durchlaufzeit. Die Leitungssicht nennt Prüfungen nur mit Nummer und Abschlüsse nur als Quartal. Die Kennzahl zum Aufwand je Prüfung zeigt die Software nur, wenn die Revisionsleitung sie nach einem Hinweis zur Mitbestimmung bewusst einschaltet, und nie an Leitung oder Gremium. Wir sagen auch offen, wo diese Regeln an Grenzen stoßen.
Speicherung und Verarbeitung
Speicherung auf Servern in Deutschland, Sicherungen in Finnland (EU); eingesetzte Unterauftragsverarbeiter und Übermittlungen in Drittländer nennt die AVV.
Mitbestimmung
Technische Einrichtungen, die dazu geeignet sind, das Verhalten oder die Leistung von Beschäftigten zu überwachen, unterliegen der Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. Ob das auf Ihren Einsatz zutrifft, bewerten Sie mit Ihrem Betriebsrat.
Für Fragen zur Ausgestaltung einer Betriebsvereinbarung sprechen Sie uns an.
Vorlage Betriebsvereinbarung (Word)
Vorlage Datenschutzhinweis zur Prüfungsplanung (Word)
Die Vorlage ist ein Muster ohne Gewähr; bitte vor der Verwendung rechtlich prüfen lassen.
Aufgaben und Erinnerungen
Was die Funktion leistet
Die Revisionsleitung bestimmt für jede Prüfung eine Prüfungsleitung. Die Prüfungsleitung oder die Revisionsleitung weist Prüfprogrammzeilen einzelnen Personen zu und kann dafür einen Termin setzen. Reviews weisen ebenfalls die Prüfungsleitung oder die Revisionsleitung zu; wer für eine Zeile oder eine Feststellung zuständig ist, kann für genau diesen Gegenstand ein Review an eine andere Person vergeben. Außerdem lassen sich Meilensteine einer Prüfung terminieren, etwa das Ende der Feldarbeit oder der Berichtsentwurf. Jede Person sieht unter „Meine Aufgaben“, was ihr zugewiesen ist. Ist ein Termin gesetzt, bekommt sie höchstens eine Sammelmail am Tag je Kundenzugang: vor dem Termin, am Termin und, wenn die Aufgabe überfällig ist, einen Hinweis auf die Überfälligkeit. Aufgaben ohne Termin erzeugen keine Mail.
Welche Daten über Personen entstehen
| Daten | Inhalt | Wie lange |
|---|---|---|
| Prüfungsleitung | Prüfung, Person, wer sie bestimmt hat und wann, Ende und Grund des Endes | solange aktiv; mit Abschluss oder Archivierung der Prüfung endet sie, danach wird sie 90 Tage nach dem letzten Statuswechsel der Prüfung gelöscht, in jedem Fall spätestens 12 Monate nach ihrem Ende, auch wenn die Prüfung nie abgeschlossen wird |
| Zuweisung einer Prüfprogrammzeile | Zeile, Person, Termin (optional), wer zugewiesen hat und wann, Ende und Grund des Endes | wie oben |
| Zuweisung eines Reviews | Arbeitspapier oder Feststellung, Person, Termin (optional), wer zugewiesen hat und wann, Ende und Grund | wie oben |
| Meilenstein | Art des Meilensteins, Termin, zuständige Person (leer heißt: die Prüfungsleitung), wann und von wem erledigt | wie oben, sobald der Meilenstein erledigt oder beendet ist |
| Erinnerungsmarken | je Aufgabe, Stufe (vorab, fällig, überfällig) und Empfänger ein Eintrag mit Zeitpunkt; bei abbestellter Sammelmail ein Eintrag „übersprungen“ | 180 Tage nach Anlage, sobald die Aufgabe erledigt, entfallen oder beendet ist; solange sie offen ist, bleibt die Marke |
| Sammelmail-Vermerk | Empfänger und Tag einer Sammelmail | 180 Tage nach Anlage, sobald keine Erinnerungsmarke mehr auf ihn verweist |
| Benachrichtigungswunsch | Sammelmail abbestellt ja oder nein, ob über die Anwendung oder den Link in der Mail, Zeitpunkt | solange die Person Mitglied im Kundenzugang ist. Beim Entfernen aus dem Kundenzugang wird der Wunsch zurückgesetzt, eine spätere Neueinladung übernimmt ihn nicht; der tägliche Lauf löscht Einträge von Personen ohne Mitgliedschaft |
| Abmeldenachweis | Kundenzugang, Person, Kennung des verwendeten Schlüssels, Zeitpunkt; keine E-Mail-Adresse | 12 Monate nach Anlage (täglicher Lauf der Plattform), spätestens mit dem Konto oder dem Kundenzugang |
| Hinweise auf Zuweisungen | je neuer Zuweisung oder Terminänderung ein Eintrag: Prüfung, Person, Art und Kennung der Zuweisung, ob Terminänderung, Zeitpunkt, Verweis auf die versandte Mail | 180 Tage nach Anlage, sobald die Mail versandt ist, früher wenn die Zuweisung gelöscht wird; nicht versandte Hinweise nach 30 Tagen; ohne Mitgliedschaft der Person sofort im nächsten täglichen Lauf; mit dem Löschlauf der Prüfung |
| Postausgang | E-Mail-Adresse, Art der Nachricht, Verweis auf die Sammelmail, Zeitpunkt; keine Inhalte aus Prüfungen (der Text entsteht erst beim Versand) | 30 Tage nach Anlage, sobald die Mail versandt oder endgültig gescheitert ist |
| Protokoll (Hash-Kette) | wer wem wann eine Aufgabe zugewiesen hat (mit Zeile oder Gegenstand), wann und warum sie endete, wer Prüfungsleitung wurde, Anlage, Erledigung und Ende von Meilensteinen, Änderungen der Einstellungen, Abbestellen und Wiederanmelden. Termine stehen nicht im Protokoll, auch nicht bei Meilensteinen, und die zuständige Person eines Meilensteins auch nicht. Eine Terminänderung erscheint dort nur als „neu zugewiesen“. Wer einen Meilenstein von Hand als erledigt markiert, steht als handelnde Person darin | dauerhaft wie das gesamte Protokoll |
Beendete Zuweisungen, die Prüfungsleitung und erledigte oder beendete Meilensteine bleiben also höchstens 12 Monate nach ihrem Ende bestehen, unabhängig vom Status der Prüfung. Alle Daten einer Prüfung löscht spätestens der Löschlauf, der die Prüfung selbst entfernt; ausgenommen ist das Protokoll. Der tägliche Aufräumlauf läuft auch für Kundenzugänge im Nur-Lese-Zustand.
Was sich daraus rekonstruieren lässt
Wir sagen das offen: Aus dem Protokoll lässt sich dauerhaft nachvollziehen, wem wann welche Aufgabe zugewiesen wurde, wer sie zugewiesen hat und wann die Zuweisung endete. Solange die Zuweisungen gespeichert sind, also bis 90 Tage nach Abschluss der Prüfung, höchstens aber 12 Monate nach ihrem Ende, sind auch die Termine je Person und jede Terminänderung erkennbar. Solange die Erinnerungsmarken bestehen, lässt sich erkennen, wer zu welcher Aufgabe eine Erinnerung oder einen Überfälligkeitshinweis bekam. Zusammen mit den Zeitstempeln der Arbeitspapiere könnte man für diesen Zeitraum ausrechnen, ob eine Person ihre Aufgaben vor oder nach dem Termin erledigt hat. Die Software rechnet das nicht aus und zeigt es nicht an. Möglich wäre es nur durch manuelles Zusammentragen aus Protokoll und Prüfung oder mit direktem Zugriff auf die Datenbank, den nur der Anbieter für den Betrieb hat. Deshalb schlagen wir eine Zweckbindung in der Betriebsvereinbarung vor.
Wer was sieht
| Wer | sieht | sieht nicht |
|---|---|---|
| jede Person | ihre eigenen Aufgaben mit Termin, wirksamem Termin und Zustand; ihre eigenen Benachrichtigungseinstellungen | Aufgaben anderer Personen in „Meine Aufgaben“ |
| Prüferinnen und Prüfer, Qualitätssicherung, Revisionsleitung in einer Prüfung | je Zeile, Review und Meilenstein die zuständige Person und den Termin der aktiven Zuweisung, so wie heute schon Autor und Reviewer | „überfällig seit“, frühere Zuweisungen |
| alle, die Aufgaben zuweisen dürfen (Prüferinnen und Prüfer, Revisionsleitung) | in der Personenauswahl Anzeigename und Rolle aller angemeldeten Mitglieder mit der Rolle Prüfer oder Revisionsleitung; nur solange die Funktion freigeschaltet ist | E-Mail-Adressen, Zahlen oder Aufgaben je Person |
| Prüfungsleitung, nur für die eigene Prüfung | eine Teamansicht mit offenen und überfälligen Aufgaben dieser Prüfung, damit sie umverteilen kann; die Namen der Zuständigen nur, wenn sie sie für diese Prüfung einschaltet (Vorgabe aus); Maßnahmen aus Feststellungen gehören nicht dazu | Summen je Person, Rangfolgen, andere Prüfungen, beendete Zuweisungen |
| Revisionsleitung, Übersicht über alle Prüfungen | je Prüfung nur Zahlen: offen, fällig in 7 Tagen, überfällig, Meilensteine überfällig | jede Angabe zu Personen; Filter nach Person. Sind in einer Prüfung weniger als zwei verschiedene Personen betroffen, zeigt die Übersicht keine Zahlen, sondern „weniger als 2 Personen“. Gezählt werden nur Personen mit zugewiesenen Zeilen oder Reviews; die Person, die die Übersicht aufruft, und Empfänger von Meilensteinerinnerungen zählen nicht mit |
| Administration | nur ihre eigenen Aufgaben | Zuständige und Termine in Prüfungen; die Personenauswahl |
| Revisionsleitung im Protokoll | die Protokolleinträge nach der Tabelle oben vollständig | Termine |
| Administration im Protokoll | dass eine Zuweisung, eine Prüfungsleitung oder ein Meilenstein angelegt oder beendet wurde, wer das getan hat und wann | die zugewiesene Person, die Zeile, den Zeilenhash dieser Einträge; Abbestellen und Wiederanmelden anderer Personen (weder Person noch Suchfilter) |
| geprüfte Stellen | nichts aus diesem Abschnitt | alle Angaben dieses Abschnitts |
Die Mindestzahl von zwei Personen verhindert einfache Rückschlüsse auf eine Einzelperson, aber nicht jeden: Bei genau zwei Personen und Vorwissen über die Verteilung bleibt ein Rückschluss möglich. Die Revisionsleitung sieht außerdem in jeder Prüfung die Zuständigen, weil sie dort mitarbeitet. Eine Auswertung je Person über mehrere Prüfungen bietet die Software nicht an; ein Test im Code verhindert, dass die Übersicht eine Spalte mit Personenbezug bekommt.
Exporte
Der Archivexport einer Prüfung (nur Revisionsleitung) enthält die Protokollzeilen der Zuweisungen mit Zeile, handelnder Person und Zeitpunkt, aber ohne die zugewiesene Person. Weil diese Zeilen mit ihren Hashwerten exportiert werden, damit die Kette prüfbar bleibt, lässt sich die zugewiesene Person mit Aufwand durch Ausprobieren zurückrechnen. Wer den Archivexport auslösen darf, sieht dieselben Angaben ohnehin im Protokoll; dieses Restrisiko bleibt benannt. Der Qualitätsnachweis enthält von Zuweisungszeilen und Benachrichtigungswünschen keinen Inhalt. Für Leser ohne Aufgabenrecht (Rolle Administration ohne zusätzliche Fachrolle) enthält er auch keinen Hashwert dieser Zeilen und keinen Hashwert, der auf sie zeigt: Die Zeile selbst steht ohne ihren Zeilenhash und ohne den Hashwert der Vorzeile, die direkt folgende Zeile ohne den Hashwert ihrer Vorzeile. Es gibt für diese Leser daher keine Rückrechnung auf die zugewiesene Person aus dem Nachweis. Mit dem Aufgabenrecht (Revisionsleitung, Prüfer, QS) bleibt der Nachweis wie bisher. Die betroffenen Abschnitte sind offline nicht prüfbar (Datenschutz): Der Nachweis kennzeichnet sie in chain/rows.tsv, das Prüfskript meldet sie als Hinweis und endet dann mit Exitcode 2, nie mit 0; fehlt ein Hashwert ohne diese Kennzeichnung, meldet es einen Fehler. Liegt eine solche Zeile in einem Abschnitt der Kette hinter eigenen Zeilen der Prüfung, lassen sich diese früheren eigenen Zeilen offline nicht mehr bis zum Anker nachrechnen; der Nachweis weist sie gesondert aus. Ein Rest bleibt: Der Tagesanker nennt den Hashwert der letzten Kettenzeile des Tages. Ist das zufällig eine Zuweisungszeile, steht ihr Hashwert im Anker, der zum Nachweis gehört; der Kopf eines Segments wird deshalb nie geschwärzt. Weiteres Restrisiko: Zeitpunkt (auf Mikrosekunden), handelnde Person und eine kleine Zahl möglicher Personen erlauben bei bekannten Personen einen Abgleich; zudem zeigt die Markierung der Folgezeile, dass davor eine Zuweisungs- oder Abmeldezeile steht, und der Aufbau der Folgezeile bleibt sichtbar.
Erinnerungen und Weitermeldung
| Stufe | Zeitpunkt (Vorgabe) | an |
|---|---|---|
| vorab | 3 Tage vor dem wirksamen Termin, einstellbar 0 bis 30 | zuständige Person |
| fällig | am wirksamen Termin | zuständige Person |
| überfällig | 3 Tage nach dem wirksamen Termin, einstellbar 1 bis 60 | zuständige Person und je nach Einstellung: die Prüfungsleitung (Vorgabe), alle Personen mit der Rolle Revisionsleitung, oder niemand weiter |
Der wirksame Termin ist der gesetzte Termin, frühestens aber der Tag, an dem die Aufgabe bearbeitet werden kann, plus die Vorlaufzeit. Wer eine Aufgabe erst kurz vor oder nach dem Termin bekommt, wird also nicht sofort als überfällig gemeldet. Bei der Einstellung „Prüfungsleitung“ geht die Weitermeldung an alle aktiven Personen mit der Rolle Revisionsleitung, wenn keine Prüfungsleitung bestimmt ist oder die Prüfungsleitung selbst zuständig ist. Hat ein Meilenstein keine zuständige Person, gilt dieselbe Kette schon für die Erinnerung: sie geht an die Prüfungsleitung, ohne Prüfungsleitung an alle Personen mit der Rolle Revisionsleitung. Eine Weitermeldung geht nur an Personen, die beim Versand noch Revisionsleitung oder aktive Prüfungsleitung dieser Prüfung sind. Weitermeldungen nennen Art der Aufgabe und Prüfungsnummer, nicht die zuständige Person und nicht die Zeile; wer zuständig ist, sieht die Empfängerin erst in der Anwendung.
Schalter, die der Kundenzugang hat
Erinnerungen ganz an oder aus. Vorlauf und Tage bis zur Weitermeldung. Ziel der Weitermeldung: Prüfungsleitung, Revisionsleitung oder niemand. Titel in Mails (Vorgabe aus; Einschalten nur nach Bestätigung eines Risikohinweises). Antwortadresse. Aufgaben lassen sich auch ohne Termin zuweisen; dann gibt es keine Mails. Die Prüfungsleitung schaltet je Prüfung die Namen der Zuständigen in ihrer Teamansicht ein oder aus (Vorgabe aus, auch für bestehende Prüfungen; jede Änderung steht im Protokoll). Für neue und bestehende Kundenzugänge sind die Erinnerungen zunächst ausgeschaltet, bis die Revisionsleitung sie bewusst einschaltet. Jede Änderung der Schalter steht mit den neuen Werten im Protokoll.
Was jede Person selbst einstellen kann
Die tägliche Sammelmail lässt sich auf der Seite „Meine Aufgaben“ oder über den Link in der Mail abbestellen. Der Kundenzugang kann das nicht sperren. Das Abbestellen wirkt sofort und umfassend: auch auf Mails, die schon vorbereitet, aber noch nicht versandt sind, und auch auf Erinnerungen an Maßnahmen aus Feststellungen. Hinweise auf überfällige Aufgaben kommen auch nach dem Abbestellen weiter, weil sonst eine Frist unbemerkt verstreichen könnte; Mails, die nur solche Hinweise enthalten, haben keinen Abmeldelink, sondern einen Satz, der das erklärt.
Was die Mails enthalten
Absender ist das eigene Postfach von ProAuditMap (noreply@proauditmap.com, E-Mail-Dienst von Hostinger), Anzeigename „ProAuditMap · Name des Kundenzugangs“. Versand einmal am Tag ab 06:00 Uhr; ist das Tagesbudget der Plattform knapp, kann sich die Sammelmail verzögern, weil Mails zur Anmeldung Vorrang haben. Der Betreff nennt die Zahl der Aufgaben und der überfälligen. Je Eintrag: Art der Aufgabe, Prüfungsnummer, bei der eigenen Aufgabe die Zeilen- oder Feststellungsnummer, Fälligkeit und ein Link; höchstens 25 Einträge, der Rest als Hinweis „und weitere“. Zeilennummern erscheinen nur, wenn sie wie eine Kennung aussehen, Meilensteine nur mit ihrer Art. Keine Texte, keine Namen anderer Personen. Titel stehen nur in der Mail, wenn der Kundenzugang sie eingeschaltet hat, dann gekürzt; eine Weitermeldung an Dritte (auch bei Maßnahmen und Risikoakzeptanzen) nennt auch dann weder Prüfungs- noch Feststellungstitel und keine Zeile, nur die Art der Aufgabe und die Prüfungsnummer. Der Link enthält keinen Zugangsschlüssel; den Inhalt sieht nur, wer sich mit Passwort und Einmalcode anmeldet. Mail bei Zuweisung: Wer eine Prüfprogrammzeile, ein Review oder als zuständige Person einen Meilenstein zugewiesen bekommt, erhält zeitnah eine eigene Mail, in der Regel innerhalb von 15 Minuten, bei hohem Mailaufkommen später (eine Sammelzuweisung mehrerer Zeilen ergibt eine Mail mit allen Zeilen; weitere Zuweisungen an dieselbe Person innerhalb einer Stunde kommen gebündelt in einer Mail). Inhalt wie ein Eintrag der Sammelmail: Art, Prüfungsnummer, Zeilen- oder Feststellungsnummer, Termin, falls einer gesetzt ist, und Link; Titel nur mit eingeschalteter Titelanzeige. Keine Mail bei Selbstzuweisung, bei ausgeschalteten Erinnerungen, nach dem Abbestellen und an Personen, die sich noch nie angemeldet haben; je Kundenzugang höchstens 20 Prozent des täglichen Mailbudgets der Plattform als Zuweisungsmails, darüber folgen sie am nächsten Tag; ändert sich der Termin (oder wird er entfernt), kommt eine neue Mail mit dem Hinweis „Termin geändert“. Die Mail trägt denselben Abmeldelink. Der Termin steht weiter nicht im Protokoll.
Was nicht Zweck der Funktion ist
Die Funktion dient der Organisation laufender Prüfungen. Sie ist nicht dafür gebaut und nicht dafür gedacht, Leistung oder Verhalten einzelner Beschäftigter zu bewerten. Es gibt keine Zahlen je Person, keine Rangfolge, keinen Export je Person und keine Liste verspäteter Erledigungen. Das Prüfungsarchiv enthält keine Termine je Person; die Zuweisungen stehen darin nur als Protokollzeilen ohne die zugewiesene Person (siehe „Exporte“).
Planung und Dashboards
Was die Funktion leistet
Die Revisionsleitung pflegt ein Verzeichnis der Prüfobjekte, etwa Anwendungen, Dienstleister, Prozesse oder Organisationseinheiten, von Hand oder per Datei. Jedes Objekt wird nach einem einstellbaren Risikomodell bewertet. Daraus schlägt die Software einen Jahresplan vor. Die Revisionsleitung bearbeitet ihn, legt ihn dem zuständigen Gremium vor und erfasst dessen Beschluss. Kennzahlen zeigen, wie weit der Plan erfüllt ist, welche Objekte überfällig sind und wie viele Feststellungen offen sind. Ein Gremienbericht fasst das für einen Zeitraum als PDF und Excel zusammen. Mitglieder der Geschäftsleitung oder eines Aufsichtsgremiums können eine eigene, lesende Leitungssicht bekommen.
Sieben Regeln, die die Software fest einhält
Sie gelten für Kennzahlen, Leitungssicht und Gremienbericht.
1. Keine Auswertung nach Person. Keine Kennzahl, kein Gremienbericht und keine Funktion der Leitungssicht fasst Daten nach Personen zusammen oder filtert nach ihnen. Ein automatischer Test im Code weist jede Abfrage zurück, die nach einer Personenkennung gruppiert oder filtert.
2. Der Jahresplan nennt keine Personen. Planpositionen haben ein Quartal und Monate, aber keine zuständige Person. Die Kapazität ist eine Summe von Prüfertagen ohne Personenbezug. Bei Titeln von Planpositionen und Bezeichnungen von Kapazitätszeilen weist die Oberfläche darauf hin, keine Personennamen einzutragen. Exporte enthalten bei jedem gespeicherten Bearbeitungsschritt die Kennung des handelnden Zugangs (zum Beispiel angelegt, bewertet, verknüpft, vorgelegt, zurückgenommen, beschlossen, zur Kenntnis genommen, Ist-Aufwand erfasst), der Plan-Export zusätzlich in der Prüfspur. Namen oder E-Mail-Adressen aus der Nutzerverwaltung enthalten sie nicht; eingetippte Freitexte können Namen enthalten. Wer die Nutzerliste des Kunden kennt, kann die Kennungen zuordnen.
3. Aufwand je Prüfung nur per Schalter. Soll und Ist des Aufwands je einzelner Prüfung (Kennzahl K9) sind ausgeschaltet. Einschalten kann nur die Revisionsleitung, und erst nachdem sie einen Hinweis zur Mitbestimmung bestätigt hat. Das Ein- und Ausschalten steht mit Person und Zeitpunkt im Protokoll. K9 sieht nur die Revisionsleitung. Die Kennzahl geht nicht in die Leitungssicht und nicht in den Gremienbericht. Ohne K9 erscheint der Ist-Aufwand einer einzelnen Prüfung nur in der Maske, in der die Revisionsleitung ihn erfasst, und im Gesamtexport der Planung, nicht im Jahresplan. Ein eigenes Recht zum Erfassen gibt es nicht; die Maske setzt das Bearbeitungsrecht der Planung voraus, das nur die Revisionsleitung hat. Summiert sehen den Ist-Aufwand auch Prüferinnen, Prüfer und Qualitätssicherung im Dashboard der Revision: K8 zeigt Soll und Ist je Quartal und Risikoklasse, K10 das Ist der Sonderprüfungen. Beides gilt nach Regel 4 erst ab drei Prüfungen je Feld, damit sich aus der Summe nicht der Wert einer einzelnen Prüfung ablesen lässt.
4. Mindestzahl von drei Prüfungen. Kennzahlen zum Aufwand, zu Sonderprüfungen und zu Durchlaufzeiten zeigen ein Feld (etwa ein Quartal oder eine Risikoklasse) erst, wenn mindestens drei Prüfungen darin stecken. Kleinere Felder werden unter „übrige“ zusammengefasst. Auch „übrige“ erscheint nur, wenn es mindestens drei Prüfungen umfasst, sonst wird es ausgeblendet. Summen und Anteile rechnen nur über angezeigte Felder, damit sich kein ausgeblendetes Feld durch Abziehen zurückrechnen lässt. Planpositionen ohne Quartal blendet K8 immer aus. Das gilt auch in Leitungssicht und Gremienbericht.
5. Kleine Teams. Hat der Kundenzugang weniger als drei Mitgliedschaften mit der Rolle Prüfer oder Qualitätssicherung, zeigen Leitungssicht und Gremienbericht keine Kennzahlen zu Aufwand, Sonderprüfungen und Durchlaufzeiten und keine Planerfüllung nach Prüfertagen. Stattdessen steht dort „zu wenige Personen für eine anonyme Auswertung“. Wer die Rolle Revisionsleitung hat, zählt nicht mit, auch wenn er zusätzlich prüft. Gezählt wird jede bestehende Mitgliedschaft, auch die einer eingeladenen Person, die sich noch nicht angemeldet hat. Einen Status „gesperrt“ oder „inaktiv“ gibt es nicht; wer nicht mehr mitzählen soll, muss aus dem Kundenzugang entfernt werden oder die Rolle verlieren.
6. Leitungssicht und Gremienbericht ohne genaue Daten und ohne Freitexttitel. Prüfungen erscheinen nur mit ihrer Nummer, nie mit ihrem Titel, weil Titel Namen oder Bereiche tragen können. Planpositionen erscheinen im Gremienbericht und im Plan-Export nur mit ihrer Positionsnummer (etwa 2027-007) und dem Kürzel des Prüfobjekts, nicht mit Titel und nicht mit dem Namen des Prüfobjekts. Begründungen stehen dort nur als Hinweis, dass eine vorliegt, nie im Wortlaut. Gremium und Referenz des Beschlusses nennt der Gremienbericht nicht. Als Freitexte enthält er nur die Namen der Organisationseinheiten bei offenen Feststellungen mit hohem Risiko und die Bezeichnungen der Faktoren des Risikomodells. Anders das Vorlage-PDF „Jahresplan“, das Prüfer, Qualitätssicherung, Revisionsleitung und Administration abrufen können: Es nennt bei Positionen mit Prüfobjekt den Objektnamen aus der jüngsten Fassung des Objekts und bei manuellen Positionen deren Titel; Bezeichnungen von Kapazitätszeilen und Begründungen enthält es nicht. Das PDF wird nicht gespeichert, sondern bei jedem Abruf aus dem aktuellen Stand der Datenbank erzeugt. Abschlüsse erscheinen nur als Quartal, das Alter offener Feststellungen nur in Spannen (bis 90 Tage, 91 bis 180, 181 bis 365, über 365). Ein einzelner Arbeitsverlauf lässt sich so nicht tagesgenau nachzeichnen.
7. Zeiterfassung gibt es nicht. Eine Zeiterfassung ist für eine spätere Ausbaustufe geplant. Sie soll ausgeschaltet starten und auch eingeschaltet keine Auswertung je Person bieten, nur die eigene Sicht.
Warum hier drei Prüfungen gelten und in der Aufgabenübersicht nur zwei Personen
Die Aufgabenübersicht aus dem Bereich „Aufgaben und Erinnerungen“ zeigt Zahlen je Prüfung erst, wenn mindestens zwei Personen betroffen sind. Diese Übersicht sieht nur die Revisionsleitung, und die kennt die Zuweisungen in ihren Prüfungen ohnehin. Kennzahlen, Leitungssicht und Gremienbericht gehen dagegen an einen breiteren Kreis, etwa an Geschäftsleitung und Aufsichtsgremium. Dieser Kreis kennt die Aufteilung im Team nicht. Bei zwei Prüfungen in einem Feld genügt das Wissen über eine davon, um die andere zu erschließen. Bei drei bleibt mindestens eine zweite Unbekannte. Die beiden Grenzen zählen auch Verschiedenes: dort Personen je Prüfung, hier Prüfungen je Feld.
Wo diese Regeln an Grenzen stoßen
Die Mindestzahl zählt Prüfungen, nicht Personen. Führt eine Person alle drei Prüfungen eines Feldes, zeigt das Feld trotzdem einen Wert, und der betrifft dann im Ergebnis diese eine Person. Die Regel für kleine Teams zählt nur Prüfer und Qualitätssicherung und fängt damit den häufigsten Fall ab, aber nur für Leitungssicht und Gremienbericht. Im Dashboard der Revision selbst, das Prüfer, Qualitätssicherung und Revisionsleitung sehen, bleiben die Kennzahlen auch in kleinen Teams sichtbar; dort kennen sich alle Beteiligten ohnehin. Auch in einem Team mit drei oder mehr Personen kann ein Feld überwiegend die Arbeit einer Person abbilden. Arbeitgeber und Betriebsrat sollten das bei der Nutzung im Blick behalten.
Aufwand je Prüfung und Prüfungsleitung
K9 zeigt Soll und Ist je Prüfung. Seit dem Bereich „Aufgaben und Erinnerungen“ lässt sich für jede Prüfung eine Prüfungsleitung bestimmen, und die Revisionsleitung sieht, wer das ist. Beides zusammen ergibt Soll und Ist je Prüfungsleitung, also je Person. Die Software verknüpft die beiden Angaben nicht; die Kennzahl liest die Prüfungsleitung nie, und ein Test im Code verhindert diese Verknüpfung. Die Revisionsleitung sieht aber beide Ansichten. Deshalb ist K9 ausgeschaltet, und das Einschalten ist eine bewusste und protokollierte Entscheidung, die der Kunde vorher mit seinem Betriebsrat klärt. Dasselbe gilt im kleinen Maßstab für die Erfassungsmaske: Wer dort den Ist-Aufwand einer Prüfung einträgt, sieht diesen einen Wert. Den Wortlaut des Hinweises zeigt die Anwendung beim Einschalten von K9.
Welche Daten über Personen entstehen
| Daten | Inhalt mit Personenbezug | Wie lange |
|---|---|---|
| Prüfobjekte | wer ein Objekt angelegt, geändert, stillgelegt oder reaktiviert hat, wann | bis zur Löschung des Kundenzugangs |
| Risikobewertungen | wer bewertet hat, wann, Kommentar | bis zur Löschung des Kundenzugangs |
| Übersteuerung der Risikoklasse | wer sie gesetzt oder beendet hat, wann, Begründung | bis zur Löschung des Kundenzugangs |
| Verknüpfung Objekt und Prüfung, Planposition und Prüfung | wer verknüpft oder gelöst hat, wann | bis zur Löschung des Kundenzugangs, auch nach Löschung der Prüfung |
| Dateiimport, Lauf | wer die Datei vorbereitet, übernommen, verworfen oder rückgängig gemacht hat, wann; Prüfsummen und Zahlen. Die Datei selbst wird nach dem Lesen gelöscht, gespeichert bleibt nur ihre Prüfsumme | bis zur Löschung des Kundenzugangs |
| Dateiimport, Zeilen | Rohwerte jeder Zeile der Datei, auch Freitexte, die nie übernommen wurden | 30 Tage nach Übernahme, Verwerfen oder Verfall; ein nicht entschiedener Lauf verfällt nach 7 Tagen |
| Jahresplan | wer eine Fassung angelegt, vorgelegt, zurückgenommen, abgeschlossen oder verworfen hat, wann, Begründungen; Beschluss des Gremiums mit Funktion des Gremiums, Datum, Referenz und Person, die ihn erfasst hat | bis zur Löschung des Kundenzugangs |
| Kenntnisnahme | welches Mitglied der Leitungssicht welche Fassung zur Kenntnis genommen hat, wann | bis zur Löschung des Kundenzugangs |
| Ist-Aufwand je Prüfung | Prüfertage einer Prüfung, wer sie erfasst hat, wann. Einzeln sichtbar nur in der Erfassungsmaske der Revisionsleitung, in K9, wenn eingeschaltet, und im Gesamtexport der Planung (mit der Nutzerkennung der erfassenden Person). Summiert in K8 und K10, ab drei Prüfungen je Feld, auch für Prüfer und Qualitätssicherung | bis zur Löschung des Kundenzugangs, auch nach Löschung der Prüfung |
| Einstellungen | wer Turnus, Reserve, Vorgaben oder die Anzeige K9 geändert hat, wann, neuer Wert | bis zur Löschung des Kundenzugangs |
| Gremienbericht | wer ihn erzeugt oder heruntergeladen hat, wann. Der Bericht selbst nennt keine Namen aus der Revision und weder Gremium noch Beschlussreferenz; Planpositionen nur mit Positionsnummer und Objektkürzel, ohne Freitexte der Planung. Als Freitexte enthält er Namen der Organisationseinheiten bei offenen hohen Feststellungen und Faktorbezeichnungen des Risikomodells | bis zur Löschung des Kundenzugangs |
| Löschung auf Antrag | Tabelle, Kennung der Zeile, Feld, Kategorie des Grundes, Zeitpunkt und Prüfsumme des gelöschten Textes; im Journal des Anbieters dieselben Angaben ohne Prüfsumme und ohne Text | dauerhaft im Protokoll; Journal 90 Tage |
| Protokoll (Hash-Kette) | jede der Handlungen oben mit handelnder Person. Der Ist-Aufwand steht nicht im Klartext im Protokoll, nur eine Prüfsumme; Begründungen ebenfalls nur als Prüfsumme, die an Tabelle, Feld und Zeile gebunden ist; Kommentare zu Bewertungen gar nicht | dauerhaft wie das gesamte Protokoll |
Wer etwas bewertet, übersteuert oder beschlossen hat, zeigt die Software in der Historie des Objekts oder des Plans an, wie bei Prüfungen und Feststellungen auch. Das ist eine Prüfspur, keine Auswertung. Die Software zählt nicht, wie oft eine Person bewertet oder geändert hat. Möglich wäre das nur durch Abzählen in der Historie oder im Protokoll.
Freitexte, die dauerhaft gespeichert bleiben
Die Planung speichert diese Texte bis zur Löschung des Kundenzugangs:
- Name, Beschreibung und verantwortliche Funktion jeder Fassung eines Prüfobjekts
- Kommentare zu Risikobewertungen
- Begründungen von Übersteuerungen und von Stilllegungen (die Begründung einer Stilllegung wird beim Reaktivieren geleert, das Protokoll behält nur ihre Prüfsumme; nach dem Rückgängigmachen eines Imports steht dort statt eines Textes der Systemcode IMPORT_REVERTED)
- Begründungen von Planfassungen, Rücknahmen, Abweichungen von der Vorrangregel und dem Verwerfen eines Planjahres
- Titel von Planpositionen und Bezeichnungen von Kapazitätszeilen
- Funktion des Gremiums und Referenz eines Beschlusses
Gremienberichte und der Plan-Export enthalten keinen dieser Texte. Das Vorlage-PDF „Jahresplan“ enthält Objektnamen und Titel manueller Positionen (Regel 6), der Gesamtexport der Planung alle Texte.
Nicht in dieser Liste und nicht im Löschweg stehen die Texte des Risikomodells, also Bezeichnungen und Erläuterungen der Faktoren und ihrer Stufen. Sie sind Konfiguration des Kunden, erscheinen im Gremienbericht und sollen keine Personennamen enthalten.
Die Oberfläche bittet darum, in diese Felder Funktionen statt Namen zu schreiben, etwa „Leitung Einkauf“ statt eines Namens. Das gilt besonders für das Kürzel eines Prüfobjekts: Es lässt sich nicht ändern und nicht löschen und erscheint in Gremienberichten und Exporten.
Löschung auf Antrag
Steht trotzdem ein Name in einem dieser Felder, lässt er sich auf Antrag entfernen. Der Antrag geht über den Kunden an den Anbieter, etwa wenn eine betroffene Person oder der Betriebsrat ihn beim Arbeitgeber stellt. Der Anbieter ersetzt den Text mit einem eigenen, protokollierten Betriebskommando durch einen Löschvermerk. Im Protokoll des Kunden bleiben Zeitpunkt, Feld, Kennung der Zeile, die Kategorie des Grundes und eine Prüfsumme des alten Textes stehen, damit frühere Planstände nachvollziehbar bleiben; der Text selbst ist danach weg. Der Anbieter vermerkt jede Löschung zusätzlich in einem Journal ohne Text außerhalb der Datenbank und bewahrt es 90 Tage auf. Muss die Datenbank einmal aus einer älteren Sicherung wiederhergestellt werden, wiederholt er damit die Löschung, damit der Text nicht zurückkommt. Aus den Datensicherungen selbst verschwindet der Text innerhalb der Löschfrist der Sicherungen (spätestens 40 Tage). Eine Funktion, mit der der Kunde selbst löscht, ist für eine spätere Ausbaustufe geplant.
Zwei Einschränkungen sagen wir offen. Erstens: Gremienberichte sind ein eingefrorener Stand. Sie enthalten keine der Freitexte oben, müssen von der Löschung also nicht erfasst werden, nennen aber das Kürzel jedes Prüfobjekts. Das Kürzel ist unveränderlich und nicht löschbar. Fehlt es beim Import, schlägt die Software eines aus dem Objektnamen vor; steht im Namen eine Person, steht sie dann auch im Kürzel. Kürzel sollten deshalb neutral sein. Ebenso bleiben Plan-Exporte, Gesamtexporte und Vorlage-PDFs, die vor der Löschung heruntergeladen wurden, unverändert; ein danach abgerufenes Vorlage-PDF liest den Stand nach der Löschung. Zweitens: Die Prüfsumme des gelöschten Textes bleibt im Protokoll. Bei sehr kurzen, erwartbaren Texten lässt sie ein Erraten durch Ausprobieren nicht völlig ausschließen; das nehmen wir zugunsten der Nachvollziehbarkeit hin.
Importdateien
Eine hochgeladene Tabelle wird vor dem Lesen auf Schadsoftware geprüft. Ist der Scanner nicht verfügbar, nimmt die Software die Datei nicht an. Dateien mit Makros weist sie ab: in älteren Office-Dateien erkennt sie der Virenscanner, in Excel-Dateien (xlsx) die zusätzliche Prüfung auf unzulässige Bestandteile. Die Datei selbst wird nach dem Lesen gelöscht. Die gelesenen Zeilen bleiben nur so lange gespeichert, wie sie für Vorschau, Übernahme und Kontrolle gebraucht werden. 30 Tage nach der Entscheidung (übernommen, verworfen oder verfallen) löscht ein täglicher Lauf sie, auch Freitexte, die nie übernommen wurden. Übrig bleiben nur Prüfsummen und Zahlen des Laufs. Die übernommenen Inhalte stehen dann in den Prüfobjekten. Die Übernahme legt kein Prüfobjekt still und reaktiviert keines. Wird ein Import rückgängig gemacht, legt die Software die von diesem Lauf neu angelegten Objekte still (Systemcode IMPORT_REVERTED); Objekte, die sie dabei nicht stilllegt, etwa wegen eines aktiven Unterobjekts, nennt sie.
Wer was sieht
| Wer | sieht | sieht nicht |
|---|---|---|
| Prüferinnen und Prüfer, Qualitätssicherung | Prüfobjekte, Bewertungen, Jahresplan, Vorlage-PDF „Jahresplan“ mit Objektnamen und Titeln manueller Positionen, Kennzahlen K1 bis K8, K10, K11; darin den Ist-Aufwand summiert in K8 (Soll und Ist je Quartal und Risikoklasse) und K10 (Ist der Sonderprüfungen), jeweils erst ab drei Prüfungen je Feld; Prüfer bearbeiten Objekte und bewerten | Ist-Aufwand einzelner Prüfungen, K9, Gremienberichte, Leitungssicht |
| Revisionsleitung | alles aus der Zeile oben, dazu Risikomodell, Planentscheidungen, Gremienberichte, Leitungssicht; Ist-Aufwand einer Prüfung in der Erfassungsmaske; K9 nur, wenn eingeschaltet; Gesamtexport der Planung mit allen Texten, Kenntnisnahmen mit Person, dem Ist-Aufwand je Prüfung mit der Nutzerkennung der erfassenden Person und der Prüfspur, als Datenexport des Kunden | Auswertungen je Person |
| Administration | Prüfobjekte und Jahresplan lesend, Vorlage-PDF „Jahresplan“, die Einstellungen der Planung und damit, ob K9 eingeschaltet ist | Kennzahlen, Ist-Aufwand einzelner Prüfungen, K9, Gremienberichte |
| Mitglieder der Leitungssicht | Kennzahlen K1 bis K8, K10, K11 mit Mindestzahl und Regel für kleine Teams, beschlossene und vorgelegte Planfassung, Prüfungen nur mit Nummer, Status, Kennung der Planposition, Quartal des Abschlusses, Zahl der Feststellungen je Risiko und Kennzeichen „gelöscht“, offene Feststellungen nur mit Nummer, Prüfungsnummer, Risiko, Einheit, Altersspanne, Status und Kennzeichen „überfällig“, Gremienberichte | Prüfungs- und Feststellungstitel, Arbeitspapiere, Nachweise, Namen von Prüfern, Zuständige, Aufgaben, Ist-Aufwand einzelner Prüfungen, K9, genaue Daten. Sie bekommen keine Erinnerungs- oder Weitermeldungsmails |
| geprüfte Stellen | nichts aus diesem Abschnitt |
Ein verworfenes Planjahr zählt in keiner Kennzahl und erscheint weder in der Leitungssicht noch im Gremienbericht. Seine Fassungen bleiben für die Prüfspur lesbar.
Was nicht Zweck der Funktion ist
Planung und Kennzahlen dienen der Steuerung der Revision als Ganzes und der Berichterstattung an Geschäftsleitung und Aufsicht. Sie sind nicht dafür gebaut und nicht dafür gedacht, Leistung oder Verhalten einzelner Beschäftigter zu bewerten. Es gibt keine Zahlen je Person, keine Rangfolge und keinen Export je Person.