An einem Audit arbeiten häufig mehrere Personen mit unterschiedlichen Aufgaben. Auditoren bereiten das Audit vor und dokumentieren Feststellungen. Qualitätsverantwortliche prüfen Bearbeitungsstände. Ansprechpersonen der auditierten Organisation stellen Nachweise bereit. Systemverantwortliche verwalten Zugänge und technische Einstellungen.
Berechtigungen im Auditmanagement müssen diese unterschiedlichen Aufgaben abbilden. Entscheidend ist nicht nur, welche Rolle eine Person hat. Ebenso wichtig ist, für welchen Auftrag, Kunden, Standort oder Bearbeitungsschritt der Zugriff gilt. Eine allgemeine Rolle wie „Auditor“ oder „Administrator“ reicht deshalb häufig nicht aus. Ein tragfähiges Berechtigungskonzept legt fest, wer welche Auditdaten sehen, bearbeiten, freigeben oder verwalten darf und in welchem Kontext.
In diesem Artikel:
Warum allgemeine Standardrollen im Auditmanagement oft nicht ausreichen
Welche Zugriffsebenen voneinander unterschieden werden sollten
Welche Rollen im Auditprozess welchen Zugriff benötigen
Wie Berechtigungen vergeben, geprüft und entzogen werden
Wie Änderungen an Rollen und Rechten nachvollziehbar bleiben
Welche Fragen du an das Berechtigungskonzept einer Auditsoftware stellen solltest
Fazit: Berechtigungen an Aufgaben und Auditkontexten ausrichten
Häufige Fragen zu Rollen und Berechtigungen im Auditmanagement
Welche allgemeinen Datenschutzfragen beim Umgang mit Auditdaten entstehen, ist Thema unseres Beitrags zum Datenschutz im Auditmanagement. Der operative Austausch von Dateien, Versionen und Nachweisen wird im Beitrag Auditdaten sicher austauschen behandelt.
Warum allgemeine Standardrollen im Auditmanagement oft nicht ausreichen
Standardrollen vereinfachen die Verwaltung. Sie bilden typische Aufgaben von Auditoren, Qualitätsmanagement oder Administration ab. Im Auditalltag benötigen Personen mit derselben Rollenbezeichnung jedoch nicht automatisch dieselben Zugriffe.
Ein Auditor arbeitet beispielsweise nur an einem bestimmten Audit. Ein Lead Auditor koordiniert das Auditteam und prüft den Bericht. Eine weitere Person bearbeitet ausschließlich Maßnahmen. Alle drei arbeiten am selben Vorgang, benötigen dafür aber unterschiedliche Befugnisse.
Auch der organisatorische Kontext verändert den Zugriff auf Auditdaten. Bei Zertifizierungsstellen können Kunden, Standorte, Standards und Auditprogramme getrennt organisiert sein. Interne Audit-Teams arbeiten dagegen beispielsweise mit Organisationseinheiten, Fachbereichen oder Lieferanten.
Eine Rolle braucht deshalb immer einen klaren Geltungsbereich.
Zu breite Berechtigungen machen Informationen für Personen sichtbar, die sie für ihre Aufgabe nicht benötigen. Zu enge Rechte erzeugen dagegen zusätzliche Rückfragen und Freigaben und können Arbeitsabläufe verzögern.
Ein belastbares Berechtigungskonzept im Audit orientiert sich deshalb an den tatsächlichen Aufgaben und lässt sich anpassen, wenn sich Zuständigkeiten ändern.
Zugriffsrechte im Auditmanagement beantworten zwei Fragen: Auf welche Informationen darf eine Person zugreifen und welche Handlungen darf sie dort ausführen?
Der Zugriff kann sich beispielsweise auf einen bestimmten Kunden, Standort oder ein einzelnes Audit beziehen. Innerhalb dieses Bereichs bestimmen die Berechtigungen, ob eine Person Informationen lesen, bearbeiten, freigeben oder verwalten darf.
Zugriff auf Organisationen, Kunden und Standorte
Die oberste Zugriffsebene betrifft den organisatorischen Rahmen.
Bei einer Zertifizierungsstelle kann das beispielsweise ein bestimmter Kunde sein. In einem internen Auditprogramm kann der Zugriff auf eine Gesellschaft, Abteilung oder Organisationseinheit begrenzt werden.
Eine Person, die für einen Standort zuständig ist, erhält dadurch nicht automatisch Zugriff auf alle weiteren Standorte. Bei Multi-Site-Organisationen wird diese Trennung besonders wichtig.
Zugriff auf einzelne Audits und Auditprogramme
Ein Auditprogramm umfasst mehrere geplante und durchgeführte Audits. Der Zugriff auf das gesamte Auditprogramm kann deshalb andere Informationen umfassen als der Zugriff auf ein einzelnes Audit.
Eine für das Auditprogramm verantwortliche Person benötigt möglicherweise eine übergreifende Übersicht. Ein eingesetzter Auditor braucht dagegen vor allem die Informationen für seinen konkreten Auftrag.
Ein Berechtigungskonzept sollte deshalb zwischen dem Zugriff auf einzelne Audits und dem gesamten Auditprogramm unterscheiden.
Zugriff auf Dokumente, Feststellungen und Maßnahmen
Auch innerhalb eines Audits benötigt nicht jede beteiligte Person Zugriff auf sämtliche Inhalte.
Eine Ansprechperson der auditierten Organisation kann beispielsweise Nachweise zu einer Maßnahme ergänzen. Dafür braucht sie keinen umfassenden Zugriff auf interne Notizen oder administrative Einstellungen.
Ein rollenbasierter Zugriff im Audit sollte deshalb nicht nur das Audit als Ganzes betrachten, sondern auch unterschiedliche Inhalte und Aufgaben berücksichtigen.
Lesen, Bearbeiten, Freigeben und Administrieren
Der sichtbare Datenbereich beantwortet nur einen Teil der Berechtigungsfrage. Ebenso wichtig ist, was eine Person innerhalb dieses Bereichs tun darf.
Leserechte erlauben die Einsicht in Informationen. Bearbeitungsrechte erlauben Änderungen oder Ergänzungen. Freigaberechte bestätigen einen definierten Bearbeitungsstand. Administrative Rechte betreffen Rollen, Zugänge und Systemeinstellungen.
Diese Befugnisse sollten voneinander getrennt werden.
Wer ein Dokument bearbeiten darf, muss es nicht automatisch freigeben können. Umgekehrt braucht eine Person mit administrativen Aufgaben nicht zwangsläufig vollständigen Zugriff auf fachliche Auditinformationen.
Welche Rollen im Auditprozess welchen Zugriff benötigen
Die folgenden Rollen zeigen typische Anforderungen. Sie sind keine allgemeingültige Vorlage. Der konkrete Zugriff hängt von Organisation, Auditverfahren und Aufgabe ab.Auditoren und Lead Auditoren
Auditoren benötigen die Informationen, die sie für Vorbereitung, Durchführung und Dokumentation ihres Auftrags brauchen. Der Zugriff kann auf ein einzelnes Audit, einen Standort oder bestimmte Auditkriterien begrenzt sein.
Lead Auditoren übernehmen häufig zusätzliche Koordinations- und Prüfaufgaben. Daraus können weitergehende Bearbeitungs- oder Freigaberechte entstehen.
Welche zusätzlichen Rechte Lead Auditoren benötigen, hängt von ihren Aufgaben und Verantwortlichkeiten im jeweiligen Audit ab.
In kameon AUDIT Certification können mehrere Lead Auditoren einem Audit zugeordnet werden. Bei personellen Änderungen muss die Rollenzuweisung manuell angepasst werden.
Qualitätsmanagement und Auditverantwortliche
Qualitätsmanagement und Auditverantwortliche arbeiten häufig über einzelne Audits hinweg. Sie planen Auditprogramme, prüfen Bearbeitungsstände oder verfolgen Maßnahmen.
Ihr Zugriff kann deshalb mehrere Audits oder Organisationseinheiten umfassen. Trotzdem sollte klar sein, welche Informationen sie für ihre Aufgabe tatsächlich benötigen und welche Freigaben fachlich vorgesehen sind.
Ansprechpersonen der auditierten Organisation
Ansprechpersonen stellen Dokumente bereit, beantworten Rückfragen oder ergänzen Nachweise.
Ihr Zugriff sollte auf die Inhalte begrenzt sein, die sie für diese Aufgaben benötigen. Das gilt besonders, wenn mehrere Organisationseinheiten, Standorte oder Kunden in derselben Plattform verwaltet werden.
Freie Auditoren und technische Experten
Freie Auditoren und technische Experten arbeiten häufig auftragsbezogen. Sie benötigen deshalb einen klar begrenzten Zugang für einen definierten Zeitraum.
Technische Experten brauchen nur die Unterlagen, die für ihre fachliche Unterstützung relevant sind.
In beiden Fällen muss klar sein, wer den Zugang vergibt und wann dieser erneut geprüft wird.
Administration und Systemverantwortliche
Administratoren verwalten Nutzer, Rollen und technische Einstellungen.
Ob sie dafür zusätzlich alle fachlichen Auditdaten einsehen müssen, sollte bewusst entschieden werden. Technische Administration und fachlicher Zugriff sind zwei unterschiedliche Aufgaben.
Eine Trennung kann vermeiden, dass administrative Rollen unnötig weitreichende Einsichtsrechte erhalten.
Wie Berechtigungen vergeben, geprüft und entzogen werden
Ein Berechtigungskonzept funktioniert nur, wenn Zugänge über ihren gesamten Lebenszyklus verwaltet werden. Dazu gehören die erstmalige Vergabe, spätere Anpassungen und der Entzug nach Abschluss einer Aufgabe.
→ Aufgabe festlegen
→ Zugang vergeben
→ Nutzung prüfen
→ Bei Veränderungen anpassen
→ Nach Abschluss bestätigen oder entziehen
Zugänge vor Beginn einer Aufgabe vergeben
Vor dem ersten Zugriff muss feststehen, welche Aufgabe eine Person übernimmt und welche Auditdaten sie dafür benötigt.
Anschließend wird die Berechtigung dem konkreten Audit, Standort oder organisatorischen Bereich zugeordnet.
Pauschale Zugänge auf Vorrat erschweren spätere Prüfungen. Klarer ist eine Vergabe anhand eines konkreten Auftrags oder einer definierten Verantwortung.
Zeitlich begrenzte und externe Zugriffe verwalten
Berechtigungen für externe Auditoren oder technische Experten sollten sich am konkreten Auftrag und am benötigten Zugriffszeitraum orientieren.
Vor Beginn sollte geklärt sein:
- Wer vergibt den Zugang?
- Welche Daten darf die Person sehen?
- Welche Handlungen sind erlaubt?
- Wie lange wird der Zugriff benötigt?
- Wer prüft ihn anschließend erneut?
Eine zeitliche Begrenzung allein reicht nicht aus. Auch Datenumfang und Befugnisse müssen zur Aufgabe passen.
Berechtigungen bei Rollenwechseln anpassen
Wechselt eine Person das Team oder übernimmt neue Aufgaben, können alte und neue Berechtigungen parallel bestehen bleiben.
Rollenwechsel sollten deshalb eine Prüfung der vorhandenen Zugriffe auslösen.
Das gilt auch für Stellvertretungen. Temporär erweiterte Befugnisse sollten nach Ende der Vertretung erneut geprüft werden.
Zugänge nach Abschluss eines Auftrags überprüfen
Nach Abschluss eines Audits oder Auftrags ist zu klären, ob der Zugriff weiterhin benötigt wird.
Bei wiederkehrenden Tätigkeiten kann eine bestehende Berechtigung sinnvoll sein. Sie sollte jedoch bewusst bestätigt werden und nicht allein deshalb bestehen bleiben, weil sie nie entzogen wurde.
Das betrifft insbesondere freie Auditoren, ausgeschiedene Mitarbeitende und wechselnde Ansprechpartner.
Wie Änderungen an Rollen und Rechten nachvollziehbar bleiben
Änderungen an Berechtigungen beeinflussen unmittelbar, wer Auditinformationen einsehen oder bearbeiten kann. Deshalb sollte nachvollziehbar sein, wer einen Zugang vergeben, verändert oder entzogen hat.
Relevante Angaben sind beispielsweise:
- Zeitpunkt der Änderung
- verantwortliche Person
- betroffener Nutzer oder Rolle
- geänderter Zugriffsumfang
Bei sensiblen Änderungen kann zusätzlich ein Prüf- oder Freigabeschritt vorgesehen werden.
Regelmäßige Überprüfungen helfen, veraltete Zugänge zu erkennen. Einen allgemeingültigen Prüfzyklus gibt es nicht. Konkrete Anlässe sind beispielsweise Rollenwechsel, neue Aufträge, abgeschlossene Audits oder personelle Veränderungen.
Typische Schwachstellen:
Protokollierungen können die Nachvollziehbarkeit unterstützen. Sie ersetzen jedoch keine klaren Zuständigkeiten.
Die Organisation muss weiterhin festlegen, wer Berechtigungen vergeben, verändern und überprüfen darf.
Welche Fragen du an das Berechtigungskonzept einer Auditsoftware stellen solltest
Bei Rollen und Rechten einer Auditsoftware reicht die Frage „Gibt es eine Rechteverwaltung?“ nicht aus.
Relevant ist, wie genau sich der Zugriff auf Auditdaten eingrenzen lässt und ob die Software das Rollenmodell der Organisation tatsächlich abbilden kann.
Prüffragen für das Rollenmodell einer Auditsoftware
☐ Lassen sich Rollen mit individuellen Zugriffsrechten verbinden?
☐ Können Zugriffe nach Organisation, Kunde, Standort oder Organisationseinheit begrenzt werden?
☐ Ist eine Zuordnung zu einzelnen Audits und Auditprogrammen möglich?
☐ Lassen sich Dokumente, Feststellungen und Maßnahmen getrennt berücksichtigen?
☐ Können die Berechtigungen Lesen, Bearbeiten, Freigeben und Administrieren voneinander getrennt werden?
☐ Lassen sich externe Zugänge zeitlich und inhaltlich begrenzen?
☐ Können Stellvertretungen und Rollenwechsel abgebildet werden?
☐ Ist nachvollziehbar, wer eine Berechtigung geändert hat?
☐ Lassen sich bestehende Zugänge regelmäßig prüfen?
☐ Kann der fachliche Zugriff von der technischen Administration getrennt werden?
Die Antworten müssen zur tatsächlichen Arbeitsweise passen.
Ein sehr detailliertes Rollenmodell bringt wenig, wenn intern unklar ist, wer welche Verantwortung trägt. Eine zu grobe Rechteverwaltung stößt dagegen schnell an Grenzen, sobald mehrere Kunden, Standorte oder externe Beteiligte eingebunden werden.
Wie gut bildet dein aktuelles Rollenmodell die tatsächlichen Aufgaben im Auditprozess ab?
Du möchtest einschätzen, wie sich Rollen und Zugriffsrechte für euren Auditprozess sinnvoll abbilden lassen? Im Erstgespräch klären wir eure Anforderungen und Zuständigkeiten.
Fazit: Berechtigungen an Aufgaben und Auditkontexten ausrichten
Berechtigungen im Auditmanagement sollten die tatsächlichen Aufgaben und Verantwortlichkeiten einer Organisation abbilden.
Entscheidend ist nicht nur die Rolle einer Person, sondern auch der jeweilige Kontext: Für welches Audit, welchen Standort oder welche Organisationseinheit gilt der Zugriff? Welche Informationen darf die Person sehen? Darf sie diese nur lesen, auch bearbeiten oder zusätzlich freigeben?
Ein klares Rollenmodell verbindet Aufgaben mit einem definierten Zugriffsumfang. Ebenso wichtig ist der laufende Umgang mit bestehenden Berechtigungen.
Neue Aufträge, Rollenwechsel und abgeschlossene Audits sind konkrete Anlässe, Zugänge erneut zu prüfen.
Auditdaten sicher austauschen: 7 typische Risiken im Auditalltag
Welche Datenschutzfragen sind im Auditmanagement relevant?
