Stell dir diesen Moment vor: Das System ist fertig. Das Go-live war erfolgreich. Sechs Monate später möchte ein Auditor wissen, wer im März die Freigabe für eine Bestellung über 80.000 Euro erteilt hat – und das System kann es nicht zeigen. Die Rechte-und-Rollen-Struktur stimmt nicht mit der Datenschutzdokumentation überein. Es beginnt Nacharbeit, die teurer ist als Vorarbeit es gewesen wäre.
Optimierung berührt immer auch Nachweispflichten
Drei Regelwerke sind in der Praxis am relevantesten, und alle drei stellen Anforderungen, die sich aus einem optimierten Prozess direkt ergeben:
DSGVO: Wer personenbezogene Daten verarbeitet (und das tun fast alle Geschäftsprozesse), muss nach DSGVO Art. 25 Privacy by Design umsetzen: Datenschutz nicht nachrüsten, sondern von Anfang an einbauen. Das umfasst: wer auf welche Daten zugreifen darf, wie lange Daten gespeichert werden und wer im Zweifel nachweisen kann, dass die Verarbeitung rechtmäßig war.
GoBD: Die Grundsätze zur ordnungsmäßigen Buchführung betreffen jeden Prozess, der Belege, Bestellungen, Rechnungen oder Buchungen erzeugt oder verarbeitet. Konkret: Daten müssen unveränderbar, vollständig und jederzeit maschinell auswertbar sein. Wer seinen Bestellprozess digitalisiert, muss sicherstellen, dass ein Betriebsprüfer drei Jahre später noch nachvollziehen kann, welcher Benutzer welche Bestellung mit welcher Begründung ausgelöst hat.
Branchenspezifische Regulatorik: Pharma, Medizintechnik, Lebensmittel, Finanzdienstleistungen – je nach Branche kommen weitere Anforderungen hinzu: Chargenrückverfolgung, FDA-Compliance, MiFID II. Sie ändern sich mit dem Prozess, nicht erst mit dem Audit.