Antworten im DDQ mit aktuellen Nachweisen und Freigabe

Der DDQ einer Bank geht ein, und die Antworten aus dem Vorjahr stützen sich auf Richtlinien, die womöglich abgelaufen sind, und auf Beiträge, die Finanzabteilung, Rechtsabteilung und Informationssicherheit liefern müssen. DDQ-Automatisierungssoftware entwirft jede Antwort aus Inhalten, die Ihr Unternehmen bereits freigegeben hat, kennzeichnet abgelaufene Nachweise, kann jeder Frage einen Freigabeverantwortlichen zuweisen und protokolliert, wer was freigegeben hat. Im agentic operating system (aOS) von SEQUESTO entwirft James jede Antwort im DDQ aus dem Knowledge Hub und leitet sie zur Freigabe weiter. Beurteilen sollten Sie vor allem, was nach dem Entwurf passiert.

Wie eine Antwort in einem DDQ vom Entwurf zur Freigabe gelangt

Nehmen wir einen DDQ mit mehreren Tabellenblättern von einer Bank, die Ihr Unternehmen als Lieferanten prüft, mit Abschnitten zu Eigentümerstruktur, Finanzen und Versicherungen, Zertifizierungen, Sicherheit und Datenschutz, Sanktionen und Korruptionsbekämpfung sowie Umwelt- und Sozialpraktiken. Der Entwurf ist der schnelle Teil. Ob Sie dem Ergebnis vertrauen können, hängt davon ab, was folgt: dass jede Antwort mit gültigen Nachweisen beim richtigen Freigabeverantwortlichen ankommt und festgehalten wird, wer sie freigegeben hat.

Agent Force beginnt mit der Tabelle und erfasst aus allen Tabellenblättern jede Frage, jeden Pflichtanhang und jede Zeichenbegrenzung, sodass das Team mit einer vollständigen Liste arbeitet statt Blatt für Blatt. Die Seite Formularausfüllung beschreibt, wie die Datei des Kunden eingelesen und im eigenen Layout zurückgegeben wird.

James ermittelt dann, was jede Frage erfordert und wo die passenden Inhalte im Knowledge Hub liegen, und unter seiner Orchestrierung wird jede Antwort aus freigegebenen Inhalten entworfen. Der Entwurf zeigt die Begründung dahinter. Jeder Inhalt, auf den er zurückgreift, kommt mit einer Konfidenzbewertung und seinem Quellenauszug, sodass ein Reviewer den Richtlinienabsatz prüft, auf dem eine Antwort beruht, statt der Formulierung einfach zu vertrauen.

Nun zur Hinweisgeberrichtlinie. Organisationsweite Dokumente wie diese gehören zu dem, was ein DDQ anfordern kann. So führt etwa der DDQ der PRI zu verantwortungsvollem Investieren für Hedgefonds-Investoren einen Verhaltenskodex, eine Richtlinie zu Vielfalt, Chancengerechtigkeit und Inklusion, einen Bericht zur gesellschaftlichen Unternehmensverantwortung und eine Hinweisgeberrichtlinie unter den Unterlagen auf, die ein Fondsmanager bereitstellt.

Im Knowledge Hub hat jedes freigegebene Dokument und jede freigegebene Antwort einen Verantwortlichen, einen Prüfzyklus und ein Ablaufdatum. Ihre Hinweisgeberrichtlinie hat ihr Ablaufdatum überschritten und wird deshalb gekennzeichnet, bevor sie in einen Entwurf einfließt. Der Verantwortliche im Compliance-Team erneuert sie, und die Antwort wird aus der aktuellen Version statt aus der Vorjahresversion erstellt. Zwischen zwei Fragebögen zeigt das Dashboard des Knowledge Hub, wer für welches Dokument verantwortlich ist und was abgelaufen ist oder zur Prüfung ansteht, sodass Erneuerungen beginnen können, bevor der nächste DDQ eingeht. Die Seite zum Knowledge Hub erläutert, wie Verantwortliche, Prüfzyklen und Ablaufdaten gepflegt werden.

Jede Frage kann einen eigenen Reviewer und einen eigenen Freigabeverantwortlichen haben. In diesem Beispiel gehen Versicherungs- und Finanzfragen an die Finanzabteilung, Sanktionen und Korruptionsbekämpfung an die Rechtsabteilung, die Antwort zur Hinweisgeberrichtlinie an Compliance und der Datenschutz an die Informationssicherheit. Jede Frage hat einen Verantwortlichen, einen Status und eine Frist, sodass das Review jeder Abteilung auf seinem eigenen Weg läuft, statt hinter dem einer anderen zu warten. Sobald alle Freigabeverantwortlichen freigegeben haben, liest der Bid-Manager die gesamte Response und erteilt die abschließende Freigabe.

Bleibt die Dokumentation, und hier zahlt sich DDQ-Automatisierung aus, wenn die Datei längst verschickt ist. Jede Aktion an einer Antwort wird mit Akteur, Zeitpunkt und betroffenem Element protokolliert, vom Abruf und Agentenlauf über jede Bearbeitung und Freigabe bis zum Export. Das Protokoll ist durchsuchbar und exportierbar und bildet den Audit-Trail des DDQ. Will die Bank, Ihr Wirtschaftsprüfer oder Ihre eigene Rechtsabteilung wissen, wer die Antwort zur Hinweisgeberrichtlinie auf welcher Nachweisgrundlage freigegeben hat, filtern Sie das Protokoll, statt E-Mail-Verläufe zu durchsuchen. Die Seite Audit-Trail und Nutzeraktivität zeigt, was das Protokoll erfasst und wie Sie es exportieren.

Was DDQ-Automatisierungssoftware Ihrem Team überlässt

Die endgültige Formulierung und die Freigabe bleiben bei Menschen, ebenso alles, wozu eine Antwort Ihr Unternehmen verpflichtet. Die Software bereitet die Antwort vor und dokumentiert, was mit ihr geschah; sie entscheidet nicht, welche Aussagen Ihr Unternehmen zu treffen bereit ist.

Ihr Team sieht, was das System getan hat, und übernimmt, ändert oder verwirft jeden Entwurf. James hält sich an die Projektregeln und fragt nach, bevor er außerhalb des vereinbarten Rahmens handelt. Inhalte, auch eine erneuerte Richtlinie oder ein erneuertes Zertifikat, gelten erst als freigegeben, wenn ein Mensch sie freigibt.

Auch die Zusage hinter jeder Antwort liegt bei Ihnen. Steht in einer Antwort, dass eine Kontrollmaßnahme umgesetzt ist, verantwortet der Bid-Manager diese Aussage, gleich wer sie formuliert hat. Die Einreichung bleibt ebenfalls bei einem Menschen: SEQUESTO exportiert die ausgefüllte Datei, und jemand aus Ihrem Team reicht sie im Portal des Kunden ein.

Mit dem Fragebogen ist die Prüfung durch den Kunden womöglich auch noch nicht abgeschlossen. Die PRI schreibt, ihr eigener DDQ solle einen umfassenderen Prozess der Informationsbeschaffung unterstützen und nicht isoliert betrachtet werden. Eine Antwort muss halten, wenn der Kunde nachfragt oder das Dokument dahinter anfordert; deshalb zählen die Nachweise und die dokumentierte Freigabe ebenso viel wie die Formulierung.

DDQs und Security-Questionnaires auf einer Plattform

Ein Tool kann beides. Im aOS laufen ein DDQ und ein Security-Questionnaire als getrennte Projekte, die auf denselben Knowledge Hub zugreifen, als Teil der DDQ-Automatisierung von SEQUESTO. Die Rollen bleiben dabei gleich: James orchestriert, Agent Force übernimmt Extraktion, Entwurf und Dokumentenarbeit, und der Bid-Manager erteilt die Freigabe.

Das ist wichtig, weil der Abschnitt zu Sicherheit und Datenschutz eines DDQ und ein Security-Questionnaire auf denselben Richtlinien und Zertifikaten beruhen können. Security-Questionnaires kommen als SIG, CAIQ, ISO-27001-Zuordnung oder im eigenen Format des Kunden, ob als Liste, Tabellenraster oder Formular mit eingebetteten Feldern. Jeder wird in eine strukturierte Liste überführt und aus denselben freigegebenen Inhalten beantwortet wie der DDQ, und dieselbe Ablaufkennzeichnung greift, egal welcher Fragebogen ein Dokument nutzt.

Jedes Projekt hat seine eigenen Dateien, Fristen und Mitwirkenden. Inhalte bleiben innerhalb der Projektgrenzen, und der Zugriff wird je Nutzer und Rolle bis auf Datei- und Ordnerebene festgelegt. Das Team kann eine Suche auch auf einen Teil des Knowledge Hub beschränken, sodass eine Antwort zu Sicherheitsfragen nur auf Sicherheitsunterlagen zurückgreift.

Freigegebene Antworten fließen nach jeder Response zurück in den Knowledge Hub. Der nächste DDQ oder Security-Questionnaire beginnt dann mit den zuletzt freigegebenen Formulierungen statt mit dem, was im Vorjahr verschickt wurde. Weil die Antworten in der Plattform bleiben, geht die Bibliothek nicht mit der Person verloren, die die Antworten geschrieben hat. Wie das über mehrere Fragebögen hinweg gelingt, ohne veraltete Antworten zu versenden, lesen Sie unter Security-Antworten wiederverwenden.

Was Sie bei einem bereits beantworteten DDQ zuerst prüfen sollten

Lassen Sie vor jeder Testphase InfoSec und die Rechtsabteilung bestätigen, dass Ihre vertraulichen Informationen nirgendwohin gelangen und nie für Training verwendet werden, denn diese Genehmigung kann eine Testphase verzögern. Nehmen Sie dann einen DDQ, den Sie bereits eingereicht haben, laden Sie die zugehörigen Unterlagen hoch und setzen Sie das Ablaufdatum einer Richtlinie oder eines Zertifikats auf ein Datum in der Vergangenheit. Prüfen Sie, ob das Tool das kennzeichnet, bevor es in einen Entwurf einfließt. Sehen Sie dann nach, ob das Protokoll zeigt, wer jede Antwort freigegeben hat, und zwar in einer Form, die Sie der Rechtsabteilung übergeben könnten. Fragen Sie Finanzabteilung, Rechtsabteilung und Informationssicherheit, wie lange ihre Reviews gedauert haben, und zählen Sie deren Stunden mit, nicht nur die des Bid-Managers. Ein Entwurf, der so viel Nacharbeit braucht, dass das Schreiben von Hand schneller gewesen wäre, fällt durch, was er sonst auch gut macht.