Pläne zur Beseitigung von Unregelmäßigkeiten

1) Was ist ein Plan zur Behebung von Verstößen (CAPA)?

• beschreibt die Nichtübereinstimmung (finding), die Ursache (root cause) und das Risiko;
• benennt Eigentümer, Maßnahmen (Abhilfe und Prävention), Fristen und Erfolgskriterien;
• zeichnet die Schließungsnachweise auf und verhindert eine Wiederholung.

Die Ziele: das Restrisiko auf das Niveau von Appetite zu reduzieren, eine rechtlich relevante Rückverfolgbarkeit und Prüfungsbereitschaft zu gewährleisten.

2) Wenn CAPA benötigt wird

Ergebnisse von Audits/Assessments (intern und extern).
Vorfälle von IB/Privatsphäre/Operationen und deren Post-Mortems.
Abweichungen von SSM/Kontrolltests, KRI in der „Red Zone“.
Verstöße gegen vertragliche/regulatorische Anforderungen.
Signifikante Konfigurationsdrifts und SoD-Konflikte.

3) RACI und Rollen

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

4) CAPA-Lebenszyklus (Ende-zu-Ende)

1. Identifikation: Finding-Formulierung (Tatsache → Kriterium → Einfluss → Beweise).
2. Risikobewertung: Severity/Likelihood, Auswirkungen auf SLA/Regulatorik.
3. Root Cause Analysis: 5 Warum, Fishbone, Fault Tree - Methodenauswahl.
4. Planung: SMART-Maßnahmen (Korrektiv/Präventiv), Ressourcen, Termine, KPIs.
5. Apruv: Owner → (unter High/Critical) Risk Committee/Ejes.
6. Ausführung: Aufgaben in ITSM/Jira, Steuerung von Abhängigkeiten, Kommunikation.
7. Verifizierung: Design- und Wirksamkeitstest, Reperformen (wenn möglich).
8. Closing: evidence in WORM, Aktualisierung der Kontrollregeln/Richtlinien.
9. Post-Revue: 30-60 Tage später - Überprüfung auf Wiederholung (Repeat Finding).

5) Priorisierung und Zeitrahmen

• Kritisch: sofort; Frist ≤ 7 Tage; Tägliche Updates.
• Hoch: ≤ 30 Tage; Updates wöchentlich.
• Medium: ≤ 90 Tage.
• Low: ≤ 180 Tage.

Prioritätsfaktoren: regulatorische Auswirkungen, Auswirkungen auf Kunden/PII, finanzielle Auswirkungen, Häufigkeit und Umfang, Verfügbarkeit von Kompensationskontrollen.

6) CAPA Qualitätsanforderungen

SMART-Schritte: konkret, messbar, erreichbar, relevant, mit Deadline.
Zweikreisigkeit: Korrektiv (fix) + Präventiv (Wiederholung verhindern).
Ausgleichskontrollen: Wenn die endgültige Maßnahme Zeit braucht, werden temporäre Barrieren eingeführt (verstärkte Überwachung, manuelle Kontrollen, Herabsetzung der Grenzwerte).
Kommunikation mit Richtlinien/Kontrollen: Standards, SOPs, CCM-Regeln aktualisieren.
Evidenz: Eine klare Liste von Verschlussartefakten und wie sie verifiziert werden können.

7) CAPA-Vorlage (Kartenstruktur)

ID Finding/Source (Audit, Incident, CCM).
Beschreibung der Nichtübereinstimmung (Fakt/Kriterium/Auswirkung).
Risiko Bewertung & Appetite (vorher/nachher).
Root Cause (Methode und Schlussfolgerungen).
Korrigierende Aktionen (Schritte, Eigentümer, Due, KPIs, Ressourcen).
Preventive Actions (шаги, owner, due, KPI).
Compensating Controls (was, von wem, bis zu welchem Datum).
Abhängigkeiten (Dienste, Anbieter, Releases).
Evidence List (was genau die Schließung beweist).
Verifizierungsplan (wer, wie, wann, Aufnahmekriterium).
Status & Updates (Fortschrittsverlauf).
Genehmigungen (Unterschriften/Beschlüsse des Ausschusses).

8) Beispiele für Korrektur-/Vorbeugungsmaßnahmen

Zugriffe/IAM: Widerruf unnötiger Rechte, Start einer Re-Cert-Kampagne, Einrichtung von JIT/MFA, Auto-Eskalation von SoD.
DevSecOps: Einbeziehung von SAST/SCA-Gates, Verbot anfälliger Abhängigkeiten, Secret-Scan in PR.
Daten/Datenschutz: Retentionskorrektur/TTL, Aktivierung von Legal Hold, Feldmaskierung.
Logs/Proofs: Umstellung auf Structured Logging, WORM/Object Lock, Hash Chain Ankern.
Anbieter: DPA/SLA-Update, Prüfung von Subprozessoren, Bestätigung der Datenvernichtung.
BCP/DR: RPO/RTO-Erhöhung, regelmäßige Übungen, Redundanz.
Prozesse: SOP-Update, Training, Quizze/Zertifizierungen im LMS.

9) Verwaltung von Ausnahmen (waivers)

Wenn zulässig: „hard constraint“ (Anbieter, regulatorische Fristen, architektonische Einschränkungen).
Voraussetzungen: Grund, Ablaufdatum, Ausgleichsmaßnahmen, Restrisikobewertung, Abstimmung mit dem Ausschuss.
Kontrolle: Dashboard, Erinnerungen für 14/7/1 Tag, Verbot von „ewigen“ Waivers.

10) Kennzahlen und SLOs des CAPA-Portfolios

On-time Remediation (nach Severity):% der Schließungen in der Zeit (Ziel ≥ 95%).
Median Time-to-Close: Median von High/Critical.
Repeat Findings: Anteil der Wiederholungen in 12 Monaten (Trend ↓).
Risk Reduction Index: ∆ des Gesamtrisikos nach Abschlüssen.
Evidence Completeness:% Pläne mit einem vollständigen Satz von Artefakten (Ziel 100%).
Compensating Control Coverage:% hochriskante Fälle mit temporären Maßnahmen (100% Ziel bis zum finalen Fix).
Communication SLA: Anteil der Status-Updates am Fälligkeitsdatum (Ziel ≥ 98%).

11) Dashboards (Mindestsatz)

CAPA Pipeline: Phase (Plan → In Progress → Verify → Closed) mit SLA/Verspätung.
Severity Heatmap: Verteilung nach Kritikalität und Besitzer.
Risk Impact: Risikominderungsindex und Restrisiko nach Domains.
Evidence Readiness: Vollständigkeit der Beweise, Fortschritt der Verifikationen.
Waivers & Deadlines: aktive/überfällige Ausgleichsmaßnahmen.
Aging & Bottlenecks: Alter der offenen CAPAs, Engpässe (Anbieter/Releases).

12) SOP (Standardverfahren)

SOP-1: CAPA erstellen

1. Registrieren Sie die Suche → 2) bewerten Sie das Risiko → 3) RCA → 4) erstellen Sie eine CAPA-Karte (SMART) → 5) vereinbaren.

SOP-2: CAPA-Pflege

Wöchentliche Updates (High +) → Abhängigkeitskontrolle → Evidence-Fixierung → Timing-Anpassung mit Apruve.

SOP-3: Überprüfung der Schließung

Design-/Leistungstest → Reperformen (falls zutreffend) → Entscheidung über Schließung → evidence-Archiv in WORM.

SOP-4: Post-Revue

Nach 30-60 Tagen - Überprüfung der Abwesenheit von Wiederholungen, Anpassung der Kontrollen/Richtlinien.

13) Akzeptanzkriterien (Definition of Done)

Alle Schritte sind abgeschlossen; Die KPIs wurden erreicht.
Ausgleichsmaßnahmen werden aufgehoben oder als ständige Kontrollen eingebaut.
Sind политики/стандарты/SOP/правила des Monitorings erneuert.
Nachweise (Hash-Belege, Links) werden gesammelt und archiviert.
Überprüfung durch eine unabhängige Partei (Compliance/Internal Audit).

14) Antipatterns

„Pläne auf Papier“: keine Eigentümer/Termine/Metriken → ewige Entdeckungen.
„Geschafft - nicht bewiesen“: keine evidence/reperform.
Nur Corrective ohne Preventive → Wiederholungen.
Waivers ohne Ablaufdaten und Entschädigung.
Terminverschiebungen ohne Apruv- und Risikoanalyse.
CAPA „losgelöst“ von Richtlinien/SSM - Kontrollen nicht aktualisiert.
Fehlende Kommunikation und Status für Stakeholder.

15) Integration

GRC/ITSM: einheitliches CAPA-Register, Verknüpfungen zu Findings/Incidents, SLAs/Eskalationen.
CCM/Compliance-as-Code: Automatisierte Kontrolltests zur Verifizierung.
Evidence Storage: WORM/Object Lock, Ankern, Access Log.
Policy Lifecycle: Autotrack von Richtlinienänderungen im Zusammenhang mit CAPA.
LMS: Schulung/Quiz zu neuen Anforderungen.
VRM: Vendor-Aktionen, Spiegelretention, Vernichtungsbestätigung.

16) Reifegradmodell (M0-M4)

M0 Ad-hoc: verstreute Pläne, keine Fristen/Beweise.
M1 Verzeichnis: einheitliches CAPA-Register, Basisdaten und Status.
M2 Managed: SLA/Dashboards, Evidence, regelmäßige Updates, Rollenverantwortung.
M3 Integriert: Verknüpfung mit CCM/GRC/Policy-as-Code, Reperformen, „audit-ready by button“.
M4 Continuous Assurance: Predictive KRIs, Auto-CAPA-Trigger, empfehlende Priorisierungs-Engines, Vermeidung von Wiederholungen.

17) Verwandte Artikel wiki

Kommunikation mit Aufsichtsbehörden und Wirtschaftsprüfern

Risikobasiertes Audit (RBA)

Kontinuierliche Compliance-Überwachung (CCM)

KPIs und Compliance-Kennzahlen

Aufbewahrung von Nachweisen und Unterlagen

Protokollierung und Audit Trail

Änderungsmanagement in der Compliance-Richtlinie

Due Diligence und Outsourcing-Risiken

Summe

Eine effektive CAPA ist keine „Aufgabenliste“, sondern ein überschaubares Risikominderungssystem: klare Priorisierung, SMART-Maßnahmen, Nachweis und Verifizierung, Aktualisierung der Kontrollen und keine Wiederholungen. Dieser Ansatz macht Compliance vorhersehbar, reduziert die Kosten von Vorfällen und stärkt das Vertrauen von Regulierungsbehörden und Unternehmen.