Verantwortungsmatrix

1) Zweck und Wert

Die RACI-Matrix macht Rollen und Entscheidungspunkte für jeden Prozessschritt transparent, reduziert operative Risiken und beschleunigt Abstimmungen.

• Beseitigung von „Grauzonen“ und Doppelarbeit;
• Gewährleistung der Durchsetzbarkeit von Richtlinien und Kontrollanforderungen;
• Vereinfachung der Prüfung durch nachweisbare Rollenzuweisungen.

2) Begriffe und Varianten

R (Responsible) - Führt die Arbeit/Aufgabe aus.
A (Accountable) - trägt die letzte Verantwortung, genehmigt das Ergebnis (eine pro Aufgabe).
C (Consulted) - Beratung, Beteiligung vor der Entscheidung (bilaterale Kommunikation).
I (Informiert) - wird nach der Entscheidung benachrichtigt (einseitige Kommunikation).

• RASCI: fügt S (Support) hinzu - operative Unterstützung für den Darsteller.
• DACI: D (Driver), A (Approver), C (Contributor), I (Informed) - Fokus auf den Treiber.
• RAPID: Recommend, Agree, Perform, Input, Decide - nützlich für Produktlösungen.

3) RACI-Konstruktionsprinzipien

1. Ein A pro Aufgabe ist die eindeutige Rechenschaftspflicht.
2. So viel R wie nötig, aber vermeiden Sie „R durch alle“.
3. C ist im Wesentlichen und nicht „nur für den Fall“ (sonst bremsen wir den Fluss).
4. I - adressiert: Wir informieren diejenigen, deren Handlungen vom Ergebnis abhängen.
5. Verknüpfung mit DoA/SoD: Befugnisse und Aufgabenteilung dürfen nicht mit RACI kollidieren.
6. Versionierung: RACI-Änderungen → PR/Revue/Hash-Quittung → Veröffentlichung.

4) Wo anzuwenden

Vorfälle und Krise (IB/Zahlungen/Datenschutz).
DSAR/Retention/Löschung von Daten.
VRM/Onboarding und Partneraudit.
Releases und Compliance Gates in CI/CD.
Marketing und verantwortungsvolle Werbung.
Zahlungsstreitigkeiten/Chargeback.
BCP/DR-Übungen und Legal Hold.

5) Rollen (Beispielwörterbuch)

Board/Комитет, CEO/ExCom, Head of Compliance, Legal/DPO, Risk Office, Internal Audit, CISO/SecOps, CTO/Platform, Data Governance, Payments/Finance, Vendor Management, Marketing/PR, Support/Operations, HR/L&D, Product/Engineering, Regional Leads.

6) Beispiele für RACI-Matrizen

6. 1 Datenschutzvorfall (Datenleck)

6. 2 DSAR: Zugriff/Löschung

6. 3 Kritisches Vendor Onboarding (VRM)

6. 4 Release Compliance Gate

7) Kommunikation mit DoA/SoD und Politikern

DoA (Delegation der Behörde): A muss die im DoA vorgeschriebene Genehmigungsbefugnis haben.
SoD (Separation of Duties): R und A in kritischen Schritten werden nicht mit der Ausführung von Zahlungen/Admin-Aktionen kombiniert.
Richtlinien/Standards: Jede Zeile der Matrix bezieht sich auf die Prüfaussagen und SOPs.

8) RACI-Erstellungs- und Änderungsprozess

1. Aktuellen Prozess abheben (E2E-Diagramm, Entscheidungspunkte).
2. Definieren Sie Rollen aus dem Wörterbuch, stimmen Sie mit den Domain-Inhabern ab.
3. Füllen Sie RACI auf Schritt/Entscheidungsebene aus, überprüfen Sie Kollisionen mit DoA/SoD.
4. In der Praxis validieren (Tabellenspitze/Simulation).
5. Genehmigen und im Repository veröffentlichen (Git), im Wiki/Portal einschließen.
6. Unterstützung der Relevanz: Auslöser - Veränderung der Organisationsstruktur, jur. Aktualisierungen, Ergebnis des Audits/Vorfalls.
7. Versionierung und Nachweis: PR-Geschichte, Hash-Quittungen, WORM-Archiv.

9) Metriken und Dashboards

RACI Coverage:% der Schlüsselprozesse mit frischer Matrix.
Single-A Compliance: Anteil der Aufgaben mit genau einem A (Ziel 100%).
C/I Noise Ratio: Zusätzliche übereinstimmende/benachrichtigte (Trend ↓).
Time-to-Decision: Die mediane Übereinstimmung der RACI-Schritte.
SoD-Konflikte: Identifizierte und geschlossene Konflikte nach Rolle.
Audit-Ready: Anteil der Matrizen mit Bezug zu Policies/Controls/SOP und evidence.

Dashboards: Process Map + RACI overlay, Lead Time per RACI step, Org Heatmap (Engpässe bei Genehmigungen).

10) SOP (Standardverfahren)

SOP-1: RACI Design

Prozesskartierung → Matrixentwurf → DoA/SoD-Prüfung → Pilot/Simulation → Genehmigung durch den Ausschuss → Veröffentlichung.

SOP-2: Quartalsbericht

Erfassung von Änderungen der Organisationsstruktur/Richtlinien → Matrixrevision → PR-Updates → read- & -attest für die betroffenen Rollen.

SOP-3: Auslösender Vorfall

Als Ergebnis des Vorfalls - RACI-Anpassung (z. B. A/C-Verstärkung, R-Zerlegung) → Aktualisierung der SOP/Kontrollen → Retest.

SOP-4: Ausbildung

Mikrokurs zum Lesen von Matrizen und Fällen; obligatorisch für A/R-Rollen.

11) Vorlagen

11. 1 Tabelle RACI (Markdown)

Шаг процесса      Описание      R      A      C      I      Контролы/SOP
---    ---    ---    ---    ---    ---    ---
P-01      Прием запроса      Support      Head of Compliance      Legal/DPO      Product      SOP-DSAR-001, CTRL-DSAR-SLA

11. 2 YAML-Artefakt (Policy-as-Code-Bindung)

yaml process: "DSAR"
version: "1.3.0"
steps:
- id: P-01 name: "Intake & Verify"
R: ["Support"]
A: ["Head of Compliance"]
C: ["Legal/DPO"]
I: ["Product"]
controls: ["CTRL-DSAR-SLA","CTRL-PII-MIN"]
sop: ["SOP-DSAR-001"]
evidence: ["hash://evidence/dsar/intake-log.csv"]
meta:
owner: "Policy Owner - Privacy"
review_date: "2026-01-31"

11. 3 RACI-Wechselkarte

Begründung (Incident/Audit/Legal Update)

Alte/neue Rollenzuweisung

Auswirkungen auf DoA/SoD

Schulungs-/Kommunikationsplan

Links zu PR/Hash-Quittungen

12) Integration

Policy Repository: Verweise von Matrizen auf Überwachungsansprüche.
GRC: Speicherung von Versionen und Read- & -attest.
HRIS/LMS: Rollenprofile → Schulungen für A/R.
ITSM/Jira: Abstimmungs- und SLA-Aufgaben in RACI-Schritten.
CCM: Auto-Überprüfungen der Verfügbarkeit von A/R in Aktionsmetadaten (z.B. Admin-Logs, Releases).

13) Antipatterns

Zwei oder mehr A pro Aufgabe.
„R für alle“ und „C/I für Tick“ → Überlastung der Kanäle und Verzögerungen.
RACI ohne Verbindung zu DoA/SoD und Kontrollen.
Einmalige Matrix ohne Revisionen und Versionierung.
Screenshots statt lebender Artefakte (keine Nachweisbarkeit).
Kein Training für A/R → „Papier“ -Konformität.

14) Reifegradmodell (M0-M4)

M0 Ad-hoc: Rollen sind unfixiert, Absprachen chaotisch.
M1 Basic: RACI nach Schlüsselprozessen, manuelle Updates.
M2 Managed: DoA/SoD-Kommunikation, Repository, vierteljährliche Revisionen, Read- & -attest.
M3 Integriert: YAML-Matrizen, PR-Prozess, Anbindung an Kontrollen/CCM und ITSM-SLA.
M4 Continuous Assurance: Optimierungsempfehlungen (Engpässe), SoD-Autoprüfungen, Lead Time Analytics und „what-if“.

15) Verwandte Artikel wiki

Rahmen für Corporate Governance

Delegationsmatrix (DoA) und Aufgabenverteilung (SoD)

Kontinuierliche Compliance-Überwachung (CCM)

Richtlinien- und Regelwerk

Abteilungsübergreifende Prüfungen

Krisenmanagement und Kommunikation

Compliance Roadmap

KPIs und Compliance-Kennzahlen

Ergebnis

Die RACI-Matrix ist nicht nur eine Tabelle, sondern ein Handhabungsmechanismus: ein Verantwortlicher für das Ergebnis, klare Ausführende und Teilnehmer, nachweisbare Verbindung zu Befugnissen und Kontrollen, regelmäßige Audits und Schulungen. Ein solches System beseitigt Verzögerungen, reduziert Risiken und macht Prozesse standardmäßig „audit-ready“.