Service
Compliance as a Service
Wir betreiben Ihr Compliance-Programm, damit Ihr Team das Geschäft betreiben kann.
Compliance ist kein einmaliges Projekt. Frameworks verlangen fortlaufende Belege, Kontrollen, die weiter funktionieren, und Policies, die aktuell bleiben, was ein Team mit anderen Aufgaben stetig auslaugt. Compliance as a Service bedeutet, dass wir das übernehmen.
Wir betreiben das Programm in Ihrem Auftrag: halten Belege im Fluss, überwachen Kontrollen, pflegen Policies und bereiten Sie auf jeden Audit-Zyklus vor, damit Compliance aktuell bleibt, statt zwischen Assessments zu verfallen.
Was wir betreiben
Evidenzbetrieb
Wir sammeln und aktualisieren laufend die Belege, die jedes Framework erwartet, damit sie bereitstehen, sobald ein Auditor danach fragt.
Kontroll-Monitoring
Wir verfolgen, ob Ihre Kontrollen weiterhin wie beabsichtigt arbeiten, und melden Abdriften, bevor daraus ein Finding wird.
Policy-Lebenszyklus
Wir halten Ihre Policies und Verfahren aktuell, konsistent und auf die Frameworks ausgerichtet, die Sie halten.
Steuerung des Audit-Zyklus
Wir bereiten das Programm vor jedem Assessment vor und begleiten Ihr Team durch die Prüfung des externen Auditors.
Multi-Framework-Mapping
Wir ordnen gemeinsame Belege über die Frameworks hinweg zu, die Sie halten, damit dieselbe Kontrolle nicht zweimal belegt wird.
Berichtswesen und Verantwortung
Sie erhalten einen benannten Ansprechpartner und regelmässige Statusberichte dazu, wo das Programm steht.
Standards, nach denen wir arbeiten
Was enthalten ist
- Laufende Verantwortung für Ihr Compliance-Programm im Tagesgeschäft
- Fortlaufende Evidenzsammlung, zugeordnet zu Ihren Frameworks
- Kontroll-Monitoring mit Alerts, wenn etwas abdriftet
- Policy-Pflege, damit Dokumente aktuell und konsistent bleiben
- Vorbereitung und Begleitung für jeden Audit-Zyklus
- Ein benannter Ansprechpartner und regelmässige Statusberichte
Was Sie mitnehmen
- Ein Compliance-Programm, das aktuell bleibt, ohne Ihr Team zu binden
- Fortlaufende Belege statt eines Hin und Her vor jedem Audit
- Ein einziger verantwortlicher Eigentümer für das Tagesgeschäft der Compliance
So läuft es
Onboarding
Wir übernehmen Ihr aktuelles Programm, verstehen Ihre Frameworks und richten die Evidenz und das Monitoring ein, die wir betreiben werden.
Betreiben
Wir führen das Tagesgeschäft: Belege sammeln, Kontrollen beobachten und Policies aktuell halten, damit nichts verfällt.
Berichten
Sie erhalten regelmässige Statusberichte und einen benannten Ansprechpartner, sodass Sie immer wissen, wo die Compliance steht.
Vorbereiten
Wir übernehmen die Vorbereitung für jeden Audit-Zyklus und begleiten Sie durch das externe Assessment.
Wie sich ein Managed-Programm vergleicht
Der Unterschied zeigt sich daran, wie sich Compliance zwischen den Audits anfühlt, nicht nur während ihnen.
| Ein Managed-Programm | Eigenregie zwischen Audits | |
|---|---|---|
| Belege | Fortlaufend gesammelt, während die Kontrollen arbeiten | In Eile vor jedem Assessment rekonstruiert |
| Kontroll-Abdrift | Erkannt und gemeldet, sobald sie auftritt | Während des Audits entdeckt |
| Policies | Das ganze Jahr aktuell und konsistent gehalten | Nur aktualisiert, wenn etwas dazu zwingt |
| Verantwortung | Ein benannter Ansprechpartner, der im Tagesgeschäft verantwortlich ist | Verteilt über ein Team mit anderen Prioritäten |
| Audit-Vorbereitung | Eine Fortsetzung des normalen Betriebs | Ein eigenständiges Projekt in jedem Zyklus |
Was dies unterstützt
Das fortlaufende Betreiben des Programms hält jedes Framework, das Sie halten, zwischen den Audit-Zyklen in einem prüfbereiten Zustand.
- SOC 2
- Fortlaufende Belege und Kontroll-Monitoring halten die Trust Services Criteria über den Beobachtungszeitraum in Betrieb, den Ihr Type-II-Bericht abdeckt.
- ISO 27001
- Wir pflegen die Annex-A-Kontrollen und die Managementsystem-Pflege, die der Standard zwischen den Überwachungsaudits erwartet.
- PCI DSS
- Wir halten die erforderlichen Belege und Policy-Aufzeichnungen aktuell, damit die wiederkehrende Validierung nicht zu einem jährlichen Hin und Her wird.
- GDPR
- Wir halten Datenschutz-Policies, Aufzeichnungen und unterstützende Belege aktuell, während sich Ihre Verarbeitung ändert.
- DPDP
- Wir pflegen die Kontrollen und Dokumentation, die Ihre Pflichten unter Indiens Datenschutzregime belegen.
- HIPAA
- Wir halten die Schutzmassnahmen der Security Rule und ihre unterstützenden Belege für den laufenden Nachweis aktuell.
FAQ
- Wie unterscheidet sich das von einmaliger Zertifizierungsbegleitung?
- Zertifizierungsbegleitung macht Sie fit für ein einzelnes Audit. Compliance as a Service betreibt das Programm danach fortlaufend, damit Kontrollen, Belege und Policies zwischen den Assessments aktuell bleiben.
- Arbeiten Sie weiterhin mit unserem externen Auditor?
- Ja. Der externe Auditor bleibt unabhängig und erteilt die Attestierung. Wir bereiten alles auf Ihrer Seite vor und begleiten Sie durch deren Assessment in jedem Zyklus.
- Können Sie mehr als ein Framework abdecken?
- Ja. Viele Kunden halten mehrere Frameworks gleichzeitig, und wir ordnen gemeinsame Belege über sie hinweg zu, damit dieselbe Arbeit nicht zweimal getan wird.
Verwandte Services
Weiterführende Artikel
SOC 2 vs. ISO 27001: ein ehrlicher Vergleich als Entscheidungshilfe
Ein verständlicher Leitfaden zu den tatsächlichen Unterschieden zwischen SOC 2 und ISO 27001: was jeder Standard ist, wer welchen verlangt, wie die Prüfungen ablaufen, was Sie am Ende in der Hand halten und ob Sie beides machen sollten.
8 Min. Lesezeit
Was ist ISO 27001? Ein verständlicher Leitfaden zum Informationssicherheitsstandard
Eine klare, jargonfreie Einführung in ISO 27001 für Gründerinnen, Gründer und technische Teams: was ein ISMS ist, die Kapitel 4 bis 10, die Annex-A-Kontrollen der Ausgabe 2022, wie die zweistufige Zertifizierung funktioniert und wie Sie sich vorbereiten.
8 Min. Lesezeit
Was ist SOC-2-Compliance? Ein verständlicher Leitfaden
SOC 2 ohne Fachjargon erklärt: was es ist, die fünf Trust Services Criteria, Type I vs. Type II, wer es benötigt, wie der Prozess abläuft und wie Sie sich vorbereiten.
7 Min. Lesezeit