← Kontrollbibliothek
G01 · Governance und Umfang
Benannte Verantwortung
Niemand kann das Restrisiko übernehmen oder den Agenten im freigegebenen Einsatz halten.
Anforderung
Verantwortliche Person, technischen Betrieb und unabhängige Entscheidungsprüfung benennen; wer Kontrollen umsetzt, darf die eigene Arbeit nicht zertifizieren.
Erwartete Evidenz
- Unterzeichnete Rollenmatrix mit Entscheidungsrechten.
- Interessenerklärungen und Kompetenznachweis der prüfenden Person.
Vorgesehene Prüfung
- Benannte Rollen anhand eines Vorfallszenarios befragen.
- Bestätigen, dass die Schlussprüfung nicht von der implementierenden Person stammt.
Grenze
Eine Rollenmatrix belegt die Zuweisung, nicht die wirksame tägliche Aufsicht.