Aus jeder Lücke wird eine Aufgabe mit Verantwortlichem, Termin und Nachweis

Nein — und die Roadmap ist genau der Ort, an dem diese Grenze geschrieben steht, statt vorausgesetzt zu werden. Wir liefern die Aufgabe, das Vorgehen und die Reihenfolge; die Änderung selbst nimmt vor, wer die Zugangsdaten für das System hält, also Ihr IT-Team oder Ihr Dienstleister. Alles, was Governance ist und nicht Konfiguration, gehört uns und wird geliefert statt zurückdelegiert: die Dokumente, die Verzeichnisse, der Nachweisspeicher, das Probeaudit, die Vorbereitung Ihrer Leute auf Auditinterviews. Wird eine Aufgabe auf erledigt gesetzt, prüfen wir sie, bevor sie zählt — und diese Prüfung hält beide Hälften ehrlich zueinander.

Nicht zwingend. Eine Aufgabe lässt sich als Ticket in seinen eigenen Service Desk spiegeln, und das Ticket bleibt mit der Aufgabe hier verknüpft — Ihr Dienstleister arbeitet also dort, wo er ohnehin arbeitet, und die Verknüpfung läuft in beide Richtungen: Statuswechsel, Notizen und Nachweisdateien, die an seinem Ticket entstehen, kommen an die Aufgabe zurück. Sieben Service Desks sind ab Werk angebunden, was die meisten Dienstleister abdeckt, denen wir begegnen: ConnectWise, ServiceNow, Autotask, HaloPSA, Kaseya, NinjaOne und Atera. Alles andere wird über die eigene API des Portals angebunden, und das ist Entwicklungsarbeit statt einer Einstellung. Zweierlei gilt in beiden Fällen: Synchronisiert wird nach Zeitplan und nicht im Moment der Änderung, die ehrliche Erwartung lautet also „innerhalb einer Stunde“ und nicht „live“ — und will niemand etwas anbinden, erreicht ihn die Aufgabe trotzdem, per E-Mail und über den wöchentlichen Jour fixe.

Wie eine Entscheidung — sofern es eine war. Eine Aufgabe zurückzustellen ist derselbe Akt wie das Akzeptieren des darunterliegenden Risikos: Es braucht eine Begründung, eine benannte Person und ein Datum, und das Risiko bleibt mit seinem echten Wert im Register, statt still aus dem Bild zu verschwinden. Ein Prüfer liest daraus eine Entscheidung der Geschäftsleitung, der er zustimmen oder widersprechen kann — das ist ein Gespräch. Gesucht wird die andere Variante: die Aufgabe, die ohne festgehaltenen Grund verstummt ist, oder die Feststellung mit dem Vermerk „nicht zutreffend“ und nichts dahinter. Diese beiden Mängel lassen sich bei einem Audit besonders leicht feststellen, und beide lassen sich im Moment des Entstehens in etwa einer Minute vermeiden.

In einem Jahr schafft sie niemand, und ein Plan, der das unterstellt, ist keiner. Zwei Dinge machen die Zahl handhabbar. Erstens trifft ein großer Teil jeder Ausgangsliste auf Sie nicht zu — die Controls zum Kartenzahlungsverkehr, wenn Sie keine Karten annehmen; die Controls zur sicheren Entwicklung, wenn Sie keine Software schreiben — und diese mit Begründung herauszunehmen ist echte Arbeit, die in den ersten Wochen stattfindet. Zweitens ist der Rest geordnet und nicht nur aufgelistet: Die kritischen und kurzfristigen Aufgaben tragen Termine, der Rest liegt in Horizonten, die Sie jedes Quartal daran messen, was sich tatsächlich bewegt hat. Ihre Geschäftsleitung prüft nie das Backlog. Sie prüft die Entscheidungen für das nächste Quartal.