Baut auf
A01 · WÖMS-Auftragsklärung A02 · Wirkungskompass-Ausrichtung A03 · Systemgrenzen- und Reichweiten-Canvas A04 · Wirkungsempfänger- und Stakeholder-Landkarte A05 · Wirkungsgrenzen- und Rechteprüfung A06 · Evidenz- und Annahmenregister
WÖMS · Kategorie P · Qualität, operative Resilienz, Kontrollen und integrierte Assurance
P09 · Integrierte Assurance Map und Three Lines
Management, spezialisierte Challenge, interne Revision und externe Assurance auf wesentliche Wirkungsrisiken ausrichten.
Was du mitbringst
Inputs
- Wirkungsmandat
- vorhandene Daten und relevante Vorarbeiten
So gehst du vor
Schritte
- Wesentliche Risiken, Wirkungsgrenzen und regulatorische Pflichten erfassen.
- First-, Second- und Third-Line-Verantwortung zuordnen.
- Externe Assurance und Zertifizierungen ergänzen.
- Abdeckung, Überschneidung und Lücken analysieren.
- Reliance, Unabhängigkeit und Reporting festlegen.
- Jährlichen risikobasierten Assuranceplan beschließen.
Was herauskommt
Outputs
- Assurance Map mit Risiken, Controls, Assurance-Anbietern, Tiefe, Frequenz, Lücken und Reliance.
Woran du gute Arbeit erkennst
Qualitätsregeln
- Empfänger, Systemgrenze, Wirkungsziel und Schutzrahmen sind eindeutig.
- Befunde, Annahmen, Modelle und normative Bewertungen bleiben unterscheidbar.
- Der Output besitzt Owner, Version, Evidenzstatus und eine klare nächste Entscheidung.
- Kontrollen und Assurance sind risikobasiert und unabhängig genug.
- Kontinuität schützt kritische Wirkung und vulnerable Empfänger.
Die roten Linien
Schutzregeln
Diese Regeln stehen über allem. Eine verletzte Wirkungsgrenze lässt sich nicht durch positive Werte ausgleichen.
- Methode nicht als endgültige Wahrheit, sondern als versionierte Entscheidungsgrundlage behandeln.
- Workshopkonsens darf Betroffene, negative Wirkung, Machtasymmetrien oder Minderheitsvoten nicht ausblenden.
- Keine Fach-, Rechts-, Sicherheits- oder Datenprüfung durch ein Canvas ersetzen.
- Kontrollmenge nicht mit Kontrollwirksamkeit verwechseln.
Die Arbeitsfläche
Canvas - Integrierte Assurance Map und Three Lines
Eine leere Vorlage mit klaren Leitfragen. Die fünf Pflichtfelder sind immer auszufüllen - sie halten Ehrlichkeit und Nichtkompensation im Blick.
P09 · Integrierte Assurance Map und Three LinesFall: Datum: Version: Moderation:
Wesentliche Risiken, Wirkungsgrenzen und regulatorische Pflichten erfassenWie wird „Wesentliche Risiken, Wirkungsgrenzen und regulatorische Pflichten erfassen“ für den konkreten Fall nachvollziehbar bearbeitet?
First-, Second- und Third-Line-Verantwortung zuordnenWie wird „First-, Second- und Third-Line-Verantwortung zuordnen“ für den konkreten Fall nachvollziehbar bearbeitet?
Externe Assurance und Zertifizierungen ergänzenWie wird „Externe Assurance und Zertifizierungen ergänzen“ für den konkreten Fall nachvollziehbar bearbeitet?
Abdeckung, Überschneidung und Lücken analysierenWie wird „Abdeckung, Überschneidung und Lücken analysieren“ für den konkreten Fall nachvollziehbar bearbeitet?
Reliance, Unabhängigkeit und Reporting festlegenWie wird „Reliance, Unabhängigkeit und Reporting festlegen“ für den konkreten Fall nachvollziehbar bearbeitet?
Jährlichen risikobasierten Assuranceplan beschließenWie wird „Jährlichen risikobasierten Assuranceplan beschließen“ für den konkreten Fall nachvollziehbar bearbeitet?
EvidenzstatusImmer ausfüllen – auch wenn unbequem.
UnsicherheitImmer ausfüllen – auch wenn unbequem.
Negative WirkungImmer ausfüllen – auch wenn unbequem.
WirkungsgrenzenImmer ausfüllen – auch wenn unbequem.
Offene FragenImmer ausfüllen – auch wenn unbequem.
Ausgefülltes Beispiel folgt. Mehr zum Canvas-Prinzip.
Führt zu
-