Sind die Auditrechte der Ausschreibung erfüllbar?

Prüfgrundlage

Den Prüfauftrag aus dem gesamten Vertragswerk ableiten

Beginnen Sie mit den ausgegebenen Unterlagen und ihren Verweisen. Eine Regelung zu offenen Büchern kann andere Daten und Empfänger betreffen als die Datenschutzanlage. Auch Personaleinsatz, Sicherheitsvorgaben, Leistungskennzahlen und Vertragsende können eigene Auskunftspflichten auslösen. Erfassen Sie jede wesentliche Pflicht mit Dokument, Fassung und genauer Fundstelle. Fehlt eine einbezogene Anlage, bleibt deren Wirkung ungeklärt; der übliche Lieferantenvertrag füllt diese Lücke nicht automatisch.

Notieren Sie neben dem Prüfzweck die berechtigte Stelle. Mitarbeiter des Auftraggebers, beauftragte Wirtschaftsprüfer und Aufsichtsbehörden können unterschiedlichen Regeln unterliegen. Welche Beauftragung muss nachgewiesen werden, wer nimmt das Ersuchen entgegen und wer klärt Zweifelsfälle? Eine Identitätsprüfung ist sinnvoll. Daraus darf jedoch kein selbst erfundenes Zustimmungsrecht gegenüber einer gesetzlich befugten Behörde entstehen.

Die Grundbedingungen und Anlagen des britischen Model Services Contract verteilen Aufzeichnungen, offene Kalkulation und Auditpflichten auf mehrere Stellen. Das Muster zeigt, warum eine Suche nach nur einer Überschrift unvollständig ist. Seine englisch-walisische Fassung ist für bestimmte komplexe Dienstleistungen gedacht und muss angepasst werden. Verwenden Sie sie als Vergleichsquelle, niemals als stillschweigenden Ersatz für die Bedingungen des konkreten Auftraggebers.

Zerlegen Sie pauschale Mitwirkung in beobachtbare Handlungen. Einsicht gewähren, eine Kopie liefern, Beschäftigte befragen lassen und einen Standort zugänglich machen sind verschiedene Zusagen. Halten Sie im Prüfnachweis jeweils Gegenstand, Methode und Grenzen fest. Die Arbeitszusammenfassung bleibt als solche bezeichnet und verweist auf den Originaltext. Bei einem Auslegungsstreit entscheidet nicht die kürzere Tabellenformulierung.

Durchgängige Rechte

Den Zugriff beim tatsächlichen Betreiber nachweisen

Gehen Sie vom angeforderten Beleg rückwärts durch die Leistungskette. Ein Abrechnungsnachweis kann beim Supportpartner entstehen, vom Plattformbetreiber aufbewahrt und nur über einen Wiederverkäufer angefordert werden. Für jeden Übergang braucht der Prüfer die verantwortliche juristische Person, den einschlägigen Vertrag und einen erreichbaren Ansprechpartner. Die Beziehung zum Wiederverkäufer beweist für sich genommen noch keinen Zugriff auf Mitarbeiter oder Systeme des Betreibers.

Vergleichen Sie vorhandene Nachweise mit der verlangten Handlung. Ein Jahresbericht kann einen anderen Zeitraum, andere Standorte oder eine allgemeine Kontrollumgebung abdecken. Er muss nicht die kundenspezifische Konfiguration erklären. Eine Leseberechtigung erlaubt außerdem nicht zwingend Kopien, und ein Remote-Gespräch erfüllt nicht ohne Weiteres ein vereinbartes Zutrittsrecht. Bewerten Sie das Testat in seinem eigenen Geltungsbereich und führen Sie die fehlende Erlaubnis als gesonderten Punkt weiter.

Für Auftragsverarbeitung im Anwendungsbereich der EU-DSGVO behandelt Artikel 28 Absatz 3 Buchstabe h die Auditmitwirkung, Absatz 4 die Pflichten weiterer Auftragsverarbeiter. Die Standardklauseln des Beschlusses 2021/915 unterscheiden ebenfalls zwischen Zertifizierungen und Kontrollmöglichkeiten. Daraus folgt kein pauschaler Nachweis, dass ein konkreter Lieferantenvertrag genügt. Ob diese Klauseln vereinbart sind und welche Pflichten rechtlich greifen, muss im betreffenden Verhältnis geklärt werden.

Eine Lücke erhält eine umsetzbare Behandlung: bindende Vertragsänderung beim Dienstleister, anderer Leistungsaufbau, zulässige Klarstellung durch den Auftraggeber oder Ablehnung der Zusage. Schreiben Sie auf, wann Recht und Fähigkeit vorhanden sein müssen. Eine für nach Zuschlag geplante Änderung genügt nicht, wenn bereits das Angebot eine vorbehaltlose Annahme verlangt. Ohne passenden Nachweis bleibt die Freigabe gesperrt, auch wenn der Einkauf gute Verhandlungsaussichten erwartet.

Geschützte Nachweise

Schutzmaßnahmen so planen, dass die Prüfung möglich bleibt

Legen Sie einen Nachweisweg fest, der die Prüfung zulässt und sachfremde Informationen abtrennt. Dazu gehören ein Belegverzeichnis, ein benannter Verwahrer und Regeln für Lesen, Kopieren, Exportieren und Aufbewahren. Ein geschützter Datenraum kann passen; manchmal braucht es Einsicht vor Ort oder eine Erläuterung durch Fachpersonal. Das Verfahren muss zur ausgegebenen Berechtigung passen. Eine interne Sicherheitsrichtlinie ändert den Vertrag nicht von selbst.

Schwärzungen brauchen eine begründete und freigegebene Behandlung. Erhalten Sie Originale und dokumentieren Sie Umfang, Grund, Entscheider sowie einen Weg zur Klärung von Einwänden. Andere Kundendaten, personenbezogene Informationen und möglicherweise rechtlich geschützte Kommunikation gehören in die zuständige Fachprüfung. Eine Verschwiegenheitsvereinbarung allein löst solche Konflikte nicht. Nachteilige Feststellungen dürfen nicht unter einem Vertraulichkeitsvorwand aus dem Belegsatz verschwinden.

NIST SP 800-53A unterscheidet die Untersuchung von Unterlagen, Befragungen und Tests. Diese Unterscheidung hilft bei der Aufwandsschätzung; sie verleiht selbst keine Befugnis. Ein Recht auf Einsicht erlaubt nicht automatisch einen störenden Sicherheitstest im Produktivsystem oder die Weitergabe von Administrationszugängen. Wenn Tests verlangt werden, bestimmen Sie erlaubten Umfang, Umgebung, Freigabeweg und Schutz des laufenden Betriebs. Offene Rechtsfragen bleiben ausdrücklich offen.

DORA Artikel 30 Absatz 3 Buchstabe e betrifft bestimmte IKT-Verträge für kritische oder wichtige Funktionen bei erfassten Finanzunternehmen. Die Vorschrift behandelt Zugangs- und Auditrechte sowie vereinbarte alternative Zusicherungsniveaus bei betroffenen Rechten anderer Kunden. Sie erlaubt dem Anbieter keinen allgemeinen einseitigen Austausch einer Prüfung gegen ein Testat. Lassen Sie Anwendbarkeit und Tragfähigkeit einer vorgeschlagenen Lösung rechtlich beurteilen, bevor der Prüfbogen Erfüllung ausweist.

Zeitliche Tragfähigkeit

Vorankündigung und Aufbewahrung haben verschiedene Uhren

Prüfen Sie die Formulierung der Vorankündigung: feste Voraussetzung, Sollfrist oder bloßes Bemühen? Erfassen Sie Zugangskanal, Fristbeginn, Geschäfts- oder Kalendertage und Sonderregeln bei Verdachtsfällen. Auch eine gewöhnliche Höchstzahl von Prüfungen kann Ausnahmen enthalten. Das englisch-walisische Vertragsmuster vom September 2025 verdeutlicht diesen Unterschied zwischen normalen Abläufen und Ausnahmefällen. Seine Bemühensregel für Ankündigungen ist keine allgemeine Mindestwartezeit.

Planen Sie deshalb neben Jahresstunden auch zeitgleiche Nachfrage. Dieselbe Sicherheitsfachkraft kann nicht beliebig zwischen Störungsbehebung, Belegprüfung und Auditorengespräch wechseln. Das Angebot braucht qualifizierte Vertretung und eine Entscheidung, welche andere Arbeit verschiebbar ist. Ein Personalmangel begründet für sich kein Recht, eine wirksame Prüfung abzuwehren. Er ist vor Annahme der Klausel ein zu behandelndes Betriebsrisiko.

Trennen Sie die Ausübungsfrist des Kontrollrechts von der Aufbewahrungsdauer der Belege. Das britische Muster verwendet dafür in verschiedenen Bestimmungen unterschiedliche Zeiträume. Für den konkreten Vertrag müssen auch gesetzliche Vorgaben, Fortgeltungsklauseln und Zugänge nach Leistungsende zusammenpassen. Ein verschlüsseltes Archiv hilft wenig, wenn der Schlüsselverantwortliche ausgeschieden ist oder kein System die Daten mehr lesbar ausgeben kann.

Benennen Sie die nach Vertragsende zuständige Einheit, deren Kontaktweg und das finanzierte Verfahren zur Bereitstellung. Prüfen Sie endende Lieferantenverträge und stillgelegte Werkzeuge. Rechtmäßige Löschung und konkrete Beweissicherung müssen abgestimmt werden: Eine theoretische spätere Prüfung rechtfertigt keine unbegrenzte Speicherung personenbezogener Daten, ein offenes Ersuchen aber auch keine gezielte Vernichtung relevanter Belege. Lassen Sie kollidierende Pflichten durch die zuständigen Rechts- und Datenschutzverantwortlichen klären.

Rechenfall

Riedhof: Die Kalkulation passt, der Zugang noch nicht

Im erfundenen Riedhof-Angebot ist eine Regelprüfung pro Jahr vorgesehen; anlassbezogene Prüfungen bleiben zusätzlich möglich. Die Angebotssumme enthält jährlich EUR 8.000 für Auditunterstützung und Archivzugang. Ein benötigter Betreiber hat die Erweiterung seiner Mitwirkungspflichten noch nicht unterschrieben. Die folgenden internen Vollkostensätze und externen Preise sind reine Rechenannahmen, keine Marktwerte oder Tatsachen über ein bestimmtes Unternehmen.

Die Regelprüfung benötigt 56 interne Stunden. Aus 18 Stunden Datenaufbereitung zu EUR 70, 14 Stunden Sicherheitsprüfung zu EUR 120, 20 Stunden Begleitung zu EUR 85 und vier Stunden Vertragsprüfung zu EUR 145 entstehen EUR 5.220. Hinzu kommen EUR 1.500 Betreiberunterstützung, zusammen EUR 6.720. Der vereinbarte jährliche Archivzugang kostet im Beispiel EUR 780. Der Routineansatz beträgt damit EUR 7.500; gegenüber dem Budget bleiben EUR 500. Diese Differenz ist keine Aussage über vollständige Risikodeckung.

Im gesonderten Störungsjahr werden zusätzlich 30 Sicherheitsstunden zu EUR 120, zwölf Betriebsstunden zu EUR 85 und EUR 2.100 Betreiberunterstützung benötigt. Das sind EUR 6.720 zusätzlicher Mitwirkungsaufwand. Unterstellen Sie für dieses Szenario außerdem eine wirksame Pflicht zur Erstattung von EUR 3.800 Auftraggeberkosten nach einem festgestellten wesentlichen Vertragsverstoß. Dann beträgt der Jahresaufwand EUR 18.020: EUR 7.500 plus EUR 6.720 plus EUR 3.800. Gegenüber EUR 8.000 Budget fehlen EUR 10.020. Fehlerbehebung, Nachprüfung, Rückzahlungen, Zinsen, Schadensersatz, Reisen und Steuern sind nicht enthalten und gesondert zu bewerten.

Die Routinekalkulation ist also finanzierbar, die vorbehaltlose Annahme dennoch nicht freigegeben. Der Betreiberzugang fehlt, die Spitzenverfügbarkeit der Sicherheitsfachkraft ist ungeklärt und das Störungsszenario braucht eine kaufmännische Entscheidung. Der Prüfnachweis hält diese drei Punkte getrennt. Eine höhere Reserve schafft kein Zugangsrecht. Falls eine Abweichung zulässig ist, muss sie im vorgesehenen Verfahren offengelegt und angenommen werden; eine Fußnote im internen Kalkulationsblatt bindet den Auftraggeber nicht.

Nachlauf

Auch die Behandlung von Feststellungen gehört zum Angebot

Lesen Sie die Folgen einer Beanstandung mit. Eine Stellungnahme, ein Maßnahmenplan, die tatsächliche Behebung und die Kostenerstattung können verschiedene Fristen und Entscheider haben. Die Frist für einen Plan ist nicht automatisch die Behebungsfrist. Prüfen Sie auch, ob ein Unterauftragnehmer rechtzeitig liefern muss und wer dessen Nachweis gegenüber dem Auftraggeber verantwortet. Die Mitwirkungskette endet nicht mit dem Versand der Auditunterlagen.

Für jede Feststellung braucht der Betrieb Kriterium, Belegverweis, Sachverhaltsantwort, anerkannten oder bestrittenen Status, Verantwortlichen und Termin. Danach folgen Korrekturbeleg, gegebenenfalls Nachprüfung und die zuständige Abschlussentscheidung. Ein Widerspruch nennt den betroffenen Sachverhalt oder die Auslegungsfrage und den erlaubten Klärungsweg. Er löscht die Feststellung nicht. Relevante Belege bleiben erhalten, und unstreitige Pflichten sind weiter zu erfüllen.

Bewerten Sie finanzielle Folgen in getrennten Positionen. Die Erstattung einer Überzahlung, Kosten einer Käuferprüfung und eigener Korrekturaufwand beruhen nicht zwingend auf derselben Regel. Prüfen Sie Zinsen, Anrechnung und etwaige Haftungsbegrenzung anhand des konkreten Vertrags, statt einen allgemeinen Deckel anzunehmen. Die Auditbestimmungen des Cabinet Office zeigen mögliche Verknüpfungen zwischen Befund und Zahlungsfolge; sie beweisen keine entsprechende Pflicht im Riedhof-Fall.

Eine kurze Übergabeprobe kann verbleibende Lücken aufdecken: Der künftige Betriebsverantwortliche soll für eine angenommene Feststellung den Beleg, erlaubte Empfänger, Antwortvollmacht, Kosteninhaber und Abschlussnachweis benennen. Fehlt die Zuständigkeit für eine Nachprüfung beim Betreiber, muss sie vor der Zusage vereinbart werden. Der Aufwand gehört dann in die Kalkulation, nicht in die Hoffnung auf unentgeltliche Unterstützung.

Entscheidungsreife

Die Freigabe muss erkennen lassen, was noch nicht erlaubt ist

Unterscheiden Sie nachgewiesene Erfüllung, finanzierte Anpassung mit offener Voraussetzung, Auftraggeberklarstellung, zulässige Abweichung und nicht annehmbare Zusage. Eine Prozentzahl verwischt diese Unterschiede. Eine einzige fehlende Befugnis beim zentralen Betreiber kann die Annahme verhindern, obwohl alle übrigen Auskunftszeilen belegt sind.

Für Riedhof schließt erst der passende Vertragsnachtrag samt Wirksamkeitsdatum und einsatzbereitem Verfahren die Zugriffslücke. Informationssicherheit bewertet die geschützte Bereitstellung, der Betrieb bestätigt die personelle Abdeckung und die kaufmännische Leitung entscheidet über das Zusatzszenario. Juristen bearbeiten Auslegung und gesetzliche Grenzen. Die bevollmächtigte Stelle trifft die Vertragsentscheidung. Eine Besprechung oder bedingte Budgetzusage ersetzt diese Zuständigkeiten nicht.

Verknüpfen Sie die Entscheidung mit Vertragsfassung, Leistungsausprägung, Lieferantenkette und Preisstand. Ein Addendum, anderer Betreiber, geänderter Prüfumfang oder längerer Nachlauf öffnet betroffene Zeilen erneut. Die operative Übergabe enthält Pflichten und kontrollierte Belegverweise, aber keine unzulässigen Kopien fremder Informationen. In das öffentliche Angebot gelangen nur sachlich erforderliche und freigegebene Aussagen.

Ein Agent darf freigegebene Klauseln erfassen, Versionen vergleichen, Rückfragen entwerfen und die offengelegte Rechnung prüfen. Fehlende Erlaubnisse bleiben fehlend, selbst wenn ein Zertifikat vorliegt. Ohne ausdrückliche Befugnis darf er keine Rechte annehmen, Nachträge schließen, Auftraggeber anschreiben, geschützte Belege versenden, Systeme betreten oder Tests ausführen. Sein Ergebnis ist ein prüfbarer Entscheidungsnachweis mit Sperren, kein durchgeführtes Audit und keine Vertragsvollmacht.

Der folgende Ausschnitt ergänzt den Riedhof-Fall um erfundene Klauseln und Bearbeitungsstände. Das Ergebnis ist eine begründete Annahmesperre trotz abgeschlossener Prüfung. Im Beispiel müssen die Voraussetzungen vor dem vorbehaltlosen Angebot erfüllt werden. Andere Verträge benötigen ihre eigene vollständige Erfassung.