Wer entscheidet über den Start einer Compliance-Schulung?

Ein Modul zur Risikoschulung kann die technische Prüfung bestanden haben, obwohl das Zeitfenster für den Start noch nicht bestätigt ist. Der Kurs ist vorhanden, aber niemand hat die Zuweisungen freigegeben oder den Beschäftigten erklärt, wie es weitergeht. Eine weitere Überarbeitung der Inhalte löst dieses Problem nicht. Was fehlt, ist eine Entscheidung der fachlich Verantwortlichen.

„Bereit“ kann dreierlei bedeuten

Eine gute Checkliste für den Start einer Compliance-Schulung unterscheidet drei Zustände, statt alles unter einem einzigen Status „bereit“ zusammenzufassen.

• Inhaltlich fertig bedeutet: Die für die Richtlinie verantwortliche Person hat die Inhalte, die Lernkontrolle und die Version freigegeben.
• Technisch bereit bedeutet: Die vereinbarten Tests zu Zugriff, Navigation, Funktionsweise der Lernkontrolle, Erfassung von Kursabschlüssen und Berichterstellung waren erfolgreich.
• Start freigegeben bedeutet: Der Programmverantwortliche hat Zielgruppe, Zuweisungsregeln, Kommunikation, Berichtsanforderungen und das Zeitfenster für den Start bestätigt.

Die technische Abnahme darf nicht stillschweigend zur Startfreigabe werden. Ein Kurs kann in einer Akademie verfügbar sein, ohne der vorgesehenen Zielgruppe zugewiesen zu sein.

Eine Person gibt den Start frei

Über den Start im LMS sollte eine namentlich benannte, intern für das Programm verantwortliche Person entscheiden. Sie muss befugt sein, den Start freizugeben oder zu verschieben. HR oder L&D können die Arbeit koordinieren, ohne die zugrunde liegende Richtlinienentscheidung zu verantworten. Wer den Start verantwortet, führt die nötigen Freigaben zusammen, ersetzt sie aber nicht.

• Compliance oder die für die Richtlinie verantwortliche Person gibt die Inhalte und den erforderlichen Umfang frei. Bei Bedarf kommt eine rechtliche Prüfung hinzu.
• L&D nimmt den Lernablauf und die Lernkontrolle ab.
• Der Betreiber der Akademie bestätigt die getestete Konfiguration und die bekannten Einschränkungen.
• Der Programmverantwortliche genehmigt den organisatorischen Zeitplan und gibt den Start frei.

Zielgruppenregeln bestimmen die Kurszuweisung

Die Zielgruppe festzulegen ist mehr als eine Upload-Aufgabe. Für Finanzunternehmen im Anwendungsbereich schreibt Artikel 13 Absatz 6 der DORA-Verordnung verpflichtende Schulungen zur Sensibilisierung für IKT-Risiken und zur digitalen operationalen Resilienz vor. Sie richten sich an Beschäftigte und die obere Führungsebene; ihre Komplexität muss zur jeweiligen Funktion passen. (eur-lex.europa.eu) Diese konkrete Anforderung zeigt, warum Plattformbetreiber den Schulungsumfang nicht aus einem Mitarbeiterverzeichnis ableiten sollten.

Bevor Zuweisungen aktiviert werden, sollte der Programmverantwortliche bestätigen, welche Rollen und Organisationseinheiten einbezogen sind, welche Ausnahmen genehmigt wurden und welche Regeln für neue Beschäftigte, Fristen, Erinnerungen und Eskalationswege gelten. Die Kommunikation an die Lernenden sollte erklären, welche Schulung verpflichtend ist, bis wann sie abgeschlossen sein muss, wie der Zugang funktioniert und wer bei Fragen hilft. Ein Testkonto sollte dieselbe Kurszuweisung und Nachricht erhalten wie die vorgesehenen Lernenden.

Berichte gehören zur Abnahme vor dem Start

Die NIST-Kontrollmaßnahme zu Schulungsnachweisen verlangt, Schulungen zu Sicherheit und Datenschutz zu dokumentieren und zu überwachen. Individuelle Nachweise sind für einen Zeitraum aufzubewahren, den die Organisation festlegt. (nvlpubs.nist.gov) Das bietet eine hilfreiche Orientierung für die Gestaltung, ist aber keine allgemeingültige Aufbewahrungsregel für jeden Compliance-Kurs.

Die geplanten Vorgaben für Berichte zum Start der Compliance-Akademie sollten folgende Angaben umfassen: IDs der Lernenden, zugewiesene Kursversionen, Fälligkeitstermine, Zeitstempel der Abschlüsse und, soweit erforderlich, Ergebnisse der Lernkontrollen. Außerdem sollten sie festhalten, wer Berichte erhält, welche Zugriffsrechte gelten und welche Entscheidung zur Aufbewahrung getroffen wurde. Ein beispielhafter Export gehört in den Abnahmetest.

Ein kurzes Entscheidungsprotokoll schließt die Übergabe ab

Für einen geregelten Schulungsstart braucht es eine dauerhafte Dokumentation, keine lange Besprechung. Der Eintrag zur Startentscheidung sollte die freigebende Person, das Entscheidungsdatum, die Kursversion, den Verweis auf die Zielgruppenregeln, das Startzeitfenster, die Abnahmenachweise und noch offene Hindernisse festhalten. Ob der Start freigegeben, verschoben oder abgelehnt wurde, sollte ausdrücklich dokumentiert sein.

App-Learning kann daraus zwei miteinander verknüpfte Checklisten erstellen: eine für den fertigen Kurs und eine für die organisatorischen Voraussetzungen des Starts. Die betreute Akademie liefert Nachweise über die Bereitstellung der Schulung und setzt die freigegebene Konfiguration um. Entscheidungen über Richtlinien bleiben bei der Organisation.

Die ersten Tage zeigen, ob die Bereitstellung klappt – nicht, ob Compliance gewährleistet ist

Die Leitlinien des US-Justizministeriums zu Compliance-Programmen fragen danach, wie die Wirksamkeit von Schulungen, der Lernerfolg und die Auswirkungen auf das Verhalten bewertet werden. (justice.gov) Daten zu Kursanmeldungen in den ersten Tagen und zu Abschlüssen beantworten eine engere Frage: Funktioniert die Bereitstellung?

Bei einer fest eingeplanten Prüfung nach dem Start sollten die erwarteten mit den tatsächlichen Kurszuweisungen abgeglichen, fehlgeschlagene Benachrichtigungen untersucht und Abschlussnachweise getestet werden. Bei der Übergabe sollte außerdem festgehalten werden, wer Richtlinienänderungen, Inhaltsprüfungen, Aktualisierungen der Zielgruppe und den Plattform-Support verantwortet.

Mit der Veröffentlichung ist die Erstellung abgeschlossen, nicht das Programm. Ein verlässlicher Start verbindet genehmigte Inhalte mit einer freigegebenen Zielgruppe, einer klaren Botschaft und nutzbaren Nachweisen. Eine namentlich benannte Person trägt dabei die Verantwortung für alles Weitere.