Zählen Sie die Tage
Öffnen Sie Ihre Pipeline und filtern Sie nach Phase. Meist hängt eine Gruppe von Abschlüssen zwischen mündlicher Zusage und Unterschrift fest, jeder davon mit einer Notiz wie „wartet auf Sicherheitsprüfung beim Kunden“. Zählen Sie die Tage, die jeder davon schon dort liegt. Nicht die Tage des Prüfers beim Kunden, sondern die Tage Ihrer eigenen Seite: herausfinden, wer das aktuelle Zertifikat hat, nach dem Auftragsverarbeitungsvertrag fragen, auf die Zusammenfassung des Penetrationstests von einem Kollegen warten, der nicht an Ihrem Quartal gemessen wird.
Das sind die Kosten, und es sind Vertriebstage, keine Compliance-Tage. An Ihrem Sicherheitsniveau hat sich nichts geändert, während der Abschluss stillstand, nur am Abschlussdatum. Deshalb gehört das Budget für die Lösung in den Vertrieb. Compliance verantwortet die Dokumente, der Vertrieb verantwortet den Abschluss, und für die Übergabe dazwischen ist niemand zuständig, also wird sie in jedem Abschluss von Hand neu aufgebaut. Je kleiner Ihr Unternehmen ist, desto mehr zählt jeder geparkte Enterprise-Abschluss, weil einer davon das ganze Quartal ausmachen kann.
Warum Anhänge dreifach scheitern
Die Dokumente per E-Mail zu schicken wirkt wie das Ende des Problems. Es ist der Anfang von drei neuen.
Version. Das Zertifikat wird erneuert, der Penetrationstest wiederholt, der Auftragsverarbeitungsvertrag ändert sich, nachdem ein Unterauftragsverarbeiter hinzugekommen ist. Das PDF im Posteingang des Kunden weiß von alldem nichts. Monate später prüft dessen Einkauf ein Dokument, hinter dem Sie nicht mehr stehen, und die Verlängerung beginnt mit einer Korrektur.
Ablaufdatum. Ein Anhang hat kein Enddatum. Er wird weitergeleitet, auf einem gemeinsamen Laufwerk gespeichert, an ein internes Ticket gehängt. Die detaillierteste Beschreibung davon, wie Ihre Systeme funktionieren, liegt jetzt an einem Ort, den Sie nicht einsehen können.
Nachweis. Wenn Ihre Compliance-Verantwortlichen fragen, wer die aktuelle Zusammenfassung des Penetrationstests erhalten hat, ist die ehrliche Antwort eine Suche in den gesendeten E-Mails, die nicht vollständig sein wird.
Einzeln ist jedes dieser Probleme erträglich. Zusammen bedeuten sie: Das Dokument, das Sie zur Beschleunigung eines Abschlusses verschickt haben, ist genau das Dokument, das Sie weder aktualisieren noch zurückrufen noch nachverfolgen können.
Offene Stufe und geschützte Stufe
Ein Trust Center ist ein einziger Ort, an dem ein Interessent Zugang anfordert und sich selbst bedient. Die erste Entscheidung ist, was hinter die Zugangsschranke kommt.
Die offene Stufe enthält, was Sie jedem sagen würden, der fragt: welche Zertifizierungen Sie haben, Ihre Liste der Unterauftragsverarbeiter, wo Daten gehostet werden, wie Sie Kunden über einen Vorfall informieren. Das offen zu veröffentlichen ist ein Vertriebsvorteil, kein Risiko. Ein Prüfer, der die Antwort findet, ohne zu fragen, eröffnet kein Ticket, und weil die Seite indexierbar ist, findet Sie ein Interessent, der noch Anbieter vergleicht, bei genau dieser Frage.
Die geschützte Stufe enthält das Zertifikat selbst, die Zusammenfassung des Penetrationstests, den Auftragsverarbeitungsvertrag, Architekturdetails. Sie ist erst nach Identifikation zugänglich, sodass jeder Download an eine namentlich bekannte Person und eine Organisation gebunden ist, und ihr sensibelster Teil liegt zusätzlich hinter einer unterschriebenen Geheimhaltungsvereinbarung.
Manche Kunden werden sich nicht registrieren, nur um Dokumente zu sehen. Dafür ist die offene Stufe da. Wer die geschützte Stufe braucht, ist bereits so weit im Prozess, dass er einen Namen nennt.
Unterschreiben im selben Ablauf
Der Schritt, der meist eine Woche kostet, ist die gegenseitige Geheimhaltungsvereinbarung. Der Prüfer fragt nach der Zusammenfassung des Penetrationstests. Der Vertrieb weiß, dass sie nicht ohne Unterschrift hinausgehen sollte, also läuft er entweder der Unterschrift durch die Rechtsabteilungen beider Seiten hinterher oder schickt die Datei trotzdem, weil das Hinterherlaufen den Abschluss noch weiter verzögern würde. In der Praxis passiert Letzteres.
In dem Ablauf, den wir für einen deutschen Anbieter von Compliance-Software gebaut haben, wird die Geheimhaltungsvereinbarung elektronisch innerhalb derselben Anfrage unterschrieben. Der Prüfer identifiziert sich, liest die Vereinbarung, unterschreibt, und die sensible Stufe öffnet sich. Kein separater E-Mail-Verlauf, keine Warteschlange bei der Rechtsabteilung, keine Ermessensentscheidung im Vertrieb, ob es bei diesem Kunden schon in Ordnung gehen wird.
Die Vereinbarung kommt außerdem früher zustande, weil sie den Prüfer genau in dem Moment erreicht, in dem er etwas will, und dann ist er am ehesten bereit zu unterschreiben.
Das Protokoll, und wem es wirklich dient
Das Zugriffsprotokoll ist der Gewinn für die Compliance-Verantwortlichen. Jede Anfrage ist mit einer Person, einer Organisation, einem Dokument, einer Version und einem Zeitpunkt verknüpft. Jeder Download läuft über einen Link mit Ablaufdatum, der pro Anfrage erzeugt wird, sodass ein im letzten Quartal geteilter Link nicht mehr funktioniert und der Prüfer für einen neuen zurückkommt. Wird ein Zertifikat erneuert, ersetzt der Verantwortliche eine Datei, und jede spätere Anfrage erhält die aktuelle Version. Die Frage, wer die Zusammenfassung des Penetrationstests hat, beantwortet dann eine Liste, keine Suche.
Das Protokoll besteht selbst aus personenbezogenen Daten. In der Lösung, die wir geliefert haben, wurde bereits im Entwurf und nicht erst danach anhand der Pflichten aus der DSGVO festgelegt, was über jeden Anfragenden gespeichert wird, wie lange und zu welchem Zweck. Das ist eine Anforderung, keine Garantie, und Ihr Datenschutzbeauftragter wird als Erstes danach fragen.
Für die IT-Leitung, drei Anforderungen an jeden, der so etwas baut, uns eingeschlossen: Die Dokumente liegen in einem Speicher, der Ihnen gehört, die Identität kommt aus dem Identitätsdienst, den Sie bereits betreiben, und nicht aus einem zweiten Kontenbestand, und das Zugriffsprotokoll ist exportierbar. Dann hängt nichts davon ab, dass wir bleiben.
Woche eins für den Vertrieb
Der Vertriebsmitarbeiter bittet keinen Kollegen mehr um eine Datei, sondern schickt einen Link. Der Prüfer landet im Trust Center, sucht nach der Maßnahme aus seinem Fragebogen, findet sie oder fordert sie an. Die Suche zählt mehr als die Navigation, weil Enterprise-Prüfer selten stöbern, sondern mit einer Zeile kommen, die sie abhaken wollen.
Der Vertrieb entscheidet nicht mehr, was bedenkenlos verschickt werden darf, weil die Stufen das entscheiden. Compliance beantwortet dieselbe Anfrage nicht mehr von Hand. Der Fragebogen des Kunden kommt weiterhin zu einem unvorhersehbaren Zeitpunkt, und jetzt muss nichts mehr zusammengesucht werden.
Denselben Schritt, einen Vorgang aus der E-Mail in das Werkzeug zu holen, in dem die Arbeit stattfindet, haben wir für denselben Kunden auf die Angebotserstellung angewandt: der Angebotsrechner in Ihrem CRM.
