PDCA-Abläufe
Ablauf 5: Verbesserung und Review
Beseitige Ursachen, prüfe die Wirksamkeit und führe Erkenntnisse in den nächsten PDCA-Zyklus zurück.
Dieser Ablauf bildet die Act-Phase. Du übersetzt Feststellungen, Risiken, Lücken und Managemententscheidungen in verantwortete Verbesserungen und schließt sie erst nach einer Wirksamkeitsprüfung.
Typische Auslöser
- Findings aus Audits, Assessments oder externen Prüfungen,
- verfehlte Kennzahlen und unwirksame Controls,
- neue oder gestiegene Risiken,
- Lücken in Anforderungen oder Nachweisen,
- Entscheidungen aus Managementbewertungen sowie
- wiederkehrende Vorfälle oder Abweichungen.
Ablauf durchführen
- Prüfe unter
/improvementsden offenen Handlungsbedarf aus Monitoring, Risiken und Anforderungen. - Beschreibe Problem, Ursache, gewünschtes Ergebnis und Priorität.
- Weise Maßnahme, verantwortliche Person, Frist und benötigte Ressourcen zu.
- Verknüpfe auf
/improvements/$iddas auslösende Finding, Risiko, Control oder Review. - Lege vor der Umsetzung fest, welcher Nachweis die Wirksamkeit bestätigt.
- Prüfe das Ergebnis nach einem angemessenen Zeitraum.
- Schließe die Verbesserung nur bei belegter Wirksamkeit; eröffne andernfalls eine Folgemaßnahme.
- Nutze
/improvements/reviews, um Review-Entscheidungen und offene Folgeschritte zusammenzuführen.
Von der Ursache zur Wirksamkeit
| Element | Beispiel |
|---|---|
| Problem | Quartalsweise Zugriffsprüfung wurde wiederholt verspätet abgeschlossen. |
| Ursache | Es gab weder eine wiederkehrende Aufgabe noch eine Stellvertretung. |
| Maßnahme | Terminserie, Stellvertretung und Eskalation vor Fälligkeit einrichten. |
| Nachweis | Protokoll der nächsten Zugriffsprüfung mit fristgerechtem Abschluss. |
| Wirksamkeit | Zwei aufeinanderfolgende Prüfungen wurden vollständig und fristgerecht abgeschlossen. |
Ergebnis prüfen
- Jede Verbesserung hat eine nachvollziehbare Quelle und Ursachenanalyse.
- Verantwortlichkeit, Frist und Zielzustand sind eindeutig.
- Umsetzung und Wirksamkeit werden durch unterschiedliche Nachweise belegt, wenn das fachlich erforderlich ist.
- Unwirksame Maßnahmen werden nicht geschlossen, sondern neu bewertet.
- Erkenntnisse ändern bei Bedarf Assets, Anforderungen, Risiken oder die Monitoringplanung.
Vertiefende Hinweise findest du unter Verbesserungen und Reviews.
Nächster Zyklus
Der PDCA-Zyklus endet nicht mit dem Status „geschlossen“. Übernimm die Erkenntnisse in Ablauf 1: Assets und Schutzbedarf oder in den betroffenen Ablauf und beginne die nächste Iteration mit einer verbesserten Ausgangsbasis.