Wie ist die Verhandlungsplattform organisatorisch verankert? Ein Betriebsmodell für Unternehmen

Die Beschaffung sollte die Verhandlungsplattform als Geschäftsprodukt verantworten. Sie sollte die Roadmap, die Verhandlungsmethodik, die Lieferanten-Workflows, die Einführung und die kommerzielle Leistung steuern. Das bedeutet nicht, dass die Beschaffung jede rechtliche, finanzielle, technische, sicherheitsbezogene oder operative Folge genehmigen sollte, die über die Plattform entsteht.

Das richtige Betriebsmodell für eine Verhandlungsplattform beruht auf verteilter Zuständigkeit mit einer einzigen Produktverantwortung – nicht auf vager gemeinsamer Zuständigkeit. Die Rechtsabteilung verantwortet rechtliche Standards und Ausnahmen. Die Finanzabteilung verantwortet Finanzkontrollen und die Validierung des geschaffenen Werts. Die IT verantwortet den technischen Betrieb. Sicherheit und Datenschutz verantworten ihre Kontrollen. Die Geschäftsteams verantworten Anforderungen und operative Abwägungen. Eine benannte Führungskraft oder ein Governance-Ausschuss entscheidet über wesentliche Ausnahmen und akzeptiert Unternehmensrisiken.

Kurzantwort

Benennen Sie in der Beschaffung eine Person, die für das Produkt Verhandlungsplattform rechenschaftspflichtig ist. Geben Sie den Teams aus Recht, Finanzen, IT, Sicherheit/Datenschutz und den Geschäftsbereichen innerhalb ihrer jeweiligen Zuständigkeitsbereiche ausdrücklich Kontroll- oder Entscheidungsrechte. Verlangen Sie, dass benannte Personen folgenreiche Lieferantenzuschläge, wesentliche Ausnahmen, verbindliche Verpflichtungen und die Risikoakzeptanz genehmigen. Nutzen Sie eine funktionsübergreifende Designinstanz für Richtlinien – nicht für das routinemäßige Produktmanagement – und verankern Sie diese Zuständigkeiten in Berechtigungen, Workflows und Nachweisdokumentation.

Warum eine verantwortliche Stelle nicht bedeutet, dass eine Funktion alles kontrolliert

Eine Verhandlungsplattform ist mehr als Software. In diesem Betriebsmodell umfasst sie die Technologie, Daten, Integrationen, Playbooks, Modelle, Richtlinien, Workflows, Genehmigungen und Aufzeichnungen, die zur Vorbereitung, Durchführung, Dokumentation oder Analyse einer Beschaffungsverhandlung verwendet werden.

Dieser Umfang umfasst mehrere Arten von Zuständigkeit:

• Verantwortung für das Geschäftsprodukt: Prioritäten, Workflow-Design, Einführung, Serviceerwartungen und Ergebnisse.
• Verantwortung für Kontrollen: Festlegung und Pflege einer bestimmten Kontrolle, etwa der Genehmigung von Vertragsklauseln oder des privilegierten Zugriffs.
• Entscheidungsverantwortung: Befugnis einer Person, eine kommerzielle, rechtliche, finanzielle, operative oder sicherheitsbezogene Folge zu akzeptieren.
• Technische Verantwortung: Architektur, Integrationen, Zuverlässigkeit, Lebenszyklusmanagement und Support.
• Risikoverantwortung: Befugnis, ein festgelegtes Maß an Unternehmensrisiko zu akzeptieren.

Wer diese Rollen verwechselt, riskiert zwei häufige Fehlentwicklungen. Im ersten Fall wird die IT zur nominell verantwortlichen Stelle, weil sie die Anwendung betreibt, obwohl sie die Beschaffungsmethodik nicht festlegen kann. Im zweiten Fall ist ein Ausschuss gemeinsam für die Plattform „zuständig“, sodass niemand für Prioritäten oder Ergebnisse rechenschaftspflichtig ist.

Ein besseres Modell für die Zuständigkeit bei Verhandlungsplattformen überträgt der Beschaffung die Produktverantwortung und wahrt zugleich die fachbereichsspezifischen Befugnisse.

Aufteilung der Zuständigkeiten im Unternehmen

Beschaffung: Geschäftsprodukt und Verhandlungsprozess

Die Beschaffung sollte in der Regel verantwortlich sein für:

• Produkt-Roadmap und geschäftliche Prioritäten.
• Verhandlungsmethodik und Vorbereitungsstandards.
• Lieferanten-Workflows.
• Kommerzielle Playbooks und Zugeständnisstrukturen.
• Einführung und Befähigung der Nutzer in den Kategorien.
• Leistungsberichte und Workflow-Verbesserungen.
• Eskalation kommerzieller Ausnahmen.

Die Beschaffung kann eine Zuschlagsempfehlung aussprechen, sollte aber nicht eigenmächtig wesentliche rechtliche Abweichungen akzeptieren, die von ihr selbst ausgewiesenen Einsparungen validieren oder Ausgaben außerhalb der delegierten Befugnisse genehmigen.

Geschäftsteams: Anforderungen und operative Folgen

Die Geschäftssponsoren sollten verantwortlich sein für:

• Anforderungen und Annahmen zur Nachfrage.
• Abwägungen bei Service, Qualität, Kapazität und Implementierung.
• Bestätigung, dass die vorgeschlagene Lösung operativ tragfähig ist.
• Akzeptanz der daraus entstehenden geschäftlichen Verpflichtung im Rahmen ihrer Befugnisse.

Das Geschäftsteam kann seine Beurteilung nicht an die Beschaffung oder eine KI-Verhandlung auslagern, wenn eine günstigere Position ein nicht akzeptables Betriebsrisiko mit sich bringen würde.

Rechtsabteilung: rechtliche Standards und Ausnahmen

Die Rechtsabteilung sollte verantwortlich sein für:

• Vertragsvorlagen und Klauselstandards.
• Rechtliche Playbooks und unzulässige Positionen.
• Regeln zur Eskalation von Abweichungen.
• Genehmigung wesentlicher rechtlicher Ausnahmen.
• Beratung zu jurisdiktionsspezifischen Verpflichtungen.

„Zuständigkeit der Rechtsabteilung“ bedeutet nicht, dass sie den Plattform-Backlog verwalten sollte. Es bedeutet, dass befugte Juristinnen und Juristen rechtliche Standards und folgenreiche Abweichungen davon kontrollieren.

Finanzen: Befugnisse, Wirtschaftlichkeit und Wertvalidierung

Die Finanzabteilung sollte verantwortlich sein für oder kontrollieren:

• Budget- und Finanzgenehmigungsanforderungen.
• Definition und Validierung von Einsparungen.
• Zahlungsbedingungen, Rabatte, Rückvergütungen, Rückstellungen und Berechnungen finanzieller Risiken.
• Auswirkungen auf die Finanzberichterstattung, soweit relevant.
• Genehmigung finanzieller Ausnahmen im Rahmen delegierter Befugnisse.

Diese Trennung ist wichtig, weil das Team, das einen Vorteil aushandelt, nicht allein den daraus ausgewiesenen Wert validieren sollte.

IT: technische Serviceverantwortung

Die IT sollte verantwortlich sein für:

• Architektur und genehmigte Integrationsmuster.
• Zuverlässigkeit, Support und technischen Lebenszyklus.
• Umsetzung von Identitäts-, Zugriffs- und Änderungsmanagement.
• Datenflüsse zwischen Sourcing-, Vertrags-, ERP-, Identitäts- und Analysesystemen.
• Umsetzung des Technologielieferantenmanagements.

Die IT betreibt die Technologie; die Beschaffung verantwortet, was das Geschäftsprodukt erreichen soll.

Sicherheit und Datenschutz: Kontrollen, Überwachung und Eskalation

Die Sicherheits- und Datenschutzteams sollten ihre Anforderungen, Bewertungen, Kontrollüberwachung und Eskalationswege verantworten. Sie sollten nicht automatisch zu den Verantwortlichen für Geschäftsrisiken gemacht werden, nur weil sie diese erkannt haben.

Das NIST Cybersecurity Framework 2.0 hat Govern als Kernfunktion ergänzt und fordert, dass Rollen, Verantwortlichkeiten und Befugnisse im Bereich Cybersicherheit festgelegt und kommuniziert werden. Außerdem behandelt es Cybersicherheits-Governance als Thema des Unternehmensrisikomanagements und nicht als reine IT-Aufgabe.

Executive Sponsor oder Governance-Ausschuss: Richtlinien und Risikotoleranz

Ein benannter Executive Sponsor oder eine funktionsübergreifende Designinstanz sollte entscheiden über:

• Unternehmensrichtlinien und Risikostufen.
• Wesentliche funktionsübergreifende Konflikte.
• Neue externe oder autonome KI-Verhandlungsanwendungen.
• Bedeutende Kontrollausnahmen.
• Die Frage, ob Funktionen mit hohem Risiko eingeführt werden dürfen oder weiter betrieben werden können.

Der Ausschuss sollte Richtlinien steuern und nicht zu einem zweiten Produktteam werden.

Wiederverwendbare RACI-Matrix zur Zuständigkeit für Verhandlungsplattformen

Verwenden Sie A für rechenschaftspflichtig, R für ausführungsverantwortlich, C für zu konsultieren und I für zu informieren. Jede Zeile sollte nur eine rechenschaftspflichtige Stelle haben. „Führungskraft“ bezeichnet im Folgenden den Sponsor, den befugten Ausschuss oder die in der Unternehmensrichtlinie benannte risikoverantwortliche Person.

Dies ist eine Ausgangsvorlage, keine unternehmensweite Befugnisregelung. Delegationsdokumente, Systemberechtigungen, Ausschussmandate und die tatsächliche Praxis müssen mit der RACI-Matrix übereinstimmen.

Zentrale Gestaltungsregel: Konfiguration, Genehmigung und unabhängige Prüfung trennen

Eine Plattform kann Empfehlungen aussprechen, Berechnungen durchführen, Vorgänge weiterleiten, dokumentieren und Workflows durchsetzen. Sie sollte sich jedoch nicht selbst die Befugnis erteilen, ihre Konfiguration zu genehmigen, Kontrollen zu umgehen, wesentliche Ausnahmen zu akzeptieren, Lieferanten auszuwählen oder das Unternehmen zu binden.

NIST SP 800-53 behandelt Funktionstrennung und das Prinzip der geringsten Berechtigung. Auf die Unternehmensbeschaffung angewandt bedeutet dies, dass dieselbe Person nicht in der Lage sein sollte:

• Eine Verhandlungsregel zu ändern und die davon betroffene Transaktion zu genehmigen.
• Einen finanziellen Schwellenwert zu ändern und die daraus resultierenden Einsparungen zu validieren.
• Ein rechtliches Playbook zu ändern und die daraus entstehende Ausnahme zu genehmigen.
• Privilegierten Zugriff zu verwalten und die entsprechenden Zugriffsprotokolle unabhängig zu prüfen.
• Ein Modell anzupassen und dessen Leistung unabhängig zu validieren.

Wenn die Personalbesetzung eine vollständige Funktionstrennung verhindert, dokumentieren Sie kompensierende Kontrollen wie eine Prüfung auf zweiter Ebene, regelmäßige Rezertifizierung von Zugriffsrechten, Ausnahmeberichte und nachträgliche Stichproben.

Ein fünfstufiges Betriebsmodell für KI-Verhandlungen

1. Produktverantwortliche und Entscheidungsverantwortliche benennen

Benennen Sie in der Beschaffung eine Produktverantwortliche Person für die Verhandlungsplattform. Listen Sie anschließend die Personen auf, die befugt sind, die jeweiligen Folgen zu akzeptieren: kommerzielle, rechtliche, finanzielle, operative, sicherheitsbezogene und datenschutzbezogene.

Verwenden Sie kein allgemeines Feld wie „Geschäftsverantwortliche Person“. Erfassen Sie eine konkrete Rolle und die Grundlage ihrer Befugnisse.

2. Ein Register der Entscheidungsrechte erstellen

Dokumentieren Sie für jede folgenreiche Plattformaktion:

• Wer darf sie initiieren?
• Wer darf die zugrunde liegende Regel oder das Playbook bearbeiten?
• Wer prüft sie?
• Wer genehmigt sie?
• Wer kann sie übersteuern?
• Welche Nachweise müssen aufbewahrt werden?
• Wer überwacht das Ergebnis unabhängig?

Dieses Register überführt eine RACI-Matrix in einen durchsetzbaren Workflow.

3. Anwendungsfälle nach ihren Folgen einstufen

Bei einer risikoarmen, vorab genehmigten Analyse können automatisierte Empfehlungen und nachträgliche Stichproben zulässig sein. Erhöhen Sie die Governance-Stufe, wenn die Plattform extern kommunizieren, die Aufnahme von Lieferanten beeinflussen, finanzielle Verpflichtungen ändern, sensible Daten verarbeiten oder eine verbindliche Position schaffen kann.

Das NIST AI Risk Management Framework 1.0 fordert klare Rollen, eine differenzierte Aufteilung der Verantwortlichkeiten zwischen Mensch und KI, dokumentierte menschliche Aufsicht, laufende Überwachung sowie Kontrollen für KI und Daten von Drittanbietern. NIST gibt an, dass das Framework überarbeitet wird. Organisationen sollten daher bei seiner Einführung die aktuelle Version prüfen.

4. Befugnisse im System verankern

Gleichen Sie das Register der Entscheidungsrechte mit Folgendem ab:

• Rollenbasierte Zugriffsrechte.
• Genehmigungsschwellen.
• Vier-Augen-Kontrollen für sensible Änderungen.
• Versionierte Playbooks und Modelle.
• Geschützte Prüfprotokolle.
• Zeitlich begrenzter privilegierter Zugriff.
• Warnmeldungen bei Handlungen außerhalb des Mandats.

Beispiele für die Workflow-Gestaltung finden Sie unter menschliche Genehmigung in eine KI-Verhandlungsplattform integrieren.

5. Nachweise prüfen, nicht nur die Einführung

Ein funktionierendes Betriebsmodell für KI-Verhandlungen benötigt Nachweise dafür, dass die Kontrollen wie vorgesehen funktionieren. Nützliche Aufzeichnungen umfassen:

• Angenommene, bearbeitete, abgelehnte oder übersteuerte Empfehlungen.
• Gründe für menschliche Übersteuerungen.
• Rechtliche und finanzielle Ausnahmen.
• Transaktionen, die genehmigte Mandate überschreiten.
• Änderungen mit privilegiertem Zugriff und Rezertifizierungen von Zugriffsrechten.
• Lieferantenstreitigkeiten über Verpflichtungen.
• Prognostizierter, validierter und tatsächlich realisierter Wert.
• Modellfehler, Drift und nicht belegte Ausgaben.
• Kontrollversagen und Entscheidungen zu Abhilfemaßnahmen.
• Abgleich verbindlicher Handlungen mit menschlichen Genehmigungen.

Nachweise zu Übersteuerungen verdienen besondere Aufmerksamkeit. Wiederholte Übersteuerungen können auf schlechte Daten, unrealistische Mandate, unzureichende Schulungen, Modellgrenzen oder kategoriespezifische Risiken hinweisen.

Nachweisanforderungen nach Entscheidungstyp

Die Compliance-Leitlinien des US-Justizministeriums vom September 2024 fragen, ob Prozesse für Drittanbieter eine geschäftliche Begründung, geeignete Vertrags- und Zahlungsbedingungen, die Bestätigung der erbrachten Leistung und eine im Verhältnis zu den Leistungen angemessene Vergütung sicherstellen. Außerdem wird gefragt, wie Unternehmen Daten nutzen, um Lieferantenrisiken während einer Geschäftsbeziehung zu bewerten. Dies spricht dafür, Verhandlungsunterlagen mit Due Diligence, Vertragsabschluss, Zahlungen und laufender Lieferantenüberwachung zu verknüpfen.

Wenn eine Verhandlungsplattform Verpflichtungen, Rückvergütungen, Preise, Rückstellungen oder Zahlungen beeinflusst, sollten die Finanzkontrollteams Wesentlichkeit und Systemgestaltung bewerten. PCAOB AS 2201 behandelt, wie Transaktionen initiiert, genehmigt, verarbeitet und erfasst werden, einschließlich der Auswirkungen der IT auf diesen Ablauf. Die Anwendbarkeit hängt von der Organisation und dem Anwendungsfall ab.

Hypothetisches Beispiel: Verlängerung eines Logistikvertrags

Hypothetisches Beispiel – kein Nachweis und kein Richtwert.

Ein Unternehmen verlängert einen regionalen Logistikvertrag. Seine Verhandlungsplattform analysiert frühere Preise, entwirft Verhandlungspakete und weist auf ein Lieferantenangebot hin, das einen niedrigeren Stückpreis mit einer längeren Mindestabnahmeverpflichtung verbindet.

Nach dem Betriebsmodell gilt:

1. Die Beschaffung verantwortet den Verhandlungsplan und den Austausch mit dem Lieferanten.
2. Der Geschäftssponsor bestätigt die Nachfrageprognose und die operative Umsetzbarkeit der Verpflichtung.
3. Die Finanzabteilung bewertet die Zahlungsbedingungen und validiert alle ausgewiesenen Werte.
4. Die Rechtsabteilung prüft die nicht standardmäßige Verpflichtung und die Kündigungsbestimmungen.
5. IT und Sicherheit bleiben für die Plattformkontrollen verantwortlich, genehmigen aber nicht die kommerzielle Abwägung.
6. Ein befugter menschlicher Ausschuss oder eine zeichnungsberechtigte Person entscheidet, ob das Unternehmen das Paket annehmen sollte.

Die Plattform kann die Abwägung sichtbar machen und die Nachweise sichern. Sie kann nicht entscheiden, dass das Unternehmen das Nachfragerisiko akzeptieren sollte.

Ein Beschaffungsteam, das prüft, wo dieser Workflow angesiedelt werden sollte, kann umfassendere KI-Verhandlungsfunktionen mit den in Software für Beschaffungsverhandlungen beschriebenen Prozessanforderungen vergleichen. Negotiations.AI wäre beispielsweise nur dann relevant, wenn der konkrete Workflow strukturierte Vorbereitung, Empfehlungen, Prüfung und dokumentierte menschliche Genehmigung erfordert; die Produktfunktionen sollten während der Evaluierung dennoch überprüft werden.

Menschliche Prüfung, die ausdrücklich vorgesehen bleiben muss

Eine rechenschaftspflichtige menschliche Genehmigung sollte verpflichtend bleiben, wenn eine Handlung:

• Bei einer folgenreichen Beschaffung einen Lieferanten auswählt oder ausschließt.
• Budget-, Haftungs-, Preis-, Laufzeit-, Rabatt- oder Verpflichtungsschwellen überschreitet.
• Von einer genehmigten Vertragsklausel oder Rechtsposition abweicht.
• Sensible, personenbezogene, exportkontrollierte oder wettbewerblich sensible Daten verwendet.
• Einen möglichen Interessenkonflikt schafft oder offenlegt.
• Zahlungsbedingungen, Rückvergütungen, Mindestverpflichtungen oder die Bilanzierung ändert.
• Ein verbindliches Angebot versendet oder eine Vereinbarung abschließt.
• Sicherheits-, Sanktions-, Wettbewerbs-, Datenschutz- oder Compliance-Kontrollen umgeht.
• Auf einer Ausgabe beruht, die Prüfende nicht angemessen verifizieren oder erklären können.
• Verbleibende Sicherheits-, Datenschutz-, Rechts-, Finanz- oder KI-Risiken akzeptiert.

Ein Klick durch einen Menschen ist nicht automatisch eine wirksame Aufsicht. Prüfende benötigen relevante Nachweise, ausreichend Zeit, Kompetenz, Unabhängigkeit und die tatsächliche Befugnis, die Empfehlung abzulehnen.

Implementierungs-Checkliste

Bevor Sie das Betriebsmodell für die Verhandlungsplattform genehmigen, bestätigen Sie Folgendes:

• Die Beschaffung hat eine namentlich benannte Produktverantwortliche Person.
• Für jede wesentliche Entscheidung gibt es eine rechenschaftspflichtige menschliche Entscheidungsverantwortung.
• Die Zuständigkeiten von Recht, Finanzen, IT, Sicherheit/Datenschutz und den Geschäftsteams sind dokumentiert.
• Regeln zu Zeichnungs- und Genehmigungsbefugnissen stimmen mit den Plattformberechtigungen überein.
• Personen, die Playbooks bearbeiten, können ihre eigenen wesentlichen Ausnahmen nicht genehmigen.
• Der finanzielle Wert wird unabhängig validiert.
• Änderungen mit privilegiertem Zugriff werden protokolliert und geprüft.
• Neue KI-Verhandlungsanwendungen werden vor dem Produktivbetrieb einer Risikoeinstufung unterzogen.
• Automatisierung mit Lieferantenkontakt unterliegt strengeren Kontrollen als interne Empfehlungen.
• Verbindliche Kommunikation erfordert die Genehmigung einer befugten Person.
• Gründe für Übersteuerungen und Kontrollversagen werden dokumentiert.
• Die für Unternehmensrisiken zuständige Führungskraft kann einen Anwendungsfall oder eine Funktion aussetzen.
• Aufbewahrung von Unterlagen, Lieferanten-Due-Diligence, Vertragsabschluss und Zahlungskontrollen sind mit dem Workflow verknüpft.

Fakten, Annahmen, Schätzungen und Empfehlungen

Eine klare Kennzeichnung verhindert, dass ein Vorschlag für ein Betriebsmodell als allgemeingültige Anforderung missverstanden wird.

Verifizierte Fakten

• NIST CSF 2.0 umfasst die Funktion Govern und fordert definierte Rollen, Verantwortlichkeiten und Befugnisse im Bereich Cybersicherheit.
• NIST AI RMF 1.0 beschreibt Governance, menschliche Aufsicht, Überwachung und Praktiken zum Umgang mit KI-Risiken von Drittanbietern.
• NIST SP 800-53 umfasst Kontrollen zur Funktionstrennung und zur geringsten Berechtigung.
• Die Compliance-Leitlinien des US-Justizministeriums behandeln geschäftliche Begründungen für Drittanbieter, Vertragsbedingungen, Leistungsnachweise, Vergütung und laufende Daten zum Lieferantenrisiko.
• PCAOB AS 2201 behandelt die Genehmigung von Transaktionen und die Auswirkungen der IT auf Transaktionsabläufe bei einschlägigen Prüfungen.

Die oben verlinkten Quellen belegen diese Aussagen unmittelbar.

Annahmen

Dieses Modell geht davon aus, dass die Plattform Verhandlungen mit Lieferanten im Unternehmen unterstützt, kommerzielle Daten und Genehmigungsdaten enthalten kann und nicht als uneingeschränkt autonomer Vertragsagent agiert. Außerdem wird angenommen, dass bestehende Richtlinien zu Delegation, Datenschutz, Sicherheit, Aufbewahrung und Finanzkontrollen weiterhin maßgeblich sind.

Wenn die Plattform eigenständig Angebote abgibt, Lieferanten ausschließt, verbindliche Angebote versendet oder Vereinbarungen abschließt, erhöhen Sie die Governance-Stufe und holen Sie eine spezialisierte Prüfung ein.

Schätzungen

Hier werden keine Personalquoten, Implementierungszeiträume, Einsparungsraten, Genehmigungsschwellen oder Prüfhäufigkeiten geschätzt. Diese Entscheidungen sollten sich nach Transaktionsvolumen, Risiko, Regulierung, Architektur, Bedeutung der Lieferanten und organisatorischen Kapazitäten richten.

Empfehlungen

Die Aufteilung der Zuständigkeiten, die RACI-Matrix, das Entscheidungsregister und die Prüfschwellen sind Empfehlungen. Es gibt keine allgemeingültige Regel, nach der die Beschaffung jede Verhandlungsplattform verantworten muss. Eine andere Produktverantwortung kann angemessen sein, wenn eine andere Funktion tatsächlich den Geschäftsprozess, die Ergebnisse, Ressourcen und Einführung verantwortet.

Grenzen und Situationen, in denen dieses Modell möglicherweise nicht anwendbar ist

Für regulierte Beschaffung, öffentliche Ausschreibungen, Verteidigungs- oder exportkontrollierte Umgebungen, Finanzdienstleistungen, stark dezentralisierte Unternehmensgruppen oder Systeme, die autonom externe Verpflichtungen eingehen, muss dieses Modell möglicherweise angepasst werden.

Es hat außerdem praktische Grenzen:

• Eine RACI-Matrix schafft keine rechtliche oder unternehmensinterne Befugnis.
• NIST-Frameworks sind grundsätzlich freiwillig, sofern sie nicht durch Richtlinien, Vorschriften oder Verträge verbindlich werden.
• Die Auswirkungen auf Finanzkontrollen hängen vom Status des Unternehmens, der Wesentlichkeit und der Systemgestaltung ab.
• Datenschutz-, Zeichnungs-, Aufbewahrungs-, Beschäftigungs-, Wettbewerbs- und KI-Regeln unterscheiden sich je nach Rechtsordnung.
• Sicherheitsteams können Kontrollen festlegen und bewerten, ohne befugt zu sein, Geschäftsrisiken zu akzeptieren.
• Ein Ausschuss kann eine fehlende Produktverantwortung nicht ausgleichen.
• Menschliche Prüfung versagt, wenn Genehmigende keine Nachweise haben oder die Ausgabe nicht infrage stellen können.

Das dauerhafte Prinzip ist einfach: Die Produktverantwortung zentralisieren, fachbereichsspezifische Kontrollen verteilen und folgenreiche Befugnisse bei identifizierbaren Personen belassen.

Weiterführende Lektüre

• NIST Cybersecurity Framework 2.0
• NIST Artificial Intelligence Risk Management Framework 1.0
• NIST SP 800-53 Rev. 5.1
• US-Justizministerium: Bewertung von Compliance-Programmen in Unternehmen
• PCAOB AS 2201

FAQ

Sollte die Beschaffung oder die IT die Verhandlungsplattform verantworten?

In der Regel sollte die Beschaffung sie als Geschäftsprodukt verantworten, weil sie Verhandlungsmethoden, Lieferanten-Workflows, Einführungsprioritäten und kommerzielle Ergebnisse festlegt. Die IT sollte Architektur, Integrationen, Zuverlässigkeit, Support und den technischen Lebenszyklus verantworten. Wenn die IT die Geschäfts-Roadmap nur deshalb verantwortet, weil sie die Software betreibt, ist die Zuständigkeit falsch zugeordnet.

Wer ist für KI-Verhandlungsrisiken verantwortlich?

Die Kontrollverantwortlichen erkennen, bewerten und überwachen Risiken in ihren jeweiligen Zuständigkeitsbereichen. Eine benannte Führungskraft mit dokumentierter Befugnis sollte wesentliche verbleibende KI-Risiken akzeptieren. Die Beschaffung verantwortet Produktentscheidungen, sollte aber rechtliche, finanzielle, datenschutzbezogene oder sicherheitsbezogene Unternehmensrisiken nicht außerhalb ihrer delegierten Befugnisse akzeptieren.

Kann die RACI-Matrix Dokumente zu Zeichnungs- und Genehmigungsbefugnissen ersetzen?

Nein. Eine RACI-Matrix klärt operative Zuständigkeiten, verleiht aber keine Befugnis zur Unterzeichnung, Ausgabenfreigabe, Genehmigung von Ausnahmen oder Risikoakzeptanz. Unternehmensrichtlinien, Ausschussmandate, Systemberechtigungen und Delegationsdokumente müssen mit ihr übereinstimmen.

Wann kann die Plattform ohne vorherige Genehmigung handeln?

Nur bei klar begrenzten Handlungen mit geringen Folgen, die durch Richtlinien genehmigt sind, etwa interne Analysen oder Empfehlungen innerhalb genehmigter Regeln. Bei folgenreicher Lieferantenauswahl, wesentlichen Ausnahmen, verbindlichen Angeboten, Vertragsabschlüssen und der Akzeptanz von Unternehmensrisiken sollte eine rechenschaftspflichtige menschliche Genehmigung erforderlich bleiben.

Welche Governance-Nachweise sind am nützlichsten?

Beginnen Sie mit Entscheidungs- und Übersteuerungsprotokollen: Wer hat das Mandat genehmigt, was hat die Plattform empfohlen, was hat die Person geändert, warum wurde eine Ausnahme akzeptiert und blieb die endgültige Verpflichtung innerhalb der Befugnisse? Diese Aufzeichnungen helfen, sowohl die Entscheidungsqualität als auch die Wirksamkeit der Kontrollen zu prüfen.

Haftungsausschluss: Dieser Artikel enthält allgemeine operative Hinweise und stellt keine Rechts-, Finanz-, Prüfungs-, Sicherheits- oder Regulierungsberatung dar.