Berichte, die der Arbeit folgen, nicht umgekehrt.

Reporting heißt oft eine hektische Woche des Zusammentragens: Screenshots von Einstellungen, Exporte aus fünf Tools, Übungsnotizen, die jemand erst aufspüren muss, ein Board-Deck, das aus dem letzten Quartal neu gebaut wird. Bis das Paket fertig ist, ist es bereits leicht veraltet, und das nächste Audit bedeutet, die ganze Sammlung erneut zu machen, weil nichts daran wiederholbar war.

Nachweise sollten ein Nebenprodukt der Arbeit sein, kein eigenes Projekt. Die Continuity-Übung, die Sie durchgeführt haben, das akzeptierte Risiko, der geprüfte Lieferant, die unterschriebene Richtlinie: jedes davon hat bereits einen Beleg erzeugt. Werden diese Momente festgehalten, sobald sie passieren, und der Framework-Anforderung zugeordnet, die sie erfüllen, stellen sich Auditpaket und Managementbericht von selbst zusammen. Reporting tut deshalb weh, weil Nachweis und Betrieb meist getrennt liegen.