Governance einführen

Die Execute-Ebene und die Einstellung „Genehmigung immer erforderlich" ergeben zusammen zwei Konfigurationen:

• Schnellpfad für einige, Genehmigung für den Rest. Sperre die Richtlinie mit deaktivierter Option „Genehmigung immer erforderlich". Mitglieder, deren Profil Execute enthält, schließen Anfragen sofort ab; alle anderen durchlaufen den Genehmigungsprozess. Die Sperre verhindert, dass jemand die Regeln allein lockert.
• Genehmigung für alle. Sperre die Richtlinie mit aktivierter Option „Genehmigung immer erforderlich". Jede Anfrage – einschließlich der des Owners – muss unabhängig genehmigt werden. Niemand kann einen geregelten Vorgang allein abschließen.

Verschiedene Workflows können unterschiedliche Konfigurationen haben. Ein häufiges Muster: Genehmigung für alle bei Auszahlungsanfragen, Schnellpfad bei Überweisungsanfragen (Einlagen verbleiben innerhalb der Organisation) und Genehmigung bei „Richtlinien verwalten", um die Regeln selbst zu schützen.

Die ersten drei Schritte sind jederzeit umkehrbar. Das Sperren ist bindend.

Schritt 1 – Bootstrap

Der Owner startet mit dem systemdefinierten Admin-Profil und der Rolle „Vollzugriff": Execute für jeden Workflow, alle Berechtigungen für jedes Konto. Alle Workflow-Richtlinien starten im offenen Zustand. Als Einzelnutzer-Organisation arbeitest du wie gewohnt – nichts wartet auf Genehmigung, weil niemand genehmigen kann.

Schritt 2 – Konfigurieren

Richte die Genehmigungseinstellungen für einen Workflow ein – in der Regel zuerst für „Auszahlungsanfrage" –, während „Genehmigung immer erforderlich" auf AUS bleibt:

1. Lade Mitglieder ein und weise Workflow-Profile zu, die im Ziel-Workflow über Approve verfügen. Das systemdefinierte Approver-Profil gewährt Genehmigungsrechte für jeden Workflow; Funds Manager umfasst das Starten und Genehmigen von Überweisungen und Auszahlungen.
2. Weise Kontorollen zu, damit Initiatoren die richtigen Berechtigungen für Fondsbewegungen auf den jeweiligen Konten haben.
3. Lege die erforderliche Anzahl an Genehmigungen für den Ziel-Workflow fest.
4. Wenn du vorhast, zu sperren (Schritt 4), richte jetzt den Entsperrweg unter „Richtlinien verwalten" ein: ein Mitglied, das eine Anfrage für „Richtlinien verwalten" starten kann, sowie so viele weitere Mitglieder mit Approve für „Richtlinien verwalten", wie dieser Workflow erfordert. Das System prüft dies nicht, bevor es das Sperren zulässt.

Es wird noch nichts erzwungen. Du behältst Execute und arbeitest normal weiter, während alles eingerichtet wird.

Schritt 3 – Validieren

Aktiviere „Genehmigung immer erforderlich" für den Ziel-Workflow. Alle Anfragen – auch deine – werden jetzt in die Warteschlange eingereiht. Teste mit echten Anfragen:

• Genehmiger sehen ausstehende Anfragen und können sie genehmigen oder ablehnen.
• Die erforderliche Anzahl an Genehmigungen ist mit deinem aktuellen Team erreichbar.
• Der gesamte Ablauf – von der Initiierung bis zum Abschluss – funktioniert wie erwartet. Prüfe, ob die daraus resultierenden Sicherheitsereignisse auf ihre Anfragen zurückverweisen.

Das ist das sichere Zeitfenster: Die Governance ist aktiv, die Richtlinie aber noch nicht gesperrt – du kannst die Einstellung jederzeit deaktivieren, anpassen und erneut testen. Entscheide vor dem Sperren der Richtlinie, ob „Genehmigung immer erforderlich" aktiviert oder deaktiviert bleiben soll.

Schritt 4 – Sperren

Sperre die Richtlinie. Das Sperren ist selbst eine Manage Policies-Anfrage: Erfordert Manage Policies bereits eine Genehmigung, tritt die Sperre in Kraft, sobald ein anderes Mitglied sie genehmigt. Ab diesem Zeitpunkt gilt:

• Alle Anfragen folgen den konfigurierten Genehmigungsregeln.
• Jede Änderung an dieser Richtlinie – die Anzahl der Genehmigungen, die Einstellung „Genehmigung immer erforderlich" oder das Entsperren – erfordert die Freigabe eines anderen Mitglieds mit Approve-Berechtigung für Manage Policies. Execute für Manage Policies umgeht dies nicht: Die Sperre setzt die sofortige Ausführung für die gesperrte Richtlinie außer Kraft.
• Die Änderungen des Owners durchlaufen dieselbe Prüfung wie die aller anderen.

Schritt 5 – Wiederholen

Alle anderen Workflows behalten ihre aktuelle Konfiguration, bis du zu Schritt 2 für den jeweiligen Workflow zurückkehrst. Jede Kombination aus geregelten und ungeregelten Workflows ist ein gültiger Dauerzustand – die Abfolge ist eine Empfehlung, keine Pflicht.

Letzter Schritt – Richtlinien verwalten sperren

Richtlinien verwalten verfügt über eine eigene Richtlinie und eine eigene Sperre. Das Sperren ist der Abschluss des Rollouts: Ab diesem Zeitpunkt erfordert jede Regeländerung in der Organisation – Richtlinieneinstellungen, Sperren und Entsperren in jedem Workflow – eine unabhängige Genehmigung. Keine einzelne Person kann die Governance im Produkt mehr lockern.

Führe diesen Schritt als letzten durch, sobald alle Workflows, die du regeln möchtest, konfiguriert und gesperrt sind. Stelle zunächst sicher, dass eine Anfrage für Richtlinien verwalten auch ohne dich gestartet und genehmigt werden kann: eine Person, die sie starten kann, plus so viele weitere Mitglieder mit Genehmigungsrecht für Richtlinien verwalten, wie dieser Workflow erfordert – alle verifiziert und aktiv. Gesperrte Richtlinien bleiben nur so lange änderbar, wie dieser Weg besteht – das System prüft das nicht für dich. Informationen zum Verhalten dieser Sperre findest du unter Richtlinien, Genehmigungen und Governance.

Eine CFO möchte Auszahlungen selbst sofort abschließen, während jede Auszahlung der Fondsmanager ihrer Prüfung unterliegt.

Workflow-Profile:

Alle drei haben eine Kontorolle, die ihnen das Auszahlen auf den Betriebskonten erlaubt. Die Berechtigungsstufen in diesem Beispiel beziehen sich ausschließlich auf den Workflow „Auszahlungsanfrage". Das systemdefinierte Initiator-Profil gewährt außerdem Initiate für jeden anderen Workflow. Verwende ein benutzerdefiniertes Profil, wenn die Fondsmanager zwar Auszahlungen initiieren, aber keine anderen geregelten Vorgänge durchführen sollen.

Richtlinie für Auszahlungsanfragen: erforderliche Genehmigungen: 1, „Genehmigung immer erforderlich": AUS, Richtlinie gesperrt.

Das Ergebnis: Die Auszahlungen der CFO werden über Execute sofort ausgeführt. Die Auszahlung jedes Fondsmanagers wartet auf eine Genehmigung – in der Praxis die der CFO, da sie die einzige Genehmigerin ist. Niemand kann diese Regeln allein ändern, da die Richtlinie gesperrt ist.

Prüfe vor dem Sperren, ob eine Manage-Policies-Anfrage auch ohne die Person genehmigt werden kann, die sie stellt: Es müssen genügend Mitglieder mit Approve auf Manage Policies vorhanden sein, wie der Workflow es verlangt. Diese Mitglieder genehmigen künftige Richtlinienänderungen und Entsperranfragen. Das System prüft dies nicht für dich.

Nachträgliche Verschärfung. Entscheidet das Unternehmen, dass alle Auszahlungen – einschließlich der der CFO – geprüft werden müssen, erfolgt die Änderung über eine Richtlinienanfrage (unabhängige Genehmigung erforderlich, da die Richtlinie gesperrt ist):

1. Weise die Fondsmanager einem Profil mit Approve zu, damit sie sich gegenseitig und die CFO prüfen können.
2. Erhöhe die erforderlichen Genehmigungen auf 2.
3. Aktiviere „Genehmigung immer erforderlich".

Execute der CFO bleibt in ihrem Profil erhalten, ist aber inaktiv. Sollte das Unternehmen die Richtlinie jemals wieder lockern, steht ihr schneller Pfad wieder zur Verfügung, ohne dass Zugriffsrechte neu zugewiesen werden müssen.

Ein vierköpfiges Team im Workflow „Auszahlungsanfrage" – so wird die Genehmigungsberechtigung je Anfrage ermittelt:

Richtlinie: erforderliche Genehmigungen: 2, „Genehmigung immer erforderlich": EIN (Execute des Owners ist damit inaktiv).

• Withdrawal Request konfiguriert, validiert und gesperrt
• Transfer Request-Konfiguration festgelegt (direkter Pfad oder vollständige Genehmigung) und gesperrt
• Genehmigungsanforderungen für Manage Addresses gesetzt – die Whitelist schützt jede Auszahlung
• Richtlinien für Manage Team & Access und Manage API Keys gesetzt – Zugriffsänderungen und neue Anmeldedaten lassen sich so überprüfen
• Manage Policies mit Governance versehen und als abschließende Maßnahme die eigene Richtlinie gesperrt – die Regeln selbst sind damit geschützt
• Eine Manage Policies-Anfrage kann weiterhin ohne eine einzelne Person gestartet und genehmigt werden: jemand zum Starten sowie so viele weitere Mitglieder mit Approve-Recht, wie der Workflow erfordert – damit gesperrte Richtlinien änderbar bleiben
• Regelmäßige Zugriffsüberprüfung eingeplant, mithilfe von Sicherheitsereignissen