Richtlinien, Genehmigungen und Governance

Jeder kontrollierte Vorgang folgt demselben Ablauf – unabhängig davon, ob Einlagen bewegt oder Einstellungen der Organisation geändert werden:

1 – Initiierung. Ein Mitglied, dessen Workflow-Profil die Berechtigung „Initiieren" (oder „Ausführen") für den Workflow enthält, stellt eine Anfrage. Bei Auszahlungen und Überweisungen benötigen sie außerdem die passende Berechtigung zur Einlagenbewegung für die betreffenden Konten.

2 – Sofortabschluss-Prüfung. Verfügt das Mitglied über die Berechtigung „Ausführen" und ist die Workflow-Einstellung „Genehmigung immer erforderlich" deaktiviert, wird die Anfrage sofort abgeschlossen. Erledigt. Eine Ausnahme: Eine Anfrage, die eine gesperrte Richtlinie ändert, wartet unabhängig von den Berechtigungen des Antragstellers immer auf Genehmigung – siehe „Richtlinien sperren" weiter unten.

3 – Genehmigungswarteschlange. Andernfalls wartet die Anfrage auf Prüfung. Mitglieder mit der Berechtigung „Genehmigen" für diesen Workflow sehen die Anfrage in ihrer Warteschlange.

4 – Abschluss. Sobald die erforderliche Anzahl unabhängiger Genehmigungen erreicht ist, wird die Anfrage abgeschlossen und tritt in Kraft. Jeder einzelne Genehmiger kann die Anfrage stattdessen ablehnen – damit endet sie ohne Wirkung.

Abgeschlossene Anfragen werden als Sicherheitsereignisse erfasst und mit der Anfrage sowie dem Genehmigungsverlauf verknüpft.

Ein Mitglied kann seine eigene Anfrage nicht genehmigen. Das System erzwingt dies für jeden Workflow – keine Berechtigung, kein Profil und keine Richtlinienkonfiguration kann dies außer Kraft setzen.

Ein einzelnes Mitglied kann einen kontrollierten Vorgang nur dann allein abschließen, wenn es die Berechtigung „Ausführen" besitzt – und nur solange die Richtlinie des Workflows den Sofortabschluss zulässt.

Jede Workflow-Richtlinie verfügt über zwei Einstellungen:

Das Zusammenspiel von „Ausführen" und „Genehmigung immer erforderlich":

„Ausführen" wird durch eine Richtlinie nie entzogen – die Berechtigung bleibt im Profil erhalten und wird als inaktiv gekennzeichnet, solange „Genehmigung immer erforderlich" aktiviert ist. Sobald die Einstellung deaktiviert wird, ist sie wieder wirksam.

1. Gehe zu Richtlinien und wähle den Workflow aus (z. B. Auszahlungsanfrage).
2. Lege die erforderliche Anzahl an Genehmigungen fest.
3. Wähle, ob „Genehmigung immer erforderlich" EIN oder AUS ist.
4. Prüfe, wer aktuell welche Stufe in diesem Workflow innehat – der Richtlinien-Editor zeigt die Stufen des Teams neben den Einstellungen an, damit du die Konfiguration vor dem Speichern überprüfen kannst.
5. Bestätigen.

Richtlinienänderungen sind selbst geregelte Vorgänge im Workflow „Richtlinien verwalten". Wenn dieser Workflow eine Genehmigung erfordert, wartet deine Änderung wie jede andere Anfrage in der Warteschlange.

Jede Richtlinie führt außerdem ihren eigenen Änderungsverlauf: Jede Aktualisierung, jede Sperre und jede Entsperrung wird dort zusammen mit der zugehörigen Genehmigungsanfrage aufgeführt, sodass du jederzeit nachvollziehen kannst, was geändert wurde, wer die Anfrage gestellt hat und wer sie freigegeben hat. Abgeschlossene Änderungen werden ebenfalls als Sicherheitsereignisse erfasst.

Das Sperren ist der verbindliche Abschlussschritt der Governance. Jede künftige Änderung der Richtlinie dieses Workflows erfordert eine unabhängige Genehmigung – einschließlich der Änderung der Genehmigungsanzahl, der Einstellung „Genehmigung immer erforderlich" oder des Entsperrens.

Jede Richtlinienänderung wird als Anfrage unter „Richtlinien verwalten" ausgeführt – unabhängig davon, ob die betreffende Richtlinie gesperrt ist oder nicht. Die Sperre ändert nicht den Weg einer Änderung, sondern nur, wie sie abgeschlossen wird:

• Eine Änderung an einer entsperrten Richtlinie durchläuft den normalen Anfrageprozess. Ein Mitglied mit Execute-Berechtigung für „Richtlinien verwalten" schließt die Änderung sofort ab, solange die Einstellung „Genehmigung immer erforderlich" für diesen Workflow auf AUS steht.
• Eine Änderung an einer gesperrten Richtlinie – die Genehmigungsanzahl, die Einstellung „Genehmigung immer erforderlich" oder das Entsperren – wartet stets auf die Überprüfung durch Mitglieder mit Approve-Berechtigung für „Richtlinien verwalten". Die Sperre setzt Execute für diese eine Richtlinie außer Kraft und gilt für alle gleichermaßen: Die Änderungen des Inhabers durchlaufen dieselbe Überprüfung wie die aller anderen.

Nach dem Sperren kann keine einzelne Person die Governance des Workflows alleine abschwächen. Änderungen bleiben Routine – jedes Mitglied, dessen Workflow-Profil eine Genehmigung für „Richtlinien verwalten" gewährt, kann sie prüfen und freigeben. Es sind jedoch stets mindestens zwei Personen erforderlich.

Die Sperre gilt jeweils für einen einzelnen Workflow. Das Sperren einer Auszahlungsanfrage hat keine Auswirkungen auf Überweisungsanfragen oder andere Workflows – du verschärfst einen Workflow nach dem anderen, in deinem eigenen Tempo. Die empfohlene Vorgehensweise findest du unter Governance einführen.

Sperren und Entsperren sind ebenfalls Anfragen

Im Workflow „Richtlinien verwalten" gibt es drei Arten von Anfragen. Du siehst sie in der Genehmigungswarteschlange, im Änderungsverlauf der jeweiligen Richtlinie und in den Sicherheitsereignissen:

Das Sperren unterliegt denselben Regeln wie alle anderen Anfragen: Eine Sperranfrage durchläuft denselben Lebenszyklus wie jede andere Anfrage unter „Richtlinien verwalten". Wenn du Execute-Berechtigung für „Richtlinien verwalten" hast und die Einstellung „Genehmigung immer erforderlich" auf AUS steht, tritt die Sperre sofort in Kraft. Andernfalls wartet sie in der Warteschlange, und die Richtlinie bleibt entsperrt, bis die Anfrage genehmigt wurde.

Wie eine Richtlinienänderung abgeschlossen wird

Im Überblick – so wird jede Anfrage unter „Richtlinien verwalten" abgeschlossen:

Zwei Möglichkeiten, Richtlinienänderungen zu steuern

Die beiden Steuerungsmechanismen ergänzen sich und stehen nie im Konflikt: Wo auch immer einer von beiden greift, wartet die Änderung auf Genehmigung – beide gleichzeitig zu aktivieren ändert daran nichts. Verwende die Sperre für schrittweise Verschärfungen; verwende die Einstellung in Manage Policies, wenn alle Richtlinienänderungen auf einmal geprüft werden sollen.

Manage Policies selbst sperren

Manage Policies ist ein Workflow wie jeder andere: Er hat eine eigene Richtlinie, und diese Richtlinie hat eine eigene Sperre. Das Sperren ist der abschließende Schritt eines Governance-Rollouts. Sobald die Manage-Policies-Richtlinie gesperrt ist, erfordert jede Regeländerung innerhalb der Organisation – einschließlich der Entsperrung einzelner Richtlinien und der Entsperrung von Manage Policies selbst – eine unabhängige Genehmigung. Ab diesem Punkt kann keine einzelne Person die Governance über das Produkt lockern.

Stelle daher sicher, dass der Entsperrungsweg funktioniert, bevor du sperrst – wie im Abschnitt „Schutzmaßnahmen" weiter unten beschrieben. Das Produkt hindert dich nicht daran, eine Richtlinie in einen Zustand zu sperren, den niemand mehr ändern kann. Wann du diesen Schritt durchführen solltest, erfährst du unter Governance einführen.

Bestätige vor dem Sperren, dass die Entsperrung weiterhin möglich ist. Das Entsperren ist eine Anfrage zur Richtlinienverwaltung für eine gesperrte Richtlinie – Ausführen kann diesen Schritt daher nicht überspringen. Du benötigst ein Mitglied, das eine Anfrage zur Richtlinienverwaltung starten kann, sowie so viele weitere Mitglieder mit der Berechtigung Genehmigen auf Richtlinien verwalten, wie dieser Workflow voraussetzt – alle verifiziert und aktiv. Das System prüft das nicht für dich. Eine gesperrte Richtlinie ohne Möglichkeit zur genehmigten Änderung kann nur mit Hilfe von Kraken Support wiederhergestellt werden.

Schutz vor Aussperrung. Eine Änderung wird abgelehnt, wenn danach niemand mehr die Anfragen in diesem Workflow abschließen könnte. Da Mitglieder ihre eigenen Anfragen nicht genehmigen können, tritt dies ein, sobald die erforderliche Anzahl das übersteigt, was ein einzelner Initiator für seine eigenen Anfragen erreichen kann. Die Prüfung erfolgt auf beiden Seiten: beim Bearbeiten einer Richtlinie sowie beim Ändern eines Workflow-Profils oder einer Kontorolle eines Mitglieds.

Warnung bei Deaktivierung. Stelle sicher, dass genügend Mitglieder mit der Berechtigung Genehmigen verfügbar sind, bevor du ein solches Mitglied deaktivierst. Die Deaktivierung wird auch dann durchgeführt, wenn die erforderliche Genehmigungsanzahl für einen Workflow dadurch unterschritten wird. Ausstehende Anfragen bleiben an den Schwellenwert gebunden, der zum Zeitpunkt ihrer Erstellung galt.

Sobald die Richtlinien sinnvoll konfiguriert sind, führt dich Governance einführen durch die sichere Einführung: konfigurieren, validieren, dann sperren – einen Workflow nach dem anderen, mit praktischen Beispielen.

„Genehmigung immer erforderlich" ist für diesen Workflow aktiviert. Execute ist inaktiv, solange die Einstellung aktiviert ist – jede Anfrage wird zur unabhängigen Genehmigung in die Warteschlange eingereiht. Um die sofortige Ausführung wiederherzustellen, deaktiviere die Einstellung unter Richtlinien – beachte, dass es sich dabei um eine Aktion unter Richtlinien verwalten handelt, die selbst genehmigungspflichtig sein kann.

Handelt es sich bei der betreffenden Anfrage um eine Richtlinienänderung, prüfe auch die Zielrichtlinie: Änderungen an einer gesperrten Richtlinie warten grundsätzlich auf Genehmigung, unabhängig von Execute. Die Sperre funktioniert damit wie vorgesehen.

Das Sperren ist selbst eine Richtlinien verwalten-Anfrage. Wenn „Genehmigung immer erforderlich" für Richtlinien verwalten aktiviert ist oder dein Workflow-Profil dort nicht über Execute verfügt, wartet die Sperre wie jede andere Anfrage auf eine unabhängige Genehmigung. Die Richtlinie bleibt entsperrt, bis die Sperranfrage genehmigt wurde – du findest sie in der Genehmigungswarteschlange sowie nach Abschluss im Änderungsverlauf der Richtlinie.

Zähle die aktiven Mitglieder mit Approve für diesen Workflow, dich selbst ausgenommen. Nur Mitglieder, die ihre Einladung angenommen und die Verifizierung abgeschlossen haben, zählen für Genehmigungen: Ein eingeladenes Mitglied zählt erst, wenn beides erledigt ist – auch wenn es bereits in der Teamliste erscheint. Wurde ein genehmigendes Mitglied nach Erstellung der Anfrage deaktiviert, erreichen die verbleibenden Genehmigenden möglicherweise nicht mehr die erforderliche Anzahl – eine ausstehende Anfrage hält am Schwellenwert fest, der zum Zeitpunkt ihrer Erstellung galt, auch wenn die Richtlinie seitdem geändert wurde. Reaktiviere das Mitglied oder weise einem anderen aktiven Mitglied Approve zu, um die Blockierung aufzuheben.

Prüfe dein Workflow-Profil: Das Sperren erfordert Initiate oder Execute für den Workflow Richtlinien verwalten. Wurde die Sperranfrage erstellt, ohne dass sich etwas geändert hat, wartet sie auf Genehmigung und wurde nicht abgelehnt – siehe den Eintrag oben.

Das System lehnt eine Sperre nicht ab, weil ein unabhängiger Genehmigender fehlt – prüfe daher den Entsperrungsweg selbst, bevor du sperrst: ein Mitglied, das eine Richtlinien verwalten-Anfrage starten kann, plus so viele weitere Mitglieder mit Approve für Richtlinien verwalten, wie der Workflow erfordert.

Die erforderlichen Genehmigungen übersteigen, was ein Mitglied, das Anfragen stellt, für seine eigenen Anfragen erreichen kann – da niemand seine eigene Anfrage genehmigen darf. Der Richtlinien-Editor benennt die Ursache: Ein oder mehrere Mitglieder verfügen sowohl über Initiate als auch über Approve – bei eigenen Anfragen steht ihnen damit jeweils ein Genehmigender weniger zur Verfügung. Reduziere die erforderliche Anzahl an Genehmigungen oder weise Approve einem anderen Mitglied zu, das für diesen Workflow keine Anfragen stellt.