Compliance-Management-Plattform für regulierte Organisationen

Das Compliance-Modul war das anspruchsvollste der drei geplanten Module: Regelwerke, die einmal erfasst und in viele Mandanten kopiert werden, Kontrollen je Entität, Bewertungen mit Nachweis und Freigabe und ein Score, der sich von der Fundstelle bis zum Regelwerk neu berechnet. Der Kunde brauchte Entwickler, die diese Architektur durchgängig verantworten konnten.

Über das Talent-as-a-Service-Modell von Intelvision ergänzte er sein Produktteam um ein dediziertes Team und hielt das Modul im selben Release-Rhythmus wie den Rest der Plattform.

Intelvision platzierte ein dediziertes Team in der Produktgruppe des Kunden, mit Backend, Frontend, QA, Architektur und Business-Analyse. Das Team verantwortete den Compliance-Service vom Datenmodell bis zum Control Centre, folgte den Konventionen des Kunden und lieferte über dessen Pipeline aus.

Statt eines eigenständigen Werkzeugs wurde das Modul als einer von drei verbundenen Services auf dem gemeinsamen mandantenfähigen Datenmodell der Plattform gebaut. Compliance-Kontrollen sind so direkt mit den Risiken verknüpft, die sie mindern, und mit den Richtlinien, die sie belegen.

Die Lösung umfasste:

• Dedizierte Entwickler

  Entwickler mit Erfahrung im regulierten Umfeld, für die gesamte Dauer der Entwicklung eingebunden, keine Bank austauschbarer Freelancer.

• Regelwerk- und Kontroll-Engine

  Regelwerke mit Abschnitten, Grundsätzen und Fundstellen, Master-Kontrollen mit Klassifikation, Typ und Frequenz, eine Kontrolle je Entität und fünf Bewertungsaufgabentypen mit optionaler Freigabe.

• Nachweise und Live-Scoring

  Nachweise mit Revisionsdatum und Ablauf, ein Live-Score von der Fundstelle bis zum Regelwerk und je Entität sowie ein Control Centre für Sammelanfragen, Erinnerungen und Export.

• Fachwissen ab dem ersten Tag

  Intelvision wählte Entwickler aus, die bereits regulierte Abläufe gebaut hatten. Der Kunde verbrachte seine ersten Sprints daher nicht damit, dem Team zu erklären, was eine Fundstelle oder eine Master-Kontrolle ist.

  • Architekturverantwortung

    das Team entwarf die Regelwerkhierarchie, die gemeinsamen Content-Packs und die Worker-Services für Regelwerkkopie, Kontrollerzeugung und Nachweisabgleich.

  • Die Konventionen des Kunden

    Clean Architecture, DDD und CQRS wie auf der gesamten Plattform, mit Azure-B2C-Authentifizierung und den bestehenden Rollen der Plattform.

  • Ein eigener Service

    eigene API und eigene Delivery-Pipeline, parallel zu den Risiko- und Richtlinien-Services ausgeliefert.

  • Qualitäts-Gate

    automatisierte Tests und SonarCloud; geänderter Code muss über 80 % Abdeckung erreichen.

• Vom Regelwerk zu lebenden Kontrollen

  Ein Regelwerk wird einmal erfasst und von einem Worker-Service in jeden Mandanten kopiert. Jede Master-Kontrolle trägt Klassifikation, Typ und Frequenz und erzeugt eine Kontrolle für jede Entität oder Entitätsgruppe, sodass eine neue Entität ihre Pflichten automatisch erbt. Fünf Bewertungsaufgabentypen decken die verschiedenen Fragen ab, die eine Kontrolle stellen kann, jede mit optionaler Freigabe, und über das Control Centre fordert eine Compliance-Leitung Bewertungen gesammelt an, mahnt sie mit eigenen Erinnerungen an und exportiert das Ergebnis.

• Nachweise, die nicht veralten können

  Jeder Nachweis hat ein Revisionsdatum und einen Ablauf. Läuft er ab, setzt ein Hangfire-Job die Kontrolle auf nicht konform und informiert den Verantwortlichen, sodass zwischen den Audits nichts still verfällt. Eine gespeicherte PostgreSQL-Funktion berechnet den Score von jeder Fundstelle bis zu ihrem Regelwerk und über Entitäten hinweg neu. Die Zahl auf dem Bildschirm bleibt so aktuell, ohne nächtlichen Batch oder manuelles Aufrollen vor dem Besuch des Prüfers.