Governance-Software, Europa

Auditfähiges Risikoregister für eine Governance-SaaS

Eine europäische Governance-Plattform, mit der regulierte Organisationen ihr Risikoregister, ihre Richtlinien und ihre Compliance-Kontrollen aus einem geprüften Datenbestand führen statt aus verstreuten Tabellen.

80%+Testabdeckung auf neuem Code

Screens des Risikoregisters: Heatmap, terminierter Bewertungszyklus und Alarm bei steigendem Score

Über das Unternehmen

Governance-Software
Europa
Mandantenfähige SaaS
Hosting in der EU

Der Kunde entwickelt Governance-Software für Organisationen, die einer Aufsichtsbehörde, einer Mitgliedschaft oder der Öffentlichkeit Rechenschaft schulden, darunter Finanzdienstleister. Seine Plattform führt Risikoregister, Richtlinienbibliothek und Compliance-Kontrollen in einem mandantenfähigen System, gehostet in der EU. Der Prüfpfad entsteht so als Nebenprodukt der täglichen Arbeit und nicht als Projekt vor jeder Prüfung.

Eckdaten

Zeit bis zur Besetzung: 3 Wochen
Kernteam: 1 Backend-Entwickler, 1 Frontend-Entwickler, 1 QA-Engineer, 1 Architekt / Tech Lead, 1 BA / PM
Dauer: über 5 Jahre
Tech-Stack: .NET 10 (C#), ASP.NET Core Web API, EF Core 10 with Npgsql, MediatR (CQRS), FluentValidation, PostgreSQL, Hangfire, Angular 21, TypeScript, PrimeNG, d3, ClosedXML, SendGrid, Azure B2C, Cloud: Azure (App Service, Blob Storage, Key Vault, Application Insights), CI/CD: Azure Pipelines, SonarCloud, Docker, NUnit, Moq, FluentAssertions, Vitest, Playwright

Projektüberblick

Der Kunde wollte die Risikoverfolgung in Tabellen durch ein lebendes Register ersetzen, das nach eigenem Prüfplan läuft und die vollständige Historie jeder Bewertung behält. Statt dauerhaft spezialisierte Entwickler einzustellen, entschied er sich für das Talent-as-a-Service-Modell von Intelvision und ergänzte sein Produktteam um ein dediziertes Team.

So konnte der Kunde das Risikomodul auf seiner bestehenden mandantenfähigen Plattform ausliefern, Rollen und Hintergrundjobs wiederverwenden und seinen Release-Rhythmus halten, während das neue Modul entstand.

Herausforderungen

Fachkräftemangel im regulierten Umfeld
Ein Risikomodul braucht Entwickler, die Bewertungszyklen, inhärente und residuale Scores und Prüfnachweise verstehen. Diese Mischung aus Fach- und Engineering-Wissen ist selten und dauerhaft nur langsam zu besetzen. Der Kunde brauchte das Know-how im Produktteam, ohne einen langen Rekrutierungszyklus abzuwarten.
Risiken in Tabellen ohne Historie
Die Kunden des Anbieters verfolgten Risiken in Tabellen, ohne festzuhalten, wie sich ein Score veränderte oder wer gehandelt hatte. Ohne terminierten Prozess rutschten Reviews, und die Exposition veraltete zwischen zwei Audits. Aufsichtsbehörden erwarten zunehmend einen nachvollziehbaren Prüfpfad, den eine Tabelle nicht liefern kann.
Komplexe Risikomodellierung
Jedes Risiko brauchte inhärente, residuale und Zielstufen, Velocity, Risikoappetit und verknüpfte Kontrollen, wobei jede Bewertung als eigener Zyklus gespeichert wird. Aus einem Master-Risiko ein Risiko je Entität zu erzeugen, über viele Mandanten hinweg, machte konsistente Scores und Zeitpläne zu einer anspruchsvollen Datenmodellaufgabe.

Lösung

Intelvision setzte sein Talent-as-a-Service-Modell ein. Ein dediziertes Team schloss sich dem Produktteam des Kunden an und arbeitete in dessen Backlog, Tools und Release-Prozess. Das Team deckte Backend, Frontend, QA, Architektur und Analyse ab, sodass das Modul von der Anforderung bis zum Release kam, ohne dass der Kunde festes Personal einstellen musste.

Das Team baute auf der bestehenden Plattform statt daneben. Das Risikomodul nutzt die mandantenfähige Architektur, die Rollen und die Hintergrundjob-Plattform wieder und teilt ein Datenmodell mit Richtlinien und Kontrollen.

Die Lösung umfasste:

Dedizierte Entwickler
ein dediziertes Team für Backend, Frontend, QA, Architektur und Analyse, eingebunden in die Produktgruppe des Kunden und an dessen Konventionen und Release-Ablauf ausgerichtet.
Risikoregister und Bewertungs-Engine
ein lebendes Register mit inhärenten, residualen und Zielstufen, terminierten vierstufigen Review-Zyklen und der vollständigen Historie jeder Bewertung.
Transparenz und Reporting
eine filterbare Heatmap, Alarme bei steigenden Scores, ein Excel-Importassistent und PDF-Berichte für das Audit.

Was Sie erwartet

Kundenanfrage
NDA
Prüfung der Entwickler-Lebensläufe
Interviews mit Entwicklern
Finales Angebot
Vertragsunterzeichnung
Onboarding und Kick-off

Wie wir die Herausforderungen gelöst haben

Eingebundenes Spezialistenteam
Intelvision platzierte Entwickler mit Erfahrung in der Governance-Domäne direkt im Produktteam des Kunden. Das Modul wurde so von Menschen gebaut, die regulierte Abläufe bereits kannten.
- Volle Abdeckung
  Backend, Frontend, QA, Architektur und Analyse als ein Team.
- Passung zum Produktteam
  die Entwickler folgten Architektur, Konventionen und Release-Ablauf des Kunden, statt daneben zu bauen.
- Eingebaute Qualität
  der Service läuft mit automatisierten Tests und einem SonarCloud-Gate; geänderter Code muss über 80 % Abdeckung erreichen.
- Keine Einstellungsverzögerung
  das Team lieferte ohne dauerhaften Rekrutierungszyklus.
Ein Register, das nach Plan läuft
Master-Risiken erzeugen ein Risiko je Entität oder Entitätsgruppe, und Hangfire terminiert Review-Zyklen in jeder Frequenz von wöchentlich bis alle drei Jahre. Jedes Review wird als eigener Zyklus mit inhärentem und residualem Score gespeichert, sodass die Historie vollständig ist, ohne dass jemand Notizen führt. Alarme lösen aus, wenn sich ein Score verschlechtert, und der Excel-Importassistent überführt ein bestehendes Tabellenregister mit Validierung ins System.
Ein verbundenes Datenmodell
Risiken wurden zusammen mit Richtlinien und Kontrollen auf dem gemeinsamen mandantenfähigen Datenmodell der Plattform modelliert, sodass ein Risiko mit den Kontrollen verknüpft ist, die es mindern. Ein über die CQRS-Pipeline geschriebenes Historienprotokoll hält jede Statusänderung und jede Aktion fest. Jeder Datensatz trägt seinen Mandanten, was die Daten der Kunden getrennt hält, und PDF-Berichte liefern Prüfern auf Abruf die Heatmap, ein einzelnes Risiko oder dessen vollständige Historie.

Projektfunktionen

Risikoregister mit inhärenter, residualer und Zielstufe nach Auswirkung und Wahrscheinlichkeit
Master-Risiken zur Erzeugung eines Risikos je Entität oder Entitätsgruppe
Terminierte Bewertungszyklen für Reviews von wöchentlich bis alle drei Jahre
Vierstufiger Bewertungsablauf: inhärenter Score, verknüpfte Kontrollen, residualer Score und Reaktion
Risiko-Heatmap mit inhärenter, residualer oder kombinierter Sicht, nach Entität filterbar
Reaktionsstrategien nach Standardmodell oder den 4Ts mit editierbaren Namen
Risikomaßnahmen und Assurance-Notizen für Minderungsaufgaben und Prüfnachweise
Alarme bei steigendem Risiko zur Benachrichtigung der Verantwortlichen
Excel-Importassistent zum Laden eines bestehenden Registers mit Validierung
PDF-Berichte für die Heatmap, ein einzelnes Risiko und dessen Historie
Risikohistorie als nachvollziehbares Protokoll jeder Änderung
Hangfire-Jobs für Aufgabenerzeugung, nächste Ausführung und Überfälligkeitsprüfung
Automatisierte Tests und SonarCloud-Gate für über 80 % Abdeckung auf neuem Code
Eingebundenes dediziertes Team für die Lieferung ohne Einstellungskosten