Wenn Kundenunterlagen, Lieferantennachweise, Arbeitsanweisungen und neue regulatorische Vorgaben gleichzeitig auf dem Tisch liegen, fehlt oft der klare Überblick: Was erfüllen wir bereits, wo bestehen Risiken und was muss zuerst passieren? Genau hier setzt die Frage an: Wie läuft ein Compliance Gap Assessment ab? Es schafft eine belastbare Entscheidungsgrundlage, bevor aus einer offenen Anforderung ein Auditbefund, ein Haftungsrisiko oder unnötige Nacharbeit wird.
Ein Gap Assessment ist keine Übung für den Aktenordner. Richtig durchgeführt, verbindet es Anforderungen aus Gesetzen, Normen, Verträgen oder internen Regeln mit dem tatsächlichen Betriebsalltag. Für kleine und mittelständische Unternehmen ist das besonders wertvoll: Ressourcen sind begrenzt, Verantwortlichkeiten oft breit verteilt und Verbesserungen müssen im Tagesgeschäft funktionieren.
Was ein Compliance Gap Assessment leistet
Der Begriff „Gap“ steht für eine Lücke zwischen Soll und Ist. Das Soll bilden die für das Unternehmen relevanten Anforderungen. Das können beispielsweise Vorgaben aus der ISO 9001, dem Datenschutz, Arbeitsschutz, Kundenverträgen oder bei eingesetzten KI-Systemen aus dem AI Act sein. Das Ist beschreibt, was im Betrieb nachweisbar gelebt wird: Prozesse, Zuständigkeiten, Dokumente, Schulungen, technische Einstellungen und Kontrollen.
Das Ergebnis ist nicht einfach eine lange Liste möglicher Mängel. Ein gutes Assessment beantwortet drei praktische Fragen: Welche Anforderungen gelten konkret für uns? Wie ist der aktuelle Erfüllungsgrad? Welche Maßnahmen reduzieren das größte Risiko mit vertretbarem Aufwand?
Dabei ist Augenmaß gefragt. Nicht jede Abweichung ist gleich kritisch. Fehlt etwa eine formale Freigabe in einer Verfahrensanweisung, kann das überschaubar sein. Werden dagegen personenbezogene Daten unkontrolliert verarbeitet oder wird ein KI-System ohne ausreichende Prüfung in einem sensiblen Bereich genutzt, besteht deutlich dringenderer Handlungsbedarf.
Wie läuft ein Compliance Gap Assessment ab?
Der Ablauf folgt einer klaren Struktur, wird aber an Größe, Branche und Risikolage des Unternehmens angepasst. Ein Handwerksbetrieb mit 25 Beschäftigten braucht keine Konzernbürokratie. Er braucht nachvollziehbare Abläufe, eindeutige Verantwortlichkeiten und Nachweise, die sich ohne unnötigen Aufwand pflegen lassen.
1. Umfang und Prüfungsmaßstab festlegen
Am Anfang steht ein gemeinsames Scoping. Hier wird geklärt, welche Unternehmensbereiche, Standorte, Prozesse oder Anwendungen untersucht werden. Ebenso wichtig ist der Prüfungsmaßstab: Geht es um die Vorbereitung auf eine ISO-Zertifizierung? Um Anforderungen eines Großkunden? Um Datenschutz und KI-Compliance? Oder um eine Bestandsaufnahme über mehrere Themenfelder hinweg?
Ohne diese Eingrenzung wird ein Assessment schnell zu breit und verliert an Wirkung. Sinnvoll ist daher eine Anforderungsliste, die nur die tatsächlich relevanten Pflichten enthält. Bei KI-Anwendungen gehört dazu beispielsweise zunächst die Frage, welche Tools überhaupt im Einsatz sind, wer sie nutzt und für welchen Zweck. Ein Textassistent für allgemeine Entwürfe ist anders zu bewerten als eine Anwendung, die Personalentscheidungen vorbereitet oder Kunden priorisiert.
2. Informationen und Nachweise zusammentragen
Danach wird der Ist-Zustand erhoben. Dazu gehören Richtlinien, Prozessbeschreibungen, Verträge, Auditberichte, Schulungsnachweise, Verzeichnisse, Freigaben und technische Dokumentationen. Dokumente allein reichen jedoch nicht aus. Ein Prozess kann hervorragend beschrieben sein und trotzdem im Alltag anders ablaufen.
Deshalb werden in einem fundierten Gap Assessment auch Gespräche mit den verantwortlichen Personen geführt. Die Geschäftsführung liefert den Blick auf Risiken, Prioritäten und Ressourcen. Fachverantwortliche erklären die operative Umsetzung. Mitarbeitende aus Arbeitsvorbereitung, Produktion, Verwaltung oder IT zeigen, wo Abläufe in der Praxis stocken oder informelle Lösungen entstanden sind.
Gerade in kleineren Betrieben liegt wertvolles Wissen häufig bei einzelnen Personen. Das Assessment macht sichtbar, ob dieses Wissen ausreichend abgesichert ist oder ob bei Urlaub, Krankheit oder Personalwechsel eine kritische Lücke entsteht.
3. Soll und Ist systematisch vergleichen
Nun erfolgt der eigentliche Abgleich. Jede relevante Anforderung wird einem vorhandenen Nachweis und der gelebten Praxis gegenübergestellt. Der Status kann etwa als erfüllt, teilweise erfüllt, nicht erfüllt oder nicht anwendbar bewertet werden. Entscheidend ist, die Bewertung verständlich zu begründen.
Ein Beispiel aus dem Qualitätsmanagement: Eine Reklamation wird zwar bearbeitet, aber Ursachen werden nicht einheitlich analysiert und Verbesserungsmaßnahmen nicht auf Wirksamkeit geprüft. Die Anforderung ist dann nicht vollständig erfüllt. Das Gap liegt nicht darin, dass niemand reagiert, sondern darin, dass der Prozess keine verlässliche Wiederholungsprävention sicherstellt.
Bei KI-Compliance kann eine Lücke entstehen, wenn Mitarbeitende externe KI-Tools nutzen, es aber weder eine Nutzungsregel noch eine Prüfung von Datenarten, Anbieterbedingungen und Einsatzrisiken gibt. Ein pauschales Verbot ist nicht immer die beste Lösung. Häufig ist ein klar geregelter, risikoangemessener Einsatz wirtschaftlicher und für die Belegschaft besser umsetzbar.
4. Risiken bewerten und Prioritäten setzen
Nach dem Abgleich folgt die Priorisierung. Dabei werden nicht nur die Anzahl der Lücken, sondern auch mögliche Auswirkungen bewertet: rechtliche Folgen, Folgen für Kundenbeziehungen, Sicherheitsrisiken, finanzielle Schäden, Reputationsverluste und Risiken für die Betriebsfähigkeit.
In der Praxis bewährt sich eine einfache Bewertung nach Eintrittswahrscheinlichkeit, Schadenshöhe und Dringlichkeit. Zusätzlich sollte der Umsetzungsaufwand betrachtet werden. Manche Lücken lassen sich schnell schließen, etwa durch klarere Zuständigkeiten oder eine fehlende Schulungsdokumentation. Andere benötigen Prozessänderungen, technische Anpassungen oder Entscheidungen der Geschäftsführung.
Wichtig ist die Reihenfolge: Zuerst werden kritische Risiken abgesichert. Danach folgen Maßnahmen, die wiederkehrende Fehler vermeiden oder mehrere Anforderungen gleichzeitig abdecken. Wer zunächst an Formulierungen feilt, während wichtige Kontrollen fehlen, investiert Zeit an der falschen Stelle.
Der Maßnahmenplan macht aus Erkenntnissen Fortschritt
Ein Assessment endet nicht mit einem Bericht. Sein Wert entsteht erst durch einen umsetzbaren Maßnahmenplan. Für jede priorisierte Lücke sollten Maßnahme, Verantwortliche, Termin, benötigte Ressourcen und ein überprüfbares Erfolgskriterium festgelegt werden.
Aus „Datenschutz verbessern“ wird dann zum Beispiel: Verantwortliche prüfen bis zu einem festgelegten Termin die eingesetzten Tools, dokumentieren die Datenflüsse und führen für betroffene Mitarbeitende eine Unterweisung durch. Aus „Reklamationsprozess optimieren“ wird eine konkrete Regelung für Ursachenanalyse, Maßnahmenfreigabe und Wirksamkeitskontrolle.
Die Maßnahmen müssen zum Betrieb passen. Ein umfangreiches Regelwerk hilft nicht, wenn es niemand nutzt. Umgekehrt genügt eine mündliche Absprache nicht, wenn ein Kunde, Auditor oder die Geschäftsführung einen belastbaren Nachweis benötigt. Gute Compliance verbindet einfache Anwendung mit prüfbarer Dokumentation.
Besonderheit: Gap Assessments für KI-Compliance
Bei KI-Systemen verändert sich der Prüfungsgegenstand schneller als bei vielen klassischen Managementthemen. Neue Werkzeuge werden oft dezentral eingeführt, etwa durch einzelne Abteilungen oder Mitarbeitende. Daher beginnt ein KI-bezogenes Gap Assessment meist mit einer ehrlichen Inventur: Welche KI-Anwendungen sind bekannt, welche Daten werden eingegeben, welche Ergebnisse beeinflussen Entscheidungen und welche externen Anbieter sind beteiligt?
Anschließend werden Rollen und Pflichten geprüft. Je nach Einsatz kann ein Unternehmen Nutzer, Betreiber, Anbieter oder in einer anderen Rolle betroffen sein. Daraus ergeben sich unterschiedliche Anforderungen an Risikomanagement, Dokumentation, Transparenz, menschliche Aufsicht und Schulung. Ob und in welchem Umfang diese Pflichten greifen, hängt vom konkreten System und seinem Verwendungszweck ab.
Für viele mittelständische Unternehmen ist nicht die komplizierteste Rechtsfrage der erste Engpass, sondern fehlende Transparenz. Wer die eingesetzten Anwendungen nicht kennt, kann weder Risiken bewerten noch sinnvolle Regeln aufstellen. Eine strukturierte Bestandsaufnahme schafft hier schnell Klarheit.
Typische Fehler, die den Nutzen schmälern
Ein häufiger Fehler ist, Compliance nur als Dokumentationsprojekt zu behandeln. Dadurch entstehen Unterlagen, die im Arbeitsalltag nicht angewendet werden. Ebenso problematisch ist es, jede theoretische Anforderung gleich zu behandeln. Das erzeugt unnötigen Aufwand und verdeckt die wirklich kritischen Themen.
Auch fehlende Beteiligung ist riskant. Wenn die Personen, die Prozesse täglich ausführen, erst nach Abschluss des Assessments davon erfahren, bleiben praktische Hürden unberücksichtigt. Besser ist es, Verantwortliche früh einzubinden und Maßnahmen so zu gestalten, dass sie im Betrieb akzeptiert werden.
Ein Compliance Gap Assessment schafft keine Sicherheit auf Dauer, wenn es einmalig bleibt. Neue Kundenanforderungen, geänderte Prozesse, Personalwechsel oder neue KI-Tools können die Bewertung schnell verändern. Deshalb sollte der Maßnahmenplan feste Prüfpunkte enthalten, etwa im Managementreview, bei internen Audits oder vor der Einführung neuer Anwendungen.
Wer die Ergebnisse nicht als Mängelliste, sondern als Arbeitsplan für bessere Abläufe nutzt, gewinnt mehr als Regelkonformität: weniger Reibung, klarere Verantwortlichkeiten und eine verlässlichere Grundlage für Wachstum. Gerade dort, wo Zeit knapp ist, lohnt sich ein pragmatischer Start mit den Risiken, die den Betrieb tatsächlich treffen können.
