MaRisk AT 5 · FINMA-RS 2017/1/2 · BaFin-Aufsichtsprüfung · Interne Revision · ISO 27001 (angelehnt) · DORA Art. 5

Ihre schriftlich fixierte Ordnung – versioniert, freigegeben, revisionssicher.

Demo vereinbaren Angebot zum Modul anfragen

Avalon Policy Library führt alle steuernden Dokumente Ihrer Organisation – Policies, Strategien, Richtlinien und Arbeitsanweisungen – an einem zentralen, zugriffsgeschützten Ort zusammen. Statt verstreuter Word- und PDF-Dateien auf Netzlaufwerken erhält jedes Regelwerk einen klaren Dokumenttyp, eine Vertraulichkeitsklassifizierung, eine vollständige Versionshistorie und einen kontrollierten Freigabe-Lebenszyklus im Vier-Augen-Prinzip – mit lückenlosem, unveränderlichem Nachweis für Aufsicht und Interne Revision.

Eine Richtlinie tritt erst in Kraft, wenn sie den festen Freigabe-Korridor durchlaufen hat – in dem der Einreicher nie sein eigener Freigeber sein kann und jede Fassung erhalten und belegbar bleibt.

Im Kern

Drei Gründe für die Avalon Policy Library

Eine einzige verlässliche Quelle für alle Policies, Strategien, Richtlinien und Arbeitsanweisungen – jede Version bleibt erhalten, nichts wird überschrieben.

Jede Freigabe läuft im Vier-Augen-Prinzip und ist lückenlos nachweisbar – der Nachweis für Aufsicht und Interne Revision entsteht aus Version, Freigabekette und Audit-Log.

Klar getrennte Rollen und Vertraulichkeitsstufen stellen sicher, dass nur Berechtigte sensible Regelwerke einsehen, bearbeiten oder freigeben.

KI-Arbeitsmodell

KI bereitet vor. Menschen führen.

Jedes Modul bleibt klassisch bedienbar. Wenn KI aktiviert ist, übernimmt sie operative Vorbereitung und Verdichtung: Vorbefüllungen, Zuordnungen, Zusammenfassungen und Review-Queues. Verantwortliche Rollen prüfen Qualität, treffen die Entscheidung und geben den Nachweis frei.

Was sich im Arbeitsalltag ändert

Weniger manuelle Vorbefüllung, Kopieren und Konsolidieren.
Schnellere Durchläufe, weil Fachrollen vorbefüllte Arbeitsentwürfe statt leere Masken sehen.
Mehr Ressourcen für Steuerung, Qualitätssicherung und prüffähige Entscheidung.

Operative Vorarbeit

KI befüllt definierte Assessment- und Workflow-Felder vor, entwirft Zuordnungen, Texte oder Report-Bausteine und legt Quellen, Begründung und Konfidenz offen.

Menschliche Qualitätssicherung

Fachrollen prüfen, korrigieren, bündeln oder verwerfen. Freigaben, Overrides und rechtlich relevante Entscheidungen bleiben menschlich.

Auditierbarer Nachweis

Input, Vorbefüllung oder Entwurf, Entscheidung, Begründung und Version werden protokolliert. Der Effizienzgewinn kommt ohne Kontrollverlust.

Interessentenperspektive

Für wen dieses Modul gebaut ist

Primär: Compliance-Officer und Verantwortliche für die schriftlich fixierte Ordnung, die aktuelle, freigegebene und revisionssicher nachweisbare Regelwerke führen müssen. Sekundär: CISO und Fachbereichs-Owner für Informationssicherheits- und Arbeitsanweisungen, Interne Revision für Versionierungs-, Freigabe- und Funktionstrennungsnachweise, Vorstand/Geschäftsführung als verantwortliche Freigabeinstanz sowie Technical Admins, die Rollen und Vertraulichkeitszugriffe sauber vergeben.

MaRisk · AT 5

Was heute bremst

Unklar

Regelwerke verstreut über Netzlaufwerke – welche Fassung gerade gilt, sagt niemand sicher.

Ungetrennt

Freigaben ohne Funktionstrennung – Einreicher und Freigeber fallen zusammen.

Lückenhaft

Kein belastbarer Beleg, wer eine Richtlinie wann und mit welcher Begründung in Kraft gesetzt hat.

Avalon-Kern

einreicher ≠ freigeber · jede fassung belegt

Der Freigabe-Korridor

Einreicher ≠ Freigeber — sonst kein Weg nach rechts

Jede Version durchläuft einen festen Statusfluss, der eine Funktionstrennungs-Lücke physisch überqueren muss. Wer einreicht, kann nicht selbst freigeben — das Vier-Augen-Prinzip ist als Form erzwungen, nicht nur empfohlen.

Policy-Lebenszyklus

EinreicherU-204

Lane oben

EntwurfST-1

In PrüfungST-2

FreigegebenST-3

VeröffentlichtST-4

Vier-Augen · wartet auf zweite Person

Lane unten

U-118Freigeber

Funktionstrennung erzwungen · Einreicher U-204 ≠ Freigeber U-118

08:42 · Freigabe erteilt · U-118 · Vier-Augen ok

Beispieldaten · Illustration

Versionsvergleich

Abschnitts-Diff v2.0 → v2.1

+Abschnitt 4.3 — Meldewege SicherheitsvorfallNeu
~Abschnitt 2.1 — GeltungsbereichGeändert
−Abschnitt 6.4 — Altregelung FaxversandEntfernt

v2.1

Gültig

v2.0

Abgelöst

Unterstützt die schriftlich fixierte Ordnung nach MaRisk AT 5; orientiert sich methodisch an den Informationssicherheitsrichtlinien der ISO/IEC 27001 und ist relevant für DORA Art. 5 (Governance-Rahmen). Avalon unterstützt die Erfüllung; die Verantwortung verbleibt beim Kunden.

Kernbausteine

Was dieses Modul für Sie leistet

Avalon-Kern

einreicher ≠ freigeber · jede fassung belegt

Regelwerke zentral verwalten

Policies, Strategien, Richtlinien und Arbeitsanweisungen strukturiert erfassen, klassifizieren und auffindbar halten – an einem Ort statt auf verstreuten Laufwerken.

Freigaben kontrolliert steuern

Jede Version durchläuft den festen Lebenszyklus mit Vier-Augen-Prinzip und begründungspflichtiger Entscheidung – kein Regelwerk tritt ohne dokumentierte Freigabe in Kraft.

Nachweise aus Version und Freigabekette

Versionshistorie, Freigabekette und lückenloser Audit-Trail belegen jederzeit, welche Fassung gilt, wer sie wann freigegeben hat und was sich geändert hat.

So arbeitet die Avalon Policy Library

Vom Entwurf zur veröffentlichten, prüffähigen Richtlinie

Prozesslogik

Jeder Schritt zeigt, welche Vorarbeit entsteht, wer prüft und welcher Nachweis daraus wird.

VorarbeitQualitätsprüfungNachweis

01Schritt
1. Dokument anlegen und klassifizieren
Was passiert in diesem Schritt
Der Verantwortliche legt das Regelwerk an: Titel, Dokumenttyp (Policy, Strategie, Leitlinie, Arbeitsanweisung) und Vertraulichkeitsstufe (intern, vertraulich, streng vertraulich). Die Klassifizierung steuert, wer das Dokument anschließend sehen darf.
02Schritt
2. Inhalt erfassen – Upload oder manuell
Was passiert in diesem Schritt
Die erste Version entsteht entweder durch Upload einer DOCX- oder PDF-Datei mit automatischer Überführung in eine Abschnittsstruktur oder durch manuelle Erfassung im Struktureditor. Beide Wege führen zum identischen Ergebnis; eine erkannte Struktur lässt sich jederzeit nachbearbeiten.
03Schritt
3. Zur Prüfung einreichen
Was passiert in diesem Schritt
Ist der Entwurf bereit, reicht der Verantwortliche ihn zur Prüfung ein. Die Version wechselt in den Status „In Prüfung“ und wird damit für die zuständigen Prüfer sichtbar – jeder Schritt wird im Audit-Trail festgehalten.
04Schritt
4. Prüfen und freigeben im Vier-Augen-Prinzip
Was passiert in diesem Schritt
Prüfer fordern mit begründetem Kommentar Änderungen an (zurück in den Entwurf) oder der Freigebende gibt frei. Wer eingereicht hat, kann nicht selbst freigeben – systemseitig durchgesetzt.
05Schritt
5. Veröffentlichen und ältere Fassung ablösen
Was passiert in diesem Schritt
Mit der Veröffentlichung erhält die Version ein Gültig-ab-Datum; die zuvor veröffentlichte Fassung wird automatisch abgelöst. Veröffentlichte und abgelöste Versionen sind schreibgeschützt.
06Schritt
6. Nachweisen und vergleichen
Was passiert in diesem Schritt
Über Freigabekette, Audit-Trail und Versionsvergleich belegen Sie jederzeit, welche Fassung gilt, wer sie freigegeben hat und was sich gegenüber der Vorversion geändert hat – die Antwort auf jede Prüferfrage ist wenige Klicks entfernt.

Funktionsumfang

Was die Policy Library im Detail leistet

Zentrales Richtlinien-Register

Alle steuernden Dokumente werden zentral erfasst und nach Dokumenttyp – Policy, Strategie, Leitlinie, Arbeitsanweisung – sowie nach Vertraulichkeit – intern, vertraulich, streng vertraulich – gegliedert. Suche, Typ- und Klassifizierungsfilter sowie Pagination zeigen nur die Dokumente, die die jeweilige Rolle sehen darf; streng vertrauliche Regelwerke bleiben außerhalb der berechtigten Eigentümer-, Freigeber- oder expliziten Zugriffskreise unsichtbar.

Versionierung ohne Datenverlust

Jede Überarbeitung erzeugt eine neue Version; vorherige Fassungen bleiben unveränderlich erhalten und werden beim Veröffentlichen automatisch als abgelöst markiert – jederzeit eindeutig, welche Fassung gilt.

Versionsvergleich auf Abschnittsebene

Ein Versionsvergleich zeigt Abschnitt für Abschnitt, was neu, geändert, entfernt oder unverändert ist – der schnellste Beleg gegenüber Prüfern, ohne manuellen Dokumentabgleich.

Kontrollierter Freigabe-Lebenszyklus mit Vier-Augen-Prinzip

Feste Abfolge Entwurf, Prüfung, Freigabe, Veröffentlichung. Wer einreicht, darf nicht selbst freigeben – das Vier-Augen-Prinzip ist erzwungen, nicht empfohlen; jede Entscheidung verlangt einen begründenden Kommentar.

Eigenes, klar getrenntes Rollensystem

Vier Rollen – Reader, Owner, Reviewer und Approver – regeln präzise, wer veröffentlichte Versionen nur liest, neue Fassungen erstellt, Änderungen anfordert, freigibt, veröffentlicht oder archiviert. Rollen werden separat durch den Technical Admin vergeben; ein ISMS-, Compliance- oder TPRM-Recht verleiht keine Policy-Library-Berechtigung. Streng vertrauliche Dokumente sind nur für berechtigte Owner, Approver oder explizit freigegebene Personen sichtbar.

Revisionssicherer Audit-Trail

Jede Aktion – angelegt, eingereicht, Änderung angefordert, freigegeben, veröffentlicht, archiviert, Originaldatei heruntergeladen oder Abschnitte ersetzt – wird mit Akteur, Zeitstempel und Begründung append-only protokolliert. Owner, Reviewer und Approver können das Audit-Log nach Aktion, Objekt und Zeitraum filtern und belegen so gegenüber Aufsicht und Interner Revision, wie und durch wen ein Regelwerk in Kraft gesetzt wurde.

Strukturierte Inhalte per Upload oder manueller Erfassung

Dokumente lassen sich als DOCX oder textbasierte PDF hochladen und in eine Abschnittsstruktur überführen, oder die Struktur wird im Editor manuell aufgebaut – das Ergebnis ist identisch. Überschriften, Abschnittsnummern und Inhalte bleiben nachbearbeitbar; veröffentlichte und abgelöste Versionen sind schreibgeschützt. Die so erfassten Abschnitte lassen sich präzise referenzieren, etwa um eine Rechtsnorm mit einem konkreten Policy-Abschnitt zu verknüpfen.

Regulatorische Abdeckung sichtbar gemacht

Bei aktivierter Compliance-Verknüpfung kann sichtbar werden, welche Rechtsnormen auf eine Policy verweisen und in welcher Beziehung – deckt ab, erweitert, widerspricht oder Lücke. Norm-to-Policy-Mapping ist ein ausbaubarer Integrationsscope und wird je Mandant aktiviert.

Typische Szenarien

Wann die Policy Library im Avalon-Einsatz ist

Verstreute Richtlinien konsolidieren

Policies und Richtlinien liegen als Word- und PDF-Dateien auf verschiedenen Netzlaufwerken – niemand kann sicher sagen, welche Fassung aktuell gilt. In Avalon werden alle Regelwerke zentral erfasst, klassifiziert und versioniert; ab der ersten Veröffentlichung ist jederzeit eindeutig, welche Version in Kraft ist und wer sie freigegeben hat.

Freigabe, die im Audit standhält

Ein Prüfer fragt, wer eine Richtlinie wann und mit welcher Begründung in Kraft gesetzt hat. In Avalon ist jede Freigabe im Vier-Augen-Prinzip dokumentiert, der Einreicher kann nicht selbst freigeben, Entscheidungen verlangen einen Kommentar, und der append-only Audit-Trail protokolliert jede Aktion. Der Nachweis ergibt sich direkt aus Version, Freigabeschritt und Audit-Log.

Was hat sich gegenüber der Vorversion geändert?

Nach einer Überarbeitung muss belegt werden, was sich konkret geändert hat. Der Versionsvergleich markiert jeden Abschnitt als neu, geändert, entfernt oder unverändert – inklusive altem und neuem Text, während ältere Fassungen unveränderlich erhalten bleiben. Statt zwei Dokumente manuell abzugleichen, ist der Unterschied sofort prüffähig sichtbar.

Verbindungen

Wie dieses Modul mit Avalon zusammenspielt

Die Policy Library ist die Datengrundlage für die schriftlich fixierte Ordnung – Avalon verbindet sie mit den Disziplinen, die auf belastbare Regelwerke angewiesen sind.

Compliance

Rechtsnormen aus dem Compliance-Modul können im aktivierten Integrationsscope mit konkreten Policy-Abschnitten verknüpft werden – mit Beziehung „deckt ab“, „erweitert“, „widerspricht“ oder „Lücke“. So wird je Regelwerk sichtbar, welche regulatorischen Anforderungen es bereits adressiert, und je Rechtsnorm, wo sie in der schriftlich fixierten Ordnung verankert ist.

AI Governance

Die KI-Governance kann im aktivierten Integrationsscope steuernde Dokumente der Policy Library als Quellen für regulatorische Pflichten heranziehen, sodass KI-bezogene Vorgaben auf die geltende Richtlinienfassung verweisen – ohne Doppelerfassung der Regelwerke.

ISMS

Soll- und Kontrollmaßnahmen aus dem ISMS können im aktivierten Integrationsscope mit den zugehörigen Policy-Abschnitten verbunden werden, sodass jede Maßnahme auf die verbindlich freigegebene Richtlinienfassung verweist – einmal pflegen, modulübergreifend nutzen.

Regulatorik, Aufsichtsvorgaben und Standards im Detail

Welche Anforderungen die Policy Library unterstützt

MaRisk AT 5
FINMA-RS 2017/1/2
BaFin-Aufsichtsprüfung
Interne Revision
ISO 27001 (angelehnt)
DORA Art. 5

MaRisk AT 5 – Schriftlich fixierte Ordnung: Aufsichtlich wird eine konsistente, dokumentierte und aktuelle schriftlich fixierte Ordnung erwartet. Die Policy Library hält Policies, Strategien, Richtlinien und Arbeitsanweisungen zentral vor, versioniert jede Fassung und belegt über die Freigabekette, welche Regelung wann durch wen in Kraft gesetzt wurde.
FINMA-RS 2017/1 / 2017/2 – Governance-Dokumentation: Für Schweizer Banken und Versicherer unterstützt die Policy Library den Nachweis versionierter, genehmigter und überprüfter Governance-, Risiko- und Kontrollvorgaben. Sie ersetzt keine materielle Governance-Auslegung, macht aber Freigabe, Version, Verantwortlichkeit und Änderungshistorie prüffähig.
BaFin-Aufsichtsprüfung: Eine Aufsichtsprüfung verlangt den belastbaren Nachweis, welche Version aktuell in Kraft ist, wer sie wann freigegeben hat und was sich gegenüber der Vorversion geändert hat. Der append-only Audit-Trail und der Versionsvergleich liefern genau diesen revisionssicheren Umsetzungsnachweis – ohne nachträgliche Rekonstruktion.
Anforderungen der Internen Revision: Die Interne Revision prüft Versionierung, Freigabe-Nachweis und Funktionstrennung. Das erzwungene Vier-Augen-Prinzip, die begründungspflichtigen Entscheidungen und das eigenständige Vier-Rollen-System trennen Autorenschaft, Prüfung und Freigabe sauber und nachvollziehbar.
ISO 27001 – Informationssicherheitsrichtlinien (methodisch angelehnt): Die Policy Library orientiert sich methodisch an der gängigen Praxis für definierte, freigegebene und regelmäßig überprüfte Informationssicherheitsrichtlinien: Sie führt den vollständigen Lebenszyklus jeder Richtlinie – Entwurf, Prüfung, Freigabe, Veröffentlichung, Ablösung – und hält Aktualität und Freigabestand belegbar. Eine formale ISO-27001-Zertifizierung bleibt Sache Ihrer Organisation.
DORA Art. 5 – Governance und Verantwortlichkeit: DORA fordert von der Geschäftsleitung verabschiedete und überprüfte Strategien und Richtlinien für das IKT-Risikomanagement. Mit verantwortlichem Freigeber, dokumentierter Freigabekette und Versionshistorie ist die Verabschiedung steuernder Dokumente jederzeit nachweisbar.

Avalon unterstützt die Umsetzung dieser Rahmenwerke. Die Konformität bleibt in der Verantwortung Ihrer Organisation.

KI-PlattformEntscheidungshoheit: Mensch entscheidetStatus: Live mit Rollout-Scope

KI mit Kontrolle: assistiert, aber nie als Torwächter

In der Policy Library ist KI durchgängig optional und nie Voraussetzung – jeder Arbeitsschritt funktioniert vollständig manuell. Der stabile Kern ist die versionierte, freigegebene und auditierbare Verwaltung steuernder Dokumente. KI-gestützte Abschnittserkennung, semantische Suche, Redline-Unterstützung und Norm-to-Policy-Mapping werden als aktivierbarer Rollout-Scope je Mandant abgegrenzt. Keine KI löst jemals eine Einreichung, Freigabe oder Veröffentlichung aus; das Vier-Augen-Prinzip und die menschlichen Freigabeschritte gelten ausnahmslos. Jeder Arbeitsentwurf bleibt nachvollziehbar und durch den Menschen prüf-, änder- oder verwerfbar. Das ist „KI als Co-Pilot, nicht als Autopilot“ – die Entscheidung bleibt immer beim verantwortlichen Menschen.

Optionaler KI-Baustein

Richtlinienarbeit wird von Suche auf Review verlagert

KI kann Dokumentstrukturen, relevante Passagen, Redline-Hinweise und Norm-to-Policy-Mapping vorbereiten. Einreichung, Freigabe und Veröffentlichung bleiben im Vier-Augen-Prozess.

Wo KI im Prozess eingreift

Upload und Strukturprüfung erzeugen prüfbare Abschnitts- und Metadatenentwürfe.
Norm-zu-Policy-Treffer und Redline-Hinweise werden mit Quelle vorbereitet.
Einreichung, Freigabe, Inkraftsetzung und Veröffentlichung bleiben menschlich.

Assessment-VorbefüllungVORSCHLAG

Schutzbedarfs-Assessment

Vorbefüllt

Methode: CIA · Maximumprinzip · VVT-0091

IHRE ENTSCHEIDUNG

On-Premise · kein Datenabfluss · EU-AI-Act-konform

Ohne KI

Autoren pflegen Dokumentstruktur, Änderungen, Reviews und Normbezüge manuell.
Versionierung, Vier-Augen-Freigabe und Veröffentlichung laufen vollständig ohne KI.
Audit und Revision sehen denselben Freigabestand und Versionsvergleich.

Mit KI

KI bereitet Abschnittserkennung, semantische Treffer, Redline-Hinweise und Mappingfelder vor.
Reviewer sehen quellennahe Arbeitsentwürfe statt manuell alle Dokumente zu durchsuchen.
Policy Owner beschleunigen Aktualisierungen, ohne Freigabehoheit abzugeben.

Human-in-the-Loop: KI bereitet Abschnittsstrukturen und relevante Passagen vor – jede Einreichung, Freigabe und Veröffentlichung bleibt eine bewusste menschliche Entscheidung.
Optionaler Rollout-Scope: KI-Assistenz, Redline-Unterstützung und Norm-to-Policy-Mapping werden je Mandant aktiviert; alle Workflows funktionieren auch bei abgeschalteter KI vollständig.
Auditierbar: Jede Aktion – ob manuell oder KI-unterstützt vorbereitet – wird mit Akteur, Zeitstempel und Begründung im revisionssicheren Audit-Trail protokolliert.

Wie KI mit Kontrolle bei Avalon funktioniert

Häufige Fragen zur Policy Library

Alle steuernden Dokumente Ihrer Organisation: Policies, Strategien, Richtlinien und Arbeitsanweisungen. Jedes Dokument erhält einen Dokumenttyp, eine Vertraulichkeitsklassifizierung (intern, vertraulich, streng vertraulich), eine vollständige Versionshistorie und einen kontrollierten Freigabe-Lebenszyklus – statt verstreut auf Netzlaufwerken zu liegen.

Jede Version durchläuft eine feste Abfolge von Entwurf über Prüfung und Freigabe bis zur Veröffentlichung. Wer eine Version zur Prüfung einreicht, kann sie nicht selbst freigeben – das wird systemseitig erzwungen. Änderungsanforderungen und Freigaben verlangen einen begründenden Kommentar, und der append-only Audit-Trail protokolliert jede Aktion mit Akteur und Zeitstempel.

Nein. Jede Überarbeitung erzeugt eine neue Version; vorherige Fassungen bleiben unveränderlich erhalten und werden beim Veröffentlichen der Folgeversion automatisch als abgelöst markiert. Ein Versionsvergleich zeigt auf Abschnittsebene, was neu, geändert oder entfernt wurde.

KI ist durchgängig optional und nie Voraussetzung. Sie kann beim Upload Abschnittsstruktur und relevante Passagen als Arbeitsentwurf vorbereiten. Keine KI löst je eine Einreichung, Freigabe oder Veröffentlichung aus; das Vier-Augen-Prinzip und die menschlichen Freigabeschritte gelten ausnahmslos. Die KI läuft auf der On-Premise-Appliance; Prompts und Dokumente werden nicht an Cloud-KI-Anbieter übertragen.

Module

Welches Modul passt zu Ihrem nächsten Schritt?

Wir zeigen Ihnen Avalon entlang Ihrer aktuellen Fragestellung – konkret, in Ihrem Kontext, ohne Standard-Sales-Demo.

On-Premise
Human-in-the-Loop
EU-AI-Act-Governance

Kostenlosen Demo-Termin vereinbaren Angebot anfragen

On-Premise · KI-Inferenz auf Ihrer Appliance