- KYBERNA AI
-
ITSM & ESM Software
- ITSM & ESM Software ky2help®
- Lösung nach Branchen
- Bauunternehmen & Baugewerbe
- Finanzdienstleistungen & Banken
- Gesundheitswesen & Kliniken
- Hospitality & Hotelgruppen
- Industrie & Fertigung
- IT-Dienstleister, MSPs & Systemhäuser
- Öffentliche Verwaltung & Behörden
- Sicherheitsdienste & Leitstellen
- Telekommunikation & Netzbetreiber
- Versicherungen & Sozialversicherungen
- ky2help® Referenzen
- Kontakt
- ITSM & ESM Wissenswelt
- Glossar
- IT Services
- eAuktion
- Über uns
- News & Blog
- Support
Glossar
Fachbegriffe einfach erklärt
Standard Operating Procedure (SOP): verbindliche Abläufe, Lenkung und Nachweis
Eine Standard Operating Procedure (SOP) ist eine verbindliche, freigegebene und versionierte Vorgabe, die festlegt, wie eine wiederkehrende Tätigkeit auszuführen ist und wie ihre Ausführung belegt wird. Im Unterschied zu einer informellen Anleitung ist sie ein gelenktes Dokument: eindeutig gekennzeichnet, mit verantwortlicher Stelle, Gültigkeitsdatum und Prüfrhythmus.
Für Organisationen, die Prüfungen durch Revision, Aufsicht oder Kunden bestehen müssen, beantwortet die SOP eine Kernfrage: Ist festgelegt, wie dieser Ablauf zu erfolgen hat, und lässt sich zeigen, dass er so erfolgt ist? Banken, Versicherungen, Pharma- und Medizintechnikunternehmen sowie öffentliche Verwaltungen kennen diese Frage aus Audits. In der IT stellt sie sich bei Berechtigungen, Changes, Datensicherung und der Behandlung von Vorfällen.
Das Wichtigste in Kürze
- Vorgabe und Nachweis: Die SOP beschreibt, wie es sein soll. Ticket, Protokoll oder Logbuch belegen, wie es war. Beides gehört zusammen.
- Lenkung: Freigabe durch eine befugte Person, eindeutige Kennung, Gültigkeitsdatum, regelmässige Überprüfung und kontrollierter Rückzug.
- Funktionstrennung: Die SOP legt fest, wer ausführt und wer prüft oder freigibt.
- Regulatorik: Das FINMA-Rundschreiben 2023/1 verlangt von Banken dokumentierte Verfahren, Prozesse und Kontrollen für Change Management und IKT-Betrieb. Die Datenschutzverordnung verlangt in bestimmten Fällen ein Bearbeitungsreglement.
- Risiko: Eine SOP, nach der niemand mehr arbeitet, ist in der Prüfung ein Befund.
Stand: November 2026 · Fachlich abgeglichen mit dem FINMA-Rundschreiben 2023/1, der Datenschutzverordnung (SR 235.11), dem EU-GMP-Leitfaden Kapitel 4 und ITIL 4 (Quellen am Ende des Artikels)
Lenkung: Wie aus einer Anleitung eine verbindliche Vorgabe wird
Besonders präzise formuliert der EU-Leitfaden der Guten Herstellungspraxis (GMP) für Arzneimittel, was ein gelenktes Dokument ausmacht. Die Anforderungen aus Kapitel 4 lassen sich gut auf IT-Vorgaben übertragen:
- Freigabe: Dokumente mit Anweisungen werden von befugten Personen genehmigt, unterzeichnet und datiert.
- Eindeutigkeit: Der Inhalt ist unmissverständlich, das Dokument eindeutig identifizierbar.
- Gültigkeit: Das Datum des Inkrafttretens ist festgelegt.
- Aktualität: Dokumente des Qualitätsmanagementsystems werden regelmässig überprüft und aktuell gehalten.
- Stil: SOPs und Arbeitsanweisungen sind in verbindlicher Befehlsform geschrieben.
- Elektronische Ablage: Vorlagen und Masterdokumente sind kontrolliert, die Integrität der Aufzeichnungen bleibt über die gesamte Aufbewahrungsdauer gewahrt.
Rollen rund um eine SOP
- Verfasserin oder Verfasser: eine Fachperson, die den Ablauf selbst ausführt
- Prüfende Person: fachlich qualifiziert. Die EPA-Leitlinie QA/G-6 empfiehlt, den Entwurf von jemand anderem als dem Autor testen zu lassen.
- Freigebende Stelle: Linienverantwortung, je nach Organisation zusätzlich Qualität oder Compliance
- Process Owner: verantwortlich für Pflege und Prüftermin
- Ausführende: geschult, mit dokumentiertem Schulungsnachweis
Lebenszyklus
Entwurf, Prüfung, Freigabe, Schulung, Inkraftsetzung, periodische Überprüfung, dann Revision oder Rückzug. Zurückgezogene Fassungen werden archiviert, nicht gelöscht. Nur so lässt sich später belegen, welche Vorgabe zu einem bestimmten Zeitpunkt galt. Die EPA empfiehlt, SOPs für Abläufe, die nicht mehr angewendet werden, aus dem gültigen Bestand zu entfernen und zu archivieren.
Vorgabe oder Nachweis? Die SOP in der Dokumentenhierarchie
Der GMP-Leitfaden unterscheidet zwei Arten von Dokumenten: Anweisungen, zu denen die SOPs gehören, und Aufzeichnungen, die belegen, dass die Anweisungen befolgt wurden. Diese Trennung ist auch in der IT hilfreich, weil Prüfende beide Seiten getrennt beurteilen.
| Merkmal | Ausprägung |
|---|---|
| Zweck | |
| SOP | legt fest, wie es ablaufen soll |
| Nachweis | belegt, wie es abgelaufen ist |
| Zeitbezug | |
| SOP | gilt von der Freigabe bis zum Rückzug |
| Nachweis | betrifft genau einen Vorgang |
| Änderung | |
| SOP | nur als neue Version mit Freigabe |
| Nachweis | nicht nachträglich verändern, Ergänzungen protokollieren |
| Prüffrage | |
| SOP | Ist die Kontrolle angemessen gestaltet? |
| Nachweis | Wurde sie wirksam durchgeführt? |
Die letzte Zeile entspricht der Unterscheidung, die auch die FINMA verwendet: Schlüsselkontrollen werden auf ihre Ausgestaltung («Design Effectiveness») und ihre tatsächliche Wirksamkeit («Operating Effectiveness») hin beurteilt.
Wo die SOP steht
- Weisung oder Richtlinie: warum und was, erlassen von der Geschäftsleitung
- Prozess: Ablauf über Rollen hinweg, mit Schnittstellen und Verantwortlichkeiten
- SOP: wie ein bestimmter Ablauf verbindlich auszuführen ist
- Arbeitsanweisung oder Runbook: technische Einzelschritte an einem System
- Nachweis: Ticket, Protokoll, Logbuch
Jede Ebene verweist auf die darüberliegende, statt deren Inhalt zu wiederholen. So lassen sich Widersprüche zwischen Weisung und SOP vermeiden, die in einer Prüfung sonst als Befund auffallen.
SOPs in kontrollierten IT-Prozessen
Berechtigungen mit Vier-Augen-Prinzip
Angenommen, eine Privatbank in Zürich vergibt Rechte im Zahlungsverkehrssystem. Die SOP legt fest: Die Linie beantragt, die Dateneignerin gibt frei, die IT setzt um, und niemand gibt die eigene Berechtigung frei. Zusätzlich regelt sie, in welchem Rhythmus die Rechte rezertifiziert werden. Die Prüfung fragt dann nicht nur, ob es diese Regel gibt, sondern ob jede Vergabe einen Antrag und eine Freigabe hat. Wie Gruppen und Rechte technisch zusammenhängen, beschreibt der Glossarartikel Active Directory.
Standard-Changes
Nach ITIL 4 sind Standard-Changes risikoarm, gut verstanden, vollständig dokumentiert und vorab autorisiert. Bewertet und genehmigt wird das Verfahren, und zwar jedes Mal neu, wenn es erstellt oder geändert wird. In der Prüfung wird die SOP damit selbst zur Kontrolle, während die einzelnen Ausführungen stichprobenweise geprüft werden. Mehr dazu unter Change Management und Change Advisory Board (CAB).
Datensicherung und Wiederherstellung
Das FINMA-Rundschreiben 2023/1 verlangt angemessene Back-up- und Wiederherstellungsprozesse, die regelmässig getestet und validiert werden. Eine SOP für den Restore-Test bestimmt Umfang, Rhythmus und Abnahmekriterien und hält fest, wo das Testprotokoll abgelegt wird.
Vorfallbehandlung und Meldung
Seit dem 1. April 2025 müssen Betreiberinnen kritischer Infrastrukturen Cyberangriffe innert 24 Stunden dem Bundesamt für Cybersicherheit (BACS) melden. Eine SOP zur Vorfallbehandlung enthält deshalb einen festen Schritt für den Meldeentscheid: wer beurteilt, ob die Meldepflicht greift, und wer meldet.
Aus der Praxis von ky2help®-Kunden
Das Personalamt des Kantons Thurgau nutzt ky2help®, damit HR-Prozesse für rund 6'000 Mitarbeitende lückenlos nachvollziehbar, dokumentiert und archiviert sind, unter anderem mit Self-Service-Portalen. Die Libera AG hat ihren On- und Offboarding-Prozess fürs HR mit dem Prozessdesigner in Eigenregie aufgebaut.
Zum Funktionsumfang von ky2help® gehören prozessgeführte Ticketbearbeitung, flexible Genehmigungsprozesse, automatische Historisierung und ein integriertes Daten-Audit. Die Dokumentation ist laut Hersteller revisionssicher.
Regulatorischer Bezug in der Schweiz
Schweizer Vorgaben sprechen selten von SOPs. Sie verlangen Verfahren, Prozesse, Kontrollen oder Reglemente. Gemeint ist oft genau das, was eine SOP leistet: eine festgelegte und überprüfbare Art, eine Tätigkeit auszuführen.
FINMA-Rundschreiben 2023/1 (Banken)
Das Rundschreiben «Operationelle Risiken und Resilienz – Banken» verlangt, dass die Geschäftsleitung sowohl für das Änderungsmanagement als auch für den IKT-Betrieb Verfahren, Prozesse und Kontrollen sowie Aufgaben, Kompetenzen und Verantwortlichkeiten (AKV) implementiert und dokumentiert. Für die Behandlung wesentlicher IKT-Vorfälle fordert es ebenfalls Verfahren, Prozesse und Kontrollen. Eine SOP-Landschaft für die IT ist damit kein Selbstzweck, sondern ein Baustein des Nachweises gegenüber Prüfgesellschaft und Aufsicht.
Datenschutz: DSG und Datenschutzverordnung
Nach Art. 5 der Datenschutzverordnung (DSV) müssen private Verantwortliche und ihre Auftragsbearbeiter ein Reglement für automatisierte Bearbeitungen erstellen, wenn sie besonders schützenswerte Personendaten in grossem Umfang bearbeiten oder ein Profiling mit hohem Risiko durchführen. Das Reglement enthält insbesondere Angaben zur internen Organisation, zum Datenbearbeitungs- und Kontrollverfahren und zu den Massnahmen für die Datensicherheit. Es ist regelmässig zu aktualisieren. SOPs liefern dafür die konkreten Verfahren, etwa zur Vergabe von Zugriffsrechten gemäss Art. 3 DSV.
Wo die SOPs selbst liegen
SOPs enthalten oft Systemnamen, Netzpläne, Notfallkontakte und Hinweise auf Schwachstellen. Sie sind deshalb selbst schützenswert: Zugriff nach Rolle, kontrollierte Ablage, keine Kopien auf privaten Geräten. ky2help® lässt sich als SaaS oder On-Premises betreiben, mit eigener Instanz im Rechenzentrum in der Schweiz oder in Deutschland. Der Hersteller KYBERNA ist nach ISO/IEC 27001 zertifiziert.
Diese Übersicht ersetzt keine rechtliche Beurteilung im Einzelfall. Hinweise zur Ausrichtung auf den Finanzsektor bietet die Seite Service-Management für Finanzdienstleister und Banken.
Häufige Fragen zu SOPs
Was ist eine SOP?
Eine Standard Operating Procedure (SOP) ist eine verbindliche, freigegebene und versionierte Vorgabe für einen wiederkehrenden Ablauf. Sie legt Schritte, Rollen und Prüfpunkte fest und bestimmt, wie die Ausführung dokumentiert wird.
Was unterscheidet eine SOP von einer Weisung?
Eine Weisung legt fest, was gilt und warum, und wird von der Geschäftsleitung erlassen. Die SOP setzt sie um und beschreibt, wie ein bestimmter Ablauf konkret auszuführen ist. Sie verweist auf die Weisung, statt deren Inhalt zu wiederholen.
Wer muss eine SOP freigeben?
Eine dafür befugte Person, in der Regel die Linienverantwortung für den Ablauf, je nach Organisation zusätzlich Qualität oder Compliance. Wichtig ist, dass Freigabe, Datum und Version dokumentiert sind und die freigebende Person nicht allein den eigenen Entwurf prüft.
Wie oft muss eine SOP überprüft werden?
Eine allgemeine Frist gibt es nicht. Üblich ist eine Überprüfung bei jeder Änderung des Ablaufs und zusätzlich in einem festen Rhythmus, den die Organisation selbst festlegt. Die EPA nennt als Beispiel ein bis zwei Jahre.
Verlangt die FINMA SOPs?
Nicht unter diesem Namen. Das FINMA-Rundschreiben 2023/1 verlangt von Banken jedoch, dass für Change Management und IKT-Betrieb Verfahren, Prozesse und Kontrollen implementiert und dokumentiert sind. SOPs sind ein gängiger Weg, diese Anforderung zu erfüllen.
Wie lässt sich die Einhaltung einer SOP nachweisen?
Durch Aufzeichnungen zu jedem Vorgang: Antrag, Freigabe, Ausführung und Abschluss mit Zeitpunkt und Person. Werden SOPs als Workflow abgebildet, entstehen diese Nachweise im Ticket. ky2help® bietet dafür automatische Historisierung und ein integriertes Daten-Audit.
Quellen und weiterführende Artikel
Quellen
- FINMA: Rundschreiben 2023/1 Operationelle Risiken und Resilienz – Banken (PDF)
- Fedlex: Verordnung über den Datenschutz (DSV), SR 235.11 und Bundesgesetz über den Datenschutz (DSG), SR 235.1
- BACS: Meldepflicht für Cyberangriffe
- Europäische Kommission: EudraLex Band 4, EU-GMP-Leitfaden Teil I, Kapitel 4 Documentation (PDF)
- US Environmental Protection Agency: Guidance for Preparing Standard Operating Procedures (EPA QA/G-6)
- PeopleCert: ITIL 4 Foundation
Weiterlesen im Glossar und in der Wissenswelt
Alle Glossar-Artikel in der Übersicht
Erfahren Sie, wie Microsofts Verzeichnisdienst Benutzer, Geräte und Rechte zentral verwaltet – sicher & zukunftsfähig für Unternehmen.
Mehr zu Active Directory
Was ist eine API? Erfahren Sie, wie Programmierschnittstellen Anwendungen verbinden, Prozesse automatisieren und Innovation in der digitalen Wirtschaft ermöglichen.
Was ist Authentifizierung? Erfahren Sie, wie Identitäten geprüft, Konten geschützt und moderne Anmeldeverfahren wie Zwei-Faktor-Authentifizierung Ihre Sicherheit erhöhen.
Was ist ein Backlog? Erfahren Sie, wie priorisierte Aufgabenlisten Teams helfen, Projekte agil zu steuern, Prioritäten zu setzen und Fortschritte transparent zu machen.
Erfahren Sie, wie eine Balanced Scorecard Unternehmen hilft, Strategie, Ziele und Kennzahlen zu verbinden und Erfolge messbar zu machen.
Das Change Advisory Board (CAB) berät bei der Bewertung und Freigabe von Changes im IT Service Management. Erfahren Sie, wann ein CAB gebraucht wird und wie ITIL 4 die Freigabe regelt.
Mehr zum CAB
Gesteuerter Change-Prozess mit Risikoanalyse, CAB-Freigaben und Kommunikation, um Ausfallzeiten zu reduzieren und Releasessicher in Produktionsumgebungen zu bringen.
Erfahren Sie, wie KI-gestützte Chatbots Kommunikation automatisieren, Kundenservice verbessern und Prozesse effizienter gestalten.
Was ist Continuous Integration? Erfahren Sie, wie automatisierte Builds und Tests Entwicklungsprozesse beschleunigen, Fehler vermeiden und Softwarequalität steigern.
Zentrale Konfigurationsdatenbank mit CIs und Beziehungen für Transparenz, Abhängigkeits-/Impact-Analysen, Audit-Sicherheit und Change-/Incident-Beschleunigung.
Was ist CSI? Erfahren Sie, wie Continual Service Improvement in ITIL hilft, IT-Services dauerhaft zu optimieren, Qualität zu steigern und Kundenzufriedenheit zu sichern.
Der Customer Effort Score ist eine Kennzahl, die beschreibt, wie viel Aufwand ein Kunde betreiben muss, um sein Anliegen mit einem Unternehmen zu lösen.
Was ist DevOps? Erfahren Sie, wie Entwicklung und IT-Betrieb durch Automatisierung, Zusammenarbeit und CI/CD zu schnelleren, stabileren Software-Releases führen.
Was ist die DSGVO? Erfahren Sie, wie die Datenschutz-Grundverordnungpersonenbezogene Daten schützt, welche Pflichten Unternehmen haben und welche Rechte Betroffene haben.
Was ist ESM? Erfahren Sie, wie Enterprise Service Management Prozesse vereinheitlicht, Services digitalisiert und alle Abteilungen effizient miteinander verbindet.
Was ist Hardware Asset Management? Erfahren Sie, wie Unternehmen mit HAM ihre IT-Geräte effizient verwalten, Kosten senken und Sicherheit im gesamten Lebenszyklus sichern.
Ein Helpdesk ist die zentrale Schnittstelle zwischen den Anwendern eines Unternehmens und den dafür zuständigen Support-Teams.
Ein Incident ist eine Beeinträchtigung eines IT-Services, die dazu führt, dass der Service nicht wie vorgesehen genutzt werden kann.
Erfahren Sie, wie der internationale Standard Unternehmen hilft, Informationssicherheit systematisch aufzubauen, Risiken zu minimieren und Vertrauen zu schaffen.
Erfahren Sie, wie das Framework IT-Prozesse strukturiert, Qualität sichert und die IT an den Geschäftszielen ausrichtet – praxisnah und modern mit ITIL 4 oder ITIL 5.
IT Service Management (ITSM) beschreibt die Gesamtheit spezialisierter organisatorischer Fähigkeiten, um IT-Services effizient zu betreiben.
Erfahren Sie, wie die japanische Kaizen-Methode durch kleine, stetige Verbesserungen Prozesse optimiert, Qualität steigert und Mitarbeitende einbindet.
Erfahren Sie, wie die Kanban-Methode durch Visualisierung, Flusssteuerung und kleine Verbesserungen Teams effizienter und flexibler arbeiten lässt.
Key Performance Indicators (KPIs) machen Ziele messbar, bewerten Leistung und unterstützen datenbasierte Entscheidungen im Unternehmen.
Erfahren Sie, wie KI funktioniert, wo sie eingesetzt wird und warum sie unsere Arbeitswelt verändert – zwischen Innovation und Verantwortung.
Machine Learning ist ein Teilgebiet der Künstlichen Intelligenz (KI). Es ermöglicht Systemen, Muster und Zusammenhänge in Daten eigenständig zu erkennen.
Erfahren Sie, wie Multi-Faktor-Authentifizierung funktioniert, warum sie Konten wirksam schützt und welche Methoden besonders sicher und benutzerfreundlich sind.
Erfahren Sie, wie die systematische Überwachung von IT-Systemen Leistung, Sicherheit und Verfügbarkeit verbessert – für stabile und effiziente Prozesse.
Erfahren Sie, wie Natural Language Processing funktioniert, wo es eingesetzt wird und warum es Kommunikation, Analyse und Serviceprozesse revolutioniert.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Operational Level Agreements (OLA) regelt interne Zusammenarbeit, unterstützt SLA-Ziele unterstützen und macht Serviceprozesse verlässlicher.
Operational Performance Indicator (OPI) sind ein zentrales Instrument, um die Leistungsfähigkeit operativer Prozesse in Unternehmen messbar zu machen.
Predictive Maintenance ist ein moderner Instandhaltungsansatz, der nicht auf starre Intervalle setzt, sondern auf datenbasierte Vorhersagen.
Die Root Cause Analysis (RCA) ist eine strukturierte Methode, um Ursachen eines Problems oder einer Störung zu identifizieren und zu beseitigen.
Was ist eine REST API? Erfahren Sie, wie REST-Schnittstellen Systeme verbinden, Daten austauschen und moderne Anwendungen schnell, flexibel und skalierbar machen.
Was ist eine Root Cause Analysis? Lernen Sie Methoden wie 5 Why, Ishikawa und Fehlerbaum kennen und erfahren Sie, welche Methode zu welcher Störung passt.
Was ist Scrum? Erfahren Sie, wie das agile Framework Teams hilft, flexibel zu arbeiten, schneller Ergebnisse zu liefern und Projekte kontinuierlich zu verbessern.
Verständlich erklärt: Wie Service Level Agreements Leistungen definieren, Qualität messbar machen und Servicebeziehungen strukturieren.
Was ist SSO? Erfahren Sie, wie Single Sign-On funktioniert, wie es Sicherheit und Komfort verbindet und warum es in modernen IT-Landschaften unverzichtbar ist.
Erfahren Sie, wie das Software Asset Management (SAM) Softwarebestände transparent macht, Kosten optimiert und Compliance sowie IT-Sicherheit stärkt.
Kompakt erklärt: Wie Sprints Teams helfen, in kurzen Zyklen zu planen, zu liefern und sich kontinuierlich zu verbessern.
Was ist eine SOP? Erfahren Sie, wie Standard Operating Procedures Abläufe standardisieren, Qualität sichern und Organisationen zuverlässiger machen.
Erfahren Sie, wie User Experience entsteht, warum sie entscheidend für Erfolg und Zufriedenheit ist und wie gute Nutzererlebnisse gestaltet werden.
Webhooks ermöglichen es, Ereignisse aus einem System in Echtzeit an ein anderes zu übermitteln, ohne dass ständige Abfragen erforderlich sind.
Was ist ein Workflow? Erfahren Sie, wie strukturierte Abläufe Prozesse vereinfachen, Qualität sichern und Unternehmen effizienter machen.
KYBERNA AG
