- KYBERNA AI
-
ITSM & ESM Software
- ITSM & ESM Software ky2help®
- Lösung nach Branchen
- Bauunternehmen & Baugewerbe
- Finanzdienstleistungen & Banken
- Gesundheitswesen & Kliniken
- Hospitality & Hotelgruppen
- Industrie & Fertigung
- IT-Dienstleister, MSPs & Systemhäuser
- Öffentliche Verwaltung & Behörden
- Sicherheitsdienste & Leitstellen
- Telekommunikation & Netzbetreiber
- Versicherungen & Sozialversicherungen
- ky2help® Referenzen
- Kontakt
- ITSM & ESM Wissenswelt
- Glossar
- IT Services
- eAuktion
- Über uns
- News & Blog
- Support
Glossar
Fachbegriffe einfach erklärt
Workflow: Abläufe steuern, Freigaben belegen, Kontrollen verankern
Ein Workflow ist ein verbindlich definierter Ablauf, der festhält, welche Rolle welchen Schritt ausführt, welche Freigaben nötig sind und welche Spuren jeder Schritt hinterlässt. Damit wird er zu mehr als einem Effizienzwerkzeug: Er ist der Ort, an dem Regeln einer Organisation im Alltag tatsächlich angewendet werden.
Für Unternehmen mit Prüfpflichten, Aufsicht oder sensiblen Daten zählt deshalb nicht nur, ob ein Vorgang schnell erledigt ist. Ebenso wichtig ist, ob sich später belegen lässt, wer was wann genehmigt hat, ob die Funktionstrennung eingehalten wurde und ob Ausnahmen begründet sind.
Das Wichtigste in Kürze
- Kontrollpunkt: Freigaben, Vier-Augen-Prinzip und Funktionstrennung lassen sich im Workflow verbindlich machen, statt sie nur in Weisungen zu beschreiben.
- Nachweis: Ein gut gestalteter Workflow erzeugt die Dokumentation nebenbei: Antrag, Entscheid, Umsetzung, Zeitpunkt und Person.
- Rechtsrahmen: Das Obligationenrecht verlangt bei der ordentlichen Revision die Prüfung, ob ein internes Kontrollsystem existiert. Das DSG fordert Datenschutz durch Technik und angemessene Datensicherheit.
- Risiko: Typische Schwachstellen sind Umgehungen und nicht nachvollziehbare Änderungen am Workflow selbst.
Stand: November 2026 · Fachlich abgeglichen mit Fedlex (OR, DSG, DSV), der BPMN-Spezifikation der OMG und ITIL® 4 (Quellen am Ende des Artikels)
Workflows aus Sicht der Kontrolle
Fachlich besteht ein Workflow aus Auslöser, Aktivitäten, Rollen, Regeln, Daten und Abschluss. Wer ihn unter Governance-Gesichtspunkten betrachtet, stellt an jedes dieser Elemente zusätzliche Fragen.
- Auslöser: Kommt jeder Antrag über einen definierten Kanal, oder gibt es Nebenwege per E-Mail und Telefon, die nicht erfasst werden?
- Rollen: Sind die Rollen so geschnitten, dass niemand einen Antrag stellen, genehmigen und umsetzen kann?
- Regeln: Sind Schwellenwerte für zusätzliche Freigaben dokumentiert, und wer darf sie ändern?
- Daten: Werden im Formular nur die Angaben erhoben, die für den Zweck nötig sind?
- Abschluss: Ist erkennbar, ob ein Vorgang regulär, mit Ausnahme oder abgebrochen beendet wurde?
Freigabestufen und Funktionstrennung
Das Vier-Augen-Prinzip ist im Workflow einfach umzusetzen: Der Schritt «Genehmigen» wird einer anderen Rolle zugewiesen als der Schritt «Beantragen», und das System verhindert, dass dieselbe Person beide ausführt. Bei mehrstufigen Freigaben, etwa fachlich und dann durch die Informationssicherheit, bestimmt die Reihenfolge, wer welche Information als Grundlage hat.
Funktionstrennung geht weiter. Sie betrifft auch die Frage, wer den Workflow selbst modellieren und ändern darf. Wer Freigabestufen entfernen kann, umgeht jede Kontrolle, ohne einen einzigen Antrag zu manipulieren.
Nachvollziehbarkeit als Ergebnis
Ein Workflow im System hinterlässt bei jedem Schritt einen Eintrag: Statuswechsel, Entscheid, Kommentar, Zeitstempel. Diese Historie ist für Revision, interne Kontrolle und Datenschutz wertvoller als jede nachträglich erstellte Dokumentation, weil sie während der Arbeit entsteht.
Kontrollziele im Workflow umsetzen
Viele Kontrollen eines internen Kontrollsystems (IKS) lassen sich direkt in Workflows abbilden. Das Obligationenrecht schreibt in Art. 728a OR vor, dass die Revisionsstelle bei der ordentlichen Revision prüft, ob ein internes Kontrollsystem existiert, und es bei der Festlegung des Prüfungsumfangs berücksichtigt. Wo Kontrollen im System verankert sind, lassen sie sich leichter belegen.
| Kontrollziel | Umsetzung im Workflow |
|---|---|
| Berechtigung | |
| Nur befugte Personen genehmigen | Freigabeschritt an eine Rolle gebunden, nicht an eine Person |
| Trennung der Funktionen | |
| Antrag und Freigabe getrennt | System sperrt die eigene Freigabe |
| Vollständigkeit | |
| Keine Umsetzung ohne Entscheid | Umsetzung startet erst nach Freigabe |
| Nachweis | |
| Entscheide belegbar | Historie mit Person, Zeitpunkt und Kommentar |
| Ausnahmen | |
| Abweichungen begründet | Pflichtfeld für Begründung, eigene Auswertung |
Datenschutz im Workflow
Das Datenschutzgesetz verlangt in Art. 7 DSG, die Datenbearbeitung technisch und organisatorisch so auszugestalten, dass die Datenschutzvorschriften eingehalten werden, und zwar ab der Planung. Für Workflows heisst das konkret: Formulare fragen nur ab, was der Zweck erfordert, und Rollen sehen nur die Daten, die sie für ihren Schritt brauchen. Art. 8 DSG fordert zudem eine dem Risiko angemessene Datensicherheit. Werden in grossem Umfang besonders schützenswerte Personendaten automatisiert bearbeitet und reichen präventive Massnahmen nicht aus, verlangt Art. 4 DSV ausserdem eine Protokollierung.
Workflow, Weisung, Prozess
Eine Weisung legt fest, was gelten soll. Der Prozess ordnet Verantwortung und Ziele. Erst der Workflow sorgt dafür, dass die Regel bei jedem einzelnen Vorgang angewendet wird. Für die Modellierung hat sich BPMN 2.0 etabliert, ein Standard der Object Management Group, der auch als ISO/IEC 19510 vorliegt.
Regulierte Abläufe in der Praxis
Drei Bereiche zeigen besonders deutlich, wie Workflows Kontrolle und Effizienz verbinden.
Berechtigungen beantragen und entziehen
Ein Zugriff auf Kundendaten wird im Portal beantragt, von der Linienvorgesetzten genehmigt und von der Dateneignerin bestätigt. Erst dann richtet die Informatik den Zugriff ein. Beim Austritt löst die Personalabteilung den Gegenworkflow aus, der alle Zugriffe auflistet und deren Entzug dokumentiert.
Änderungen an Systemen
ITIL® 4 unterscheidet in der Practice Change Enablement Standard-Changes, die vorab genehmigt sind, von Changes, die eine eigene Bewertung und Freigabe brauchen. Im Workflow wird diese Unterscheidung zur Regel: Ein vorab genehmigter Standard-Change läuft ohne zusätzliche Freigabe durch, ein normaler Change geht an die zuständige Stelle, etwa ein Change Advisory Board.
Personalprozesse ausserhalb der Informatik
Das Personalamt des Kantons Thurgau, zuständig für rund 6'000 Mitarbeitende, bildet seine HR-Prozesse in ky2help® ab. Laut Referenzbericht sind sämtliche Aktivitäten seither lückenlos nachvollziehbar, dokumentiert und archiviert, hervorgehoben werden auch die Self-Service-Portale. Die Libera AG hat ihren On- und Offboarding-Prozess für das HR mit dem Prozessdesigner in Eigenregie aufgebaut.
Für beaufsichtigte Institute kommen die Vorgaben der FINMA hinzu, etwa das Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken». Welche Anforderungen im Einzelfall gelten, klären Compliance und Revision. Der Workflow liefert dafür eine belastbare Datengrundlage.
Risiken nach Priorität
Die folgenden Punkte sind nach ihrer Wirkung auf Kontrolle und Nachweis geordnet. Die ersten beiden betreffen die Frage, ob der Workflow überhaupt greift.
- Umgehungen: Anträge per E-Mail oder Zuruf, die direkt umgesetzt werden, tauchen in keiner Auswertung auf. Abhilfe: einen einzigen Eingangskanal festlegen und Umsetzungen ohne Ticket in Stichproben prüfen.
- Änderungen am Workflow ohne Kontrolle: Wer Freigabestufen ändern darf, sollte dafür selbst eine Freigabe brauchen. Änderungen am Modell gehören dokumentiert, idealerweise als eigener Change.
- Ausnahmen ohne Begründung: Notfallwege sind nötig, aber nur mit Pflichtbegründung und nachträglicher Prüfung.
- Zu viele Daten im Formular: Felder «für alle Fälle» widersprechen dem Grundsatz der Verhältnismässigkeit (Art. 6 DSG) und vergrössern das Risiko bei einem Vorfall.
- Formale Freigaben: Wenn Genehmigende ohne Informationen entscheiden müssen, wird das Vier-Augen-Prinzip zur Formalität. Der Freigabeschritt braucht die Angaben, auf die es ankommt.
Regelmässig überprüfen
Ein Workflow, der einmal sauber modelliert war, kann nach einer Reorganisation falsche Rollen ansprechen. Eine jährliche Durchsicht von Rollen, Schwellenwerten und Ausnahmen, verbunden mit einer Auswertung der Historie, hält die Kontrollen wirksam.
FAQ zum Workflow
Was ist ein Workflow?
Ein Workflow ist ein verbindlich definierter Ablauf, der festlegt, welche Rolle welchen Schritt ausführt, welche Freigaben nötig sind und wann ein Vorgang abgeschlossen ist. In einem System abgebildet, dokumentiert er jeden Schritt automatisch.
Wie unterstützt ein Workflow das interne Kontrollsystem?
Kontrollen wie Freigaben, Vier-Augen-Prinzip und Funktionstrennung werden im Workflow als feste Schritte und Regeln umgesetzt. Die Historie belegt, dass die Kontrolle bei jedem Vorgang tatsächlich stattgefunden hat.
Wie setzt man das Vier-Augen-Prinzip im Workflow um?
Antrag und Genehmigung werden unterschiedlichen Rollen zugewiesen, und das System verhindert, dass dieselbe Person beide Schritte ausführt. Zusätzlich sollte geregelt sein, wer den Workflow selbst ändern darf.
Was verlangt das DSG von Workflows?
Das DSG verlangt Datenschutz durch Technik ab der Planung und eine dem Risiko angemessene Datensicherheit. Für Workflows bedeutet das vor allem schlanke Formulare, rollenbezogene Sicht auf Daten und geschützte Abläufe.
Wer darf einen Workflow ändern?
Änderungen am Workflow sollten auf wenige, benannte Rollen beschränkt und selbst freigegeben werden. Sonst lassen sich Kontrollen entfernen, ohne dass ein einzelner Antrag auffällt.
Ist ky2help® für regulierte Branchen geeignet?
ky2help® historisiert Bearbeitungsschritte automatisch, bietet ein integriertes Daten-Audit und kann in einer eigenen Instanz in einem Rechenzentrum in der Schweiz betrieben werden. Ob das zu Ihren Anforderungen passt, klären wir gerne in einem Beratungstermin.
Quellen und weiterführende Artikel
Quellen
- Fedlex: Obligationenrecht (OR), Art. 728a
- Fedlex: Bundesgesetz über den Datenschutz (DSG), Art. 6, 7 und 8
- Fedlex: Datenschutzverordnung (DSV), Art. 4
- FINMA: Rundschreiben (RS 2023/1 Operationelle Risiken und Resilienz – Banken)
- AXELOS: ITIL® 4 Practice Guide Change Enablement
- Object Management Group: Business Process Model and Notation (BPMN) 2.0.2
Weiterlesen im Glossar und bei KYBERNA
Alle Glossar-Artikel in der Übersicht
Erfahren Sie, wie Microsofts Verzeichnisdienst Benutzer, Geräte und Rechte zentral verwaltet – sicher & zukunftsfähig für Unternehmen.
Mehr zu Active Directory
Was ist eine API? Erfahren Sie, wie Programmierschnittstellen Anwendungen verbinden, Prozesse automatisieren und Innovation in der digitalen Wirtschaft ermöglichen.
Was ist Authentifizierung? Erfahren Sie, wie Identitäten geprüft, Konten geschützt und moderne Anmeldeverfahren wie Zwei-Faktor-Authentifizierung Ihre Sicherheit erhöhen.
Was ist ein Backlog? Erfahren Sie, wie priorisierte Aufgabenlisten Teams helfen, Projekte agil zu steuern, Prioritäten zu setzen und Fortschritte transparent zu machen.
Erfahren Sie, wie eine Balanced Scorecard Unternehmen hilft, Strategie, Ziele und Kennzahlen zu verbinden und Erfolge messbar zu machen.
Das Change Advisory Board (CAB) berät bei der Bewertung und Freigabe von Changes im IT Service Management. Erfahren Sie, wann ein CAB gebraucht wird und wie ITIL 4 die Freigabe regelt.
Mehr zum CAB
Gesteuerter Change-Prozess mit Risikoanalyse, CAB-Freigaben und Kommunikation, um Ausfallzeiten zu reduzieren und Releasessicher in Produktionsumgebungen zu bringen.
Erfahren Sie, wie KI-gestützte Chatbots Kommunikation automatisieren, Kundenservice verbessern und Prozesse effizienter gestalten.
Was ist Continuous Integration? Erfahren Sie, wie automatisierte Builds und Tests Entwicklungsprozesse beschleunigen, Fehler vermeiden und Softwarequalität steigern.
Zentrale Konfigurationsdatenbank mit CIs und Beziehungen für Transparenz, Abhängigkeits-/Impact-Analysen, Audit-Sicherheit und Change-/Incident-Beschleunigung.
Was ist CSI? Erfahren Sie, wie Continual Service Improvement in ITIL hilft, IT-Services dauerhaft zu optimieren, Qualität zu steigern und Kundenzufriedenheit zu sichern.
Der Customer Effort Score ist eine Kennzahl, die beschreibt, wie viel Aufwand ein Kunde betreiben muss, um sein Anliegen mit einem Unternehmen zu lösen.
Was ist DevOps? Erfahren Sie, wie Entwicklung und IT-Betrieb durch Automatisierung, Zusammenarbeit und CI/CD zu schnelleren, stabileren Software-Releases führen.
Was ist die DSGVO? Erfahren Sie, wie die Datenschutz-Grundverordnungpersonenbezogene Daten schützt, welche Pflichten Unternehmen haben und welche Rechte Betroffene haben.
Was ist ESM? Erfahren Sie, wie Enterprise Service Management Prozesse vereinheitlicht, Services digitalisiert und alle Abteilungen effizient miteinander verbindet.
Was ist Hardware Asset Management? Erfahren Sie, wie Unternehmen mit HAM ihre IT-Geräte effizient verwalten, Kosten senken und Sicherheit im gesamten Lebenszyklus sichern.
Ein Helpdesk ist die zentrale Schnittstelle zwischen den Anwendern eines Unternehmens und den dafür zuständigen Support-Teams.
Ein Incident ist eine Beeinträchtigung eines IT-Services, die dazu führt, dass der Service nicht wie vorgesehen genutzt werden kann.
Erfahren Sie, wie der internationale Standard Unternehmen hilft, Informationssicherheit systematisch aufzubauen, Risiken zu minimieren und Vertrauen zu schaffen.
Erfahren Sie, wie das Framework IT-Prozesse strukturiert, Qualität sichert und die IT an den Geschäftszielen ausrichtet – praxisnah und modern mit ITIL 4 oder ITIL 5.
IT Service Management (ITSM) beschreibt die Gesamtheit spezialisierter organisatorischer Fähigkeiten, um IT-Services effizient zu betreiben.
Erfahren Sie, wie die japanische Kaizen-Methode durch kleine, stetige Verbesserungen Prozesse optimiert, Qualität steigert und Mitarbeitende einbindet.
Erfahren Sie, wie die Kanban-Methode durch Visualisierung, Flusssteuerung und kleine Verbesserungen Teams effizienter und flexibler arbeiten lässt.
Key Performance Indicators (KPIs) machen Ziele messbar, bewerten Leistung und unterstützen datenbasierte Entscheidungen im Unternehmen.
Erfahren Sie, wie KI funktioniert, wo sie eingesetzt wird und warum sie unsere Arbeitswelt verändert – zwischen Innovation und Verantwortung.
Machine Learning ist ein Teilgebiet der Künstlichen Intelligenz (KI). Es ermöglicht Systemen, Muster und Zusammenhänge in Daten eigenständig zu erkennen.
Erfahren Sie, wie Multi-Faktor-Authentifizierung funktioniert, warum sie Konten wirksam schützt und welche Methoden besonders sicher und benutzerfreundlich sind.
Erfahren Sie, wie die systematische Überwachung von IT-Systemen Leistung, Sicherheit und Verfügbarkeit verbessert – für stabile und effiziente Prozesse.
Erfahren Sie, wie Natural Language Processing funktioniert, wo es eingesetzt wird und warum es Kommunikation, Analyse und Serviceprozesse revolutioniert.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Operational Level Agreements (OLA) regelt interne Zusammenarbeit, unterstützt SLA-Ziele unterstützen und macht Serviceprozesse verlässlicher.
Operational Performance Indicator (OPI) sind ein zentrales Instrument, um die Leistungsfähigkeit operativer Prozesse in Unternehmen messbar zu machen.
Predictive Maintenance ist ein moderner Instandhaltungsansatz, der nicht auf starre Intervalle setzt, sondern auf datenbasierte Vorhersagen.
Die Root Cause Analysis (RCA) ist eine strukturierte Methode, um Ursachen eines Problems oder einer Störung zu identifizieren und zu beseitigen.
Was ist eine REST API? Erfahren Sie, wie REST-Schnittstellen Systeme verbinden, Daten austauschen und moderne Anwendungen schnell, flexibel und skalierbar machen.
Was ist eine Root Cause Analysis? Lernen Sie Methoden wie 5 Why, Ishikawa und Fehlerbaum kennen und erfahren Sie, welche Methode zu welcher Störung passt.
Was ist Scrum? Erfahren Sie, wie das agile Framework Teams hilft, flexibel zu arbeiten, schneller Ergebnisse zu liefern und Projekte kontinuierlich zu verbessern.
Verständlich erklärt: Wie Service Level Agreements Leistungen definieren, Qualität messbar machen und Servicebeziehungen strukturieren.
Was ist SSO? Erfahren Sie, wie Single Sign-On funktioniert, wie es Sicherheit und Komfort verbindet und warum es in modernen IT-Landschaften unverzichtbar ist.
Erfahren Sie, wie das Software Asset Management (SAM) Softwarebestände transparent macht, Kosten optimiert und Compliance sowie IT-Sicherheit stärkt.
Kompakt erklärt: Wie Sprints Teams helfen, in kurzen Zyklen zu planen, zu liefern und sich kontinuierlich zu verbessern.
Was ist eine SOP? Erfahren Sie, wie Standard Operating Procedures Abläufe standardisieren, Qualität sichern und Organisationen zuverlässiger machen.
Erfahren Sie, wie User Experience entsteht, warum sie entscheidend für Erfolg und Zufriedenheit ist und wie gute Nutzererlebnisse gestaltet werden.
Webhooks ermöglichen es, Ereignisse aus einem System in Echtzeit an ein anderes zu übermitteln, ohne dass ständige Abfragen erforderlich sind.
Was ist ein Workflow? Erfahren Sie, wie strukturierte Abläufe Prozesse vereinfachen, Qualität sichern und Unternehmen effizienter machen.
KYBERNA AG
