Definition
MiFID II Prozesskontrollen & Record Keeping bedeutet, Reporting- und Aufzeichnungspflichten an konkrete Workflow-Entscheidungspunkte (Freigaben, Übergaben, Timestamps) zu mappen – sodass Evidence während des Betriebs entsteht statt später rekonstruiert zu werden.
- Aufzeichnungspflichten dort mappen, **wo der Record entsteht** (Entscheidungspunkte) – nicht an den Prozessnamen.
- Timestamps und Clock Sync als Workflow-Bestandteil behandeln, nicht nur als IT-Hygiene.
- Exception Handling standardisieren, damit jede Abweichung einen strukturierten Record erzeugt.
- Conformance Checking nutzen, um Bypässe und verspätete Evidence-Erzeugung zu erkennen.
Was Sie praktisch mappen sollten: Records, Entscheidungen, Timestamps, Ausnahmen
MiFID II wird operativ, wenn Pflichten an Events hängen:
- eine Entscheidung (Freigabe/Ablehnung)
- eine Order (erfasst/geändert/storniert)
- eine Kommunikation (wo policy-relevant)
- eine Ausnahme (Override, Bypass, out-of-policy)
Controls-Mapping muss daher auf Entscheidungspunkte und Evidence-Events fokussieren.
Pattern: Pflicht → BPMN-Schritt → Evidence-Artefakt
Nutzen Sie ein einheitliches Mapping-Pattern:
- Pflicht-Statement (testbar formuliert)
- BPMN-Entscheidungspunkt (Freigabe/Übergabe/Gateway)
- Evidence-Artefakt (querybare Event-ID + Metadaten)
Beispiel (vereinfacht):
- Pflicht: Order-Record mit Timestamp und Actor
- BPMN-Schritt: Task Order erfassen + Gateway Order validieren
- Evidence: order_event_id, Timestamp, User/System, Outcome, Exception Code
„Dokument als Evidence“ nicht als Default
Mit Event-Evidence starten (IDs + Metadaten). Dokumente nur, wenn nötig – dann mit Templates und Pflichtfeldern.
Clock Synchronization: als Prozessabhängigkeit behandeln
Clock-Sync-Anforderungen scheitern, wenn sie nur IT gehören.
Machen Sie Clock Sync explizit im Operating Model:
- Systeme definieren, die timestamped Records erzeugen
- Verhalten bei degraded Sync definieren
- Eskalations-Workflows + Remediation-Evidence definieren
BPMN-Sicht: Clock Sync ist Precondition + Monitoring Control mit Exception Path.
Exception Playbooks: jede Abweichung wird zum strukturierten Record
Wenn Ausnahmen in Chats/E-Mails laufen, ist Evidence kaum machbar.
Standardisieren Sie Ausnahmen als Pattern:
- Ausnahme typisieren (Override, Bypass, Late Record, Data Correction)
- Grund + Approver erfassen (wo nötig)
- Remediation-Aktion + Timestamp erfassen
Das unterscheidet Controls auf Papier von Controls, die Audits überstehen.
Monitoring: KPI-Set für Control Health
Starten Sie mit minimalen KPIs:
- % Schritte mit Pflicht-Evidence vorhanden
- Evidence Timeliness (Time-to-Record)
- Exception Rate und Top Codes
- Drift Rate (Soll vs Ist)
Dann Scorecards mit Ownership publizieren. Ohne Owner gibt es keine Kontrolle.
Conformance Checking: Soll-Pfad vs Ist-Pfad für Record Keeping
Record-Keeping-Controls eignen sich ideal für Conformance Checking:
- „Soll“-Pfad aus BPMN + Evidence Points
- „Ist“-Pfad aus Event Logs
Conformance zeigt:
- bypassed validations
- fehlende Freigaben
- spät erzeugte Evidence
- Rework-Loops durch unklare Controls
Weiterführend:
Häufige Fehler, die Sie vermeiden sollten
Lernen Sie von anderen, um dieselben Fallstricke zu vermeiden.
Pflichten an Prozessnamen mappen
Sie verlieren, wo Evidence wirklich entsteht.
An Entscheidungspunkte und record-erzeugende Schritte mappen.
Exception-Struktur ignorieren
Die meisten Compliance-Probleme stecken in Ausnahmen.
Ausnahmen mit Codes, Gründen und Timestamps standardisieren.
Timestamps als automatisch korrekt annehmen
Clock Drift macht Evidence angreifbar.
Clock Sync als Prozessabhängigkeit mit Monitoring und Remediation behandeln.
Experten-Insights
Was die Experten sagen
"Record Keeping ist keine Storage-Anforderung. Es ist eine Workflow-Anforderung – weil der Record am Entscheidungspunkt entsteht."
Compliance Operations
Handeln Sie
Ihre Aktions-Checkliste
Wenden Sie das Gelernte mit dieser praktischen Checkliste an.
Record-Keeping-Pflichten und operative Entstehungspunkte erfassen
Jede Pflicht an BPMN-Entscheidungspunkte mappen
Evidence-Artefakte (IDs + Metadaten) und Exception Codes definieren
Clock Sync explizit machen: Monitoring + Exception Workflow
Control-Health-KPIs publizieren und Owner zuweisen