Das Steuer und die Lupe – Band 5b

Das Veranstaltungsbüro eines Hotels am See, helle Holzvertäfelung und eine Vase mit weißen Blumen. Am Schreibtisch hat sich eine junge Veranstaltungsassistentin von ihrem Rechner weggedreht. Hinter ihr steht die Direktorin, ernst. In der Mitte hält der Auditor der Gesellschaft, grauhaarig und im dunklen Anzug, ein einzelnes bedrucktes Blatt hoch und zeigt mit ausgestrecktem Arm durch die offene Tür zur Warenanlieferung, wo ein dunkler Transporter mit geöffneter Heckklappe wartet. Auf dem Schreibtisch eine Reihe unbedruckter Namensschilder an Bändern.

Die Karte handelt von einem Audit, das der Information folgt und nicht dem Organigramm. Das Blatt in seiner Hand ist die Teilnehmerliste, und sein Arm zeichnet den Weg nach, den sie tatsächlich genommen hat: aus dem Postfach des Bankettbüros in zwei weitergeleitete Postfächer, von dort auf das gemeinsame Laufwerk, auf einen Ausdruck am schwarzen Brett, in die Mappe der Hausdame, auf das Tablet des Bankettservice und schließlich hinaus, bis zu den Fahrzeugen an der Rampe. Sein früheres Audit hatte den Serverraum und die Verfahren geprüft und in Ordnung gefunden. Keiner der Orte, durch die die Liste wanderte, stand in seinem Plan.

Die Plaketten nennen die Methode. Einer Information folgen; von der Ankunft bis zur Löschung. Wohin der Plan nie ging ist der Befund, den der Fall hervorgebracht hat, und die letzte Plakette ist die Lehre des ganzen dritten Kapitels: Die Spur ist das Audit. Dokumente und Verfahren bleiben wichtig, aber ein Audit, das den Besprechungsraum nie verlässt, bescheinigt die Beschreibung und übersieht das Haus.

Die Tafel sagt nicht, dass der Auditor nachlässig oder die Assistentin leichtfertig gewesen wäre. Er war innerhalb seines Plans gewissenhaft, und sie hat den Weg gewählt, der für einen eiligen Ablauf der schnellste war. Sie sagt, dass Information in einem Hotel durch Menschen, Dienstleister und Fahrzeuge wandert, die kein Organigramm zeigt, und dass die erste Aufgabe des internen Auditors darin besteht, diesen Weg abzugehen.

Die Remise eines Hotels in einem alten Bürgerhaus, heute Gepäckraum: ein weiß getünchtes Tonnengewölbe aus Sandstein, dunkle Eichenregale mit Koffern, ein Gepäckwagen aus Messing, eine einzelne Deckenleuchte. Der interne Auditor, ein ergrauter Mann im hellen Sakko, hat den Deckel eines Archivkartons angehoben und sieht auf einen dicken Stapel unbedruckter Meldescheine hinab. Neben ihm erklärt die Nachtrezeptionistin mit offenen Händen. Beide Gesichter im Profil.

Die Karte handelt davon, wann ein Audit stattfindet. Die volle Woche im Herbst, in der das Haus vier Nächte hintereinander ausverkauft ist, der Empfang auf Papier arbeitet und zusätzliche Kräfte aus der Agentur kommen, kam in keinem Auditplan vor. Jeder frühere Besuch lag in den ruhigen Wochen, wenn die Führungskräfte Zeit hatten und der Besprechungsraum frei war, und deshalb beschrieb jeder frühere Bericht ein Haus, das es außerhalb dieser Woche gab. Der Karton im Bild ist der, in dem die Meldescheine dieser Wochen liegen und der seit Monaten in der Remise steht.

Die Plaketten stellen die zwei Kalender gegeneinander. Geprüft in den ruhigen Wochen; ausgesetzt in den vollen. Der Kalender der Gefährdung ist das Werkzeug dieses Abschnitts — das Jahr des Hauses, gezeichnet aus der Sicht seiner Informationen —, und hingehen, wenn es zählt, ist die Regel, zu der er führt. Nicht jede Audittätigkeit gehört in die Spitze, einige davon aber sehr wohl.

Die Tafel sagt nicht, dass der Auditor die volle Woche absichtlich gemieden hätte. Er hat geplant, wie Auditoren gewöhnlich planen: nach Verfügbarkeit. Sie sagt, dass die Maßnahmen eines Hotels von seinen vollsten Stunden, seinen Nächten und seinen Saisonen geprüft werden, und dass ein Auditprogramm, das sie nie sieht, das Haus genau dann misst, wenn es sich selbst am unähnlichsten ist.

Die Halle eines großen Geschäftshotels: Steinboden, Orchideen, Messinglampen und ein langer Empfangstresen aus Marmor, an dem zwei Mitarbeitende arbeiten. Im Vordergrund steht ein Selbstbedienungsterminal. Der Auditor, im marineblauen Anzug, hält ein Klemmbrett mit einer Checkliste leerer Kästchen und zeigt auf den Bildschirm des Terminals, auf dem ein Raster kleiner grauer Vorschaubilder erscheint. Neben ihm hat die Direktorin die Hand am Kinn und beginnt zu verstehen.

Die Karte handelt davon, wo eine Checkliste geschrieben und wo sie benutzt wird. Die Liste des Prüfers hatte dreiundneunzig Zeilen, eine je Referenzmaßnahme, und war in einem Besprechungsraum ausgefüllt worden, in dem der IT-Dienstleister die Fragen beantwortete. Die vier Terminals in der Lobby standen auf keiner Inventarliste und in keiner Zeile, und deshalb hatte nie jemand davor gestanden. Die Vorschaubilder sind das, was ein Gast fand, als er die falsche Schaltfläche drückte: eine Galerie zuletzt gescannter Ausweise.

Die Plaketten beschreiben die Checkliste, die versagt hat, und die, die sie ersetzt. Für jede Organisation geschrieben; blind für die Halle. Aus den Orten des Hauses gebaut ist die Methode: eine kurze Liste von Fragen, geordnet nach Tresen, Büro und Etage, jede dort gestellt, wo gearbeitet wird. Erst gehen, dann ankreuzen ist die Disziplin dahinter.

Die Tafel sagt nicht, dass die Prüfgesellschaft unfähig oder der Terminalanbieter nachlässig gewesen wäre. Eine Standardcheckliste ist für viele Organisationen ein vernünftiges Werkzeug. Sie sagt, dass die Informationen eines Hotels an Orten leben, die keine allgemeine Liste vorhersieht, und dass der Auditor, der die Halle abgeht, bevor er die Fragen schreibt, findet, was der Besprechungsraum nicht zeigen kann.

Ein Besprechungsraum in einem Gründerzeithaus: hohe Stuckleisten, ein grüner Kachelofen, weiße Flügeltüren mit Messinggriffen. Drei Personen sitzen an einem runden, polierten Tisch. Links ein dicker Stapel gebundener Unterlagen mit Bändern. In der Mitte legt die Auditorin ein einzelnes bedrucktes Blatt in die Tischmitte und hält den Finger darauf. Der Direktor und der Datenschutzberater beugen sich beide zu diesem einen Blatt, nicht zum Stapel.

Die Karte handelt vom Unterschied zwischen der Prüfung eines Gesetzes und der Prüfung des Verfahrens, das es erfüllt. Die gebundenen Unterlagen sind die Datenschutzhinweise, die Einwilligungen und das Verzeichnis der Verarbeitungstätigkeiten, alle vorhanden, alle geordnet. Das einzelne Blatt ist das Ersuchen einer Gästin, ihren Newsletter zu beenden und ihre Daten zu löschen — als Antwort auf eine Mail geschickt, im Postfach des Marketings abgelegt und von niemandem als das erkannt, was es war.

Die Plaketten ziehen die Linie, die der Abschnitt zieht. Kein Rechtsgutachten: Die interne Auditorin ist nicht diejenige, die feststellt, ob das Haus das Gesetz erfüllt. Wem die Pflicht gehört und wo das Ersuchen ankam sind die Fragen, die sie stellen kann und muss. Das Verfahren erfüllt das Recht ist der Schluss: Geprüft wird der Weg, auf dem eine Pflicht erkannt, zugeordnet und beantwortet wird; das rechtliche Urteil bleibt denen, die es abgeben dürfen.

Die Tafel sagt nicht, dass die Auditorin nachlässig oder der Berater abwesend gewesen wäre. Sie hat gewissenhaft geprüft, was in den Dokumenten stand, und ihm hatte niemand den Bericht gezeigt. Sie sagt, dass ein internes Audit, das über das Recht urteilt, seine Rolle überschreitet, und dass eines, das der Pflicht bis zu dem Postfach folgt, in dem sie tatsächlich landet, das Wesentliche findet.

Das IT-Büro eines großen Kongresshotels, links ein Serverschrank mit grünen Leuchten, im Hintergrund eine Tür mit rundem Fenster. Die Auditorin sitzt am Schreibtisch vor einem aufgeschlagenen gebundenen Register, dessen Seiten vollständig leer sind, und zeigt auf den Bildschirm daneben, der mit Reihen bernsteinfarbener Kacheln gefüllt ist. Hinter ihr steht der Direktor mit der Hand am Kinn, nicht überzeugt; neben ihm hält die Verkaufsleiterin ihr Telefon und sieht mit wachsender Sorge auf den Bildschirm.

Die Karte handelt von der Bedeutung eines leeren Registers. Zweiundzwanzig Monate lang hatte das Haus null Sicherheitsvorfälle gemeldet, und das Register unter der Hand der Auditorin bestätigt es. Der Bildschirm erzählt etwas anderes: tausende abgewehrte Nachrichten, hunderte fehlgeschlagene Anmeldeversuche auf das Konto der Verkaufsleitung, alles von den Systemen aufgezeichnet und von niemandem gesehen. Die Frau mit dem Telefon ist die Person, deren Konto wenige Wochen später übernommen werden wird.

Die Plaketten stellen zwei Quellen nebeneinander. Null Vorfälle; der Filter sah alles. Das Schweigen ist der Befund, denn ein Register ohne Eintrag beschreibt ein Haus, das nicht hinsieht, und nicht eines, das sicher ist. Beinaheunfälle sind Nachweise ist das Prinzip: Ereignisse, die keinen Schaden angerichtet haben, sind die billigste Information, die ein Hotel je darüber bekommt, woher der Schaden kommen wird.

Die Tafel sagt nicht, dass der Direktor selbstzufrieden oder der Dienstleister nachlässig gewesen wäre. Das Haus hatte eine gute Bilanz und war stolz darauf. Sie sagt, dass eine interne Auditorin das Ausbleiben gemeldeter Ereignisse als Frage behandeln sollte und nicht als Ergebnis, und dass sie zu den Systemen und zu den Menschen gehen muss, die Beinaheunfälle täglich sehen, bevor sie glaubt, es sei nichts geschehen.

Ein Gästeflur: gemusterter Teppich, Wandleuchten, geschlossene Zimmertüren ohne Nummern, ein schmaler grauer Technikschrank in der Wand. Ein Etagenwagen mit gefalteten weißen Handtüchern steht zwischen zwei Frauen. Die Auditorin, im grauen Sakko mit Ausweisband, hält ein kleines Notizbuch und hört zu. Die Etagenleiterin, in grauer Uniform mit weißem Kragen, erklärt mit einer Hand an der Brust und der anderen offen zur Schranktür hin.

Die Karte handelt davon, wo und wie Bewusstsein geprüft wird. Das frühere Audit hatte zwölf Personen im Personalbüro befragt, ausgewählt von der Personalleitung, in einer Sprache und zu einer Zeit, die dem Büro passten. Keine von ihnen arbeitete auf den Etagen. Die Frau im Bild ist diejenige, die einem Mann in Technikerweste den Schrank öffnete, weil er das Netz für ihre Etage prüfen müsse, und die niemand je an ihrem Wagen gefragt hatte, was sie in einem solchen Fall tun würde.

Die Plaketten beschreiben die Methode des Abschnitts. Am Wagen gefragt; in der Sprache der Arbeit. Was würden Sie tun ist die Frage, die an die Stelle der Frage nach der Richtlinie tritt — denn die Richtlinie kannte sie, und sie hat ihr nicht geholfen. Bewusstsein ist Verhalten ist das Prinzip: Es misst sich daran, was Menschen im Augenblick des Drucks tun, und nicht an der Unterschrift auf einer Teilnahmeliste.

Die Tafel sagt nicht, dass die Etagenleiterin versagt hätte. Sie war zu einem Fremden in Arbeitskleidung höflich, wie das Haus es sie gelehrt hat, zu allen zu sein. Sie sagt, dass eine Befragung fern von der Arbeit, in der falschen Sprache und mit der falschen Auswahl misst, wie gut Menschen Auditoren antworten, und dass man erfährt, was ein Hotel wirklich weiß, indem man die Leute auf den Etagen fragt, dort, wo sie sind.

Ein Rückbüro in einem Geschäftshotel, eine Wandtafel voller farbiger Kästen und Pfeile, eine Lampe und eine Pflanze. Der Systemverantwortliche sitzt über einen dicken gebundenen Bericht gebeugt, dessen eine Seite mit einer Fahne markiert ist. Neben ihm hält die Direktorin ein gerahmtes Zertifikat mit goldenem Siegel hoch und blickt vom Rahmen zum Bericht.

Die Karte handelt von zwei Dokumenten desselben Anbieters. Das gerahmte Zertifikat ist das Informationssicherheitszertifikat des Softwarehauses, jedes Jahr eingeholt und als Beleg abgelegt, das Verwaltungssystem des Hauses sei in guten Händen. Sein Geltungsbereich, zum ersten Mal nach einer Störung gelesen, umfasste die Entwicklung am Firmensitz und nannte den Betrieb nicht. Der Bericht mit der Fahne ist der Prüfbericht zum betriebenen Dienst, seit Jahren auf Anfrage erhältlich und nie angefragt. Die Fahne markiert die Ausnahme: Rückspieltests von Kundendatenbanken waren nicht durchgeführt worden.

Die Plaketten stellen gegenüber, was geschehen ist und was hätte geschehen müssen. Das Zertifikat war gerahmt; der Bericht nie gelesen. Geltungsbereich vor Siegel ist die Regel für jedes Zertifikat, das ein Anbieter vorlegt, und fragen, was nicht geprüft wurde, ist die Frage, die aus einer Sammlung von Dokumenten eine Prüfung der Leistung macht, von der das Haus tatsächlich abhängt.

Die Tafel sagt nicht, dass der Systemverantwortliche bequem oder der Anbieter unehrlich gewesen wäre. Er hat das Verfahren des Hauses getreu befolgt, und das Zertifikat des Anbieters war echt. Sie sagt, dass ein Lieferantenaudit lesen muss, was eine Zusicherung abdeckt und was sie ausnimmt, weil das Risiko des Hauses meistens in dem Teil liegt, den das Zertifikat nicht erwähnt.

Ein Technikraum im Untergeschoss mit Betonwänden und offen geführten Leitungen. Links leuchten moderne Serverschränke blau und grün. Rechts steht in einer staubigen Ecke ein alter beigefarbener Turmrechner, sichtbar älter als alles andere, noch immer über ein einzelnes blaues Netzwerkkabel verbunden. Der Auditor kniet daneben und folgt dem Kabel mit der Hand zur Wand. Hinter ihm hält die Direktorin ein einzelnes bedrucktes Blatt und sieht den alten Rechner an.

Die Karte handelt vom Unterschied zwischen einer Aufbewahrungsregel und den Orten, an denen Daten tatsächlich liegen. Das Blatt in ihrer Hand ist die Regel: Gästeprofile drei Jahre nach dem letzten Aufenthalt, danach Löschung — und im neuen Verwaltungssystem funktionierte die Löschung einwandfrei. Der alte Rechner in der Ecke trug jeden Gast seit der Eröffnung; er war nach einer Umstellung eingeschaltet geblieben, damit die Buchhaltung alte Rechnungen nachsehen konnte.

Die Plaketten zeichnen die Lücke nach. Gelöscht, wo die Regel es sagte; behalten, wo niemand nachsah. Der alte Server lief noch ist der wörtliche Befund, und Aufbewahrung ist eine Suche ist die Methode: Eine Löschregel prüft man nicht, indem man den Löschbericht liest, sondern indem man nach jedem anderen Ort sucht, an dem die Daten noch leben — Altsysteme, Sicherungen, Dienstleister, Tabellen.

Die Tafel sagt nicht, dass die Direktorin eine schlechte Regel geschrieben oder der Dienstleister sie missachtet hätte. Die Regel war gut, und die Löschung lief jeden Monat. Sie sagt, dass Daten die Systeme überleben, für die sie gedacht waren, und dass ein Audit der Aufbewahrung dort beginnt, wo die Regel endet: in den Ecken, in den Sicherungen und bei den Dienstleistern, die niemand je um eine Löschung gebeten hat.

Die Reservierung eines Patrizierhauses: gewölbte Decken mit Malerei, steinerne Türgewände, Schreibtische mit Bildschirmen. Eine junge Reservierungsmitarbeiterin zeigt auf ihren Bildschirm, auf dem eine Adressauswahl zwei fast gleiche graue Balken anbietet. Neben ihr sitzt die Auditorin mit dem Notizbuch auf dem Knie und sieht genau hin. Der Direktor steht nachdenklich dahinter, die Hand am Kinn.

Die Karte handelt davon, wo die Ursache eines Fehlers gefunden wird. Zwei Zimmerlisten, Monate auseinander und von verschiedenen Arbeitsplätzen, gingen an denselben falschen Reiseveranstalter, weil das Mailprogramm die Adresse aus zwei Firmennamen ergänzte, die sich in einem Wort unterscheiden. Der erste Vorfall war als menschliches Versagen geschlossen worden, mit einer Ermahnung an die Mitarbeiterin. Die Auditorin tut, was die erste Untersuchung nicht getan hat: Sie setzt sich an den Arbeitsplatz und sieht der Arbeit zu, bis die Ursache auf dem Bildschirm sichtbar wird.

Die Plaketten sind die Fragen des Abschnitts. Der Fehler war möglich; der Fehler war wahrscheinlich; nichts fing ihn ab. Jede zeigt auf etwas, das sich ändern lässt: das Werkzeug, das geraten hat, die vielen Listen am Ende einer Schicht, das Fehlen jeder Kontrolle, bevor heikle Daten das Haus verlassen. Den Arbeitsplatz ändern, nicht den Namen, ist der Schluss: Eine Korrekturmaßnahme muss eine Ursache beseitigen, und eine Ermahnung beseitigt keine.

Die Tafel sagt nicht, dass niemand je für etwas verantwortlich wäre. Vorsatz und wiederholte Nachlässigkeit gehören in ein anderes Verfahren. Sie sagt, dass menschliches Versagen der Anfang einer Untersuchung ist und nicht ihr Ende, und dass die Auditorin, die der Arbeit zusieht, meistens eine Ursache findet, die alle an diesem Platz teilen.

Ein schmaler Raum hinter dem Empfang, links ein Serverschrank, rechts Regale. Die Auditorin hält einen Bericht mit durchgehend grünen Balken und zeigt mit ausgestrecktem Arm auf einen kleinen grauen Rechner im Regal, neben einem Kartencodierer. Der Rechner ist mit nichts verbunden außer mit dem Strom. Der Direktor sieht ihn besorgt an; der Techniker hält einen Laptop und eine Stoppuhr, bereit für einen Rückspieltest.

Die Karte handelt davon, was ein Sicherungsbericht beweist. Jahrelang hatte der Bericht des Dienstleisters für jeden Auftrag eine grüne Zeile gezeigt, und jede Zeile stimmte. Der kleine Rechner ist der Server der Schließanlage, der jede Karte codiert. Er war von der Firma eingebaut worden, die die Türen geliefert hat, und nie in die Liste des Dienstleisters aufgenommen worden, also nie gesichert. Niemand wusste es, bis die Auditorin statt eines Berichts ein Rückspielen verlangte.

Die Plaketten führen von der Beruhigung zum Nachweis. Jede Zeile war grün; nichts war je zurückgespielt. Der Schließserver wurde nie gesichert ist der Befund, der das ganze Audit bezahlt hat. Prüfen heißt zurückspielen ist das Prinzip: Eine Sicherung ist ein Versprechen über die Zukunft, und ein Versprechen prüft man nur, indem man seine Einlösung verlangt — an einem sicheren Ort, mit laufender Uhr.

Die Tafel sagt nicht, dass der Dienstleister gelogen oder das Haus seine Systeme vernachlässigt hätte. Der Dienstleister hat genau das gesichert, worum man ihn gebeten hatte, und ehrlich berichtet. Sie sagt, dass eine interne Prüfung die Wiederherstellung testen muss und nicht die Berichterstattung, und dass sie bei den Systemen beginnt, ohne die das Haus nicht arbeiten kann, und nicht bei der Liste dessen, was der Dienstleister zufällig sichert.

Ein Besprechungsraum in einem modernen Haus am Wasser, helles Holz und ein Bild einer nördlichen See. Auf dem Tisch liegt eine lange Reihe gleich aussehender unterschriebener Blätter, jedes mit Zeilen grauer Zeichen und einer Unterschrift am Fuß. Die Auditorin zeigt mit dem Stift auf eine Zeile eines Blattes. Ihr gegenüber hält die Empfangsleiterin, in Uniform mit leerem Namensschild, die Hand ans Kinn und zögert.

Die Karte handelt von einer Maßnahme, die durchgeführt wurde, ohne verstanden zu werden. Zwei Jahre lang hatte jedes Quartal jede Abteilungsleitung bestätigt, dass die Rechte ihrer Leute richtig seien. Die Blätter auf dem Tisch sind diese Unterschriften. Die Zeile unter dem Stift ist ein Rollencode, der zwei Nachtmitarbeitenden erlaubte, unbegrenzte Korrekturen auf Gastrechnungen zu buchen und denselben Tag abzuschließen, der sie ausgewiesen hätte. Die Leiterin im Bild hatte achtmal für Rechte unterschrieben, die sie nicht beschreiben konnte.

Die Plaketten führen den Befund auf die Methode zurück. Jedes Quartal unterschrieben; niemand kannte die Codes. Arbeit und Rechte nebeneinander ist die Art, wie eine Prüfung geprüft wird: die Leitung fragen, was die Aufgabe verlangt, das System fragen, was die Person darf, und beides nebeneinanderlegen. Eine Prüfung, die man lesen kann, ist die Abhilfe: Rechte in der Sprache der Arbeit beschrieben, damit eine Unterschrift etwas bedeutet.

Die Tafel sagt nicht, dass die Führungskräfte nachlässig gewesen wären. Sie haben jedes Quartal genau das getan, worum man sie gebeten hat. Sie sagt, dass eine Rechteprüfung, die in Systemcodes an Menschen geht, die diese Sprache nicht sprechen, Unterschriften ohne Urteil erzeugt, und dass die interne Prüfung darin besteht, die Prüfung an einer Stichprobe selbst noch einmal durchzuführen.

Ein hoher Büroraum in einem Belle-Époque-Haus: Marmorkamin, weiße Flügeltüren mit vergoldeten Griffen, Orchideen, ein Goldrahmenspiegel. Der Prüfer, mit hochgekrempelten Ärmeln, beugt sich über einen großen Grundriss des Hauses und zeichnet mit einem Marker. Pfeile weisen von allen Seiten in das Gebäude; nur vier davon sind gelb. Die Direktorin sieht mit der Hand am Kinn zu. Neben dem Plan liegt ein dicker gebundener Bericht, geschlossen.

Die Karte handelt davon, einen Bericht von hinten zu lesen. Der geschlossene Bericht sind vier Jahre Penetrationstests, jeder mit dem Ergebnis, es seien keine kritischen Schwachstellen festgestellt worden, jedes Ergebnis zutreffend. Die Pfeile sind alle Wege, auf denen jemand von außen an die Informationen des Hauses gelangen könnte: Webseite, E-Mail und Fernzugang der Mitarbeitenden, die der Test umfasste — und das Gästenetz, die Anschlüsse im Tagungsraum, der Wartungszugang der Schließanlage, die Buchungsstrecke, die Gäste-App und die Menschen selbst, die er nie umfasste. Die gelben Pfeile sind die wenigen, die geprüft wurden.

Die Plaketten folgen dem Gedankengang. Keine kritischen Schwachstellen; wenige Wege geprüft. Zuerst den Prüfumfang lesen ist die Regel für jeden Testbericht, und der Rest wurde nie angesehen ist der Befund: keine Schwachstelle, sondern ein Teil des Hauses, über den das Haus nichts wusste.

Die Tafel sagt nicht, dass die Prüfer unfähig oder der Bericht irreführend gewesen wäre. Sie haben geprüft, worum man sie gebeten hat, und ehrlich berichtet. Sie sagt, dass ein Test die Frage beantwortet, die ihm gestellt wurde, und dass es Aufgabe der internen Prüfung ist, diese Frage über das heutige Haus zu legen und zu sehen, wie viel davon nie gefragt worden ist.

Ein dunkel getäfelter Sitzungsraum in einem Kongresshotel, ein polierter Tisch, eine geschlossene Tür und Messinglampen. Links liegt ein dicker Auditbericht aufgeschlagen in der Mitte. Der Auditor schiebt ein einzelnes Blatt mit drei kurzen hervorgehobenen Balken über den Tisch. Die Asset-Managerin der Eigentümerseite hält dieses Blatt und liest aufmerksam. Neben ihr hört der Direktor zu, die Hand am Kinn.

Die Karte handelt von der Seite, die eine Eigentümerin tatsächlich liest. Der dicke Bericht ist das interne Audit: viele Seiten, einundvierzig Feststellungen, geordnet nach den Abschnitten der Norm, die wichtigste davon weit hinten. Die Asset-Managerin hatte die erste Seite gelesen, auf der stand, das System sei im Wesentlichen wirksam, und den Bericht abgelegt. Das einzelne Blatt ist derselbe Bericht, für sie neu geschrieben: was das Haus riskiert, was zu entscheiden ist, von wem und bis wann. Es ist der erste interne Auditbericht, den sie zu Ende gelesen hat.

Die Plaketten beschreiben die zwei Berichte. Ein dicker Bericht; gelesen wird die erste Seite. Was zu entscheiden ist, ist die Frage, die diese erste Seite beantworten muss — in der Sprache der Eigentümerin und nicht in der des Auditors. Für die Entscheidung schreiben ist das Prinzip: Die Einzelheiten bleiben vollständig im Anhang, und die oberste Seite trägt nur, was die Person mit der Befugnis zum Handeln braucht.

Die Tafel sagt nicht, dass der erste Bericht falsch oder die Eigentümerin unaufmerksam gewesen wäre. Jede Feststellung war zutreffend, und sie hat gelesen, was man ihr gegeben hat. Sie sagt, dass ein internes Audit erst dann Wert schafft, wenn jemand mit Befugnis es versteht und entscheidet, und dass der Bericht die einzige Brücke zwischen dem Nachweis des Auditors und dieser Entscheidung ist.

Ein Gästeflur in einem umgebauten Weinhandelshaus: Kalksteinwände, Holzbalken, gemusterter Teppich, geschlossene Zimmertüren. Ein Etagenwagen steht an der Wand, ein Tablet liegt auf den Handtüchern. Die zweite Auditorin kauert daneben und zeigt auf ein kleines weißes Etikett am Rand des Wagens. Hinter ihr hält die erste Auditorin einen Laptop und legt die Hand vor den Mund.

Die Karte handelt davon, wer eine Abhilfe beurteilen soll. Die erste Auditorin hatte festgestellt, dass die Tablets der Etage Gästeinformationen ungeschützt enthielten, hatte die Feststellung geschlossen, als der Systemkoordinator, der die Geräteverwaltung eingerichtet hatte, ihr die Konsole zeigte und diese für jedes eingebundene Gerät die Einhaltung meldete. Das Etikett am Wagen trägt den einen Code, den alle benutzen, weil man mit Handschuhen arbeitet und die Geräte teilt. Die Konsole konnte ihn nicht sehen, ebenso wenig die später gekauften Geräte, die nie eingebunden wurden. Die Kollegin aus dem Schwesterhaus sah beides an einem Tag.

Die Plaketten beschreiben den Fehler und die Regel. Gebaut und vorgeführt von derselben Hand; die Konsole meldete alles gut. Der Code klebte am Wagen ist der Nachweis, den keine Aufzeichnung zeigen konnte. Ein anderer prüft nach ist das Prinzip: Unabhängigkeit in der Nachverfolgung schützt nicht vor Unehrlichkeit, sondern vor dem blinden Fleck dessen, der die Lösung entworfen hat.

Die Tafel sagt nicht, dass die erste Auditorin nachlässig gewesen wäre. Sie hat ein echtes Problem gefunden, die vorgeführte Abhilfe ehrlich geprüft. Sie sagt, dass derjenige, der eine Lösung baut, am wenigsten sehen kann, wofür sie nie gebaut war, und dass die Nachverfolgung jemandem gehört, der die Abhilfe nicht entworfen hat — an der wirklichen Grundgesamtheit und nach genug Zeit, damit die Arbeit sie prüfen konnte.

Ein Besprechungsraum in einem Stadthotel, getäfelte Wände, eine geschlossene Holztür, Orchideen und ein Tablett mit Gläsern. Auf dem langen Tisch liegen drei große Raster nebeneinander, eines für jedes Jahr des Zertifizierungszyklus. In allen dreien ist derselbe kleine Block von Feldern gefärbt, und ein großer Teil ist weiß. Die Auditorin steht darüber und zeigt auf die Kante, an der die Farbe ins Weiße übergeht. Die Geschäftsführerin sieht sitzend auf die drei Raster, die Hand am Kinn.

Die Karte handelt davon, was drei Jahre Audit zusammen ergeben. Jedes Jahr hatte die Auditorin dieselbe Folie berichtet: Programm wie geplant durchgeführt, Feststellungen erhoben und geschlossen, keine Hauptabweichung. Jede Aussage war wahr. Nebeneinandergelegt zeigen die drei Programme, dass Jahr für Jahr derselbe Teil des Managementsystems geprüft wurde und ein anderer nie, und dass mehrere Feststellungen in jedem Jahr unter anderer Nummer zurückkehrten.

Die Plaketten stellen Tätigkeit und Sicherheit gegeneinander. Programm durchgeführt; nichts sagte, was fehlte. Abdeckung, Entwicklung, Urteil sind die drei Dinge, die das Audit der Managementbewertung über die Liste der Feststellungen hinaus schuldet: was über den Zyklus geprüft wurde und was nicht, welche Feststellungen wiederkehren, und worauf sich die Leitung nach dem Urteil der Auditorin verlassen kann. Sicherheit, nicht Betriebsamkeit ist das Prinzip, das dieses Kapitel schließt.

Die Tafel sagt nicht, dass die Auditorin schlecht gearbeitet oder die Leitung sie überhört hätte. Sie hat das Programm durchgeführt, das sie hatte, und die Bewertung hat zur Kenntnis genommen, was ihr vorgelegt wurde. Sie sagt, dass die Managementbewertung wissen muss, wofür das Audit einstehen kann, und dass nur die Auditorin, die den ganzen Zyklus liest, es ihr sagen kann.

Die Halle eines eleganten Stadthotels, Marmorboden und im Hintergrund ein dunkler Empfangstresen aus Holz. An der Wand hinter dem Auditor zeigt ein heller Abdruck mit vier kleinen Löchern, wo bis eben ein Rahmen hing. Er hält diesen Rahmen unter dem Arm — ein Zertifikat mit goldenem Siegel und sonst nichts — und in der anderen Hand ein Tablet, dessen Bildschirm eine leere Suchmaske ohne Treffer zeigt. Die Direktorin, in Schwarz, sieht mit der Hand am Kinn auf den leeren Bildschirm.

Die Karte handelt davon, was ein Zertifikat für einen Fremden überhaupt wert macht. Es war mit einem Komplettpaket gekauft worden, nach einem kurzen Audit, und trug ein Siegel, auf dem das Wort Akkreditierung stand. Die Lieferantenprüferin eines Firmenkunden suchte die ausstellende Gesellschaft in den Verzeichnissen der Akkreditierungsstellen und die Organisation des Siegels unter den Mitgliedern der internationalen Vereinbarung — und fand beide nicht. Die leere Suche auf dem Tablet ist ihr Ergebnis, vom Haus selbst nachvollzogen.

Die Plaketten folgen der Kette Glied für Glied. Mit der Beratung gekauft; von niemandem akkreditiert; in keinem Verzeichnis. Ein Zertifikat ist seine Kette ist der Schluss: Ein Zertifikat trägt die Glaubwürdigkeit der unabhängigen Prüfungen hinter ihm — eine Zertifizierungsstelle, die von einer Akkreditierungsstelle begutachtet wird, eine Akkreditierungsstelle, die sich der Begutachtung ihrer Schwesterstellen unterwirft, ein öffentliches Verzeichnis, in das jeder sehen kann — und sonst nichts.

Die Tafel sagt nicht, dass das Haus jemanden täuschen wollte. Es hat in gutem Glauben gekauft, was ihm als Zertifizierung angeboten wurde. Sie sagt, dass Zertifizierung kein Dokument ist, sondern ein Verhältnis zu einer unabhängigen Stelle, die selbst zur Rechenschaft gezogen wird, und dass ein Haus, das diese Prüfung an seinem eigenen Zertifikat und an denen seiner Lieferanten vornehmen kann, nie wieder ein Papier rahmt, das nichts bedeutet.

Der kleine Technikraum im Untergeschoss eines Hotels: ein weiß getünchtes Backsteingewölbe, zwei Serverschränke, kaltes Licht einer Leuchtstoffröhre. Der Auditor der Zertifizierungsstelle, ein Mann im dunklen Anzug, steht mit dem Klemmbrett vor einem geöffneten Schrank, ganz in die Sache vertieft. Hinter ihm, durch die offene Tür, ein Flur mit einem unbeaufsichtigten Housekeeping-Wagen und dahinter der Tresen mit der Rezeptionsglocke. Die Qualitätsbeauftragte sieht ihm aus dem Türrahmen zu.

Die Karte handelt davon, das Audit zu wählen und nicht das Zertifikat. Das Haus hatte zuerst die günstigste akkreditierte Stelle genommen, und deren Auditor, ein Fachmann aus der Bankenwelt, verbrachte zwei von vier Tagen im Technikraum und sah weder die Anreise noch die Nacht noch den Veranstaltungsbereich. Der Auditor im Bild ist derjenige aus dem ersten Verfahren, und die Tafel zeigt, wo er seine Tage verbracht hat: im Technikraum, während Flur und Tresen hinter ihm weiterliefen. Sein erster Bericht war der erste, der dieses Haus beschrieb.

Die Plaketten stellen zwei Arten gegenüber, Zertifizierung einzukaufen. Der billigste Tag; die wenigsten Tage. Ein Auditor, der Hotels kennt, ist das, was die Regeln möglich machen und Häuser selten verlangen: Die Stelle muss das Auditteam bekannt geben, und das Haus darf nach dessen Erfahrung fragen und begründet widersprechen. Das Audit wählen ist das Prinzip: unter akkreditierten Stellen diejenige, deren Audit das Haus so sieht, wie es arbeitet.

Die Tafel sagt nicht, dass der erste Auditor unfähig gewesen wäre oder dass der Preis keine Rolle spielt. Er war in allem kompetent, was er geprüft hat, und die Ersparnis war echt. Sie sagt, dass alle akkreditierten Zertifikate gleich aussehen und die Audits dahinter nicht, und dass ein Haus, das Tage, Berechnung, Erfahrung und Zeit im Betrieb vergleicht statt des Tagessatzes, ein Audit kauft, das finden kann, worauf es ankommt.

Ein Besprechungsraum in einem großen Stadthotel, dunkle Vertäfelung, eine Marmoranrichte und weiße Blumen. Am runden Tisch schließt die leitende Auditorin ruhig ihre Mappe. Vor ihr liegt ein Dokument, dessen Seiten nur ein leeres Raster unter einem blassen Stempel zeigen. Der Direktor und die Systembeauftragte, mit hochgekrempelten Ärmeln und müde, hören schweigend zu, die Hände im Gesicht. Ein vierter Stuhl am Tisch bleibt leer.

Die Karte handelt von dem Augenblick, in dem eine Zertifiziererin sagt, das System sei noch nicht prüfbar. Der Termin der Zertifizierung war zuerst gesetzt worden, wegen einer Ausschreibung, und die erste Stufe wurde danach eingepasst. Das Dokument auf dem Tisch ist die Erklärung zur Anwendbarkeit, noch als Entwurf, mit jeder Maßnahme als umgesetzt markiert. Der leere Stuhl steht für das interne Audit und die Managementbewertung, die beide auf Rat des Beraters erst nach dem Besuch der Stelle vorgesehen waren. Die Auditorin hat eben erklärt, dass sie die zweite Stufe nicht empfehlen kann.

Die Plaketten erzählen den Fall der Reihe nach. Zuerst kam der Termin; dann das System. Keine Generalprobe ist der Punkt, den das Haus übersehen hatte: Die erste Stufe entscheidet, ob die zweite Sinn hat, und die Auditorin darf sagen, was sie gefunden hat, aber nicht, wie es zu beheben ist. Ein Zyklus muss gelaufen sein ist als Bild gemeint, nicht als Frist: Eine feste Mindestdauer gibt es nicht, wohl aber den Anspruch, dass vor der zweiten Stufe Risiken beurteilt, Maßnahmen im Betrieb sowie internes Audit und Bewertung geplant und durchgeführt sind — die erste Stufe bewertet diese Bereitschaft, die zweite prüft Umsetzung und Wirksamkeit.

Die Tafel sagt nicht, dass im Haus jemand nachlässig gewesen wäre. Die Leitung hatte gute Gründe, die Systembeauftragte arbeitete abends, und der Berater lieferte pünktlich. Sie sagt, dass sich ein Managementsystem nicht dazu drängen lässt, gewirkt zu haben, und dass ein Haus, das seine Bereitschaft zuerst selbst prüft, in der ersten Stufe eine Bestätigung hört statt einer Absage.

Die Rezeption eines Stadthotels in einem historischen Gebäude, auf dem Höhepunkt einer Gruppenankunft: heller Stuck, ein Tresen aus dunklem Holz, eine Messingglocke, dahinter die Ankommenden mit Koffern und Rucksäcken. Auf dem Tresen liegt ein Bündel Reisepässe, daneben ein Tablett mit Fotokopien. Die Rezeptionistin nimmt ein Telefonat an und hat die andere Hand auf dem Tablett. Der leitende Auditor der Zertifizierungsstelle steht etwas abseits, die Mappe im Arm, und greift nicht ein.

Die Karte handelt davon, wo Umsetzung bewiesen wird. Das Haus hatte einen tadellosen Besprechungsraum vorbereitet, mit Ordnern, Präsentationen und Kaffee, und der Auditor verbrachte dort den ersten Vormittag. Dann bat er darum, zur Anreisezeit am Tresen stehen zu dürfen. Das Tablett auf dem Tresen enthält die Ausweiskopien einer Reisegruppe, über Nacht dort liegen geblieben, weil die Schlange keine Zeit ließ. Am selben Nachmittag wurden Namen und Zimmernummern laut in die Halle gerufen, und abends lag die Anreiseliste im offenen Fach des Rücktresens.

Die Plaketten stellen die beiden Audits nebeneinander. Im Besprechungsraum stimmte alles; am Tresen nicht. Zur vollsten Stunde gesehen ist die Methode der zweiten Stufe in ihrer besten Form: Der Auditor geht dorthin und dann, wo und wann gearbeitet wird, mit Zustimmung und im Idealfall auf Einladung des Hauses. Es wirkt oder es wirkt nicht ist das, was die Stelle herausfinden soll.

Die Tafel sagt nicht, dass die Vorbereitung vergeblich oder die Mitarbeitenden nachlässig gewesen wären. Die Führungskräfte verstanden ihr System, und der Empfang bediente eine Schlange. Sie sagt, dass Informationssicherheit in einem Hotel Schicht für Schicht unter Druck erbracht wird, und dass ein Haus, das seinen eigenen Tresen um fünf und sein Rückbüro um zwei Uhr nachts abgeht, weiß, was die zweite Stufe finden wird.

Der Empfang eines Geschäftshotels, dunkler Steintresen und dahinter eine Wand aus Holzlamellen. Der leitende Auditor stützt sich auf den Tresen und spricht unmittelbar mit einer jungen Empfangsmitarbeiterin, die gerade eine Schublade geöffnet hat. Darin liegt ein einzelnes bedrucktes Blatt mit Zeilen und Kästchen. Neben dem Auditor steht die Systembeauftragte still als Begleitung. Im Hintergrund, bei der Bürotür, steht abseits ein Mann im teuren Anzug, die Hände in den Taschen: der Berater.

Die Karte handelt davon, wer für das Haus spricht. Am ersten Vormittag ging der Berater, der das System aufgebaut hatte, neben dem Auditor her und beantwortete jede Frage anstelle der Mitarbeitenden. Nach der Mittagspause übernahm die Systembeauftragte die Begleitung, und der Berater blieb im Büro. Das Blatt in der Schublade ist ein Spickzettel mit den Fragen, die ein Auditor stellen könnte; eine der Antworten beschreibt ein Verfahren, das es im Haus nicht mehr gab.

Die Plaketten zeichnen den Wechsel nach. Der Berater antwortete; in der Schublade lag das Skript. Die Mitarbeitenden sprechen lassen ist die Regel, die auch die Zertifizierungsregeln stützen: Eine Begleitung führt, schützt und klärt, und sie antwortet nie für die befragte Person. Das Haus spricht für sich ist das Prinzip: Wer das System betreibt, zeigt es.

Die Tafel sagt nicht, dass der Berater unredlich gehandelt oder die Mitarbeiterin etwas falsch gemacht hätte. Jede gute Absicht hat etwas zwischen den Auditor und das Haus gestellt. Sie sagt, dass ein Audit ein Gespräch zwischen einem unabhängigen Prüfer und der Organisation ist, die das System betreibt, und dass das Haus dem Auditor seine eigene Stimme schuldet, so wie der Auditor dem Haus Kompetenz und Respekt schuldet.

Ein privater Raum in einem Grandhotel: dunkles lackiertes Holz, eine Messinglampe, Orchideen und ein niedriger Marmortisch. Die leitende Auditorin zeigt mit dem Stift auf eine Zeile einer gedruckten Liste, in der jede Zeile von einem schwarzen Balken verdeckt ist. Rechts von ihr hält der Verantwortliche für die Informationssicherheit einen verschlossenen Umschlag. Links sieht die Direktorin zu, wie sie ihre Auswahl trifft.

Die Karte handelt von Nachweisen dort, wo sich nichts zeigen lässt. Die wertvollsten Gäste des Hauses sind sehr wenigen bekannt, und am ersten Morgen wurde der Auditorin ein Schreiben überreicht, in dem die Geschäftsführung bestätigte, die Maßnahmen bestünden und könnten nicht gezeigt werden. Der Umschlag ist dieses Schreiben. Die Liste unter ihrem Stift ist die Lösung, die man gemeinsam gefunden hat: Belegungsaufzeichnungen mit geschwärzten Namen, aus denen die Auditorin ihre Stichprobe nach Datum und Zimmer selbst zieht, sodass die Maßnahme sichtbar wird und der Gast nicht.

Die Plaketten führen von der Verweigerung zur Methode. Nichts ließ sich zeigen; ein Schreiben ist kein Nachweis dafür, dass die Maßnahme wirkt. Geschwärzt, gezogen, geprüft benennt die Techniken: maskierte Aufzeichnungen, vom Auditor selbst gezogene Stichproben, Gegenproben auf Zugriffe, Protokolle nach Benutzer ohne Gastnamen. Die Maßnahme zeigen, nicht den Gast, ist das Prinzip — und zugleich die Art, wie ein Haus seinen eigenen Schutz überhaupt überprüfen kann.

Die Tafel sagt nicht, dass das Haus ein Versagen verborgen hätte. Sein Instinkt, die Gäste zu schützen, war richtig. Sie sagt, dass einer Maßnahme, deren Wirken niemand sehen kann, auch niemand vertrauen kann — die Eigentümer und die Gäste eingeschlossen —, und dass der Nachweis in die Maßnahme hineinentworfen werden muss, damit sich ihr Wirken zeigen lässt, während das Geschützte verborgen bleibt.

Das Rückbüro eines Stadthotels an der Weser am frühen Nachmittag, Tageslicht vom Fenster und eine Schreibtischlampe. Auf dem Schreibtisch liegen zwei Ausdrucke nebeneinander, sauber ausgerichtet, beide nur aus Zeilen und leeren Kästchen; auf dem linken tragen drei Zeilen eine kleine farbige Marke. Der leitende Auditor, ein grauhaariger Mann im dunklen Anzug, legt den Finger auf die erste Marke und sieht den Direktor an. Der Direktor, in Hemdsärmeln, steht mit verschränkten Armen daneben und hört zu. Die Mitarbeiterin der Personalabteilung hält ein Formular in beiden Händen, das nur aus Linien und drei leeren Kästchen am unteren Rand besteht. An der Wand dahinter hängt ein Schlüsselbrett mit unbeschrifteten Anhängern, daneben ein dunkler Bildschirm; durch die offene Tür sind der Empfangstresen und die Glocke zu sehen.

Die Karte handelt von dem, was ein Auditor in einer Stunde tut und kein Verfahren je getan hat: die Liste der aktiven Konten neben die Liste der Beschäftigten legen. Drei Namen blieben ohne Menschen übrig, einer davon mit Verwalterzugang zum Schließsystem. Der Austrittsprozess war beschrieben, in der Erklärung zur Anwendbarkeit als umgesetzt geführt und im Vorjahr intern geprüft worden — geprüft hatte man das Verfahren, nicht die Konten. Im Bericht des Vorjahres stand unter Verbesserungspotenzial der Hinweis, den Austritt zwischen Personalabteilung, Haustechnik und IT-Dienstleister mit Fristen und Rückmeldung abzustimmen; niemand hatte ihn bearbeitet. Das Formular in den Händen der Mitarbeiterin ist die Stelle, an der es hätte beginnen können: Es ging nur an die Lohnbuchhaltung.

Die Plaketten führen vom Abgleich zur Abhilfe. Zwei Listen nebeneinander ist der Handgriff, der eine Stunde dauert und in keinem Verfahren stand. Drei Konten ohne Menschen sind der Befund; den Grad bestimmt nicht die Zahl, sondern das betroffene Erfordernis, die Nachweise und die Wirkung auf das System. Der Hinweis ohne Eigentümer ist die Kette dahinter: Eine Verbesserungschance verlangt keine förmliche Antwort, aber ein Haus, das zu ihr nichts entscheidet, hat sich entschieden, nicht hinzuhören; das Buch rät deshalb, zu jedem Punkt des Berichts eine Entscheidung festzuhalten. Eine Zeile mit drei Empfängern ist die Abhilfe, klein genug für den Betrieb und genau genug für die Ursache.

Die Tafel sagt nicht, dass das Haus nachlässig gewesen wäre. Eine Personalabteilung hat ein Formular benutzt, das für die Lohnbuchhaltung gemacht war, und die interne Auditorin hat ein Verfahren für gut befunden, das gut beschrieben war. Sie sagt, dass ein Audit die Wirklichkeit gegen das Papier hält und nicht das Papier gegen sich selbst, dass eine Feststellung eine Stichprobe aus einer größeren Menge ist und eine Verbesserungschance das kostenlos gegebene Urteil eines Fachmanns über ein Risiko, und dass ein Haus, das eines von beiden ohne Entscheidung ablegt, sich entschieden hat, nicht hinzuhören.

Das Rückbüro hinter der Rezeption eines Stadthotels: verputzte Wände, ein Türrahmen aus dunkler Eiche, eine Messinglampe, im Regal Ordner mit leeren Rückenschildern. Die interne Auditorin hält in der einen Hand das gerahmte Zertifikat und in der anderen, auf gleicher Höhe, eine ausgedruckte Prospektseite und liest dem Direktor die Zeile zum Geltungsbereich vor. Beide Gesichter im Profil. Durch die Türöffnung der Empfangstresen mit Glocke und Schlüsselbrett.

Die Karte handelt vom Unterschied zwischen dem, was ein Zertifikat sagt, und dem, was ein Haus darüber sagt. Das Zertifikat nennt eine Gesellschaft, einen Standort und einen Geltungsbereich, der auf Reservierung und Empfang beschränkt ist. Die Prospektseite, gedruckt am Tag, an dem das Zertifikat ankam, versprach Kongressveranstaltern, die Daten ihrer Teilnehmenden seien vollständig geschützt. Der Veranstaltungsbereich lag außerhalb des Geltungsbereichs.

Die Plaketten zeigen, wie die Lücke entstanden ist. Veröffentlicht, bevor es gelesen war; zertifiziert: eine Abteilung — jedenfalls ein Teil des Hauses, der viel kleiner war, als die Prospektseite vermuten ließ. Die Seite versprach das ganze Haus ist das Problem, das die Prüferin einer Agentur in einer einzigen Zeile gefunden hat. Lesen wie ein Kunde ist die Disziplin: jede Zeile des Zertifikats — Gesellschaft, Standort, Geltungsbereich, Fassung, Daten — und jede öffentliche Aussage danach ausgerichtet.

Die Tafel sagt nicht, dass die Verkaufsleiterin täuschen wollte. Sie hat eine echte Leistung mit den Mitteln gefeiert, die sie hatte, und niemand hatte ihr den Geltungsbereich gezeigt. Sie sagt, dass ein Zertifikat ein enges und genaues Dokument ist, dass Kunden es zunehmend so lesen, und dass jemand im Haus das Zertifikat und jede Aussage in seinem Namen verantworten muss.

Das Direktionsbüro eines modernen Stadthotels, dahinter Regale mit Ordnern, auf dem Schreibtisch ein Bildschirm. Der leitende Auditor hält einen Ringordner offen, dessen farbige Trennreiter noch an ihrem Platz sitzen und der keine Seiten enthält. Der Bildschirm zeigt ein graues Feld mit einem roten Kreuz: Zugriff verweigert. Der neue Direktor und die Asset-Managerin der Eigentümerseite sehen beunruhigt auf den leeren Ordner.

Die Karte handelt von dem Jahr, in dem das Managementsystem mit dem Betreiber gegangen ist. Zum Jahreswechsel hatte die Eigentümerin neu vergeben. Der bisherige Betreiber nahm seine Unterlagen mit, schloss den Zugang zu dem Laufwerk, auf dem sie lagen, und die Systembeauftragte wechselte mit ihm. Der neue Betreiber brachte neue Systeme, neue Dienstleister und neue Führungskräfte. Der Zertifizierungsstelle hat es niemand gesagt. Der Ordner mit Reitern und ohne Seiten ist das, was der Überwachungsauditor im Frühjahr vorfand.

Die Plaketten erzählen den Fall in vier Zeilen. Neuer Betreiber, altes Zertifikat; das System ging mit. Niemand meldete es der Stelle, obwohl die Regeln verlangen, wesentliche Änderungen unverzüglich mitzuteilen. Das System durch den Wechsel tragen ist die Lehre: Die Eigentümerseite sollte ihr Managementsystem besitzen, gleich wer das Haus betreibt, und ein Übergabeplan sollte es hinübertragen — mit einer Mitteilung an die Stelle vor dem Wechsel und nicht danach.

Die Tafel sagt nicht, dass der Übergang schlecht gemacht worden wäre. Für Gäste und Mitarbeitende verlief er sorgfältig. Sie sagt, dass ein Zertifikat ein System beschreibt, wie es bei einem Audit vorgefunden wurde, dass die Überwachung prüft, ob es dieses System noch gibt, und dass ein Haus, das den Betreiber wechselt, ohne es seiner Stelle zu sagen, monatelang ein Zertifikat für ein System zeigen kann, das nicht mehr besteht.

Der Empfang eines Designhotels: Sichtbetonwände, ein langer Tresen aus Eiche, eine Schale mit grünen Äpfeln. Die leitende Auditorin hält eine kleine Schlüsselkartenhülle hoch, auf die ein goldenes Siegel gedruckt ist. Auf dem Tresen steht ein offener Karton mit tausenden weiteren. Hinter dem Tresen sehen der Direktor und der Personalleiter verlegen auf die Hülle.

Die Karte handelt von den Aussagen, die ein Zertifikat tragen kann. Der Geltungsbereich des Hauses umfasste den IT-Betrieb und sonst nichts. Der Personalbereich nutzte das Zertifikat, um Mitarbeitende zu gewinnen, mit Anzeigen für ein zertifiziert sicheres Haus, und die neuen Schlüsselkartenhüllen trugen das Zeichen der Stelle und eine Zeile, die dem Gast Schutz nach internationalem Standard versprach. Eine Bewerberin las den Geltungsbereich im öffentlichen Verzeichnis nach und zog ihre Bewerbung zurück. Der Überwachungsauditor erhob eine Feststellung zur Verwendung des Zeichens.

Die Plaketten stellen die Behauptung gegen das Zertifikat. Ein zertifiziert sicheres Haus; zertifiziert: eine Abteilung. Das Zeichen auf der Schlüsselhülle — und ein Zeichen für ein Managementsystem darf nie auf etwas erscheinen, das ein Gast als Zusicherung für die Leistung lesen könnte. Genau sagen, was zertifiziert ist, ist die Regel: die Norm, der Geltungsbereich in klaren Worten, die Stelle und der Ort, an dem man es nachprüfen kann.

Die Tafel sagt nicht, dass jemand täuschen wollte. Der Personalleiter sah eine echte Leistung und wollte sie nutzen. Sie sagt, dass jede Aussage über eine Zertifizierung sich die Glaubwürdigkeit der Stelle und der Akkreditierungskette leiht, dass die Regeln über die Zeichen genau diese Glaubwürdigkeit schützen, und dass genaue Aussagen gerade jene Menschen anziehen, die ein Haus am dringendsten einstellen möchte.

Ein gewölbter Kellerraum mit einem Lüftungskanal unter der Decke. Links tragen Metallregale weiße Kanister mit Chemikalien für die Wasseraufbereitung in gelben Auffangwannen. Rechts steht ein schwarzer Serverschrank mit grünen Leuchten. Dazwischen steht die leitende Auditorin mit ausgebreiteten Armen, eine Hand zu jeder Seite des Raums. Neben ihr hält die Qualitätsleiterin drei Ordner an die Brust, einen blauen, einen grünen, einen roten.

Die Karte handelt von einem Raum, den drei Managementsysteme je für sich gesehen und keines verstanden hatte. Im Umweltregister war er das Chemikalienlager; im Arbeitssicherheitsregister ein Gefahrstofflager mit Zwangslüftung; im Informationssicherheitsregister der Technikraum mit der Gebäudeleittechnik. Jedes Register war richtig. Keines erwähnte die anderen, und deshalb war niemandem aufgefallen, dass die Wartungsfirma des Bades einen Schlüssel zu diesem Raum hatte und dass der Fernzugang des Anlagenbauers seit der Inbetriebnahme offen stand. Die drei Ordner sind die drei Systeme.

Die Plaketten beschreiben das Problem und die Antwort. Getrennte Register, derselbe Raum; niemand sah den Server. Risiken liegen zwischen den Normen ist die Lehre des Abschnitts: Ein Risiko, das auf der Grenze zwischen zwei Systemen liegt, gehört keinem von beiden, solange sie nicht verbunden sind. Ein System für alle ist die Antwort: ein Managementsystem, das mehrere Normen erfüllt, mit einer Beschreibung je Gegenstand, an die alle ihre Anforderungen hängen.

Die Tafel sagt nicht, dass eines dieser Systeme schlecht gebaut gewesen wäre. Jedes war solide und jedes Zertifikat verdient. Sie sagt, dass ein Hotel eine Organisation in einem Gebäude ist, dass die Normen eine gemeinsame Grundstruktur teilen und deshalb als ein System geführt werden können, und dass der erste Auditor, der durch alle zugleich sieht, oft der erste ist, der bemerkt, was dazwischenliegt.

Ein dunkel getäfelter Sitzungsraum, eine Messinglampe und weiße Blumen. Die technische Beraterin der Bank, silbergrau und im dunklen Anzug, liest einen dicken Auditbericht, daneben weitere geöffnete Berichte. Das gerahmte Zertifikat mit dem goldenen Siegel ist an das andere Ende des Tisches geschoben worden. Der Asset-Manager und der Finanzleiter des Hauses warten auf ihr Urteil.

Die Karte handelt davon, was ein Zertifikat jenen beweist, die Geld verleihen und Schäden bezahlen. Das Haus hatte sein Zertifikat an die Bank, an den Versicherer und an den Firmenkunden geschickt, als Antwort auf ihre Fragen. Die Beraterin, selbst früher leitende Auditorin, verlangte alles, was dahintersteht: den Geltungsbereich, die Erklärung zur Anwendbarkeit, die Auditberichte, die Vorfälle. Sie fand einen Geltungsbereich, der die Buchungsstrecke ausnahm, eine offene Feststellung zur Anmeldung von Dienstleistern und eine Zusicherung an den Versicherer, die so nicht zutraf.

Die Plaketten zeichnen den Wechsel der Sichtweise nach. Das Zertifikat genügte, glaubte das Haus; die Bank fragte weiter. Dieselbe Auskunft für jeden Leser ist die Disziplin: ein Nachweispaket, eine Person, die jeden Fragebogen aus Tatsachen beantwortet, damit Bank, Versicherer und Investor nie Verschiedenes hören. Der Anfang des Nachweises ist das, was ein Zertifikat ist.

Die Tafel sagt nicht, dass das Zertifikat wertlos gewesen wäre. Die Beraterin sagte, es sei viel wert gewesen, weil es ihr sagte, dass eine akkreditierte Stelle ein arbeitendes System vorgefunden hatte. Sie sagt, dass ein Zertifikat Führung innerhalb eines Geltungsbereichs zeigt und nicht mehr, und dass einem Haus, das es mit seinen Grenzen vorlegt und mit ehrlichen Nachweisen unterlegt, jene glauben, die sein Risiko bepreisen.

Das Reservierungsbüro eines Berghotels: eine Wandvertäfelung aus Lärchenholz, zwei Schreibtischlampen, kein Fenster. Der Auditor der Zertifizierungsstelle beugt sich über eine geöffnete Schublade, in der eine einzelne externe Festplatte mit ihrem Kabel liegt, und deutet darauf; die andere Hand liegt flach auf der Tischplatte. Neben ihm hält die Hausleiterin den geschlossenen Ordner mit den Konzernvorgaben in beiden Händen. Auf dem Schreibtisch ein Tablet und ein Stapel unbedruckter Blätter.

Die Karte handelt von dem Standort, den die Gruppe nie besucht hat. Acht Häuser trugen ein einziges Zertifikat, mit einer Zentralfunktion am Sitz der Gesellschaft und einer Stichprobe von Standorten je Verfahren. Das Berghotel war als den Stadthäusern ähnlich beschrieben worden, und die interne Auditorin der Gruppe war in drei Jahren nie dort gewesen. Der Auditor hat es gezogen. Die Festplatte in der Schublade trägt die Sicherungen der örtlichen Reservierung; das Tablet auf dem Schreibtisch trägt Gästedaten, ohne Sperre.

Die Plaketten erklären, warum ein Standort alle betrifft. Viele Häuser, ein Zertifikat; das Berghotel wurde nie besucht. Der Befund betrifft die Zentrale, denn ein Zertifikat über mehrere Standorte ruht auf zentraler Steuerung, und ein Standort, den die Zentrale nicht erreicht, ist ein Beweis gegen das Ganze. Steuerung überall wahr machen ist das Prinzip: ehrliche Standortbeschreibungen, internes Audit an jedem Standort und zentrale Befugnis auch gegenüber örtlichen Dienstleistern.

Die Tafel sagt nicht, dass der Pächter sich der Gruppe widersetzt oder die Stelle unfair gehandelt hätte. Er hatte die Zentrale um Hilfe gebeten und die Antwort erhalten, er möge sich vor Ort behelfen. Sie sagt, dass eine zentrale Steuerung, die den Weg zu einem abgelegenen Standort nie gemacht hat, keine Steuerung ist, und dass die Stichprobe der Stelle genau dafür gebaut ist, einen solchen Standort zu finden.

Ein Technikraum mit weiß gefliesten Wänden. Links steht ein geöffneter Schrank mit einer leeren Lücke, aus der ein Server entfernt wurde, die Kabel hängen lose. Daneben auf dem Boden wartet ein Karton mit alten Druckern, Platinen und blanken Festplatten auf die Abholung. Die leitende Auditorin kauert neben dem Karton und hält eine Festplatte hoch. Neben ihr sieht der Systembeauftragte von der Platte zur leeren Lücke.

Die Karte handelt von einer Änderung, die am Managementsystem vorbeigegangen ist. Das Haus hatte sein Verwaltungssystem in wenigen Monaten in die Cloud verlegt, reibungslos, ohne dass ein Gast es bemerkt hätte. Die Risiken der Verlagerung hatte niemand beurteilt, die Testumgebung des Anbieters trug weiterhin eine vollständige Kopie, und die Platten des alten Servers waren mit den Druckern zur Entsorgung gegeben worden. Die Erklärung zur Anwendbarkeit führte Cloud-Dienste weiterhin als nicht anwendbar — eine Entscheidung aus der Umstellung auf die Ausgabe von 2022, zwei Jahre zuvor.

Die Plaketten benennen die drei Versäumnisse und die Regel. Die Migration lief glatt; die Platten gingen mit den Druckern; die Maßnahme war abgeschaltet, bevor die Verlagerung überhaupt gedacht war. Änderung durch das System ist das Prinzip: Jede wesentliche Änderung — ein neues System, neue Eigentümer, eine neue Ausgabe der Norm — läuft durch die Risikobeurteilung, durch die Erklärung zur Anwendbarkeit und durch die Kenntnis der Zertifizierungsstelle, bevor sie wirksam wird.

Die Tafel sagt nicht, dass das Vorhaben schlecht geführt worden wäre. Es war aus jedem Blickwinkel, den man dem Projektteam aufgetragen hatte, ein ausgezeichnetes Projekt. Sie sagt, dass ein Managementsystem dazu da ist, Veränderung aufzunehmen, und dass eine Änderung, die um es herumgeht, ein System zurücklässt, das ein Haus beschreibt, das weitergezogen ist — mit seinen alten Daten in einem Karton neben der Tür.

Das Rückbüro hinter der Rezeption eines Hotels an der Ostseeküste: weiß lackierte Holzvertäfelung, ein Schlüsselbrett an der Wand, ein heller Schreibtisch. Darauf liegt das Risikoregister aufgeschlagen, zwei Seiten mit lauter gleich aussehenden Zeilen, und daneben in einer Reihe eine Zimmerschlüsselkarte, ein Smartphone und ein Tablet. Die leitende Auditorin hat eine Hand flach auf dem Register; der Systembeauftragte legt das Tablet mit beiden Händen in die Reihe.

Die Karte handelt von einem System in bester Ordnung und im tiefen Schlaf. Bei der Rezertifizierung las die Auditorin den ganzen Zyklus: drei Jahre Unterlagen, in denen sich nur die Daten geändert hatten, dieselben Risiken mit denselben Werten, dieselbe Erklärung zur Anwendbarkeit, immer erreichte Ziele, jedes Jahr dieselben Feststellungen. In derselben Zeit hatte das Haus den Handyschlüssel eingeführt, den digitalen Check-in mit Ausweisbild und Gesichtsabgleich und einen automatisierten Gästedialog, dessen Anbieter die Gesprächsverläufe unbefristet behielt. Die drei Geräte in der Reihe auf dem Schreibtisch sind die Veränderung, die das System nie gesehen hat.

Die Plaketten lesen sich als Urteil der Auditorin. In bester Ordnung; tief schlafend. Nur die Daten hatten sich geändert ist der Nachweis. Ein System, das lernt, ist das, wonach eine Rezertifizierung sucht: hinterfragte Risiken, Maßnahmen, die den Veränderungen des Hauses folgen, Ziele, die etwas verlangen, Bewertungen, die entscheiden, und eine Zyklusbilanz, die zeigt, was drei Jahre gelehrt haben.

Die Tafel sagt nicht, dass der Systembeauftragte seine Arbeit vernachlässigt hätte. Seine Aufzeichnungen gehörten zu den besten, die die Auditorin gesehen hatte, und gerade deshalb war ihre Reglosigkeit so sichtbar. Sie sagt, dass ein Managementsystem ein Vorgang des Bemerkens und des Änderns ist, dass sein Lebenszeichen die begründete Veränderung ist, und dass ein Haus, dessen System von allen wachgehalten wird und nicht nur vom Systembeauftragten, die Rezertifizierung als Bestätigung dessen erlebt, was es ohnehin weiß.