Review-Zyklus
Ein Review-Zyklus bezeichnet den festgelegten zeitlichen Rhythmus, in dem unternehmensinterne Richtlinien, Policies und Compliance-Dokumente auf ihre Aktualität, Rechtmäßigkeit und Praxistauglichkeit überprüft und bei Bedarf angepasst werden müssen.
Ausführliche Erklärung
Im rechtlichen Kontext beschreibt der Review-Zyklus einen strukturierten Prozess zur regelmäßigen Überprüfung von Compliance-relevanten Dokumenten. Die Rechtslage, gesetzliche Vorgaben und regulatorische Anforderungen ändern sich laufend – etwa durch neue Judikate, Novellen der DSGVO-Auslegung oder branchenspezifische Regelungen. Ohne regelmäßige Aktualisierung können Richtlinien ihren Zweck verfehlen und im schlimmsten Fall zu Rechtsverstößen führen.
Für KMU ist der Review-Zyklus ein zentrales Element eines funktionierenden Compliance-Management-Systems. Empfohlen wird üblicherweise eine jährliche Überprüfung aller relevanten Dokumente – bei risikobehafteten Bereichen wie Datenschutz, Arbeitssicherheit oder Antikorruption kann ein kürzerer Turnus notwendig sein. Dabei geht es nicht nur um die Anpassung an neue Gesetze, sondern auch um die Prüfung, ob Richtlinien in der Praxis noch verstanden und eingehalten werden.
Ein strukturierter Review-Zyklus umfasst typischerweise die Identifikation von Änderungsbedarfen, die inhaltliche Überarbeitung durch Fachverantwortliche, die Qualitätssicherung sowie die formale Freigabe durch die Geschäftsführung. Ergänzend zu geplanten Überprüfungen können auch anlassbezogene Reviews erforderlich sein, etwa nach Datenschutzpannen, Organisationsänderungen oder neuen Rechtsprechungen.
Die Dokumentation des Review-Zyklus selbst ist Teil der Rechenschaftspflicht nach DSGVO und anderen Compliance-Standards. Aufsichtsbehörden erwarten, dass Unternehmen nachweisen können, wann welche Richtlinie zuletzt geprüft wurde und welche Änderungen vorgenommen wurden. Software-gestützte Policy-Management-Systeme können dabei helfen, Fristen zu überwachen und den Überprüfungsprozess zu automatisieren.
Praxisbeispiel
Eine Steuerberatungskanzlei mit 18 Mitarbeitenden in Linz hat ihre Datenschutzrichtlinie im Januar 2024 erstellt und einen jährlichen Review-Zyklus festgelegt. Im Dezember 2024 wird die Richtlinie durch den Datenschutzbeauftragten geprüft: Ein neues EuGH-Urteil erfordert eine Anpassung der Regelungen zur Auftragsverarbeitung. Die überarbeitete Version wird von der Geschäftsführung freigegeben, alle Mitarbeitenden werden geschult, und der nächste Review ist für Dezember 2025 geplant.