Eine Wand voller Compliance-Nachweise beruhigt den Einkauf. Über die Frage, ob der Dienst am Dienstagmorgen sauber läuft, sagt sie wenig — und je mehr Logos, desto grösser die Verwechslungsgefahr.
▸ Was ein Zertifikat sagt
Ein Testat bestätigt glaubwürdig, dass ein definiertes Set an Kontrollen sauber gestaltet war und im Prüfzeitraum funktioniert hat — geprüft von unabhängiger Stelle. Das ist wertvoll. Für die Fragen, die es beantwortet.
▸ Was es nicht sagt
Ob der Dienst heute verfügbar und performant ist. Ob er vollständige, korrekte Resultate liefert. Rahmenwerke wie SOC 2 sind modular: Ein Bericht kann auf Security beschränkt sein — und trifft dann bewusst keine Aussage zu Verfügbarkeit oder Verarbeitungsqualität. Ein sauberes Testat über das letzte Jahr ist keine Garantie für morgen früh.
▸ Warum Sammeln nicht hilft
Im Einkauf werden Logos gezählt. Drei Badges nebeneinander fühlen sich an wie „dreifach sicher“. Sind sie nicht. Die Kontrollen überlappen sich stark, und keiner der Nachweise beantwortet die eigentliche Frage: Tut das Produkt im Betrieb, was es soll? Wer sammelt, optimiert fürs Audit — nicht für den Kunden. Mehr Zertifikate machen ein Unternehmen nicht sicherer, nur auditierter.
▸ Woran man Betrieb misst
Nicht am Badge, sondern am Vertrag und am Monitoring. Ein SLA mit definierter Verfügbarkeit, Latenz und Durchsatz — inklusive Rechtsfolgen. Die Zusage, dass „erledigt“ auch vollständig und korrekt heisst. Meldepflichten bei Änderungen und bei degradierter Qualität. Und, oft am aussagekräftigsten: wie sich ein Anbieter im echten Vorfall verhält. Nichts davon steht auf dem Zertifikat.
Ein Zertifikat beweist, dass jemand die Hausaufgaben gemacht hat — nicht, dass die Maschine heute läuft.
Prüfsiegel sind ein sinnvoller Baustein der Lieferantenbeurteilung. Nur eben kein Betriebszustand. Wer beides verwechselt, kauft Vertrauen auf Vorrat und merkt die Lücke erst, wenn die Verarbeitung stillsteht — und das Zertifikat trotzdem gültig an der Wand hängt.
Woran messt ihr eure Anbieter — an der Logo-Wand oder am Betrieb?