SOC-2-Nachweise und Exporte

Warum das zählt

Für CC1.4 („die Organisation zeigt ein Bekenntnis dazu, kompetente Personen zu gewinnen, zu entwickeln und zu halten“) und CC1.5 („die Organisation zieht Einzelpersonen zur Rechenschaft“) will ein Type-II-Auditor drei Artefakte sehen: eine schriftliche Richtlinie mit definiertem Turnus, eine Abschlussübersicht über 100 % der Mitarbeiter, aus der er Namen ziehen kann, und pro gezogenem Namen einen abgeschlossenen, datierten Beurteilungsdatensatz: Beurteiler, Zeitraum, Beurteilung anhand dokumentierter Rollenerwartungen. Geprüft wird auch, worauf Teams lieber nicht hoffen sollten: Datensätze, die in der Woche vor dem Audit nachgetragen wurden, verraten sich durch stapelweise identische Zeitstempel.

Kit hält das Register und die Nachweis-Snapshots pro Person fest, wenn ein Zyklus abgeschlossen wird; die Beurteilungsrichtlinie definiert Ihr Team separat. Die Anwendung blockiert spätere Änderungen und das Löschen von Nachweisdatensätzen. Ihre Erstellungsdaten zeigen, wann die Snapshots gespeichert wurden, belegen aber weder den Wahrheitsgehalt einer Beurteilung noch den Zeitpunkt der beschriebenen Arbeit.

Das Beurteilungsregister

Jeder Zyklus hat ein Register unter Register auf der Zyklusseite: eine Zeile pro Teilnehmer, in den sieben Spalten, die Vanta und Auditoren erwarten:

Spalte	Quelle
Mitarbeiter	Name, beim Abschluss eingefroren
E-Mail	Beim Abschluss eingefroren
Beurteiler	Jeder zugewiesene Beurteiler, mit Rollen
Beurteilungszyklus	Name des Zyklus
Bewertung	Die Gesamtbewertung aus der Beurteilung der Führungskraft
Beurteilungsdatum	Der Erzeugungszeitstempel des Nachweisdatensatzes
Status	Abgeschlossen / Ausstehend

Solange der Zyklus aktiv ist, ist das Register eine lebende Abschlussübersicht. Ein Teilnehmer gilt erst als Abgeschlossen, wenn alle ihm zugewiesenen Beurteilungen eingereicht sind, mit einer Fortschrittszeile wie „12 von 15 abgeschlossen“ zum Nachhaken bei Nachzüglern. Sobald der Zyklus abgeschlossen ist, stammt jeder Wert aus den eingefrorenen Snapshots, also den Fakten, wie sie beim Abschluss galten, nie aus Live-Zeilen.

Unveränderliche Nachweisdatensätze

Der Abschluss eines Zyklus erzeugt in einer einzigen Transaktion einen Nachweisdatensatz pro Teilnehmer. Ein halb erzeugtes Register kann nicht existieren, und ein doppelter Abschluss wird verweigert, statt Nachweise zu duplizieren. Jeder Datensatz friert alles ein, was ein Auditor stichprobenartig prüft, entkoppelt von den Live-Daten:

• Name und E-Mail der beurteilten Person; jeder Beurteiler mit seiner Rolle
• Zyklusname, Turnus und Beurteilungszeitraum; die Rollenerwartungen, wie sie für diesen Teilnehmer dokumentiert waren
• Name der Vorlage, Version und der vollständige geltende Fragensatz
• Jede eingereichte Beurteilung: Antworten, Bewertungen, Zusammenfassung, Einreichungszeitstempel und ihre KI-Kennzeichnung
• Ob die Selbstbeurteilung abgeschlossen wurde, und die Gesamtbewertung der Führungskraft

Die Datensätze sind append-only: Einmal geschrieben, werden Updates auf Modellebene verweigert und Löschversuche abgebrochen. Es gibt keinen Bearbeitungspfad, auch nicht für Admins. Snapshots sind im Ruhezustand verschlüsselt. Verlässt ein Mitarbeiter das Unternehmen, überlebt sein Nachweisdatensatz. Die Beurteilung eines ausgeschiedenen Mitarbeiters ist das, was ein Auditor zieht.

Integritätsprüfung

Eine nächtliche Prüfung sucht nach Teilnehmern ohne Nachweisdatensatz in einem abgeschlossenen Zyklus, nach Datensätzen auf nie abgeschlossenen Zyklen und nach eingefrorenen Einreichungsdaten, die nach der Erstellung des Datensatzes liegen. Verstöße laufen in Kits Monitoring auf. Diese Prüfungen erkennen bestimmte Konsistenzfehler; den Wahrheitsgehalt des Beurteilungsinhalts prüfen sie nicht.

Exporte

Aus dem Register heraus gibt es drei Artefakte:

Artefakt	Schaltfläche	Inhalt
CSV im Vanta-Format	CSV exportieren	Die sieben Registerspalten, eine Zeile pro Mitarbeiter. Laden Sie es in Vanta/Drata hoch oder geben Sie es direkt an den Auditor
Register-PDF	PDF exportieren	Dieselbe Tabelle, mit Branding, datiert, menschenlesbar
Beurteilungsdokument	Dokument (pro Zeile)	Der vollständige Nachweis einer Person: Rollenerwartungen, jede Beurteilung mit Antworten und Bewertungen, die KI-Kennzeichnung

Exporte werden asynchron erzeugt und erscheinen auf der Registerseite, sobald sie fertig sind; Download-Links sind zeitlich begrenzt, und Archive verfallen nach 7 Tagen. Erzeugen Sie sie bei Bedarf neu, die Quelldatensätze verfallen nie. Jede CSV-Zelle ist gegen Formel-Injection bereinigt, die Datei lässt sich also gefahrlos in Excel oder Sheets öffnen. Die Statuswerte im CSV sind stabile englische Literale („Completed“/„Pending“), unabhängig von Ihrer Oberflächensprache; es ist eine Spezifikation für Auditoren.

Wie ein Auditor die Stichprobe zieht

Vergleichen Sie die abgeschlossenen Zyklen mit dem Turnus in Ihrer Richtlinie. Prüfen Sie vor der Übergabe des CSV dessen Teilnehmer: Der Export enthält eine Zeile pro Teilnehmer, 100 % Abdeckung setzt also voraus, dass jeder Mitarbeiter im Geltungsbereich hinzugefügt wurde. Zieht der Auditor fünf Namen, öffnen Sie je das Dokument-PDF mit Beurteilern, Zeitraum, Kriterien, Beurteilungsinhalt und Daten. Diese Datensätze stützen die Beurteilung von Kompetenz und Rechenschaft; Umfang und Hinlänglichkeit der Nachweise bestimmt das Audit.

Auf einen Blick

• Schreiben Sie eine einseitige Beurteilungsrichtlinie mit Ihrem Turnus. Kit ist der Nachweis, die Richtlinie ist Ihre
• Stellen Sie vor dem Abschluss sicher, dass jeder Mitarbeiter Teilnehmer ist (Auditoren ziehen aus der gesamten Belegschaft)
• Schließen Sie termingerecht ab, der Erzeugungszeitstempel ist das Nachweisdatum
• Exportieren Sie das Register-CSV jeden Zyklus in Ihren Compliance-Ordner oder Ihr GRC-Tool
• Prüfen Sie pro Zyklus stichprobenartig ein Beurteilungsdokument auf Rollenerwartungen und benannte Beurteiler

Wie geht es weiter

• Beurteilungszyklen: die Abschluss-Schranke, die diese Datensätze erzeugt
• KI-Agent und MCP-Tools: das Register zur Audit-Zeit programmatisch abrufen