SOC-2-Nachweise und Exporte

Warum das zählt

Für CC1.4 („die Organisation zeigt ein Bekenntnis dazu, kompetente Personen zu gewinnen, zu entwickeln und zu halten“) und CC1.5 („die Organisation zieht Einzelpersonen zur Rechenschaft“) will ein Type-II-Auditor drei Artefakte sehen: eine schriftliche Richtlinie mit definiertem Turnus, eine Abschlussübersicht über 100 % der Mitarbeiter, aus der er Namen ziehen kann, und pro gezogenem Namen einen abgeschlossenen, datierten Beurteilungsdatensatz — Beurteiler, Zeitraum, Beurteilung anhand dokumentierter Rollenerwartungen. Geprüft wird auch, worauf Teams lieber nicht hoffen sollten: Datensätze, die in der Woche vor dem Audit nachgetragen wurden, verraten sich selbst durch stapelweise identische Zeitstempel.

Kit erzeugt alle drei als Nebeneffekt des Zyklusabschlusses. Das Register ist die Übersicht, jeder Nachweisdatensatz ist das Artefakt pro Person, und weil die Datensätze append-only sind — mit manipulationssicheren Zeitstempeln aus dem Moment des Abschlusses — beantwortet sich die Frage „Wurde das nachgetragen?“ von selbst zu Ihren Gunsten.

Das Beurteilungsregister

Jeder Zyklus hat ein Register unter Register auf der Zyklusseite — eine Zeile pro Teilnehmer, in den sieben Spalten, die Vanta und Auditoren erwarten:

Spalte	Quelle
Mitarbeiter	Name, beim Abschluss eingefroren
E-Mail	Beim Abschluss eingefroren
Beurteiler	Jeder zugewiesene Beurteiler, mit Rollen
Beurteilungszyklus	Name des Zyklus
Bewertung	Die Gesamtbewertung aus der Beurteilung der Führungskraft
Beurteilungsdatum	Der Erzeugungszeitstempel des Nachweisdatensatzes
Status	Abgeschlossen / Ausstehend

Solange der Zyklus aktiv ist, ist das Register eine lebende Abschlussübersicht — ein Teilnehmer gilt erst als Abgeschlossen, wenn alle ihm zugewiesenen Beurteilungen eingereicht sind, mit einer Fortschrittszeile wie „12 von 15 abgeschlossen“ zum Nachhaken bei Nachzüglern. Sobald der Zyklus abgeschlossen ist, stammt jeder Wert aus den eingefrorenen Snapshots — die Fakten, wie sie beim Abschluss galten, nie aus Live-Zeilen.

Unveränderliche Nachweisdatensätze

Der Abschluss eines Zyklus erzeugt in einer einzigen Transaktion einen Nachweisdatensatz pro Teilnehmer — ein halb erzeugtes Register kann nicht existieren, und ein doppelter Abschluss wird verweigert, statt Nachweise zu duplizieren. Jeder Datensatz friert alles ein, was ein Auditor stichprobenartig prüft — entkoppelt von den Live-Daten:

• Name und E-Mail der beurteilten Person; jeder Beurteiler mit seiner Rolle
• Zyklusname, Turnus und Beurteilungszeitraum; die Rollenerwartungen, wie sie für diesen Teilnehmer dokumentiert waren
• Name der Vorlage, Version und der vollständige geltende Fragensatz
• Jede eingereichte Beurteilung: Antworten, Bewertungen, Zusammenfassung, Einreichungszeitstempel und ihre KI-Kennzeichnung
• Ob die Selbstbeurteilung abgeschlossen wurde, und die Gesamtbewertung der Führungskraft

Die Datensätze sind append-only: Einmal geschrieben, werden Updates auf Modellebene verweigert und Löschversuche abgebrochen — es gibt keinen Bearbeitungspfad, auch nicht für Admins. Snapshots sind im Ruhezustand verschlüsselt. Verlässt ein Mitarbeiter das Unternehmen, überlebt sein Nachweisdatensatz — die Beurteilung eines ausgeschiedenen Mitarbeiters ist genau das, was ein Auditor zieht.

Integritätsprüfung

Ein nächtlicher Integritätslauf geht die Nachweiskette jedes Zyklus durch und prüft drei Invarianten: Ein abgeschlossener Zyklus hat exakt einen Datensatz pro Teilnehmer (nichts fehlt), auf einem nie abgeschlossenen Zyklus existiert kein Datensatz (nichts wurde außer der Reihe erzeugt), und jede eingefrorene Beurteilungseinreichung liegt zeitlich vor der Erzeugung ihres Datensatzes (keine nachträglichen Einfügungen). Verstöße laufen in Kits Monitoring auf — der Punkt ist: „Die Kette ist manipulationsfrei“ wird fortlaufend geprüft, nicht einmal im Jahr behauptet.

Exporte

Aus dem Register heraus gibt es drei Artefakte:

Artefakt	Schaltfläche	Inhalt
CSV im Vanta-Format	CSV exportieren	Die sieben Registerspalten, eine Zeile pro Mitarbeiter — laden Sie es in Vanta/Drata hoch oder geben Sie es direkt an den Auditor
Register-PDF	PDF exportieren	Dieselbe Tabelle, mit Branding, datiert, menschenlesbar
Beurteilungsdokument	Dokument (pro Zeile)	Der vollständige Nachweis einer Person: Rollenerwartungen, jede Beurteilung mit Antworten und Bewertungen, die KI-Kennzeichnung

Exporte werden asynchron erzeugt und erscheinen auf der Registerseite, sobald sie fertig sind; Download-Links sind zeitlich begrenzt, und Archive verfallen nach 7 Tagen — erzeugen Sie sie bei Bedarf neu, die Quelldatensätze verfallen nie. Jede CSV-Zelle ist gegen Formel-Injection bereinigt, die Datei lässt sich also gefahrlos in Excel oder Sheets öffnen. Die Statuswerte im CSV sind stabile englische Literale („Completed“/„Pending“), unabhängig von Ihrer Oberflächensprache — es ist eine Spezifikation für Auditoren.

Wie ein Auditor die Stichprobe zieht

Der Durchlauf ist kurz. Die Richtlinie nennt den Turnus → die Zyklusliste zeigt einen Zyklus pro Periode. Der Auditor fordert die Grundgesamtheit an → Sie exportieren das Register-CSV, eine Zeile pro Mitarbeiter, 100 % Abdeckung. Der Auditor zieht fünf Namen → Sie öffnen je das Dokument-PDF: Beurteilernamen, Beurteilungszeitraum, Beurteilung anhand dokumentierter Rollenerwartungen, datierter Abschluss. Der Auditor fragt, woher Sie wissen, dass keine Datensätze fabriziert wurden → append-only-Datensätze, Erzeugungszeitstempel verteilt über den Abschlusszeitpunkt (nicht stapelweise vor dem Audit erzeugt) und eine nächtliche Integritätsprüfung. Das entspricht CC1.4 (Kompetenz, beurteilt anhand dokumentierter Erwartungen, in definiertem Turnus) und CC1.5 (Verantwortlichkeit: benannte Beurteiler, individuelle Bewertungen, datierte Datensätze pro Person).

Auf einen Blick

• Schreiben Sie eine einseitige Beurteilungsrichtlinie mit Ihrem Turnus — Kit ist der Nachweis, die Richtlinie ist Ihre
• Stellen Sie vor dem Abschluss sicher, dass jeder Mitarbeiter Teilnehmer ist (Auditoren ziehen aus der gesamten Belegschaft)
• Schließen Sie termingerecht ab — der Erzeugungszeitstempel ist das Nachweisdatum
• Exportieren Sie das Register-CSV jeden Zyklus in Ihren Compliance-Ordner oder Ihr GRC-Tool
• Prüfen Sie pro Zyklus stichprobenartig ein Beurteilungsdokument auf Rollenerwartungen und benannte Beurteiler

Wie geht es weiter

• Beurteilungszyklen — die Abschluss-Schranke, die diese Datensätze erzeugt
• KI-Agent und MCP-Tools — das Register zur Audit-Zeit programmatisch abrufen