Kern ist das Audit-Paket: ein ZIP-Archiv, das genau einen Scan-Stand festhält. Hinzu kommen Prüfberichte zu einzelnen Agenten-Antworten und das Ereignisprotokoll des Prüfungsauftrags.
Management-Bericht als PDF; Feststellungen, Bearbeitungsverlauf und Kontroll-Verantwortliche als CSV; Scan-Metadaten als JSON; dazu eine README. Mandantenweite Register – Betroffenenanfragen, Vorfälle, Risikobewertungen – sind nur enthalten, wenn der Export mit Administratorrechten erstellt wird.
Nennt den Scan, Zeitstempel in UTC, die Inhaltsliste, SHA-256-Wert und Größe jeder Datei, die Methodenversion der Bewertung und die Aussagegrenzen des Pakets.
Je Feststellung Rahmenwerk, Control-ID, Schweregrad, Status, Empfehlung und Zuständigkeit. Dazu Prüfstatus, Vier-Augen-Vermerk (unabhängig geprüft, Selbstprüfung oder nicht feststellbar), Risikoakzeptanzen mit Frist und Begründung sowie der Abschlussgrund.
Jeder Eintrag zu einer Feststellung mit Art, Verfasser:in und Zeitstempel in UTC.
Für eine einzelne Antwort im Chat: Frage, Antwort, verknüpfte Quellen, der antwortende Agent, das eingesetzte Modell, der Guardrail-Status und die Zeitstempel.
Die Erklärungsansicht nennt zu jeder verknüpften Quelle das Dokument und, soweit vorhanden, Abschnitt oder Seite, den zitierten Textauszug, die Dokumentversion und den Abrufzeitpunkt – so lässt sich die Fundstelle im Original aufschlagen.
Je Prüfungsauftrag werden Anlage, Scan-Start und -Ende, Attestierung, Auslieferung und Berichtserstellung als SHA-256-Kette protokolliert. Die Datenbank lässt weder Änderung noch Löschung von Einträgen zu.
Bei jedem Scan erhebt die Plattform die Evidenz aus den angebundenen Systemen neu. Scans lassen sich zeitgesteuert wiederholen, sodass Stände nicht erst zum Stichtag entstehen.
Formate: ZIP mit PDF, CSV und JSON · Auftragsbericht als PDF oder DOCX · Prüfbericht zu Einzelantworten als PDF
Fünf Schritte für eine Stichprobe. Die ersten beiden erledigen Sie mit eigenen Werkzeugen, ohne Zugang zur Plattform.
Berechnen Sie für jede Datei den SHA-256-Wert mit einem Werkzeug Ihrer Wahl, etwa sha256sum oder Get-FileHash, und vergleichen Sie ihn mit dem Eintrag in 00_manifest.json.
Wählen Sie Feststellungen aus 02_findings.csv und verfolgen Sie in 03_audit_trail.csv, wer sie wann bearbeitet hat. Bewertungsstand und Zählwerte stammen aus derselben Berechnung wie Dashboard und Berichte zum selben Scan.
Lassen Sie sich zu einer Agenten-Antwort den Prüfbericht geben. Schlagen Sie die genannte Quelle – Dokument, Abschnitt oder Seite, Version – im Original auf und vergleichen Sie den Textauszug.
Der Vier-Augen-Vermerk zeigt je geprüfter Feststellung, ob unabhängig oder in Selbstprüfung bestätigt wurde. Die Attestierung eines Auftrags steht mit handelnder Person und Zeitpunkt im Ereignisprotokoll.
Die Kettenprüfung berechnet alle Hash-Werte des Ereignisprotokolls neu. Sie läuft in der Plattform und ist Administratorrechten vorbehalten – lassen Sie sie sich vorführen. Ergebnis: Kette intakt samt letztem Hash-Wert oder die Nummer des ersten abweichenden Eintrags.
Dieselben Grenzen stehen auch im Manifest jedes Audit-Pakets.
Einen Lesezugang für Ihre Prüfung sprechen wir mit Ihrem Mandanten ab. Eingerichtet wird er über dessen Benutzerverwaltung:
Sie bereiten eine Prüfung bei einem Mandanten vor, der Agentic360 einsetzt, oder möchten das Audit-Paket an einem Beispiel durchgehen? Wir zeigen Ihnen Aufbau und Prüfschritte in einer Demo.
Prüfungsbegleitung besprechen