Mich reizt an IT-Kontrolltests besonders eine nachvollziehbare Kette von Risiko, Kontrolle, Evidenz und tatsächlicher Verbesserung. Praxisnähe bei IT-Kontrolltests bedeutet für mich nicht Vereinfachung um jeden Preis, sondern eine bewusste Auswahl dessen, was wirklich zählt.

In Kommentaren frage ich deshalb häufig: Welcher Nachweis zeigt die Wirksamkeit – und nicht nur die Existenz eines Dokuments?