Compliance-Monitoring im Kundenservice heißt, jede Konversation auf die Schritte zu prüfen, die Ihre Regeln vorschreiben, etwa Identitätsprüfungen, Pflichthinweise und den Umgang mit Kartendaten, und die Belege aufzubewahren. Auf einer Stichprobe zeigt es Ihnen, dass ein Problem besteht.
Bei jedem Anruf, jedem Chat und jeder E-Mail zeigt es Ihnen, welche Konversationen betroffen waren, und Sie können belegen, dass der Rest in Ordnung war.
Kurz gesagt
- Compliance-Monitoring prüft vorgeschriebene Schritte in jeder Konversation; die Qualitäts-QA beurteilt, wie gut die Konversation lief, und beide können sich eine Scorecard teilen.
- Eine Stichprobe kann zeigen, dass Agents einen Pflichthinweis auslassen, aber nicht, welche Kunden betroffen waren. Genau das fragt ein Prüfer oder eine Aufsichtsbehörde als Nächstes.
- Eine Compliance-Scorecard braucht Auto-Fail-Prüfungen für die Schritte, die nie fehlen dürfen, und gewichtete Prüfungen für den Rest.
- PCI DSS verbietet, Kartenprüfnummern nach der Autorisierung aufzubewahren, auch in Aufnahmen, und einige US-Bundesstaaten, darunter Kalifornien, verlangen für die Aufzeichnung eines Anrufs die Einwilligung aller Beteiligten.
- Sechs Schritte richten es ein, und das Ergebnis ist ein Nachweispaket, das Sie auf Anfrage übergeben können.
Für die Plattformseite zeigt die Seite zum Qualitätsmanagement im Kundenservice, wie Kaizo jede Konversation anhand Ihrer Kriterien bewertet, und die Seite zu Compliance und Risiko zeigt, wie Compliance-Kriterien auf derselben Scorecard stehen.
Was ist Compliance-Monitoring im Kundenservice?
Compliance-Monitoring im Kundenservice ist die Prüfung von Supportkonversationen anhand der Regeln, die ein Unternehmen einhalten muss: Gesetze, Vorgaben von Aufsichtsbehörden, Regeln der Kartenorganisationen und eigene Richtlinien. Es fragt, ob jeder vorgeschriebene Schritt stattfand, nicht, wie angenehm die Konversation war.
Es überschneidet sich mit der QA, ist aber nicht dasselbe. Die QA fragt, ob der Agent das Problem gut gelöst hat.
Compliance-Monitoring stellt Ja-oder-Nein-Fragen mit Folgen: Wurde der Kunde verifiziert, wurde auf die Aufzeichnung hingewiesen, wurde der Risikohinweis vorgelesen, ist eine Kartennummer im Transkript gelandet? Im regulierten Support, etwa bei Finanzdienstleistungen oder Glücksspiel, entscheiden diese Fragen darüber, ob Sie eine Beschwerde abwehren können.
| Qualitäts-QA | Compliance-Monitoring | |
|---|---|---|
| Frage | Wie gut wurde das bearbeitet? | Fand jeder vorgeschriebene Schritt statt? |
| Bewertung | Gewichtete Kriterien, ein Score von 100 | Bestanden oder nicht bestanden je Prüfung, oft Auto-Fail |
| Wer fragt | Teamleitungen, QA, CX-Leitung | Compliance, Prüfer, Aufsichtsbehörden, Kartenorganisationen |
| Was ein Versäumnis kostet | Einen Coaching-Anlass | Eine Beschwerde, die Sie nicht abwehren können, ein Bußgeld, eine Abhilfemaßnahme |
| Benötigter Beleg | Ein Score und ein Kommentar | Die genaue Stelle im Transkript, aufbewahrt für die Aufbewahrungsfrist |
Beide funktionieren am besten auf einer Scorecard, sodass Agents eine Prüfung und einen Standard bekommen. Unser Leitfaden zu Auto-Fail-Kriterien (auf Englisch) erklärt, wie eine einzelne nicht bestandene Compliance-Prüfung einen Score auf null setzen kann, ohne den Rest zu verzerren.
Warum scheitert eine Stichprobe im Compliance-Audit?
Eine Stichprobe scheitert im Compliance-Audit, weil sie schätzen kann, wie oft ein Schritt ausgelassen wird, aber nicht sagen kann, in welchen Konversationen. Genau das fragt ein Prüfer oder eine Aufsichtsbehörde als Nächstes.
Rechenbeispiel (Zahlen zur Veranschaulichung, keine Kaizo-Daten). Ein Contact Center nimmt 30.000 Anrufe im Monat an. Bei 8.000 davon, Zahlungen und Kontoänderungen, müssen Agents einen Pflichthinweis vorlesen. Bei einem von 50 dieser Anrufe lassen sie ihn aus: 160 Anrufe. Die QA prüft eine Zufallsstichprobe von 900 Anrufen.
| Wert | |
|---|---|
| Anrufe pro Monat | 30.000 |
| Anrufe, die den Pflichthinweis brauchen | 8.000 |
| Anrufe, bei denen er ausgelassen wurde | 160 |
| Geprüfte Anrufe | 900 |
| Erwartete ausgelassene Anrufe in der Stichprobe | etwa 5 |
| Ausgelassene Anrufe, die niemand angesehen hat | etwa 155 |
Als Messung erfüllt die Stichprobe ihren Zweck: Fünf Versäumnisse bei etwa 240 Anrufen, die den Hinweis brauchten, zeigen Ihnen, dass das Problem besteht.
Dann beginnen die Fragen. Welche Kunden waren betroffen? War der Anruf hinter dieser Beschwerde einer davon? Trat das Versäumnis in allen Teams auf oder in einem? Mit einer Stichprobe beantworten Sie das, indem Sie im Nachhinein 8.000 Anrufe anhören. Wenn jeder Anruf bewertet ist, filtern Sie nach einem nicht bestandenen Kriterium und haben die Liste.
Es gibt eine zweite Lücke. Die Anrufe mit dem größten Compliance-Risiko, eine Beschwerde, ein schutzbedürftiger Kunde, ein Streit über Limits, sind selten, also enthält eine Zufallsstichprobe sie am wenigsten wahrscheinlich. Die Statistik dahinter steht in unserem Beitrag, warum eine QA-Stichprobe von 3 % keine Entscheidungen über einzelne Agents trägt (auf Englisch).
Die Prüfungen einer Compliance-Scorecard
Eine Compliance-Scorecard enthält Auto-Fail-Prüfungen für Schritte, die nie fehlen dürfen, etwa Identitätsprüfung und Umgang mit Kartendaten, und gewichtete Prüfungen für Schritte, bei denen ein teilweises Versäumnis möglich ist. Jede Prüfung muss sich anhand des Transkripts beantworten lassen.
Hier ein Ausgangsset, das Sie anpassen können. Ersetzen Sie die Beispiele durch den genauen Wortlaut, den Ihre Regeln verlangen.
| Prüfung | Beispiel für ein Bestehen | Typ | Beleg |
|---|---|---|---|
| Identität vor Kontodaten geprüft | Der Agent stellte die vorgeschriebenen Sicherheitsfragen, bevor er über den Kontostand sprach | Auto-Fail | Die Zeilen der Verifizierung |
| Hinweis auf Aufzeichnung gegeben | „Dieses Gespräch wird zu Qualitäts- und Schulungszwecken aufgezeichnet“ zu Beginn | Auto-Fail, wo Einwilligungsregeln gelten | Der Anfang des Anrufs |
| Pflichthinweis vorgelesen | Der freigegebene Risikohinweis, die Gebührenangabe oder die Bedingungen, vollständig | Auto-Fail | Die Zeile mit dem Hinweis |
| Keine Kartendaten im Transkript | Keine vollständige Kartennummer und kein Sicherheitscode in Chat oder E-Mail geschrieben | Auto-Fail | Das Fehlen, geprüft in jeder Nachricht |
| Keine persönliche Beratung, wo nicht erlaubt | Der Agent gab Informationen, keine Empfehlung | Gewichtet oder Auto-Fail, je nach Ihren Regeln | Die betreffende Antwort |
| Beschwerde erkannt und erfasst | Der Agent benannte es als Beschwerde und folgte dem Prozess | Gewichtet | Die Beschwerde und der nächste Schritt |
| Schutzbedürftigkeit markiert | Anzeichen von Schutzbedürftigkeit bemerkt und gemäß Richtlinie behandelt | Gewichtet | Die Worte des Kunden und die Reaktion des Agents |
| KI-Offenlegung (KI-Agenten) | Dem Kunden wurde gesagt, dass er mit einer KI spricht | Auto-Fail, wo vorgeschrieben | Die erste Nachricht oder Begrüßung |
Formulieren Sie jede Prüfung als eine Frage mit Ja-oder-Nein-Antwort und benennen Sie, was als Beleg zählt. „Hat der Agent die Gebührenangabe vorgelesen, bevor er die Zahlung annahm?“ lässt sich bei jedem Anruf gleich bewerten. „War der Agent compliant?“ nicht.
PCI DSS, Gesprächsaufzeichnungen und QA
PCI DSS erlaubt nicht, Kartenprüfnummern nach der Autorisierung zu speichern, auch nicht verschlüsselt, und das PCI Security Standards Council sagt, dass dies auch Audioaufnahmen umfasst. Die QA sollte prüfen, dass Kartendaten nie in Aufnahmen oder Transkripten landen.
Die Details, aus der Quelle:
- PCI DSS Anforderung 3.3.1 besagt, dass sensible Authentifizierungsdaten nach der Autorisierung nicht gespeichert werden, auch nicht verschlüsselt. Die FAQ des PCI SSC zu Audioaufnahmen sagt, dass das Speichern von Kartenprüfnummern in einer digitalen Audioaufnahme nach der Autorisierung deshalb dagegen verstößt, dass alles getan werden muss, um die Aufzeichnung dieser Daten zu verhindern, und dass Unterdrückung oder Schwärzung aktiviert werden sollte, wo die Technik es erlaubt.
- Wenn sich die Aufzeichnung nicht verhindern lässt, sollen die Daten laut FAQ sicher gelöscht werden, sobald die Transaktion autorisiert ist, mit kompensierenden Kontrollen, falls das nicht machbar ist.
- PCI DSS v4.0.1 ist die aktuelle Version; das PCI SSC kündigte an, dass v4.0 am 31. Dezember 2024 ausläuft.
- PCI DSS hat keinen Vorrang vor lokalen Gesetzen darüber, wie lange Aufnahmen aufbewahrt werden müssen, wie dieselbe FAQ anmerkt.
Was das für die QA in der Praxis bedeutet: Die Kontrollen, die Kartendaten aus Aufnahmen heraushalten, gehören zu Ihrer Telefonie und Ihrem Zahlungssetup, nicht zur QA. Die Aufgabe der QA ist, zu prüfen, dass sie in jeder Konversation funktionieren.
Bewerten Sie, ob Agents Kunden gebeten haben, einen Sicherheitscode laut vorzulesen, wenn der Prozess das ausschließt, und ob eine vollständige Kartennummer in einem Chat- oder E-Mail-Transkript auftaucht. Kaizos eigene Compliance-Seite nennt „Kartennummer geteilt“ (im Original „Card number shared“) als Beispiel für ein Auto-Fail-Kriterium.
US-Regeln zur Einwilligung in Gesprächsaufzeichnungen
Das US-Bundesrecht erlaubt die Aufzeichnung mit der Einwilligung einer Partei, aber einige Bundesstaaten verlangen die Einwilligung aller. Deshalb geben die meisten Contact Center zu Beginn jedes Anrufs einen Hinweis auf die Aufzeichnung.
- Bundesrecht: Nach 18 U.S.C. § 2511(2)(d) ist es für eine Person, die nicht unter dem Anschein staatlicher Befugnis („under color of law“) handelt, nicht rechtswidrig, eine Kommunikation abzufangen, wenn sie daran beteiligt ist oder eine der Parteien vorher eingewilligt hat, es sei denn, es geschieht, um eine Straftat oder unerlaubte Handlung zu begehen.
- Kalifornien: Penal Code § 632 stellt die Aufzeichnung einer vertraulichen Kommunikation ohne Einwilligung aller Parteien unter Strafe, mit einer Geldstrafe von bis zu 2.500 US-Dollar pro Verstoß beim ersten Mal.
- Andere Bundesstaaten: Das Reporters Committee for Freedom of the Press führt etwa 11 Bundesstaaten auf, die in erster Linie die Einwilligung aller Parteien verlangen, und rät, bei Anrufen über Staatsgrenzen hinweg vom strengeren Recht auszugehen.
Dies ist eine Zusammenfassung, keine Rechtsberatung; klären Sie die Regeln für jeden Bundesstaat und jedes Land, in dem Sie tätig sind, mit Ihrer Rechtsberatung. Für die QA ist der Schritt konkret: Machen Sie „Hinweis auf Aufzeichnung gegeben“ zu einer Auto-Fail-Prüfung am Anfang jedes aufgezeichneten Anrufs, damit Sie zeigen können, dass er jedes Mal gegeben wurde.
So richten Sie Compliance-Monitoring für jeden Anruf ein
Für Compliance-Monitoring bei jedem Anruf listen Sie die Regeln auf, machen aus jeder eine Ja-oder-Nein-Prüfung, ergänzen die Prüfungen auf Ihrer Scorecard, testen die Bewertung, bewerten alles und prüfen jeden Fehler.
Schritt 1: Listen Sie die geltenden Regeln auf
Listen Sie gemeinsam mit Ihrem Compliance-Team jede Regel auf, die eine Supportkonversation berührt: Gesetze, Vorgaben von Aufsichtsbehörden, Regeln der Kartenorganisationen, Ihre eigenen Richtlinien. Notieren Sie zu jeder, für welche Konversationen sie gilt, etwa Zahlungsanrufe, Beschwerden oder Kontoschließungen.
Schritt 2: Machen Sie aus jeder Regel eine Prüfung
Schreiben Sie pro Regel eine Ja-oder-Nein-Frage, mit dem genauen Wortlaut oder Verhalten, das als Bestehen zählt, und dem Beleg, den Sie erwarten. Legen Sie fest, welche Prüfungen Auto-Fail sind. Halten Sie es kurz: Eine Prüfung, die niemand einheitlich bewerten kann, ist schlechter als keine.
Schritt 3: Setzen Sie die Prüfungen auf Ihre QA-Scorecard
Ergänzen Sie die Compliance-Prüfungen neben Ihren Qualitätskriterien, sodass jede Konversation eine Prüfung bekommt. Beschränken Sie jede Prüfung auf die Konversationen, für die sie gilt, damit eine Prüfung auf einen Pflichthinweis keinen Anruf durchfallen lässt, bei dem kein Hinweis nötig war. Unser Leitfaden zur Gewichtung der Bewertungskriterien einer Scorecard zeigt, wie Auto-Fail und gewichtete Kriterien zusammenwirken.
Schritt 4: Testen Sie die Bewertung, bevor Sie sich darauf verlassen
Bewerten Sie eine Auswahl früherer Konversationen manuell, gemeinsam mit Ihrem Compliance-Team, und vergleichen Sie die Ergebnisse mit den automatischen Scores oder denen der Reviewer. Korrigieren Sie die Prüfungen, bei denen sie abweichen. Dieser Schritt macht die Ergebnisse belastbar.
Schritt 5: Bewerten Sie jede Konversation
Bewerten Sie alle Anrufe, Chats und E-Mails, für die die Prüfungen gelten, und verknüpfen Sie jedes Ergebnis mit der Stelle im Transkript, auf der es beruht. Unser Leitfaden zur Nachvollziehbarkeit von QA-Scores (auf Englisch) erklärt, warum sich ein Score ohne Beleg schwer verteidigen lässt.
Schritt 6: Prüfen Sie jeden Fehler
Leiten Sie jede nicht bestandene Auto-Fail-Prüfung in derselben Woche an eine Person weiter. Entscheiden Sie, ob es ein Fehler des Agents, eine Prozesslücke oder ein Bewertungsfehler war, handeln Sie und dokumentieren Sie, was Sie getan haben. Suchen Sie dann nach Mustern nach Team, Queue und Prüfung.
Sehen Sie es in einer Live-Demo. Kaizo bewertet jede Konversation anhand Ihrer Compliance-Kriterien und verknüpft jeden Score mit dem Transkript. Termin buchen.
Das Nachweispaket für Prüfer und Aufsichtsbehörden
Zeigen Sie die Regel, die Prüfung, die sie testet, die Abdeckung, die Fehler und was Sie gegen jeden einzelnen unternommen haben. Ein Nachweispaket mit diesen fünf Teilen beantwortet die meisten Compliance-Fragen zu Supportkonversationen.
Nutzen Sie das als Vorlage:
| Teil | Was es enthält |
|---|---|
| 1. Regel | Die Anforderung, ihre Quelle und für welche Konversationen sie gilt |
| 2. Prüfung | Die Frage auf der Scorecard, was als Bestehen zählt und ob sie Auto-Fail ist |
| 3. Abdeckung | Wie viele relevante Konversationen im Zeitraum bewertet wurden, von wie vielen |
| 4. Fehler | Jede nicht bestandene Konversation, mit der Stelle im Transkript und dem Datum |
| 5. Maßnahmen | Was Sie je Fehler getan haben: Coaching, Prozessänderung, Abhilfe für den Kunden, und wann |
Wenn sich die Frage auf eine einzelne Konversation bezieht, etwa eine Beschwerde, beantwortet derselbe Datensatz sie: der Score bei jeder Prüfung und die Stellen im Transkript dahinter. Genau das ist der Sinn von 100 % QA-Abdeckung im regulierten Umfeld: Der Prüfpfad ist die Prüfung selbst, kein nachträglich zusammengestellter Bericht.
Für diesen Teil ist Kaizo gebaut. Laut seiner Compliance-Seite bewertet es jede Konversation anhand Ihrer Compliance-Kriterien und verknüpft jeden Score mit dem Transkript, mit eigenen Kriterien für Ihr regulatorisches Umfeld, und seine Scorecards übernehmen Ihre bestehenden Kriterien statt einer Vorlage.
Kaizo ist nach SOC 2 Type II und ISO 27001 zertifiziert und DSGVO-konform, mit den Berichten im Trust Center. Kaizo prüft Konversationen, sobald sie beendet sind, verhindert also keinen Fehler während eines laufenden Anrufs. Ein Beispiel aus dem regulierten Glücksspiel: wie GAMING1 Kaizo für Konversationen zum verantwortungsvollen Spielen nutzt.
So starten Sie mit Compliance-Monitoring
Beginnen Sie mit einer Regel, nach der ein Prüfer oder eine Aufsichtsbehörde zuerst fragen würde, machen Sie daraus eine Auto-Fail-Prüfung und bewerten Sie einen Monat lang jede Konversation, für die sie gilt. Die Liste der Fehler ist Ihr erstes Nachweispaket, und ihre Lücken zeigen, welche Prüfung Sie als Nächstes ergänzen.
Für regulierte Teams zeigt die Seite für Supportteams im Fintech-Bereich, wie Kaizo Compliance-Kriterien auf jede Konversation anwendet.
Häufig gestellte Fragen
Was ist der Unterschied zwischen Compliance-Monitoring und Qualitätssicherung?
Qualitätssicherung beurteilt, wie gut eine Konversation bearbeitet wurde, meist mit gewichteten Kriterien und einem Score. Compliance-Monitoring prüft, ob jeder vorgeschriebene Schritt stattfand, meist mit bestanden oder nicht bestanden und aufbewahrten Belegen. Beides funktioniert gut auf einer Scorecard: die Compliance-Prüfungen als Auto-Fail-Kriterien, die Qualitätskriterien gewichtet, und eine Prüfung pro Konversation.
Ist ein Callcenter PCI-konform, wenn es Anrufe aufzeichnet?
Das kann es sein, aber die Aufzeichnung erhöht das Risiko. PCI DSS erlaubt nicht, Kartenprüfnummern nach der Autorisierung zu speichern, und das PCI SSC wendet das auf Audioaufnahmen an: die Aufzeichnung möglichst verhindern oder die Daten sicher löschen. Ob Ihr Setup konform ist, entscheidet Ihr PCI-Assessment, nicht Ihr QA-Tool.
Braucht man in den USA eine Einwilligung, um Kundenservice-Anrufe aufzuzeichnen?
Das Bundesrecht erlaubt die Aufzeichnung mit der Einwilligung einer Partei, und das kann das Unternehmen selbst sein. Mehrere Bundesstaaten, darunter Kalifornien, verlangen die Einwilligung aller Parteien eines vertraulichen Gesprächs. Weil Kunden aus vielen Bundesstaaten anrufen, spielen die meisten Contact Center zu Beginn jedes Anrufs einen Hinweis ab. Klären Sie die Regeln für Ihre Bundesstaaten mit Ihrer Rechtsberatung.
Wie oft sollten Sie Anrufe auf Compliance prüfen?
Jeden Anruf, für den die Regel gilt, wenn Sie automatisch bewerten können, denn ein fehlender Pflichthinweis bei einem Anruf ist ein Problem für diesen Kunden, ob der Anruf in der Stichprobe war oder nicht. Wenn Sie manuell prüfen, prüfen Sie jeden Anruf in den riskantesten Kategorien, etwa Beschwerden und Zahlungsstreitigkeiten, und nehmen Sie für den Rest Stichproben.
Kann KI Anrufe auf Pflichthinweise prüfen?
Ja, wenn jeder Hinweis eine klare Prüfung ist, etwa „der Agent hat die Gebührenangabe vorgelesen, bevor er die Zahlung annahm“, und die Bewertung zuerst an Ihren eigenen früheren Prüfungen getestet wird. Jedes Ergebnis sollte mit der Stelle im Transkript verknüpft sein, damit eine Person jeden Score kontrollieren kann, und nicht bestandene Prüfungen sollten an eine Person gehen.
