Was ist GRC?
GRC bündelt drei Steuerungsaufgaben eines Unternehmens: Governance, Risikomanagement und Compliance. Der integrierte Ansatz führt sie auf gemeinsamen Daten, statt dass jede Disziplin eigene Listen von Assets, Risiken und Kontrollen pflegt.
| Bestandteil | Kernfrage | Verantwortung (Beispiel) |
|---|---|---|
| Governance | Wer entscheidet was, nach welchen Regeln, und wer überwacht das? | Geschäftsleitung, Aufsichtsrat |
| Risk | Welche Ereignisse gefährden die Ziele, und wie werden sie gesteuert? | Risikomanagement, Fachbereiche |
| Compliance | Welche Regeln gelten, und wie wird ihre Einhaltung belegt? | Compliance-Funktion, Rechtsabteilung |
Was ist der Unterschied zwischen Governance und Compliance?
Governance legt fest, wie ein Unternehmen gesteuert und überwacht wird: Zuständigkeiten, Entscheidungswege, Berichtslinien. Compliance prüft, ob das Unternehmen die Regeln einhält, die von außen gelten oder die es sich selbst gegeben hat. Governance setzt also den Rahmen, Compliance misst das Verhalten daran.
Eine Informationssicherheitsleitlinie, die die Geschäftsleitung beschließt, ist ein Governance-Akt; der Nachweis, dass die Leitlinie umgesetzt ist, gehört zur Compliance.
Ein Kontrollkatalog für mehrere Regelwerke
Der Nutzen von GRC zeigt sich, sobald mehrere Regelwerke dieselben Kontrollen berühren. Beispiel: Ein Unternehmen führt ein ISMS nach ISO/IEC 27001, ein Verarbeitungsverzeichnis nach der DSGVO und Sicherheitsauflagen aus Kundenverträgen. Dieselbe Zugriffskontrolle steht dann in drei Listen, mit drei Formulierungen, drei Nachweisständen und drei Verantwortlichen.
Der GRC-Ansatz ordnet das in vier Schritten:
- Eine Inventarbasis: Assets, Prozesse, Systeme und Dienstleister werden einmal erfasst.
- Ein Kontrollkatalog: Jede Kontrolle existiert einmal, mit Verantwortlichem und Prüfrhythmus.
- Mehrfachzuordnung: Dieselbe Kontrolle deckt Anforderungen aus ISO/IEC 27001, der DSGVO und dem Kundenvertrag.
- Ein Nachweisbestand: Ein Beleg entsteht einmal und dient jedem Bericht.
Jedes weitere Regelwerk erfordert dann vor allem Zuordnungen zu bestehenden Kontrollen und nur für die Lücken neue.
Wer macht was? Das Drei-Linien-Modell
Die Rollen im GRC-Gefüge beschreibt das Drei-Linien-Modell des Institute of Internal Auditors (IIA).
Das Modell unterscheidet drei Rollen:
- Erste Linie: das Management; es trägt und steuert die Risiken und verantwortet Prozesse und Kontrollen.
- Zweite Linie: Rollen mit Fachwissen, Unterstützung, Überwachung und kritischer Prüfung, etwa Risikomanagement, Compliance und Informationssicherheit.
- Dritte Linie: die interne Revision; sie gibt unabhängige und objektive Prüfungsurteile ab und berichtet an das Aufsichtsorgan.
Überschneiden sich Rollen, verlangt das Modell klare Verantwortlichkeiten und Sicherungen gegen die Prüfung eigener Arbeit. Wer eine Kontrolle selbst ausführt, kann ihre Wirksamkeit deshalb nicht unabhängig beurteilen.
GRC im deutschen Recht: fünf Anknüpfungspunkte
Das deutsche Gesellschaftsrecht kennt den Begriff GRC nicht, regelt aber seine Bestandteile:
| Vorschrift | Wen sie betrifft | Was sie verlangt |
|---|---|---|
| § 93 Abs. 1 AktG, § 43 Abs. 1 GmbHG | Vorstand der AG, Geschäftsführer der GmbH | Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters bzw. eines ordentlichen Geschäftsmannes |
| § 1 Abs. 1 StaRUG | Geschäftsleiter juristischer Personen, auch der GmbH | fortlaufend über bestandsgefährdende Entwicklungen wachen, Gegenmaßnahmen ergreifen, den Überwachungsorganen unverzüglich berichten |
| § 91 Abs. 2 AktG | Vorstand jeder AG | geeignete Maßnahmen, insbesondere ein Überwachungssystem, damit bestandsgefährdende Entwicklungen früh erkannt werden |
| § 91 Abs. 3 AktG | Vorstand einer börsennotierten Gesellschaft | ein angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem |
| § 161 AktG | Vorstand und Aufsichtsrat börsennotierter Gesellschaften | jährliche Erklärung zu den Empfehlungen des Deutschen Corporate Governance Kodex, dauerhaft auf der Internetseite |
Für eine GmbH ergibt sich der GRC-Bedarf damit aus der Sorgfaltspflicht und der Krisenfrüherkennung nach § 1 StaRUG. Jede AG bindet § 91 Abs. 2 AktG, eine börsennotierte zusätzlich § 91 Abs. 3 AktG, der ein internes Kontrollsystem ausdrücklich verlangt.
Keine GRC-Norm, aber Normen für jedes Teilsystem
GRC ist ein Steuerungsansatz, keine Anforderungsnorm. Für die Teilsysteme gibt es anerkannte Bezugsrahmen unterschiedlichen Typs:
| Teilsystem | Bezugsrahmen | Art des Rahmens |
|---|---|---|
| Compliance-Management-System | ISO 37301:2021 | Anforderungsnorm mit Anleitung |
| Compliance-Management-System, Prüfung | IDW PS 980 mit sieben Grundelementen | Prüfungsstandard für Wirtschaftsprüfer |
| Internes Kontrollsystem | COSO Internal Control, Integrated Framework (2013) mit fünf Komponenten | Rahmenwerk |
| Risikomanagement | ISO 31000:2018 | Leitlinien |
| Informationssicherheit | ISO/IEC 27001 | zertifizierbare Anforderungsnorm |
Die Anforderungen an ein Compliance-Management-System erläutert der Eintrag zu ISO 37301. Wer ein Teilsystem neu aufbaut, sollte früh festlegen, welche Objekte die anderen Teilsysteme mitnutzen: Assets, Verantwortliche, Kontrollen und Nachweise.
Was muss ein GRC-Tool leisten?
Ein GRC-Tool muss die Mehrfachzuordnung aus dem Datenmodell heraus beherrschen. Vier Prüffragen trennen Werkzeuge in der Auswahl:
- Mapping: Lässt sich eine Kontrolle mehreren Anforderungen zuordnen, ohne sie zu kopieren?
- Nachweise: Hängt der Beleg an der Kontrolle oder am Asset, für das sie gilt, und nicht an einem Bericht?
- Eigene Regelwerke: Lassen sich Kundenanforderungen als eigenes Regelwerk abbilden?
- Berichte: Entsteht der Bericht aus denselben Daten, die die Fachbereiche pflegen?
Ein einfacher Test für die Auswahl: Pflegen Sie eine Zugriffskontrolle einmal. Prüfen Sie dann, ob sie mit demselben Nachweisstand in den Berichten zu ISO/IEC 27001 und zu einem Kundenaudit erscheint. Weitere Auswahlkriterien enthält der Leitfaden ISMS-Software auswählen.
Governance, Risiko und Compliance am selben Asset
Rizzqo verknüpft die drei GRC-Perspektiven am Asset. Anforderungen aus den hinterlegten Katalogen, etwa ISO/IEC 27001, ISO/IEC 27002, DORA und CRA, hängen an den Systemen, Diensten und Dienstleistern, für die sie gelten. Eine Anforderung, die mehreren Regelwerken zugeordnet ist, wird einmal beantwortet und zählt für jedes davon. Jede Anforderung hat eine verantwortliche Person, und abgeschlossene Antworten tragen Name und Zeitstempel.
Risikobewertungen führt Rizzqo am selben Asset: Aus Eintrittswahrscheinlichkeit in Prozent und Auswirkung in Euro rechnet eine konfigurierbare Matrix das Risiko in Euro. Maßnahmen laufen als Aufgaben; ihre geplante Risikominderung wird reserviert und mit dem Abschluss angerechnet. Erfüllungsgrade je Asset und Regelwerk rechnet Rizzqo aus den abgeschlossenen Antworten, und ein täglicher Snapshot hält den Verlauf fest.