Die drei Buchstaben
| Kürzel | Disziplin | Kernfrage | Typische Verantwortung |
|---|---|---|---|
| G | Governance | Wer entscheidet was, nach welchen Regeln, und wer überwacht das? | Geschäftsführung, Aufsichtsrat |
| R | Risk | Welche Ereignisse gefährden unsere Ziele, und wie steuern wir sie? | Risikomanagement, Fachbereiche |
| C | Compliance | Welche Regeln gelten, und wie belegen wir ihre Einhaltung? | Compliance-Funktion, Recht |
Jede dieser Disziplinen existiert seit Langem für sich. Der Sammelbegriff GRC entstand in den frühen 2000er-Jahren aus der Beobachtung, dass ihre getrennte Führung dieselbe Arbeit mehrfach erzeugt.
Das Problem, das GRC löst
Ein mittelständisches Unternehmen mit ISO 27001, DSGVO und Kundenauflagen aus Lieferantenaudits verwaltet in der Regel drei Welten: eine Kontrollmatrix im Managementsystem, ein Verarbeitungsverzeichnis im Datenschutz und je eine Tabelle pro Kundenaudit. Dieselbe Zugriffskontrolle taucht in allen dreien auf: in drei Formulierungen, mit drei Nachweisständen und drei Verantwortlichen.
Der GRC-Ansatz kehrt das um:
- Eine Inventarbasis. Assets, Prozesse, Systeme und Lieferanten werden jeweils einmal erfasst.
- Ein Kontrollkatalog. Jede Kontrolle existiert genau einmal, mit Verantwortlichem und Frequenz.
- Mehrfachzuordnung. Dieselbe Kontrolle erfüllt gleichzeitig Anforderungen aus ISO 27001, der DSGVO und einem Kundenvertrag.
- Ein Nachweisbestand. Der Beleg entsteht einmal und wird in jedem Bericht verwendet.
Der Nutzen liegt weniger in der Ersteinrichtung als in jedem weiteren Regelwerk: Das zweite Framework kostet deutlich weniger als das erste, weil der überwiegende Teil der Kontrollen bereits existiert und nur zugeordnet werden muss.
GRC im deutschen Kontext
Für börsennotierte Gesellschaften ist der Governance-Teil formalisiert: Der Deutsche Corporate Governance Kodex enthält Empfehlungen, zu deren Befolgung Vorstand und Aufsichtsrat jährlich nach § 161 AktG eine Entsprechenserklärung abgeben. Für nicht börsennotierte Unternehmen gibt es keine vergleichbare Kodifizierung. Dort ergibt sich die Governance-Anforderung aus den allgemeinen Sorgfaltspflichten der Geschäftsleitung.
Die Zuständigkeiten werden meist über das Three-Lines-Modell beschrieben:
- Erste Linie: die Fachbereiche, die Risiken eingehen und Kontrollen ausführen.
- Zweite Linie: Risikomanagement, Compliance und Informationssicherheit; sie geben Vorgaben und überwachen deren Einhaltung.
- Dritte Linie: die interne Revision, die unabhängig prüft und an das Aufsichtsorgan berichtet.
Der häufigste Konstruktionsfehler im Mittelstand ist die Vermischung von erster und zweiter Linie: Wer eine Kontrolle selbst ausführt, kann ihre Wirksamkeit nicht unabhängig beurteilen.
Was GRC-Tools tatsächlich leisten müssen
Der Markt reicht von Dokumentenablagen mit Workflow bis zu Plattformen mit eigenem Datenmodell. Bei der Bewertung lohnen vier Fragen:
- Mapping: Lässt sich eine Kontrolle mehreren Anforderungen zuordnen, ohne sie zu kopieren?
- Nachweisführung: Entsteht der Beleg im System, oder wird er nachträglich hochgeladen?
- Eigene Regelwerke: Lassen sich Kundenanforderungen als eigenes Framework abbilden?
- Berichtsfähigkeit: Kommt ein Bericht heraus, den Geschäftsführung und externe Prüfer akzeptieren?
Werkzeuge, die nur Dokumente verwalten, verschieben das Problem, statt es zu lösen: Die Mehrfachpflege bleibt, sie findet nur in einem anderen Ordner statt.
Abgrenzung
GRC ist keine Norm, es gibt keine Zertifizierung. Es ist ein Organisationsmodell, das vorhandene Systeme verbindet: das Compliance-Management-System, das interne Kontrollsystem (IKS) und die Risikosteuerung. Wer eines davon neu aufbaut, sollte die Datenmodelle von Anfang an gemeinsam denken. Eine nachträgliche Zusammenführung ist regelmäßig teurer als der integrierte Aufbau.
Die Rizzqo-Plattform bildet Assets, Risiken, Kontrollen und Anforderungen in einem gemeinsamen Modell ab.