Klassische Risikomodelle scheitern an der Permakrise GRC wird vom Schutzmechanismus zur strategischen Steuerungsfunktion

Anbieter zum Thema

Optro

cidaas by Widas ID GmbH

Fujitsu Technology Solutions GmbH

FTAPI Software GmbH

Klassische Risikomodelle geraten unter Druck: Dauerkrisen, Cyberkriminelle und KI verändern die Spielregeln grundlegend. Für GRC-Teams bedeutet das einen Rollenwechsel. Sie bewegen sich weg vom reinen Schutz hin zur aktiven Wertschöpfung. Paradox gesagt: Wer Risiken richtig nutzt, schafft echte Wettbewerbsvorteile.

Die 2020er-Jahre markieren einen Bruch mit bisherigen Annahmen im Risikomanagement. Risiken treten nicht mehr isoliert auf, sondern überlagern sich und verstärken sich gegenseitig. Vollständig auflösen tun sie sich kaum noch. Willkommen im Phänomen der „Permakrise“, womit ein Zustand permanenter Instabilität ohne klar definierte Erholungsphasen gemeint ist.

Klassische Risikomodelle sind dafür nicht gemacht. Sie basieren auf linearen Annahmen: Risiko tritt ein, wird bewertet, gemanagt und abgeschlossen. In Wirklichkeit verschieben sich Risiken heute jedoch kontinuierlich und entwickeln neue Abhängigkeiten. Zum Teil entstehen sie teilweise erst durch ihr Zusammenspiel. Damit verändert sich auch die Art, wie Unternehmen Risiken verstehen und steuern müssen.

Hinzu kommt: Geschwindigkeit wird zum kritischen Faktor. Statische Risikobewertungen können mit der Dynamik von Cyberbedrohungen, geopolitischen Spannungen und tech­no­lo­gischen Sprüngen nicht Schritt halten. Studien zeigen, dass traditionelle Governance- und Risikomodelle strukturell an ihre Grenzen stoßen und eine Transformation hin zu adaptiver Resilienz erforderlich ist.

Allianz Risk Barometer 2026

KI-Risiken wachsen rasant

Vom Value Protector zum Value Creator

Über lange Zeit war die Rolle von GRC-Teams klar definiert: Risiken identifizieren, kontrollieren und minimieren. Der Fokus lag auf Compliance, Absicherung und der Vermeidung von Schäden. Organisationen haben diese Funktion bewusst defensiv positioniert, und zwar eher als Kon­t­roll­in­s­tanz, nicht als strategischen Partner.

Diese Herangehensweise ist heute ein Bremsklotz. Unternehmen, die Risiken primär vermeiden wollen, agieren langsamer, investieren vorsichtiger und reagieren oft erst, wenn Entwicklungen bereits eingetreten sind. Innovation wird dadurch massiv erschwert und geradezu systematisch verzögert.

Die Verantwortlichen sollten daher dringend die Perspektive wechseln: GRC muss vom reinen Schutzmechanismus zur aktiven Steuerungsfunktion werden. Das bedeutet, Risiken nicht nur zu begrenzen, sondern als Informationsquelle zu nutzen, die Entscheidungen, Reaktionen, Investitionen und andere Prozesse verbessert und beschleunigt.

BCM und Cyber Security allein machen Unternehmen nicht resilient

Operational Resilience braucht mehr als Technik und Prozesse

KI verschiebt die Risikologik

Mit dem Einsatz von KI verschärft sich diese Entwicklung weiter. Vor allem agentische Systeme erhöhen die Dynamik von Risiken massiv, denn mit ihnen werden Entscheidungen au­to­ma­ti­siert, Prozesse laufen autonom und die Nachvollziehbarkeit sinkt. Das erzeugt neue Risikodimensionen:

• schwer kalkulierbare Systemverhalten

• neue Angriffsflächen

• steigende Abhängigkeiten von Daten und Modellen

Doch wo Herausforderungen sind, eröffnen sich auch Chancen: KI ermöglicht es erstmals, Risiken kontinuierlich und in Echtzeit zu analysieren und zu interpretieren. Statt rück­bli­cken­der Reports können so vorausschauende Entscheidungsgrundlagen entstehen.

Der entscheidende Wandel zeigt sich im Wechsel von „Systems of Record“ zu „Systems of Action“. Während klassische Systeme Daten dokumentieren, ermöglichen neue Ansätze unmittelbares Handeln: Erkenntnisse werden direkt in Prozesse übersetzt. Die fälligen Maßnahmen werden automatisch angestoßen und Risiken so aktiv gesteuert.

Damit verändert sich die Rolle von GRC: Aus Beobachtern werden aktive Steuerungsinstanzen.

NIST AI Risk Management Framework (AI RMF)

KI-Systeme müssen vertrauens­würdiger werden

Risiko als strategischer Hebel

In vielen Organisationen bringt ein zu einseitiges Risikoverständnis mittlerweile Probleme mit sich. Risiken werden primär als Bedrohung gesehen, nicht als potenzielle Quelle für Wett­be­werbs­vor­teile. Diese Sicht greift zu kurz. Denn dieselben Faktoren, die Risiken erzeugen – also technologische Innovation, Marktveränderungen, geopolitische Verschiebungen etc. – schaffen gleichzeitig neue Chancen.

Unternehmen, die Risiken ausschließlich defensiv managen, werden zwangsläufig reaktiv. Entscheidungen verzögern sich, Handlungsspielräume schrumpfen, Innovationspotenziale bleiben ungenutzt. Studien zeigen, dass Organisationen mit einem integrierten, chan­cen­ori­en­tier­ten Risikoverständnis schneller auf Veränderungen reagieren und strategische Vorteile realisieren.

Der entscheidende Unterschied liegt im Ansatz:

• Risiko als Störung → vermeiden

• Risiko als Signal → nutzen

GRC-Teams werden damit zu strategischen Beratern, die nicht nur vor Gefahren warnen, sondern aktiv zur Entscheidungsqualität beitragen.

eGRC – das moderne Panopticon der Sicherheitsarchitektur?

Vom GRC-Modell zur eGRC-Lösung

Konkrete Handlungsansätze für GRC-Teams

Aus der aktuellen Phase hoher Volatilität lassen sich klare Prioritäten ableiten. Entscheidend ist nicht, ob sich GRC verändert, sondern wie schnell und konsequent diese Transformation umgesetzt wird.

• Risikobewertung neu ausrichten
  Klassische Risikomatrizen greifen zu kurz. GRC-Teams sollten ihre Bewertungssysteme erweitern, indem sie neben potenziellen Schäden systematisch auch Chancen analysieren. Das bedeutet konkret: Szenarioanalysen integrieren, Wechselwirkungen zwischen Risiken betrachten und gezielt identifizieren, wo Risiken strategische Optionen eröffnen, etwa bei neuen Technologien oder Märkten.

• Frühzeitig in Strategieprozesse integrieren
  GRC darf nicht erst dann eingebunden werden, wenn Entscheidungen bereits getroffen sind. Stattdessen sollten Risk- und Security-Verantwortliche aktiv an strategischen Initiativen teilnehmen, etwa bei Digitalisierungsprojekten, M&A oder neuen Geschäftsmodellen. Ziel ist es, Risiken von Anfang an mitzudenken und so fundiertere, schnellere Entscheidungen zu ermöglichen.

• Technologie gezielt einsetzen
  Der Einsatz von KI und Analytics sollte sich nicht auf Reporting beschränken. Entscheidend ist, Technologien so einzusetzen, dass sie kontinuierliche Risikoüberwachung und frühzeitige Mustererkennung ermöglichen. Das umfasst beispielsweise automatisierte Risikoindikatoren, Echtzeit-Dashboards und Predictive Analytics, die potenzielle Entwicklungen antizipieren, statt nur vergangene Ereignisse auszuwerten.

• Organisatorische Silos auflösen
  In vielen Unternehmen arbeiten Risk, Compliance, Internal Audit und IT-Security noch immer getrennt voneinander. Das führt zu redundanten Prozessen und unvollständigen Lagebildern. Eine engere Verzahnung – etwa über gemeinsame Datenplattformen, abgestimmte Prozesse und integrierte Steuerungsmodelle – erhöht die Transparenz und verbessert die Reaktionsfähigkeit.

• Vom Reporting zur Umsetzung wechseln
  Der größte Engpass liegt heute nicht im Erkennen von Risiken, sondern im Handeln. GRC-Teams sollten ihre Prozesse darauf ausrichten, Erkenntnisse schneller in Maßnahmen zu übersetzen. Das kann durch klar definierte Eskalationsmechanismen, automatisierte Workflows oder sogenannte „Systems of Action“ geschehen, die Aufgaben direkt aus Risikosignalen ableiten und deren Umsetzung nachverfolgen.

• Kompetenzen gezielt erweitern
  Die Anforderungen an GRC-Teams verändern sich grundlegend. Neben klassischem Fachwissen werden verstärkt Fähigkeiten in den Bereichen Datenanalyse, KI-Verständnis und strategische Beratung benötigt. Gleichzeitig gewinnt die Fähigkeit an Bedeutung, komplexe Risiken verständlich zu kommunizieren und als Entscheidungsgrundlage für das Management aufzubereiten.

• Risikokultur aktiv gestalten
  Technologie allein reicht nicht. Entscheidend ist eine Unternehmenskultur, die informierte Risikobereitschaft zulässt. GRC-Teams sollten aktiv daran arbeiten, eine Kultur zu fördern, in der Risiken offen adressiert, diskutiert und bewusst eingegangen werden, statt reflexartig vermieden zu werden.

Cyberrisiken zählen zu den größten Unternehmensrisiken

Warum Cybersicherheit für ESG entscheidend ist

Relevanz entsteht durch Wirkung

Die Rahmenbedingungen werden volatil bleiben. Permakrise ist kein temporäres Phänomen, sondern die neue Realität. In diesem Umfeld reicht es nicht mehr, Risiken zu kontrollieren. GRC-Teams müssen Wirkung entfalten: Risiken schneller erkennen, besser verstehen und kon­se­quen­ter in Handlungen übersetzen. Denn wenn Risiken unvermeidbar sind, dann entscheidet heute die Fähigkeit, aus ihnen Vorteile zu ziehen, über den Erfolg.

Über den Autor: Richard F. Chambers ist Senior Advisor für Risk und Audit bei Optro (ehemals AuditBoard) und war zuvor Präsident und CEO des Institute of Internal Auditors. Er zählt zu den international führenden Experten für Governance, Risk und Compliance und berät Un­ter­neh­men weltweit bei der strategischen Weiterentwicklung ihrer Risikofunktionen.

(ID:50920429)