eGRC – das moderne Panopticon der Sicherheitsarchitektur? Vom GRC-Modell zur eGRC-Lösung

Anbieter zum Thema

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Sobald Unternehmen eine gewisse Größe erreicht haben und/oder sich international engagieren, steigt die Komplexität in den Bereichen Unternehmensführung, Risikomanagement und Compliance überproportional an.

Im Rahmen des GRC-Ansatzes (Governance, Risk & Compliance) werden diese Ebenen und deren Interaktionen holistisch betrachtet und umfassend berücksichtigt, Planung, Umsetzung und Weiterentwicklung standardisiert sowie Verantwortlichkeiten klar geregelt. Angesichts fortschreitender Digitalisierung und der Zunahme globaler Risiken z.B. aufgrund von Pandemien (Covid-19), kriegerischer Auseinandersetzungen (Ukraine, Nahost) und resultierenden wirtschaftlichen Folgen (Inflation, Lieferschwierigkeiten, Energie-Verknappung) wächst der Markt für embeddedGRC-Lösungen (eGRC) stark an – und stellt Unternehmensverantwortliche vor die Frage, welche Kriterien und Vorgehensweisen sich für die Einführung eines passenden eGRC-Systems eignen.

Laut einer aktuellen 360iResearch-Studie weist der internationale eGRC-Markt bis zum Jahre 2030 ein Wachstumspotential von durchschnittlich fast 12 Prozent pro Jahr auf. Gleichzeitig waren nach einer 2020er-Pressemeldung von Destatis bereits vor drei Jahren mehr als 60 Prozent der knapp 64.000 deutschen Firmen mit über 50 Beschäftigten Teil einer globalen Wertschöpfungskette. Dementsprechend wachsen auch die Diversität der weltweit verteilten Stakeholder sowie deren Anforderungen an. Die kumulativen Auswirkungen überregional relevanter Herausforderungen erhöhen den Druck auf Unternehmens- und Compliance-Verantwortliche, eine integrierte, skalierbare und transparente eGRC-Lösung einzuführen und effektiv zu betreiben. Welche Rahmenbedingungen müssen hierfür geschaffen, welche Prioritäten beachtet, welche Stolperfallen vermieden werden?

Die Schere zwischen Globalisierung und Compliance öffnet sich weiter

Viele CEOs, CTOs und CIOs stehen momentan einerseits den Herausforderungen eines global eng vernetzten, dennoch hochgradig diversifizierten Marktes gegenüber, müssen sich andererseits aber mit stetig verschärfenden Regularien und Compliance-Vorgaben auf unterschiedlichsten Ebenen auseinandersetzen. Dabei nimmt die systemische Sensibilität gegenüber kleinsten Fehlern und Störungen zu – wie auch die Höhe der potentiellen finanziellen und der Image-Schäden für das gesamte Unternehmen.

Vom theoretischen GRC-Modell zur praktisch einsetzbaren eGRC-Lösung

Das um 2010 erstmalig vollständig validierte GRC-Modell betrachtet die Felder Unternehmensführung, Risikomanagement und Compliance zwar schon aus der dringend notwendigen Meta-Perspektive. Dieses muss aber im Unternehmenseinsatz immer an den jeweiligen Rahmenbedingungen und Stakeholder-Interessen, den international geltenden – und im Einzelfall eventuell gegenläufigen – Vorschriften ausgerichtet, verbindlich und verständlich formuliert sowie in robuste Prozesse und Strukturen gegossen werden. Hohe Priorität genießt dabei die Allgemeingültigkeit sowie ein identischer Status Quo, unabhängig von den regionalen oder lokalen Gegebenheiten.

Diesen Anforderungen lässt sich nur mit einem eGRC-Managementsystem entsprechen, das vollständig digital arbeitet, auf eine gemeinsame Datenbasis zugreift, Medienbrüche konsequent vermeidet, viele Standards und Normen bereits out-of-the-Box unterstützt und sich über standardisierte Schnittstellen einfach und zeitnah mit den aktuellen Compliance-Vorgaben synchronisieren lässt. Auditoren sollten bereits auf einen Blick erkennen, ob alle Anforderungen erfüllt werden und wo sich noch Handlungsbedarf ergibt.

Das eGRC als Panopticon einer unternehmensweit gültigen Sicherheitsarchitektur

Entspricht das ausgewählte eGRC den aufgeführten Kriterien, funktioniert es im praktischen Einsatz wie der zentrale Beobachtungsturm des Panopticon-Bauprinzips, das mit minimalem Aufwand maximale Sicherheit und höchste Reaktionsfähigkeit ermöglicht. Das Panopticon-Konzept kann auf mehreren Ebenen die Funktionsweise eines eGRC-Managementsystems veranschaulichen. Zentrale Elemente des Panopticons sind Überwachung und Transparenz.

eGRC-Managementsysteme bieten eine umfassende Überwachung und Transparenz über alle unternehmensweiten Governance-, Risiko- und Compliance-Prozesse und unterstützt darüber hinaus Unternehmen dabei, sich in Übereinstimmung mit den regulatorischen Anforderungen zu bewegen, indem es die Einhaltung von Richtlinien und Vorschriften proaktiv fördert. Auch Selbstregulierung und Effizienz sind sowohl für das Panopticon wichtige Faktoren als auch für ein funktionierendes eGRC-Managementsystem. Letzteres befähigte Unternehmen interne Geschäftsprozesse effektiver zu gestalten und fortlaufend zu optimieren, da das Tool jederzeit klare Einblicke in Risiken und Compliancebelange bietet.

Der interdisziplinäre Blick auf das gesamte Unternehmen bei der effizienten Verwaltung von Gorvernance, Risiken und Compliance , führt zur besseren Unternehmensführung und- kontrolle.

Um der Relevanz einer integrativen, unternehmensweiten und transparenten Unterstützung aller eGRC-Aspekte gerecht zu werden und diese auch im Bewusstsein aller Mitarbeitenden zu verankern, gelten insbesondere das Risikomanagement und die abgeleiteten Anschluss-Themen als ausgewiesene Chefsache. Nichtsdestotrotz muss das eGRC-Thema zwar von der Geschäftsführung im Auge behalten, dessen Umsetzung und Anpassung aber an Verantwortliche delegiert werden. Nur regelmäßige Schulungen und Auffrischungen können den Risikofaktor Nummer eins – den Human Error – dauerhaft im Zaun halten.

Moderne eGRC-Systeme öffnen sich auch deshalb immer mehr dem Einsatz von Künstlicher Intelligenz, um einerseits Beschäftigte bei der Erledigung von Standard- und Routine-Aufgaben zu entlasten, andererseits aber auch auf Basis verfügbarer Daten und Prozesse mögliche Risiken schnell zu antizipieren. Perspektivisch wird die Komplexität der Thematik weiter zunehmen, dementsprechend führt an der Einbindung von KI kein Weg vorbei.

Über den Autor: Thomas Neuwert ist Gründer von GORISCON und Geschäftsführer von neto consulting.

(ID:49853529)