Die drei Teile
- Governance: wer entscheidet, wer Rechenschaft ablegt, und die Richtlinien, die die Vorgaben der Leitung in Regeln übersetzen.
- Risikomanagement: finden, was dem Unternehmen schaden könnte, es bewerten und entscheiden, was zu tun ist.
- Compliance: wissen, welche Gesetze, Normen und Verträge gelten, sie erfüllen und das nachweisen können.
Warum sie zusammengehören
Getrennt behandelt erzeugen die drei doppelte Arbeit: Dieselbe Kontrolle wird für drei Audits dreimal dokumentiert, und Risiken werden von Menschen überprüft, die die Richtlinien nie sehen.
Gemeinsam behandelt erfüllt ein einziger Satz von Kontrollen mehrere Pflichten. Ein Risiko begründet eine Kontrolle, eine Richtlinie verlangt sie, und derselbe Nachweis dient jedem Audit.
Wo man beginnt
- Den Anwendungsbereich festlegen: welche Tätigkeiten, Standorte und Systeme betroffen sind.
- Ihre Pflichten auflisten: Gesetze, Normen, Kundenverträge.
- Ihre Risiken beurteilen und in einem Risikoregister festhalten.
- Die Richtlinien schreiben, die Ihre Pflichten und Risiken verlangen, und sie genehmigen lassen.
- Eine Gap-Analyse durchführen, um zu sehen, was fehlt, und dann die Arbeit mit Verantwortlichen und Terminen planen.
- Regelmäßig überprüfen: Risiken, Kontrollen und Dokumente altern alle.
Wer für GRC verantwortlich ist
Die Leitung bleibt verantwortlich. Die tägliche Arbeit liegt meist bei einer Sicherheits-, Compliance- oder Qualitätsverantwortlichen Person, und jedes Risiko und jede Kontrolle hat einen benannten Verantwortlichen im Fachbereich. Regelwerke wie NIS2 und DORA machen die Leitungsorgane inzwischen ausdrücklich verantwortlich.
Fragen
- Wofür steht GRC?
- Für Governance, Risiko und Compliance: wie ein Unternehmen sich steuert, seine Risiken managt und seine Pflichten erfüllt.
- Ist GRC nur etwas für große Unternehmen?
- Nein. Kleine Unternehmen erhalten dieselben Kundenfragebögen und unterliegen vielen derselben Gesetze. Sie brauchen weniger Dokumente und einfachere Prozesse, aber nicht keine.
- Was unterscheidet GRC von einem ISMS?
- GRC ist die gesamte Disziplin. Ein Informationssicherheits-Managementsystem (ISMS) wendet sie auf die Informationssicherheit an, wie in ISO/IEC 27001 festgelegt.