Governance Risk & Compliance

Governance, Risk & Compliance (kurz: GRC) fasst die drei wichtigsten Handlungsebenen eines Unternehmens für dessen erfolgreiche Führung zusammen:

1. Governance (Führung): Die Unternehmensführung durch vordefinierte Richtlinien. Dazu zählt die Festlegung von Unternehmenszielen, die darauf angewandte Methodik zur Umsetzung und die Planung der notwendigen Ressourcen für das Erreichen der Ziele.

2. Risk (Risiko-Management): Der Umgang mit bekannten und unbekannte Risiken durch vordefinierte Risikoanalysen und deren Management. Ein wichtiger Faktor dabei ist das frühzeitige Auseinandersetzen mit Risiken, der Bereitstellung von Strategien zur Risikominimierung und dem Vorbereiten von Schadensfallpuffern bei Risikoeintritt.

3. Compliance (Einhaltung von Regeln): Das Einhalten interner wie externer Normen für die Bereitstellung und die Verarbeitung von Informationen. Diese beinhaltet unter anderem Vorgaben aus Normierungsbestrebungen und die Zugriffsreglementierung für die Daten sowie die gesetzlichen Rahmenbedingungen für deren Verwendung.

Governance, Risk and Compliance meint, anders als die Begrifflichkeit Security, nicht den Schutz von Informationen, sondern den Umgang mit schützenswerten Informationen.

Die anglikanische Schreibweise hat sich im Sprachgebrauch etabliert, so dass auf eine deutsche Übersetzung der Begriffe verzichtet wird.

Heutige Management-Umgebungen müssen sich mit einer hochgradig komplexen Verteilung von Beziehungsebenen befassen: Überregionale und multinationale Geschäftsbeziehungen, gesetzliche und gesellschaftliche Regeln, Unternehmensabteilungen und deren Ziele und Vorgaben sowie Umsetzung, Kontrolle und Einhaltung von Prozessen. In jedem Vorgang innerhalb des Unternehmens treten die verschiedensten Ausprägungen dieser Einflüsse miteinander in Beziehungen und haben individuelle Anforderungen.

Beispiel: Bei einem Vorgang innerhalb eines Unternehmens kollidiert die SOX-Konformität mit nationalen Datenschutzbestimmungen beim Audit von Personalbestands- und Gehaltsdaten.

Dieses Beispiel ist eines von sehr vielen Vorgängen innerhalb eines Unternehmens und bringt eine Vielzahl von Ressourcen, Regeln und Risiken miteinander in Verbindung. Das GRC-Modell erhebt den Anspruch, über diese Vielzahl von Verflechtungen der unterschiedlichen Vorgänge ein Rahmengerüst zur Erleichterung der Organisation einzubringen. Dabei sind Lösungen dieser Art in der Regel IT-lastig und versuchen, über rechnergesteuerte Tools die Berücksichtigung vieler, im Idealfall aller oben genannter Abhängigkeiten zu berücksichtigen. Dabei bieten viele Hersteller Komponenten an, die GRC unterstützen (Identity Management, Risk-Management, Workflow-Engines, ERP-Systeme usw) und die ersten Anbieter stellen bereits ganzheitliche Lösungen zu GRC-Architekturen vor. Wichtigste Forderungen hierbei sind standardisierte Business-Objekte, automatisierte Abläufe und deren Einbettung in bestehende und kommende Geschäftsprozesse.

Literatur

• SecurIntegration GmbH (Hrsg.): GRC in SAP-Umgebungen. Mitp-Verlag, 2008, ISBN 978-3826659546.