Auswahl von
GRC Software für Integrierte Managementsysteme

Das Silo-Problem: Wenn Insellösungen zu Existenzbedrohungen werden

Zu viele Unternehmen betrachten die unterschiedlichen Managementsysteme als „Silos“ und verwenden unterschiedlichste Vorgehensweisen. Diese organisatorische Fragmentierung führt zu:

• Redundanten Risikobewertungen mit widersprüchlichen Ergebnissen zwischen Risikomanagement, Compliance Risikoanalyse, IKS, ISMS und BCM
• Manuellen Excel-Kaskaden, die bei der ersten größeren Krise zusammenbrechen
• Informationsüberflutung ohne Kontext, da jede Abteilung ihre eigenen KPIs und Berichte produziert – eigentlich aber gar nicht verantwortlich ist sondern „nur berichtet“

Die Konsequenz ist eine Überforderung der Organisation durch manuelle, nicht-integrierte Prozesse. Organisationen verlieren die Fähigkeit, sowohl „den Baum“ als individuelles Risiko als auch „den Wald“ im Sinne einer Vernetzung von Risiken zu sehen.

 (siehe auch:  Die Pflicht zur ganzheitlichen Unternehmensführung – RiskNET)

Komplexe Workflows: Die organisationsübergreifende Herausforderung

Abteilungsübergreifende Abhängigkeiten verstehen

Moderne Geschäftsprozesse sind hochgradig vernetzt und überschreiten traditionelle Organisationsgrenzen. Ein typisches Beispiel aus der Praxis:

• Einkauf bewertet Lieferantenrisiken nach CSRD -Kriterien oder dem (bereits fast schon wieder abgeschafften LkSG)
• IT-Sicherheit prüft dieselben Lieferanten auf Cyber-Risiken nach NIS2
• Recht überwacht Vertragskonformität und Datenschutz-Compliance
• Controlling konsolidiert Risiko-Reportings für das Management
• Finance führt eigene Due Dilligence Bewertungen durch 
• Revision auditiert alle Prozesse nach verschiedenen Standards

Ohne integrierte Plattform entstehen Medienbrüche, Doppelarbeiten und inkonsistente Bewertungen. Nicht mehr quantifizierbare Aufwände fließen in administrative Tätigkeiten statt in wertschöpfende Risikosteuerung.

Standort- und organisationsübergreifende Komplexität

Internationale Unternehmen stehen vor zusätzlichen Herausforderungen:

• Verschiedene rechtliche Rahmen in unterschiedlichen Jurisdiktionen
• Aufwändige Abstimmungsprozesse zwischen Tochtergesellschaften und Unternehmensgruppe
• Kulturelle Unterschiede im Risikoverständnis und Compliance-Verhalten
• Lokale vs. zentrale Verantwortlichkeiten bei der Umsetzung von Kontrollen

Diese „systemischen Probleme sind miteinander verknüpft und voneinander abhängig“, erfordern also zwingend eine umfassende Sicht auf Themen. Es erfordert Lösungen, die Zentralisierung mittels Templates ermöglichen aber auch die Freiheit von Tochtergesellschaten gewährleisten (Slogan: „Freedom within a framework“).  

Die Grenzen aus GRC Einsatzbereichen sind oft fliessend und während viele Anbieter den Trend zu integrierter Lösung aufgreifen gibt es dennoch Wurzeln und Schwerpunkte. 

Risikomanagement (Enterprise Risk Management, ERM).:

Risikomanagement Software dient der unternehmensweiten Erfassung, Bewertung und Steuerung von Risiken. Sie bieten systematische Prozesse zur Identifikation und Behandlung sämtlicher Unternehmensrisiken. Idealerweise bilden sie eine solide Datenbasis für strategische Entscheidungen. Im deutschen Markt wird hierbei insbesondere die Simulation via MonteCarlo und ValueAtRisk Verfahren Wert gelegt, um Anforderungen des IDW-PS 340 zu erfüllen. 
Als typische Vertreter dieser „Gattung“ lassen sich Calpana (CRISAM) oder Riskonnect anführen.

Compliance Management:

Lösungen, die bei der Steuerung und Dokumentation von Gesetzen, Normen und internen Vorgaben unterstützen. Idealerweise werden relevante Vorschriften überwacht und gemonitored. Dies wird gerne auch über Schnittstellen zu spezialisierten Anbietern realisiert. Ziel ist die auditfeste Dokumentation und Vermeidung von Organisationsversagen über die gesamte Organisation. Beispielhaft lassen sich im deutschen Markt Alyne (heute Teil von Mitratech) oder Navex mit schnittstellen zu Policy Management nennen. 

Audit Management:

Spezialisierte Software Audit Management Software fokussiert sich auf die Planung, Durchführung und Dokumentation von (internen und externen) Audits sowie die Verwaltung von Prüfberichten. Schwerpunkt liegt in der Planung und Überwachung von Audits sowie der Erfassung und Nachverfolgung von Findings. Diligent oder AuditBoard lassen sich als beispielhafte und prominente Vertreter in diesem Bereich aufführen.  

IT-Management:

Für Unternehmen, bei denen IT-Sicherheit und IT-Compliance im Fokus stehen, gibt es Lösungen die Risiko-, Compliance, und Kontrollmanagement speziell für IT Infrastrukturen. Es geht um das Management von IT Sicherheitsrisiken z.b. aufrund regulatorischer Anforderungen wie NIS2 oder zur Umsetzung eines Informationssicherheitsmanagementsystem (ISMS) nach ISO 27001. Hauptvertreter dieser Gattung ist sicherlich ServiceNow – der sich „im Rahmen seiner Möglichkeiten bemüht“ in andere GRC-Bereich auszudehnen.  

Third-Party Risk Management:

Wenn das Risikomanagement von Lieferanten, Dienstleistern und Partnern im Mittelpunkt steht, werden Tools gesucht, die helfen die externe Wertschöpfungskette zuverlässig zu überwachen. Due Dilligence und Monitoring von Geschäftspartnern sind ebenfalls wichtige Aufgaben. Hierzu kommen Lieferanten-Portale und Onboarding Prozesse aber auch die Integration von Informationsprobidern wie LexisNexis oder DowJones zum Einsatz. Beispielhaft lässt sich hier sicherlich Onetrust aufführen.  

ESG Risk Management

Ein stark wachsender Bereich umfasst ESG-Berichterstattung und Nachhaltigkeitsmanagement. Regulatorische Anforderungen wie die CSRD treiben die Nachfrage nach spezialisierten ESG-Lösungen. Während zahlreiche ESG Softwareanbieter lediglich in Teilbereichen (z.B. Carbon Footprint Calculation) unterwegs sind lässt sich sicherlich Workiva als ein Starker Vertreter von ESG-Reporting nennen.  

All-in-One GRC-Plattformen (Integrated GRC):

Der Trend geht eindeutig zu integrierten Plattformen, die verschiedene GRC-Disziplinen auf einer gemeinsamen Datenbasis vereinen. Diese Lösungen durchbrechen traditionelle Silos und ermöglichen ganzheitliche Steuerung. Gute Lösung verbinden GRC mit Performance Management und ermöglichen durch flexible Workflows sowohl zentrale Steuerung als auch lokale Anpassungen. Bei All-in-One Lösungen sind flexibilität und die Möglichkeit der Integration unterschiedlicher Datenquellen und Managementsysteme aus den Bereichen Risiko, Compliance, Unternehmenssteuerung (Performance) und Audit besonders wichtig.   Corporater ist ein Beispiel für solche integrierte Plattformen zur zentralen Steuerung aller GRC-Themen.