Governance, Risk & Compliance — integriertes Risikomanagement im ISMS-Kontext.

Was bedeutet GRC und warum gehören die drei zusammen?

GRC ist die Abkürzung für Governance, Risk und Compliance — drei eng verwandte, aber häufig getrennt betriebene Disziplinen der Unternehmenssteuerung:

• Governance beschreibt die übergeordnete Steuerung des Unternehmens — Rollen, Verantwortlichkeiten, Entscheidungsprozesse, Berichts-Strukturen. Wer entscheidet was, auf welcher Grundlage, gegenüber wem rechenschaftspflichtig?
• Risk umfasst das systematische Risikomanagement — Identifikation, Bewertung und Behandlung von Risiken aller Art (operativ, finanziell, regulatorisch, reputativ).
• Compliance meint die Einhaltung externer und interner Vorgaben — Gesetze, Normen, Verträge, eigene Richtlinien.

In gut geführten Unternehmen sind diese drei Disziplinen nicht getrennt, sondern miteinander verzahnt: Die Governance gibt die Spielregeln vor, das Risikomanagement bewertet die Folgen einer Regelverletzung, die Compliance setzt die Spielregeln operativ um. Wenn das funktioniert, gibt es eine Quelle der Wahrheit, einheitliche Bewertungslogik und konsistente Steuerung.

ISO 31000 als methodische Grundlage

ISO 31000 ist die internationale Norm für Risikomanagement. Sie ist nicht zertifizierbar, gilt aber als methodischer Goldstandard und bildet die Grundlage vieler branchenspezifischer Standards. ISO 31000 definiert acht Grundprinzipien guter Risiko-Steuerung:

1. Integration in Geschäftsprozesse, nicht als Parallel-Welt
2. Strukturierter und ganzheitlicher Ansatz
3. Anpassung an Unternehmenskontext
4. Einbeziehung aller relevanten Stakeholder
5. Dynamische und iterative Vorgehensweise
6. Verwendung verfügbarer Informationen
7. Berücksichtigung menschlicher und kultureller Faktoren
8. Kontinuierliche Verbesserung

Für ein integriertes GRC-System ist ISO 31000 die ideale methodische Klammer. Sie ist kompatibel mit ISO 27001 (Informationssicherheit), ISO 9001 (Qualität), ISO 22301 (BCM) und vielen weiteren Standards — Risiken werden nach derselben Logik bewertet, unabhängig davon, in welcher Disziplin sie ursprünglich identifiziert wurden.

Das Silo-Problem: warum getrennte Systeme scheitern

In der Praxis entwickeln sich Governance, Risiko-Management und Compliance häufig parallel und getrennt — jede Disziplin hat ihr eigenes Tool, ihre eigene Bewertungslogik, ihre eigenen Berichte. Das führt zu mehreren Problemen:

• Doppelarbeit. Dasselbe Risiko wird in mehreren Systemen erfasst — einmal als Compliance-Lücke, einmal als operatives Risiko, einmal als Governance-Mangel. Mit jeweils unterschiedlichen Bewertungen.
• Widersprüchliche Steuerung. Das eine System priorisiert eine Maßnahme, das andere eine andere — die Geschäftsleitung muss Konflikte auflösen, statt zu entscheiden.
• Audit-Aufwand. Jedes Audit erfordert eigene Vorbereitung, jede Prüfung andere Nachweise. Die Belastung wächst linear mit der Anzahl der Compliance-Themen.
• Lücken zwischen den Silos. Risiken, die nicht klar in eine Disziplin fallen, landen nirgends — oder mehrfach. Beides ist schädlich.

Ein integriertes GRC-System löst diese Probleme nicht über bessere Tools, sondern über eine gemeinsame Architektur. Die einzelnen Disziplinen behalten ihre Spezialität, teilen aber Risiko-Inventar, Bewertungslogik und Reporting-Strukturen.

Das Drei-Linien-Modell der Verteidigung

Das Drei-Linien-Modell ist ein etablierter Rahmen für die Verteilung von Risiko- und Kontroll-Verantwortung in Unternehmen. Es wurde ursprünglich von der internen Revision entwickelt und wird heute branchenübergreifend verwendet:

1. Erste Linie — operative Verantwortung. Die Geschäftsbereiche, die ein Risiko erzeugen, sind auch für seine Steuerung verantwortlich. IT-Abteilung verantwortet IT-Risiken, Einkauf verantwortet Lieferanten-Risiken, Personalabteilung verantwortet HR-Risiken.
2. Zweite Linie — Risiko- und Compliance-Funktionen. Spezialisierte Funktionen (Datenschutz, Informationssicherheit, Compliance, Risk Management) unterstützen die erste Linie methodisch und überwachen sie. Sie sind die Spezialisten, die Risiko-Kategorien tief verstehen.
3. Dritte Linie — interne Revision. Unabhängige Prüfung der ersten und zweiten Linie. Bewertet, ob die Risiko-Steuerung insgesamt funktioniert. Berichtet direkt an Aufsichtsrat oder Geschäftsführung.

Im Mittelstand sind die Linien oft personell überlagert — eine Person übernimmt mehrere Rollen. Das ist unkritisch, solange die Rollen-Trennung methodisch klar bleibt. Was nicht funktioniert: Die zweite Linie selbst operativ entscheiden zu lassen oder die dritte Linie an die zweite zu hängen.

Wie ein integriertes GRC-System aufgebaut wird

Der Aufbau eines integrierten GRC-Systems folgt einer klaren Logik. In der Reihenfolge:

1. Bestandsaufnahme der bestehenden Disziplinen. Welche Risikomanagement-Strukturen, Compliance-Themen und Governance-Regelungen gibt es bereits? Wo liegen die größten Überschneidungen und Lücken?
2. Gemeinsames Risiko-Inventar. Eine einheitliche Datenbasis für alle Risiken — unabhängig davon, in welcher Disziplin sie identifiziert wurden. Mit einheitlicher Bewertungslogik (Eintrittswahrscheinlichkeit × Schadenshöhe) und klaren Verantwortlichkeiten.
3. Verzahnte Reporting-Strukturen. Statt einzelne Compliance-Berichte ein konsolidiertes GRC-Reporting an die Geschäftsführung. Mit Status-Übersichten, Risiko-Heatmaps und Maßnahmen-Trackings.
4. Klare Rollen und Verantwortlichkeiten. Anwendung des Drei-Linien-Modells auf die konkrete Organisation, mit dokumentierten Schnittstellen zwischen den Linien.
5. Audit-fähige Dokumentation. Eine Dokumentationslogik, die für mehrere Audits gleichzeitig taugt — ISO 27001, NIS-2, Datenschutz, sektorspezifische Aufsicht.

Wichtig: Ein integriertes GRC-System ersetzt nicht die einzelnen Fach-Disziplinen. Datenschutz bleibt Datenschutz, Informationssicherheit bleibt Informationssicherheit. Was sich ändert, ist die Klammer drumherum — und damit der Aufwand und die Steuerungsqualität.

Reifegrad-Bewertung der eigenen GRC-Praxis

Wie reif eine GRC-Praxis ist, lässt sich mit einer fünfstufigen Skala bewerten:

1. Initial: Themen werden reaktiv bearbeitet, keine strukturierte Vorgehensweise.
2. Wiederholbar: Erste Strukturen vorhanden, aber inkonsistent angewendet.
3. Definiert: Prozesse sind dokumentiert und werden konsistent gelebt.
4. Gemessen: Effektivität wird systematisch erfasst und steuert die Verbesserung.
5. Optimierend: Kontinuierliche Verbesserung anhand quantitativer Daten.

Im typischen Mittelstand liegt die Reife in einzelnen Disziplinen häufig zwischen Stufe 2 und 3 — die Integration über die Disziplinen hinweg meist auf Stufe 1 oder 2. Das ist der größte Hebel für Verbesserung: nicht die einzelnen Säulen weiter ausbauen, sondern die Verbindungen zwischen ihnen schaffen.