GRC-System einführen: Praxisbericht aus dem Mittelstand / 2 Anforderungen

An einem Prozess zum Aufbau von GRC-Systemen sind immer unterschiedliche Gruppen mit unterschiedlichen Anforderungen beteiligt. Die große Aufgabe in diesem Projekt besteht darin, die Anforderungen der Gesellschafter mit denen des Unternehmens in Übereinstimmung zu bringen. Darüber hinaus muss die Prüfbarkeit durch Wirtschaftsprüfer gegeben sein.

Abb. 1: Spannungsfeld der Anforderungen

2.1 Anforderungen der Gesellschafter

Die deutschen Gesellschafter sind bezüglich Governance und Compliance wenig aktiv. Auch im Risikomanagement verlassen sie sich auf die Forderungen des britischen Gesellschafters, der den Mindeststandard sichert:

• Die Anforderungen von UK-Compliance müssen mindestens erfüllt werden.
• Ein besonderes Gewicht hat der Bereich Anti-Bribery and Corruption (ABC).
• Darüber hinaus sind Konzernvorgaben zu erfüllen, die im Wesentlichen auf negativen Erfahrungen in der Vergangenheit beruhen.
• Das GRC-System muss vom Wirtschaftsprüfer testiert werden können.

2.2 Anforderungen des Unternehmens

Das Management des Unternehmens hat bereits in der Vergangenheit alles getan, was zum Schutz und zur Sicherheit notwendig war. Der Aufwand muss dabei so gering wie möglich bleiben. Die Anforderungen des Unternehmens an ein GRC-System sind daher weniger inhaltlich definiert.

• Die durch das GRC-System geschaffenen Regelungen müssen praktikabel sein. Sie dürfen die Abläufe nur geringfügig verändern oder belasten.
• Der Aufwand für die neuen Abläufe und Strukturen muss sich in einer Wirtschaftlichkeitsprüfung als gerechtfertigt erweisen.
• Wenn es schon zusätzliche Regelungen und Aufgaben gibt, dann sind diese so zu gestalten, dass das Unternehmen möglichst viel eigenen Nutzen daraus ziehen kann.

Praxis-Beispiel

Zusatznutzen Produktentwicklung

Im Risikomanagement spielt die Marktbeobachtung eine wichtige Rolle. Marktentwicklungen, z. B. zu alternativen Lösungsanbietern, müssen frühzeitig erkannt und berücksichtigt werden. Die Marktbeobachtung kann dabei global auf Kundenebene oder detailliert auf der Produktebene erfolgen. Im letzten Fall kann das Unternehmen die Ergebnisse der Beobachtung auch in die eigene Produktentwicklung einfließen lassen. Die Informationsstrukturen haben also neben der Risikoerkennung den Zusatznutzen einer optimierten Produktentwicklung.

2.3 Anforderungen der Wirtschaftsprüfer

Ein GRC-System muss bewährten Vorgaben und Regeln entsprechen. Um die für das Management notwendige Sicherheit zu erreichen, muss die Befolgung dieser allgemeingültigen Strukturen nachgewiesen werden. Damit die externen Auditoren zufrieden sind, müssen deren Anforderungen erfüllt werden.

• Die Abläufe und Strukturen im GRC-System müssen dokumentiert sein. Nur so können sie auch geprüft werden.
• Die Entscheidungen aufgrund der neuen und angepassten Aufgaben müssen dokumentiert sein, damit die Umsetzung auch nachgewiesen wird.
• Die Ergebnisse der Maßnahmen im GRC-System müssen festgehalten und geprüft werden.
• Die Flexibilität und die Anpassungsfähigkeit des Systems muss nachgewiesen werden.