GRC-System einführen: Praxisbericht aus dem Mittelstand / 3.5 Schritt 5: Analyse

Auf die Istaufnahme erfolgt der Vergleich der Istsituation mit dem gewünschten Sollzustand, also den Forderungen der Gesellschafter, bei dem die Abweichungen analysiert werden. Bei der Beurteilung der vorhandenen Regelungen und Abläufe können drei Zustände unterschieden werden.

• Zustand Grün: Die Forderung wird exakt so, wie sie gestellt wird, erfüllt. Das ist z. B. der Fall, wenn für jede Banktransaktion zwei Unterschriften gefordert werden und alle Bankvollmachten auf zwei Unterschriften eingestellt sind. In diesen Fällen müssen keine Änderungen vorgenommen werden, der Zustand wird dokumentiert. Von den 517 Forderungen können 263 Punkte (51 %) als exakt umgesetzt gekennzeichnet werden.
• Zustand Gelb: Die Forderung wird nicht ganz oder nicht auf dem vorgegebenen Weg erfüllt. Beispiele für diese Situation sind hier die Prüfung der manuellen Buchungen, die nicht in Abhängigkeit vom Wert, sondern per Zufallsauswahl durchgeführt wird. Diese Alternative führt zu einem ähnlichen Ergebnis wie die ursprüngliche Anforderung. Eine gelbe Bewertung erhalten 233 Punkte (45 %) aus dem Anforderungskatalog.
• Zustand Rot: Die Forderung wird nicht erfüllt. Da es z. B. nur einen Personalsachbearbeiter im Unternehmen gibt, der nur durch eine Aushilfe vertreten wird, ist der Wechsel zwischen Personalgruppen nicht möglich. Die Forderung kann daher nicht erfüllt werden. Damit der Punkt rot wird, muss noch eine gewisse Signifikanz hinzukommen. Das ist in dieser Prüfung immer gegeben, wenn Finanzströme betroffen sind, wie bei den Personalzahlungen. Andere nicht erfüllt Punkte mit geringem Risiko (z. B. Zugang zu bestimmten Bereiche nur mit Chipkarte) führen lediglich zu der Einordung als gelber Zustand. Rot sind an dieser Stelle des Projektes immerhin noch 21 Positionen (4 %).

Für die weitere Bearbeitung der Abweichungen werden die Gründe festgestellt. Neben der Tatsache, dass das Risiko bisher nicht gesehen wurde, haben gelbe und rote Zustände oft folgende Ursachen:

• eine andere Situation: Die Unternehmensgröße unterscheidet sich, Abläufe sind anders, Kundenanforderungen und technische Anforderungen sind verschieden von der Situation, die zu der Anforderung geführt hat.
• zu hohe Kosten: Viele Anforderungen könnten erfüllt werden, wenn der entsprechende Aufwand akzeptiert wird.
• andere Risiken: Entgegen den Annahmen des Gesellschafters sind die Risiken geringer oder nicht vorhanden. So führt z. B. die automatische Verbuchung der Lohnzahlungen in der Buchhaltung dazu, dass eine Kontrolle der korrekten Verbuchung zur Vermeidung von Manipulationen in der Buchhaltung nicht notwendig ist.
• fehlende Dokumentation: Viele der Forderungen werden erfüllt. Dies kann aber aufgrund fehlender Dokumentation nicht nachgewiesen werden. Dadurch könnten viele gelbe Punkte als grün eingestufte werden.