GRC - Governance, Risk Management und Compliance

GRC Governance, Risk Management und Compliance Dr. Ulrich Kampffmeyer PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH Hamburg November 2007 GRC Governance, Risk Management und Compliance GRC Governance, Risk Management und Compliance Von Dr. Ulrich Kampffmeyer Geschäftsführer der PROJECT CONSULT Unternehmensberatung GmbH Einleitung Die Compliance- und Risikomanagement-Landschaft unterliegt einem ständigen Wandel: zunehmend mehr Gesetze und Richtlinien – sowohl auf nationaler Ebene als auch länderübergreifend – fordern von Unternehmen Transparenz im Umgang mit Daten sowie die Trennung, Überwachung und Dokumentation von Geschäftsprozessen. Gleichzeitig findet eine Ausweitung der noch für die Papierwelt geschriebenen Gesetze auf die elektronische Welt statt: Die Aufbewahrungs- und Dokumentationspflichten für elektronische Geschäftsunterlagen nehmen zu. Mit dieser Entwicklung geht die Zunahme der Risiken, denen Unternehmen ausgesetzt sind, einher. Unternehmen stehen damit vor der großen Herausforderung, ihr Geschäft in Einklang mit den bestehenden und zukünftigen Regularien zu bringen und ein effektives Risikomanagement zu betreiben. Die Zusammenführung von Governance, Risikomanagement und Compliance, kurz GRC, ist ein wichtiger Schritt in der Bewältigung dieser Herausforderung. GRC - die Buchstaben werden auch gern in anderer Reihenfolge kombiniert – bietet dabei einen ganzheitlichen Ansatz, der das Entstehen von Insellösungen verhindert. Die Führung von Unternehmen, die Einhaltung gesetzlicher Vorschriften und die Bewertung von Risiken gehen dabei zunehmend Hand-in-Hand. Die Abgrenzung der Aufgaben und der unterschiedlichen Auffassungen des Umfanges führen dabei jedoch zu sehr verschiedenen Ansätzen. GRC: Definitionen Um Klarheit in das Verhältnis der drei zugrundeliegenden Akronymbestandteile von GRC zu bringen, ist es erforderlich sie zunächst einzeln zu definieren. Governance Governance für privatwirtschaftliche Unternehmen wird als Corporate Governance bezeichnet. Corporate Governance umfasst die rechtlichen und institutionellen Rahmenbedingungen, auf nationaler und internationaler Ebene, die mittelbar oder unmittelbar Einfluss auf die Führungsentscheidungen eines Unternehmens und somit auf den Unternehmenserfolg haben. Der Ursprung für Corporate Governance liegt bereits in den 30er Jahren, als man sich verstärkt Gedanken über die Rechte der Aktionäre machte. © PROJECT CONSULT GmbH 2008 Seite 2 von 9 GRC Governance, Risk Management und Compliance Corporate Governance ist dabei sehr vielschichtig und umfasst sowohl obligatorische als auch freiwillige Maßnahmen für die verantwortungsvolle Unternehmensführung: Compliance mit Gesetzen und Regelwerken (siehe nächster Abschnitt.), das Befolgen anerkannter Standards und Empfehlungen sowie das Entwickeln und Befolgen eigener Unternehmensleitlinien. Ein weiterer Aspekt der Corporate Governance ist die Entwicklung und Einrichtung von Leitungs- und Kontroll- strukturen. Eine wesentliche Komponente von Corporate Governance ist die IT-Governance, die auf die Transparenz und Beherrschbarkeit der eingesetzten IT- und Kommuni- kationsinfrastruktur zielt. Besonders bei der technischen Unterstützung der Governance-Anforderungen spielt die IT-Governance eine wichtige Rolle. Compliance Compliance umfasst die Gesamtheit aller zumutbaren Maßnahmen, die das regelkonforme Verhalten eines Unternehmens, seiner Organisationsmitglieder und seiner Mitarbeiter im Hinblick auf alle gesetzlichen Ge- und Verbote begründen. Auch wenn es Compliance-Anforderungen schon immer, auch im Ursprungsland des Begriffes - den USA - gab, so haben sie nach den Skandalen um ENRON und WorldCom eine brisante Qualität erhalten: neue, strafbewehrte Anforderungen zur Aufbewahrung geschäftsrelevanter elektronischer Informationen. In der Vergangen- heit gab es schon immer eine Reihe von rechtlichen Anforderungen; so mussten z.B. Finanzbuchhaltungssoftware schon immer Compliance-Standards erfüllen. Mit dem steigendem Aufkommen und der wachsenden Bedeutung von E-Mails und E- Commerce gewann die Notwendigkeit der Dokumentation und elektronischen Archivierung von Geschäftsvorgängen immer mehr Bedeutung. Im Folgenden wird für den Begriff Compliance nachstehende Übertragung ver- wendet: „Übereinstimmung mit und Erfüllung von gesetzlichen und regulativen Vorgaben“ Compliance umfasst sowohl direkte gesetzliche Vorgaben wie auch regulative Branchenvorgaben und interne Richtlinien, die aus der Governance abgeleitet werden. Risiko-Management Die Risiken müssen erhoben, aufbereitet und bewertet werden. Maßnahmen zur Vermeidung der Risiken und zur Einhaltung der relevanten Compliance- Anforderungen sind zu treffen. Dabei obliegt es der Geschäftsführung bzw. dem Vorstand eines Unternehmens, die Verantwortung für den Umfang der Maßnahmen und deren Einhaltung zu übernehmen. Entsprechend Corporate Governance und Unternehmensgesetzen ist dies auch genau die Aufgabe der für die Geschäftstätigkeit verantwortlichen Personen und Gremien. Diese Verantwortung schließt heute bei Aktiengesellschaften auch den Aufsichtsrat ein. Risiko-Management bezieht sich jedoch nicht nur auf die Bewertung von Compliance-Anforderungen, sondern vielmehr auf den planvollen Umgang mit allen Risiken, die ein Unternehmen betreffen. © PROJECT CONSULT GmbH 2008 Seite 3 von 9 GRC Governance, Risk Management und Compliance Wie aus den Definitionen bereits deutlich wird, können die Bereiche Governance, Risiko Management und Compliance nicht losgelöst von einander betrachtet werden: Compliance-Anforderungen beinhalten Verpflichtungen zu Risikomanagement und der Einhaltung von Governance-Richtlinien; Risikomanagement beinhalt die Bewertung von Compliance-Anforderungen; und Corporate Governance umfasst sowohl Compliance als auch Risiko Management. Lange jedoch wurden diese Aufgabenkomplexe als einzelne Säulen aufgefasst und auf verschiedene Bereiche und Rollen verteilt sowie in spezifischen Lösungen umgesetzt. GRC fordert nun die ganzheitliche Betrachtung und Umsetzung der Anforderungen und damit auch eine technische Infrastruktur, die die Implementierung und Überwachung von Prozessen, die Definition und Kontrolle von Risiken, sowie die Dokumentation und Archivierung von Geschäftsvorfällen ermöglicht. GRC: internationale Normen, Standards, Gesetze und Regularien Für GRC kommen auf verschiedenen Ebenen sehr unterschiedliche Gesetze, Richtlinien und Standards zur Geltung. Für die Corporate Governance gelten international die „Principles of Corporate Governance“ der OECD aus dem Jahr 1984, die in 2004 aktualisiert wurden. Auf europäischer Ebene gibt es bisher nur eine lose Organisation. Die Europäische Kommission hat im Jahr 2004 ein European Corporate Governance Forum als Beratungsgremium eingerichtet, ohne jedoch bisher eine verbindliche Richtlinie herauszugeben. So gelten in Europa sehr unterschiedliche Maßstäbe: in einigen Ländern regeln die Corporate Governance Gesetze, in anderen Codes of Best Practice oder Selbstverpflichtungserklärungen. In Deutschland hat das Bundesministerium der Justiz im Jahr 2002 den Corporate-Governance-Kodex veröffentlicht. Dieser hat Auswirkungen auf die Unternahmensgesetze KonTraG und UMAG sowie auf das Handels- und Steuerrecht und auf den Verbraucherschutz. In Österreich gibt es den ÖCGK Österreichischen Corporate Governance Kodex, der im Jahr 2002 veröffentlicht wurde und sich an den internationalen Vorgaben orientiert. In der Schweiz gibt es nur einen freiwilligen Swiss Code of Best Practice aus dem Jahr 2002. Für die IT-Governance kommen immer mehr Verfahrensmodelle und Werkzeuge wie COBIT, ITIL und andere in Gebrauch, die Transparenz und Überprüfbarkeit der ITK- Landschaft im Unternehmen ermöglichen sollen. Verbände wie die ISACA schaffen hier ein international gültiges Rahmenwerk, das einheitliche Kriterien und Vergleich- barkeit umsetzt. Jedoch sind die Aufwände für die Umsetzung nicht zu unter- schätzen. Letztlich geht es auch hier um die Dokumentation von Lösungen und Prozessen. Beim Thema Compliance geht es direkt um die Umsetzung von Anforderungen in Organisation und Technik. Auch hier geht es um Lösungen und Prozesse. Allein die Anzahl der Gesetze und Verordnungen in Deutschland, die Auswirkungen auf die Ausgestaltung von GRC-Lösungen haben, sind schier endlos. Zwei Aspekte sind dabei generell von Bedeutung: zum einen der Rechtscharakter elektronischer Information und zweitens die Nachvollziehbarkeit der Entstehungs-, Nutzungs- und Speicherprozesse der Information. In Deutschland sind BGB und ZPO maßgebliche Gesetze, die sich allgemein mit dem Rechtscharakter von Information beschäftigen. © PROJECT CONSULT GmbH 2008 Seite 4 von 9 GRC Governance, Risk Management und Compliance HGB, AO, GAufZ, GoBS und GDPdU beschäftigen sich dagegen sehr konkret mit den Anforderungen, wie Information bereitgehalten werden muss. Ebenso wie beim Thema E-Mail-Archivierung gibt es hier sehr konkrete Vorgaben, die direkt in technischen Lösungen münden. Grundlage sind aber auch hier Vorgaben der Governance im Unternehmen und Regelwerke, Policies im Englischen, die den Umgang mit Information verbindlich machen. Hier greifen Governance und Compliance direkt ineinander. Führungs-, Organisations- und Technik-Aspekte lassen sich hier nicht mehr trennen. Da immer mehr Information originär elektronisch entsteht und ein Ausdruck in Papier nur eine mögliche Form der Repräsentation des originär elektronischen Inhalts darstellt, muss sich die gesamte Organisation des Unternehmens auf die elektronische Welt einlassen und Informationssysteme bei allen Governance- und Compliance-Fragen berücksichtigen.