Governance, Risiko und Compliance (GRC) ‑ effektives Management durch Prozessoptimierung und Automatisierung

WHITE PAPER Governance, Risiko und Compliance (GRC) – effektives Management durch Prozessoptimierung und Automatisierung Wie Sie mit minimalem Risiko und maximaler Effizienz frühzeitig die Kontrolle über Ihre regulatorische Compliance erlangen WHITE PAPER Executive Summary Unternehmen jeder Branche und jeder Größe kämpfen mit Regulierungen: Sie müssen alle Vorschriften einhalten, Risiken kontrollieren und potenzielle Strafen für die Nichteinhaltung vermeiden. Die dauerhafte Einhaltung der regulatorischen Vorgaben und der Nachweis der Einhaltung – Compliance oder Regelüberwachung genannt – erfordern personelle und finanzielle Ressourcen, die Management und Eigentümer meist lieber in das Unternehmenswachstum investieren würden. Die Vielzahl an Verfahren, Aufgaben und Verhaltensweisen, die mit der Compliance verbunden sind, stellen sich oft als schier unüberwindliches Hindernis dar. Aber Unternehmen, die diese komplexe Aufgabe meistern, und das auch nachweisen, arbeiten effizienter, sind wettbewerbsfähiger und stärken ihre Marken und ihren Ruf am Markt. Als Hilfsmittel stehen heute glücklicherweise Softwareplattformen zur Verfügung, die unter dem Namen GRC-Technologien (Governance, Risiko und Compliance) bekannt sind. Im Folgenden werden die Gründe der zunehmenden Beliebtheit der GRC-IT und die Elemente eines effektiven automatisierten GRC-Systems beschrieben. Darüber hinaus wird eine Möglichkeit präsentiert, die GRC-Automatisierung mit minimalem Risiko und maximaler Effizienz einzuführen. WHITE PAPER Inhalt Governance, Risiko und Compliance – eine Einführung 1 Die Risiken mangelhafter Compliance-Managementsysteme 1 Kein Ausweg: Insellösungen 2 GRC - die Herausforderungen 3 GRC in Griffweite 4 Alte Werkzeuge und Denkschulen genügen nicht mehr 5 Unternehmensanwendungen als GRC-Motoren 5 Bessere Steuerung und Kontrolle mit einer integrierten Lösung 6 Besseres Finanzberichtswesen 6 Finanzielle Transparenz – Budgets, Pläne und Prognosen 6 Transparenz der Lieferkette 7 Besseres Kostenmanagement 7 Rechtzeitiges Erkennen von Veränderungen 7 Elemente einer effektiven GRC- Softwarelösung 8 Die Vorteile einer effektiven GRC-Automatisierung 10 Fazit 11 Über Epicor 11 Über Polivec 12 Governance, Risiko und Compliance (GRC) – effektives Management durch Prozessoptimierung und Automatisierung  i   WHITE PAPER Governance, Risiko und Compliance – eine Einführung Einzeln betrachtet hat jeder dieser Begriffe verschiedene Bedeutungen. Zusammengenommen bezeichnen sie heute jedoch Technologien und Beratungsleistungen, die allgemein unter der Abkürzung GRC firmieren. Laut CFO Magazine stammt das Konzept GRC von Software-Anbietern, die IT-Lösungen für die Einhaltung der Bestimmungen unter Section 404 des Sarbanes-Oxley Act (SOX) entwickelten. GRC im heutigen Sinne entstand dann, als die Unternehmen erkannten, dass sie ihre SOX-Anwendungen zu komplexeren und umfassenderen Produkten erweitern können, die die beiden Bereiche abdecken, die am stärksten von SOX betroffen waren: Corporate Governance und Risikomanagement.1 Im CFO Magazine heißt es weiter, dass GRC-Software „im Kern ein Verfolgungssystem bleibt, das Daten zu verschiedenen Compliance-Anforderungen erfasst, wie sie sich auf ein bestimmtes Unternehmen auswirken, und das aufzeichnet, wie das Unternehmen diese Anforderungen erfüllt (oder nicht erfüllt).“ Diese klare Definition einer GRC-Software bietet eine gute Ausgangsbasis, um das Potenzial einer solchen Software und deren Auswirkungen aus den unterschiedlichsten Perspektiven zu betrachten. Man muss dabei jedoch immer im Auge behalten, dass GRC mehr ist als ein optimierter und digitalisierter Satz von Regeln. GRC ist in erster Linie eine Frage des Verhaltens. Eine erfolgreiche GRC-Plattform ist ein leistungsfähiges Tool, das es einem Unternehmen ermöglicht, innerhalb und im Sinne dieser Regeln zu operieren. Die Verhaltensweisen und Prozesse, die eine erfolgreiche GRC-Plattform katalogisiert und verfolgt, werden Teil der Unternehmenskultur und der Arbeitsethik der Belegschaft. Die Risiken mangelhafter Compliance-Managementsysteme GRC betrifft auf die eine oder andere Weise jeden Mitarbeiter und jede Funktion innerhalb eines Unternehmens. Ob GRC eine finanziell inakzeptable Belastung eines Unternehmens wird oder ein Effizienz- und Erfolgsmotor, hängt in erster Linie davon, wie sich der Prozess in der tagtäglichen Arbeit der Belegschaft darstellt – als Potenzial oder als Hindernis. Für die meisten Unternehmen gilt offensichtlich noch das Letztere. Im 2007 GRC Strategy Survey der Open Compliance and Ethics Group (OCEG) sagten 65 Prozent der Befragten, fragmentierte GRC schaffe schwerwiegende Probleme, in erster Linie durch Doppelarbeit, redundante Lösungen, zusätzliche Kosten und höheres Risiko.2 Die OCEG-Umfrage bestätigt aktuelle Forschungsergebnisse von Branchenanalysten, denen zufolge Fragmentierung der wesentliche Motor für die GRC-Automatisierung ist. Unternehmen, die in der Vergangenheit die Verantwortung für das Compliance- Management über verschiedene Abteilungen verteilt haben, berichten fast immer von Doppelarbeit und uneinheitlichen und widersprüchlichen Systemen, Verfahren, Standards und Informationssilos, in denen Ressourcen auf Nimmerwiedersehen verschwinden und die darüber hinaus das Risiko noch erhöhen, weil sie selbst nicht die Anforderungen erfüllen. Das bedeutet allerdings nicht, dass der Belegschaft GCR par ordre de mufti aufgezwungen werden soll. Von oben wird GRC lediglich gemanagt. Die Ausführung erfolgt in den einzelnen Abteilungen, wobei die Mitarbeiter wissen und verstehen müssen, was zu tun ist und dies dann auch tun. Kurz: Die Rechenschaftspflicht für Compliance verbleibt sozusagen an der Front, und alle die, die dort sind, müssen wissen, warum das, was von ihnen verlangt wird, eine Frage der Compliance ist. 1 One for Three: Should governance, risk management, and compliance be tackled as one problem, or is this a classic case of scope creep?, CFO, September 2007 2 OCEG Pressemitteilung Survey Reveals Fragmented Governance, Risk, and Compliance Efforts Can Thwart Companies From Achieving Business Goals, September 2007. WHITE PAPER Die Barrieren Die wahren Kosten der Compliance sind über Modelle nur schwer zu schätzen, da die Compliance so vielen Variablen unterliegt, die sich darüber hinaus tendenziell schnell verändern. Ein Beispiel: Die Kosten, die der US-Wirtschaft im Jahre 2006 allein für die Einhaltung nationaler Vorschriften entstanden, lagen einer Schätzung zufolge bei 1,14 Mrd. USD. Die Anzahl der Vorschriften und der Änderungen dieser Vorschriften wird oft als eine Größe zur Messung der Compliance- Belastung herangezogen.