Governance, Risk und Compliance

Ohne IT keine Compliance

Die Einsicht, dass Governance, Risk und Compliance auch eine starke und moderne IT-Unterstützung beinhalten, setzt sich erst langsam durch. Doch die Investitionen nehmen zu.

von Werner Kurzlechner, am 30. Juni 2010

GRC steht als Kürzel für Governance, Risk Management und Compliance. Gemeint sein können Business-Aufgaben wie das Management von geschäftlichen Risiken oder aber auch IT-Fragen wie etwa das Erkennen von Sicherheitsrisiken. Eine einheitliche Definition dieser Begriffe findet sich daher ebenso wenig wie es für die praktische Umsetzung standardisierte Vorgaben gibt.

Eine erste goldene Regel für Unternehmen lautet daher: Genau überlegen, was GRC in der eigenen Firma heißen muss und welche Instrumente für einen effizienten Betrieb wirklich nötig sind. Diese eigene Definition gilt es, gegenüber Anbietern und Beratern durchzusetzen, damit alle Beteiligten die gleiche Sprache sprechen.

Business Intelligence-Tools immer wichtiger

GRC erfordert einen ganzheitlichen Ansatz bei der Umsetzung, der Business- und IT-Anforderungen gleichermaßen berücksichtig, raten die Analysten von Forrester. Die steigenden Anforderungen im Risk-Management und in punkto Compliance auf Business-Seite sind ohne eine ausgeprägte IT-Unterstützung nicht mehr zu bewältigen. Erst durch den IT-Einsatz könne ein hohes Niveau an Performance, Integration, Datenmanagement und Benutzerfreundlichkeit erreicht werden.

Innerhalb des IT-Arsenals spielen laut Forrester im GRC-Umfeld insbesondere Business Intelligence- und Analyse-Tools eine maßgebliche Rolle. "Die Unternehmen suchen mittlerweile nach Systemen, die auf Daten von verschiedenen Business-Anwendungen zugreifen", berichtet Analyst Chris McClean. Auf diese Weise versuchen sie beispielsweise, Kreditdaten nachzuverfolgen, Betrugsmuster aufzudecken und andere Quervergleiche von Risikodaten anzustellen.

Technische und operationale Risiken gemeinsam betrachten

Die Analysten von KuppingerCole teilen diese Einschätzung. "Automatisierte Kontrollen für Geschäftsrisiken sind ja am Ende des Tages immer eine Sache der IT, und beide Welten wachsen immer weiter zusammen", heißt es in einer Trendanalyse des Düsseldorfer Unternehmens. Die gemeinsame Betrachtung von technischen IT-Risiken und operationalen Risikoszenarien sei einer der wichtigsten GRC-Trends und entwickle sich zu einem bestimmenden Wettbewerbsfaktor auf Anbieterseite. Bei den Anwenderunternehmen sei allerdings eine ganzheitliche GRC-Strategie bislang nur in Ansätzen zu finden (das Risiko Management ist beispielsweise oft nur rudimentär entwickelt). Aber es gibt an einigen Stellen Fortschritte.