Governance Risk Compliance (GRC): klar strukturiert erklärt

Warum GRC als Einheit gedacht wird

GRC ist eher eine Arbeitsweise als ein eigener Fachbereich. Governance, Risikomanagement und Compliance greifen auf dieselben Geschäftsprozesse, Daten und Verantwortlichen zurück. Werden sie getrennt geführt, bewerten Abteilungen dieselben Abläufe mehrfach, pflegen eigene Risikolisten und berichten der Geschäftsleitung in unterschiedlichen Formaten.

Ein integrierter Ansatz legt deshalb gemeinsame Begriffe, eine gemeinsame Risikobewertung und abgestimmte Berichtswege fest. Wie weit die Integration reicht, hängt von Größe, Branche und den geltenden Regeln ab. Für einen Konzern mit Aufsichtsrat und eigener Revision sieht sie anders aus als für einen Handwerksbetrieb.

Wie die drei Bereiche zusammenspielen

Die drei Bereiche bilden einen Kreislauf, in dem jeder Schritt auf dem vorigen aufbaut.

1. Governance setzt den Rahmen. Leitung und Aufsichtsorgane legen Ziele, Zuständigkeiten und die Risikobereitschaft fest. Schriftlich gefasst werden sie in Richtlinien und Verfahren. Die Grundlagen erklärt der Beitrag Was versteht man unter Governance?
2. Risikomanagement bewertet, was die Ziele gefährdet. Es erkennt Risiken, schätzt Eintrittswahrscheinlichkeit und Auswirkung ab und legt Maßnahmen fest. Den Ablauf beschreibt Wie funktioniert Risikomanagement?
3. Compliance übersetzt Pflichten in Kontrollen. Aus Gesetzen, Verträgen und internen Vorgaben werden konkrete Aufgaben mit Zuständigen, Fristen und Nachweisen. Diese Arbeit ordnet ein Compliance-Management-System. Die einzelnen Prüfschritte im Tagesgeschäft bündelt das interne Kontrollsystem.
4. Prüfung schließt den Kreis. Die interne Revision und externe Audits prüfen, ob die Kontrollen wirken. Ihre Ergebnisse gehen an die Leitung zurück und können dort Ziele, Richtlinien oder die Risikobewertung verändern.

Ein Beispiel: Das Risikomanagement stellt fest, dass ein wichtiger IT-Dienstleister ausfallen kann. Die Leitung entscheidet daraufhin, welche Ausfallzeit tragbar ist, während Compliance klärt, ob Regelwerke wie DORA oder NIS2 für solche Dienstleister Vorgaben machen. Ob die Notfallpläne getestet wurden, kontrolliert später die Revision.

Welche Regeln und Rahmenwerke heute zählen

Gesetze und EU-Verordnungen

Viele GRC-Aufgaben folgen aus EU-Recht. Vier Regelwerke prägen die Arbeit derzeit besonders:

• Datenschutz-Grundverordnung (DSGVO): Verordnung (EU) 2016/679, gilt seit dem 25. Mai 2018 für die Verarbeitung personenbezogener Daten.
• NIS2: Richtlinie (EU) 2022/2555 für ein hohes Cybersicherheitsniveau. In Deutschland setzt sie das neu gefasste BSI-Gesetz vom 2. Dezember 2025 um.
• DORA: Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Sie gilt seit dem 17. Januar 2025.
• KI-Verordnung: Verordnung (EU) 2024/1689. Die Verbote bestimmter KI-Praktiken gelten seit dem 2. Februar 2025, weitere Pflichten greifen gestaffelt.

Normen und Rahmenwerke

Normen sind in der Regel freiwillig, geben aber eine Struktur vor, an der sich ein Managementsystem messen lässt. Für die Informationssicherheit legt ISO/IEC 27001 die Anforderungen an ein Managementsystem fest. Wer Datenschutz und Informationssicherheit verbinden will, findet in ISO/IEC 27701 einen Rahmen dafür.

Für Compliance-Managementsysteme gilt seit 2021 ISO 37301, die Nachfolgerin von ISO 19600. Anders als der frühere Leitfaden enthält sie Anforderungen. Im Risikomanagement bieten die Leitlinien der ISO 31000 Orientierung. Das COSO-Rahmenwerk liefert Leitfäden zu interner Kontrolle und unternehmensweitem Risikomanagement. Wer KI einsetzt, findet die zugehörige Managementnorm im Beitrag zu ISO 42001.

So nutzen Sie dieses Lexikon

Das Portal ordnet sein Wissen in drei Verzeichnisse, die alphabetisch sortiert sind und sich über ein Suchfeld sowie eine Buchstabenleiste filtern lassen.

• Wissen von A bis Z: Begriffe, Gesetze, Normen und Methoden, jeweils als Frage gestellt und beantwortet.
• Zertifizierungen: Personenzertifikate und Abschlüsse rund um Compliance, Datenschutz, Risikomanagement und Informationssicherheit.
• Leistungen erklärt: was zu typischen Aufträgen im GRC-Umfeld gehört. Die Einträge erklären, sie sind keine Angebote.

Wer Werkzeuge für diese Arbeit vergleichen will, findet einen Überblick im Beitrag Welche GRC-Software gibt es?

Häufige Fragen

Was bedeutet Governance, Risk und Compliance (GRC)?

GRC steht für die gemeinsame Steuerung von Unternehmensführung (Governance), Risikomanagement und Regelkonformität (Compliance). Ziel ist, dass ein Unternehmen seine Ziele erreicht, Risiken angemessen behandelt und gesetzliche wie interne Vorgaben einhält.

Warum betrachten Unternehmen die drei Bereiche gemeinsam?

Alle drei arbeiten mit denselben Abläufen und Daten. Eine gemeinsame Risikobewertung und abgestimmte Kontrollen vermeiden doppelte Prüfungen. Zugleich erhält die Leitung ein einheitliches Bild für ihre Entscheidungen.

Wie wird ein GRC-Framework eingeführt?

Am Anfang steht eine Bestandsaufnahme: Welche Pflichten gelten, welche Risiken bestehen, welche Kontrollen gibt es bereits? Darauf bauen Rollen und Richtlinien, ein gemeinsames Risikoregister, Schulungen der Beschäftigten und eine regelmäßige Überprüfung auf.

Wofür nutzen Unternehmen GRC-Software?

GRC-Software führt Risiken, Kontrollen, Pflichten und Nachweise an einer Stelle zusammen. Sie erleichtert Überwachung und Berichte und macht nachvollziehbar, wer welche Kontrolle wann durchgeführt hat.

Welche Schwierigkeiten treten bei der Einführung auf?

Typisch sind Widerstand gegen neue Abläufe, schwer zu verbindende IT-Systeme sowie der laufende Bedarf an Schulungen. Hilfreich sind klare Zuständigkeiten, eine verständliche Begründung für die Beschäftigten und ein schrittweises Vorgehen.