Die GRC-Definition

Der Hintergrund:

Schaut man sich die bestehende Literatur zum Thema GRC-Management einmal genauer an, fällt auf, dass die diversen Veröffentlichungen zum Teil völlig unterschiedliche Verständnisse zum GRC-Begriff aufweisen:

• Während einige Autoren GRC ausschließlich technologieorientiert interpretieren, legen andere Autoren Wert auf die Feststellung, dass GRC zwar technologiebasiert agiert, aber über die reine IT-Systematik hinausgeht.
• Während einige Beiträge GRC als die Summe seiner Funktionen betrachten, betonen andere, dass die integrierte Betrachtung der GRC-Funktionen mehr sei, als die Summe seiner Teile und gerade hierin der Mehrwert eines integrierten GRC-Ansatzes zu finden sei.

Es ist zu vermuten, dass die Heterogenität in den bisherigen Befunden aus Theorie und Praxis aus einem gehörigen Maß an Unsicherheit darüber resultiert, was unter GRC überhaupt zu verstehen und was mit einem GRC-Ansatz tatsächlich zu erreichen ist.

Governance, Risk & Compliance (GRC) bezeichnet die kontinuierliche gesamthafte Betrachtung aller Funktionen einer Organisation, um rechtliche, finanzielle und Reputationsrisiken effektiv und effizient zu steuern.

Durch die funktionsübergreifende Betrachtung von Risikomanagement, Compliance sowie Interner Revision und die gezielte Einbeziehung weiterer relevanter Unternehmensfunktionen (IKS, Controlling, Rechtsbereich u.a.) werden Synergiepotenziale genutzt (horizontale Integration) und die Einbindung von GRC in bestehende Geschäftsprozesse sichergestellt (vertikale Integration).

Die Corporate Governance des Unternehmens ist Fundament und Bezugspunkt des GRC-Managements. GRC ist damit Bestandteil des strategischen und operativen Managements und dient der Verwirklichung des Unternehmensinteresses.

Die Erklärung:

Diese GRC-Definition beantwortet zunächst die Frage, welche unternehmerischen Funktionen von einem GRC-Management überhaupt betroffen sind (nämlich grundsätzlich alle) und präzisiert damit dessen organisationsweite Bedeutung.

Sie formuliert, zweitens, die damit verfolgte Zielsetzung, die zunächst in der effektiven und effizienten Steuerung von Risiken besteht und damit der Verwirklichung des Unternehmensinteresses als Kriterium guter Corporate Governance dient.

Drittens wird die Frage nach der zeitlichen Ausgestaltung eines GRC-Managements beantwortet, indem verdeutlicht wird, dass dieses kontinuierlich stattfinden müsse.

Viertens führt die Definition aus, auf welche Weise die gesamthafte, funktionsübergreifende Betrachtung realisiert werden kann, indem sie verdeutlicht, dass sie zur vollen Entfaltung ihres Leistungsversprechens die horizontale und die vertikale Integration in Betracht ziehen muss.

Schließlich, fünftens, offenbart die Definition den Bezugspunkt des GRC-Managements zur Corporate Governance und beantwortet damit die Frage, wie sich GRC in die bestehende Gesamtorganisation einfügt.

Es ist dieses Begriffsverständnis, auf dem das auf dieser Seite in seinen Grundzügen vorgestellte GRC-Gesamtkonzept basiert.