Warum CIOs sich in 2010 um GRC kümmern sollten…
GRC (Governance, Risk Management, Compliance) ist eines der genauso populären wie unverstandenen Schlagwörter der IT. Wie so oft liegt das daran, dass zu viele Interessensgruppen, von unterschiedlichen IT-Herstellern bis zu Beratern und Wirtschaftsprüfern, den Begriff in unterschiedlicher Weise verwenden. Und doch gilt: GRC muss ein Thema bei der IT-Strategieentwicklung als auch bei den Investitionen sein.
- Warum CIOs sich in 2010 um GRC kümmern sollten…
- Durchgängige GRC-Initiativen noch sehr selten
- Investitionen gezielt priorisieren und Fehlinvestitionen vermeiden
Wie der Begriff GRC (Governance, Risk Management, Compliance) schon deutlich macht, geht es dabei um mehrere Themen: Governance kann man als Überbegriff verstehen, der das ordnungsgemäße Handeln als solches beschreibt. Risk Management und Compliance sind zwei Ansätze, um die Governance-Anforderungen umzusetzen. Während es bei der Compliance nur um das Erfüllen von definierten Richtlinien (Gesetze, Verordnungen, interne Richtlinien,…) geht, geht es beim Risiko-Management darum, Risiken zu identifizieren, sie kontinuierlich zu beobachten (messen) und sich darauf vorzubereiten, beim Eintreten eines Risikos handeln zu können. Im Gegensatz zu dem kontinuierlichen Risikomanagement wird Compliance oft eher zeitpunktorientiert gesehen – zum Jahresende oder anderen definierten Zeitpunkten muss man seine Häkchen hinter Anforderungen machen können.
GRC gibt es in verschiedenen Ausprägungen. Unternehmen müssen mit Blick auf ihre Geschäftsprozesse und die internen Abläufe das Thema GRC im Griff haben und beispielsweise handels- und steuerrechtliche Vorschriften erfüllen. In der IT geht es darum, dass die spezifischen an die IT gestellten Anforderungen erfüllt werden. Dazu gehören viele Teilbereiche, von der Verwaltung von Assets über das Lizenzmanagement hin zum Security und Incident Management oder der Steuerung und Kontrolle von Zugriffsberechtigungen. Dazu gehören aber auch das korrekte Management von IT-Projekten und –Diensten.
