Kosten von Governance, Risikomanagement und Compliance ( ... / 2 Kostenarten in GRC-Systemen

Bei der Schaffung der GRC-Systeme, bei deren Audits und den Maßnahmen dazu entstehen unterschiedlichste Kosten. Diese sind auf allen Stationen in unterschiedlicher Gewichtung vorhanden. Wer in die Praxis sieht, erkennt einige typische Kostenarten. Je nach vorhandenem Know-how und der unternehmensinternen Arbeitsweise liegen die Schwerpunkte anders.

Abb. 1: 5 Phasen der GRC-Systeme mit unterschiedlichen Kostenschwerpunkten

Hinweis

Vergleich nur bei vollständiger Erfassung möglich

Echte Aussagen über die Kosten der GRC-Systeme oder ein Vergleich verschiedener Systeme in unterschiedlichen Unternehmen sind nur möglich, wenn alle Kosten erfasst werden. So fallen z. B. im Projekt Arbeitszeiten an, die entweder durch eigene Mitarbeiter oder durch externe Berater geleistet werden können. In der Praxis werden die Kosten der eigenen Mitarbeiter oft nicht für das Projekt erfasst, da sie unerheblich erscheinen oder weil die Erfassungsmechanismen fehlen. Wenn dann Projekte mit unterschiedlichem Einsatz eigener oder fremder Arbeitszeit verglichen werden, entstehen Fehlinformationen.

2.1 Phase 1: Notwendigkeitsprüfung

Bevor ein GRC-System installiert wird muss die Notwendigkeit dafür geprüft werden. Dass es solche Strukturen braucht, um ein Unternehmen sicher durch die Märkte und das weitere Umfeld zu führen, ist unbestritten. Festzustellen bleibt der Umfang der Vorkehrungen, die getroffen werden. Dieser hängt unter anderem ab von folgenden Gesichtspunkten:

• Die Größe des Unternehmens bestimmt die Komplexität des Schutzsystems. Je größer ein Unternehmen ist, desto umfangreicher sind die Regelungen dazu. Kleine Unternehmen können auch mit einfachen Festlegungen sehr gut zurechtkommen.
• Die Branche, in der das Unternehmen tätig ist, hat wesentlichen Einfluss auf die Notwendigkeit von GRC-Systemen. Besonders gefährdet sind Energieunternehmen, Finanzdienstleister und Medienunternehmen.
• Die Risikobereitschaft des Managements spielt eine wichtige Rolle bei der Festlegung. Manager mit geringer Risikobereitschaft werden umfangreiche Schutzsysteme verlangen.

In dieser Phase geht es darum, theoretische Bedrohungen und mögliches Missmanagement zu erkennen. Die erkannten Tatsachen werden dann bewertet und zu einer Empfehlung über den Umfang der zu schaffenden GRC-Systeme ausgebaut. Dabei entstehen Kosten, die geplant und festgehalten werden müssen.

Beratungskosten

Für die richtige und umfassende Einrichtung der GRC-Systeme müssen komplexe Sachverhalte geprüft und beurteilt werden. Dazu ist detailliertes Fachwissen notwendig. Wird bereits in dieser Startphase eine falsche Entscheidung getroffen, ist das geschaffene System später mit großer Wahrscheinlichkeit nicht ausreichend oder zu groß dimensioniert. Es entstehen Beratungskosten.

Personalkosten

Wird keine externe Beratung für den Start des Projektes genutzt, entstehen für die Notwendigkeitsprüfung Kosten der eigenen Mitarbeiter. Zudem werden Mitarbeiter befragt, die nicht mit der Schaffung des Systems zu tun haben aber Informationen für richtige Entscheidungen liefern müssen. Auch diese verursachen Kosten, die dem GRC-System zuzurechnen sind.

Ausbildungskosten

Die Führungskräfte müssen von der Materie zumindest so viel verstehen, dass sie das Prüfungsverfahren steuern können. Seminare werden besucht, Literatur muss angeschafft werden. Auch Kosten eines Erfahrungsaustauschs mit Geschäftsführerkollegen wollen verbucht werden.

Sachkosten

Sachkosten sind in dieser Phase recht unbedeutend. Es wird sicherlich IT genutzt und Material verbraucht, signifikant sind in der Praxis meist nur die Reiskosten, die in Verbindung mit Ausbildungskosten oder bei Beratern anfallen. Wenn Strukturen zur detaillierten Kostenerfassung z. B. in einer gut ausgebauten Kostenrechnung vorhanden sind, sollten auch diese Sachkosten erfasst werden. Ansonsten kann in diesem Stadium auch eine Pauschale angesetzt werden.

2.2 Phase 2: Systemaufbau

Wenn auf der ersten Station beschlossen wurde, ein GRC-System Risikomanagementeinzurichten, wird im nächsten Schritt das System aufgebaut. Dazu sind komplexe Überlegungen, Untersuchungen und Entscheidungen notwendig. Jetzt beginnt das eigentliche Projekt mit typischer Projektarbeit.

Während der Phase des Systemaufbaus werden die Aufgaben in verschiedenen Schritten gegliedert und ausgeführt:

• Die einzelnen Bereiche des Unternehmens werden auf Gefährdung bezüglich des Risikomanagement und der Befolgung gesetzlicher oder wissenschaftlicher Regeln geprüft. Dabei wird eine Istaufnahme des derzeitigen Zustands in Form von Abläufen, Hierarchien, Informationsflüssen und anderen Regeln durchgeführt.

• Die Istsituation wird bewertet. Der Handlungsbedarf wird ermittelt. Dabei kann die gleiche Ausgangssituation aufgrund unterschiedlicher Risikobereitschaft durchaus unterschiedlich kritisch gesehen werden.

  Praxis-Beispiel

  Mitarbeiterverlust

  Der Leiter der Entwicklungsabteilung hat eine Kündigungsfrist von nur 3 Monaten zum Monatsende. Auf ihn konzentriert sich fast das gesamte Know-how zu den Produkten. Die Gefahr besteht, dass dieser Mitarbeiter kündigt und nach kurzer...