Kosten von Governance, Risikomanagement und Compliance ( ... / 2.1 Phase 1: Notwendigkeitsprüfung

Bevor ein GRC-System installiert wird muss die Notwendigkeit dafür geprüft werden. Dass es solche Strukturen braucht, um ein Unternehmen sicher durch die Märkte und das weitere Umfeld zu führen, ist unbestritten. Festzustellen bleibt der Umfang der Vorkehrungen, die getroffen werden. Dieser hängt unter anderem ab von folgenden Gesichtspunkten:

• Die Größe des Unternehmens bestimmt die Komplexität des Schutzsystems. Je größer ein Unternehmen ist, desto umfangreicher sind die Regelungen dazu. Kleine Unternehmen können auch mit einfachen Festlegungen sehr gut zurechtkommen.
• Die Branche, in der das Unternehmen tätig ist, hat wesentlichen Einfluss auf die Notwendigkeit von GRC-Systemen. Besonders gefährdet sind Energieunternehmen, Finanzdienstleister und Medienunternehmen.
• Die Risikobereitschaft des Managements spielt eine wichtige Rolle bei der Festlegung. Manager mit geringer Risikobereitschaft werden umfangreiche Schutzsysteme verlangen.

In dieser Phase geht es darum, theoretische Bedrohungen und mögliches Missmanagement zu erkennen. Die erkannten Tatsachen werden dann bewertet und zu einer Empfehlung über den Umfang der zu schaffenden GRC-Systeme ausgebaut. Dabei entstehen Kosten, die geplant und festgehalten werden müssen.

Beratungskosten

Für die richtige und umfassende Einrichtung der GRC-Systeme müssen komplexe Sachverhalte geprüft und beurteilt werden. Dazu ist detailliertes Fachwissen notwendig. Wird bereits in dieser Startphase eine falsche Entscheidung getroffen, ist das geschaffene System später mit großer Wahrscheinlichkeit nicht ausreichend oder zu groß dimensioniert. Es entstehen Beratungskosten.

Personalkosten

Wird keine externe Beratung für den Start des Projektes genutzt, entstehen für die Notwendigkeitsprüfung Kosten der eigenen Mitarbeiter. Zudem werden Mitarbeiter befragt, die nicht mit der Schaffung des Systems zu tun haben aber Informationen für richtige Entscheidungen liefern müssen. Auch diese verursachen Kosten, die dem GRC-System zuzurechnen sind.

Ausbildungskosten

Die Führungskräfte müssen von der Materie zumindest so viel verstehen, dass sie das Prüfungsverfahren steuern können. Seminare werden besucht, Literatur muss angeschafft werden. Auch Kosten eines Erfahrungsaustauschs mit Geschäftsführerkollegen wollen verbucht werden.

Sachkosten

Sachkosten sind in dieser Phase recht unbedeutend. Es wird sicherlich IT genutzt und Material verbraucht, signifikant sind in der Praxis meist nur die Reiskosten, die in Verbindung mit Ausbildungskosten oder bei Beratern anfallen. Wenn Strukturen zur detaillierten Kostenerfassung z. B. in einer gut ausgebauten Kostenrechnung vorhanden sind, sollten auch diese Sachkosten erfasst werden. Ansonsten kann in diesem Stadium auch eine Pauschale angesetzt werden.