Securam Consulting Logo
Kontakt

Das große IT-Security-Glossar

Definition:

Governance Risk and Compliance

Was ist Governance Risk and Compliance?

Governance Risk and Compliance (GRC) ist ein integriertes Managementkonzept, das Unternehmen dabei unterstützt, strategische Steuerung (Governance), systematisches Risikomanagement (Risk) und regulatorische Anforderungen (Compliance) effizient und nachvollziehbar umzusetzen. Ziel ist es, Prozesse, Richtlinien und Sicherheitsmaßnahmen so zu gestalten, dass sie rechtliche, wirtschaftliche und technische Risiken minimieren, während gleichzeitig unternehmerische Ziele verfolgt werden.

GRC bildet das organisatorische Rückgrat für Informationssicherheit, Datenschutz und regulatorische Transparenz. Es schafft konsistente Standards für das Verhalten von Mitarbeitenden, die Kontrolle technischer Systeme sowie die Bewertung und Behandlung von Risiken. In IT-Umgebungen fungiert GRC als Brücke zwischen Management, IT und Compliance-Abteilungen.

Technischer Aufbau & Varianten

Kernkomponenten:

  • Governance: Definition von Richtlinien, Verantwortlichkeiten und Prozessen zur Steuerung des Unternehmens

  • Risk Management: Identifikation, Bewertung und Behandlung von Risiken (z. B. Cyberrisiken, Lieferkettenrisiken)

  • Compliance: Sicherstellung, dass gesetzliche und interne Anforderungen erfüllt werden

Typische GRC-Module:

  • Policy Management & Richtlinienverteilung

  • Risk Register mit Risikobewertungen & Risikobehandlungen

  • Audit Management & Kontrollen

  • Vorfall- & Maßnahmenverfolgung

  • Reporting & Dashboards für Management und Aufsicht

Technologien:

  • GRC-Plattformen wie ServiceNow GRC, RSA Archer oder SAP GRC

  • Schnittstellen zu SIEM, ISMS, Identity Management oder ERP-Systemen

  • Workflow-Automatisierung und Task-Tracking

Relevanz in der Praxis

GRC ist zentral für:

  • Standardisierte Steuerung von Informationssicherheits- und Datenschutzprogrammen

  • Nachweisführung bei Audits (z. B. ISO 27001, DSGVO, NIS-2)

  • Erkennung und Behandlung strategischer und operativer Risiken

  • Einheitliche Kommunikationsstruktur zwischen IT, Management und Recht

  • Förderung einer Sicherheitskultur („Security by Design“) im Unternehmen

GRC reduziert Redundanzen, verhindert Doppelarbeit bei Risikobetrachtungen und schafft Transparenz über alle Sicherheits- und Compliance-Initiativen hinweg.

Standards & regulatorische Anforderungen

  • ISO/IEC 27001: Rahmenwerk für Informationssicherheitsmanagement (ISMS)

  • DSGVO / GDPR: Anforderungen an Datenschutz und Rechenschaftspflicht

  • NIS-2: EU-Richtlinie zur Cybersicherheitsverpflichtung kritischer Infrastrukturen

  • DORA: Digital Operational Resilience Act – regulatorische IT-Risikomanagement-Vorgaben für Finanzdienstleister

  • SOX / Sarbanes-Oxley Act: Compliance-Anforderungen im Finanzwesen

Verwandte Begriffe

Beispiel aus der Praxis

Ein international tätiger Versicherungskonzern nutzte manuelle Excel-Listen zur Pflege seiner IT-Risiken. Nach Einführung einer integrierten GRC-Plattform konnten alle Risikobewertungen automatisiert dokumentiert, Policy-Zuordnungen systematisch gepflegt und ISO-Audits wesentlich effizienter durchgeführt werden. Zusätzlich wurde ein zentrales Compliance-Dashboard für den Vorstand etabliert.

zum Glossar