Die meisten Unternehmen haben kein Datenproblem. Sie haben ein Problem mit der Fragmentierung und eine Kluft zwischen Wissen und Handeln, die kein Dashboard schließen kann.
Die übliche Kritik an Risikotechnologien konzentriert sich meist auf die Transparenz: Teams haben keinen Überblick über die Vorgänge im gesamten Unternehmen, Daten sind in Silos gespeichert und die Berichterstattung ist uneinheitlich. Das ist eine echte Herausforderung, mit der sich der GRC-Markt bereits seit Jahren auseinandersetzt. Das schwierigere Problem liegt jedoch einen Schritt weiter unten in der Kette.
Was passiert nach dem Dashboard?
In den meisten Unternehmen lautet die Antwort: manuelle Arbeit. Tabellenkalkulationen. E-Mail-Verläufe. Folgegespräche, die unter Umständen zu dokumentierten Ergebnissen führen – oder auch nicht. Risikofunde werden aufgedeckt und verharren dann stillschweigend in der Schwebe. Compliance-Lücken werden identifiziert und dann an denjenigen weitergeleitet, der gerade Zeit dafür hat. Die Plattform beschränkt sich auf die Gewinnung von Erkenntnissen, während die Umsetzung den einzelnen Mitarbeitern überlassen bleibt, die sich damit auseinandersetzen müssen.
Genau in dieser Lücke – zwischen dem Wissen um ein Risiko und dessen tatsächlicher Beseitigung – scheitern die meisten Risikomanagementprogramme still und leise. Und es lohnt sich, zu verstehen, warum das so ist.
Das Umfeld hat sich verändert; die meisten Risikomanagementprogramme jedoch nicht
Jahrelang basierte das vorherrschende Modell für Risikotechnologie auf der Erfassung und Berichterstattung. Daten wurden erfasst, zentral gespeichert und in regelmäßigen Abständen bereitgestellt, wenn die Unternehmensleitung dies verlangte. Dieses Modell eignete sich gut für ein Umfeld, in dem sich regulatorische Änderungen in jährlichen Zyklen vollzogen und die Risikoprüfung ein fest eingeplanter Vorgang war.
Diese Umgebung gibt es nicht mehr.
Laut der „PwC Global Compliance Survey 2025“ geben 85 % der Unternehmen an, dass die Compliance-Anforderungen in den letzten drei Jahren komplexer geworden sind. 77 % berichten, dass sich diese Komplexität aktiv auf Bereiche auswirkt, die für das Unternehmenswachstum entscheidend sind. Die Fristen für die Durchsetzung haben sich verkürzt. Die regulatorischen Erwartungen sind nicht mehr zyklischer, sondern kontinuierlicher Natur. Die Vorstände stellen häufiger kritische Fragen und erwarten Antworten, deren Erstellung keine zwei Wochen manueller Datenerfassung erfordert.
Die Organisationen, die dies gut im Griff haben, sind nicht unbedingt diejenigen mit den meisten Daten oder den ausgefeiltesten Berichtsverfahren. Es sind vielmehr jene, denen es gelungen ist, die Lücke zwischen der Feststellung eines Risikos und einer dokumentierten, nachverfolgten und zeitgebundenen Reaktion zu schließen.
Warum vernetzte Daten der Ausgangspunkt und nicht das Ziel sind
Compliance-Teams leiden selten unter einem Mangel an Informationen. Die Ergebnisse liegen vor. Die Bewertungen wurden durchgeführt. Die Überprüfungen durch Dritte befinden sich irgendwo im System. Das Problem ist, dass die Informationen so über verschiedene Plattformen, Teams und Formate verteilt sind, dass es nahezu unmöglich ist, die Zusammenhänge zu erkennen.
Diese Fragmentierung ist mit konkreten Kosten verbunden. Die PwC-Umfrage ergab, dass 63 % der Compliance-Verantwortlichen der Meinung sind, dass uneinheitliche Daten die Einhaltung von Vorschriften erschweren. Unternehmen hingegen, die Risiko-, Compliance-, Richtlinien- und Daten von Drittanbietern in einer einheitlichen Umgebung zusammenführen, verzeichnen messbare Vorteile: eine um 64 % bessere Risikotransparenz, eine um 53 % schnellere Reaktion auf Probleme und direkte Kosteneinsparungen von 43 %.
Diese Ergebnisse sind nicht auf eine bessere Datenerfassung zurückzuführen. Sie ergeben sich aus den Möglichkeiten, die sich durch die Vernetzung der Daten ergeben: die Fähigkeit, Risiken klar zu erkennen, Dinge, die Aufmerksamkeit erfordern, weiterzuleiten und Entscheidungen so zu dokumentieren, dass sie einer Prüfung standhalten.
Die Lücke, die Unternehmen tatsächlich Geld kostet
Nur 7 % der Unternehmen in der PwC-Umfrage betrachten sich heute als Vorreiter im Bereich Compliance, während 38 % anstreben, dieses Niveau innerhalb von drei Jahren zu erreichen. Diese Lücke ist in erster Linie kein strategisches Problem. Die strategische Zielsetzung ist klar. Die operative Infrastruktur, um diese Lücke zu schließen, ist jedoch noch nicht vorhanden.
Das Muster ist vorhersehbar: Bei einer Risikobewertung wird ein Befund festgestellt. Bei einem Kontrolltest wird eine Lücke identifiziert. Bei einer Überprüfung durch einen Dritten wird ein Problem mit einem Lieferanten festgestellt. Die Plattform meldet dies. Und dann werden die Maßnahmen zur Behebung des Problems – die Zuweisung eines Verantwortlichen, die Festlegung eines Termins, die Verfolgung des Fortschritts, die Dokumentation des Abschlusses und die Erstellung der Prüfungsnachweise – manuell, uneinheitlich oder gar nicht durchgeführt.
Die Frage, die es sich zu stellen lohnt, lautet: Was wäre erforderlich, um diesen Lösungsprozess ebenso strukturiert und nachvollziehbar zu gestalten wie den Identifizierungsprozess? Nicht nur für Risiken mit hoher Priorität, sondern programmweit und kontinuierlich.
Die Lösung liegt nicht in noch mehr Dashboards. Es geht um ein Betriebsmodell, bei dem Erkenntnisse automatisch in nachverfolgbare, zugewiesene und zeitgebundene Maßnahmen umgesetzt werden und bei dem die Plattform den gesamten Zyklus unterstützt – nicht nur die erste Hälfte davon.
Warum Technologieinvestitionen allein nicht ausreichen
Unternehmen, die stark in Risikomanagement-Plattformen investiert haben und dennoch hinter den Erwartungen zurückbleiben, weisen in der Regel ein gemeinsames Muster auf: Technologie ohne Governance.
Automatisierung ohne Struktur führt zu Unordnung. Datenintegration ohne klare Zuständigkeiten lässt sich nicht skalieren. Berichterstattung ohne definierten Entscheidungsprozess trägt nur dazu bei, die Menge an Informationen zu vergrößern, auf die niemand reagiert.
Die Daten von PwC sprechen in diesem Punkt eine klare Sprache. 55 Prozent der Compliance-Verantwortlichen nennen die Unterstützung durch die Unternehmensleitung als den mit Abstand wichtigsten Faktor für eine starke Compliance-Kultur. 59 Prozent der Unternehmen mit abgestimmten, zentralisierten Compliance-Modellen geben an, dass sie mehr Vertrauen in ihre Entscheidungsfindung haben als Unternehmen, die in Silos arbeiten.
Die Technologie schafft die Voraussetzungen. Die Führungsstruktur entscheidet darüber, ob sich diese Voraussetzungen zu einem strategischen Vorteil entwickeln oder ungenutzt bleiben.
Diese Unterscheidung ist wichtig, wenn es darum geht, wie Risikoprogramme aufgebaut und aufrechterhalten werden. Es handelt sich nicht um ein Problem bei der Inbetriebnahme, sondern darum, wie das Programm im Laufe der Zeit funktioniert.
So sieht ein umsetzungsreifes Risikomanagement aus
Die Merkmale, die umsetzungsreife Risikoprogramme von solchen unterscheiden, die sich vor allem auf die Berichterstattung konzentrieren, lassen sich in der Regel auf einige wenige Kernbereiche zurückführen.
Problemmanagement mit echter Verantwortlichkeit.Befunde verschwinden nicht einfach im Posteingang. Sie werden zu nachverfolgbaren Einträgen mit festgelegten Verantwortlichen, Fristen, Eskalationswegen und integrierten Dokumentationsanforderungen. Der Abschluss wird dokumentiert. Der Prüfpfad ist vorhanden, ohne dass er manuell zusammengestellt werden muss.
Risikoorientiertes Richtlinienmanagement.Wenn sich eine Vorschrift ändert, sind die Auswirkungen sofort erkennbar: Welche Richtlinien sind betroffen, welche Kontrollmaßnahmen müssen aktualisiert werden und welche Konsequenzen ergeben sich für die Compliance? Unternehmen, die diese Lücken erst im Nachhinein entdecken – und zwar nicht über ihre eigenen Systeme, sondern erst bei einem Audit –, zahlen einen höheren Preis.
Risiken durch Dritte als Teil desselben Gesamtbildes. 64 Prozent der Unternehmen sind bei der Bereitstellung von Produkten und Dienstleistungen auf Dritte angewiesen. Ein Verstoß gegen Compliance-Vorgaben durch einen Lieferanten bleibt kein Einzelfall; er wird zu einem regulatorischen Risiko, einem operativen Risiko und potenziell auch zu einem Reputationsrisiko. Wenn die Überwachung von Dritten in einem separaten Programm erfolgt, das vom Unternehmensrisikomanagement abgekoppelt ist, sind diese Zusammenhänge erst sichtbar, wenn es für proaktive Maßnahmen bereits zu spät ist.
Kontinuierliche Überwachung der Kontrollmechanismen.Es besteht ein erheblicher Unterschied zwischen der Feststellung von Kontrollversagen zum Zeitpunkt einer Prüfung und deren Erkennung unmittelbar nach ihrem Auftreten. Der eine Ansatz ist von Natur aus reaktiv. Der andere ermöglicht es Unternehmen, Lücken bereits während des Betriebszyklus zu beheben und nicht erst im Nachhinein.
Berichte für die Führungsetage, die keine manuelle Zusammenfassung erfordern.CCOs und CROs sollten die Tage vor einer Vorstandspräsentation nicht damit verbringen, Daten aus verschiedenen Systemen zusammenzutragen und neu zu formatieren. Die von den Führungskräften benötigten Übersichten sollten jederzeit verfügbar sein, und ergänzende Details sollten auf Abruf zugänglich sein.
Wohin sich die Disziplin entwickelt
Laut PwC planen 82 Prozent der Unternehmen, ihre Investitionen in Compliance-Technologie in den nächsten drei Jahren zu erhöhen. 71 Prozent gehen davon aus, dass die digitale Transformation im gleichen Zeitraum erhebliche Unterstützung im Bereich Compliance erfordern wird.
Der Investitionstrend spiegelt die tatsächliche Nachfrage wider. Die Renditen dieser Investitionen werden jedoch weiterhin stark variieren – nicht, weil manche Unternehmen bessere Technologie anschaffen, sondern weil manche Unternehmen diese Technologie mit dem Governance-Modell kombinieren, das erforderlich ist, damit sie ihre volle Leistungsfähigkeit entfalten kann.
Der wichtigste Weg führt nicht zu mehr Daten oder mehr Dashboards. Er führt hin zu KI und Analysen, die direkt in den Entscheidungsprozess eingebettet sind, zu einer Automatisierung, die strukturiert und nachvollziehbar ist, anstatt fragmentierte Prozesse nur zu überlagern, sowie zu einer tieferen Vernetzung, die die Silos beseitigt, die nach wie vor die Reaktionszeiten verlangsamen.
Die Unternehmen, die bei der Bewältigung der nächsten Welle regulatorischer Komplexität eine Vorreiterrolle einnehmen werden, warten nicht darauf, dass sich die Lage stabilisiert. Sie entwickeln Programme, bei denen das Aufdecken und Beheben von Risiken Teil desselben Betriebszyklus sind und bei denen die Zeitspanne zwischen beiden Schritten in Tagen und nicht in Quartalen gemessen wird.
Wie Archer ein praxisorientiertes Risikomanagement unterstützt
Archer bietet Risiko- und Compliance-Teams die Werkzeuge, um den gesamten Zyklus – von der Risikoidentifizierung bis hin zur dokumentierten Lösung – in einer einzigen, vernetzten Umgebung zu verwalten. Problemmanagement, Überwachung von Kontrollmaßnahmen, Richtlinienmanagement, Risiken durch Dritte und Berichterstattung an die Geschäftsleitung sind so konzipiert, dass sie nahtlos zusammenwirken und nicht erst im Nachhinein zusammengefasst werden.
Erfahren Sie unter archerirm.com mehr darüber, wie Archer Unternehmen dabei unterstützt, den Schritt von der Transparenz zur Umsetzung zu vollziehen.
Was bedeutet „umsetzungsreifes“ Risikomanagement, und wie unterscheidet es sich vom herkömmlichen GRC?
Herkömmliche GRC-Plattformen waren in erster Linie auf die Datenerfassung und Berichterstellung ausgelegt: Risikoinformationen erfassen, speichern und in Dashboards oder regelmäßigen Berichten darstellen. Ein umsetzungsorientiertes Risikomanagement geht noch einen Schritt weiter. Es bedeutet, dass die Plattform aktiv die Schritte unterstützt, die nach der Identifizierung eines Risikos folgen, darunter die Zuweisung von Verantwortlichkeiten, das Auslösen von Workflows, die Nachverfolgung von Abhilfemaßnahmen, die Dokumentation des Abschlusses sowie die Erstellung der von Aufsichtsbehörden und Vorständen geforderten Prüfungsnachweise. Anstatt die Berichterstattung als Endziel zu betrachten, behandelt ein umsetzungsorientiertes Modell sie als einen der Ergebnisse eines kontinuierlich laufenden operativen Systems, das Risikobewertung, Richtlinienmanagement, Überwachung von Kontrollen und die Beaufsichtigung durch Dritte in einer einzigen Umgebung miteinander verbindet.
Wie können Compliance-Teams die Lücke zwischen Risikobefunden und deren Behebung schließen?
Der Schlüssel liegt darin, manuelle Übergaben durch strukturierte Arbeitsabläufe zu ersetzen. Wenn ein Risiko durch eine Bewertung, eine Prüfung der Kontrollmaßnahmen, eine Überprüfung durch Dritte oder ein Audit identifiziert wird, muss der Lösungsprozess festgelegte Verantwortlichkeiten, Fristen, Eskalationswege und Dokumentationsanforderungen enthalten. Ohne diese Struktur landen Probleme in E-Mails oder Tabellenkalkulationen, und die Lösung erfolgt uneinheitlich. Die „PwC Global Compliance Survey 2025“ ergab, dass Unternehmen, die vernetzte Compliance-Technologie einsetzen, eine um 53 % schnellere Reaktion auf Probleme verzeichnen – und dass diese Verbesserung direkt darauf zurückzuführen ist, dass der Lösungsprozess ebenso nachvollziehbar gestaltet ist wie der Identifizierungsprozess.
Warum sollte das Risikomanagement in Bezug auf Dritte Teil einer integrierten Plattform sein und nicht ein eigenständiges Tool?
Denn Risiken durch Dritte bestehen nicht isoliert. Ein Verstoß gegen Compliance-Vorschriften seitens eines Lieferanten birgt ein regulatorisches Risiko. Ein Cybersicherheitsvorfall bei einem Anbieter wird zu einem operativen Problem und schadet dem Ruf des Unternehmens. Bei einem Audit kommt eine Vertragslücke zum Vorschein. Wenn das Risiko durch Dritte in einem separaten System verwaltet wird, verlieren Unternehmen die Möglichkeit zu erkennen, wie das Lieferantenrisiko mit ihrer allgemeinen Compliance-Situation zusammenhängt, und müssen letztendlich reaktiv auf die Folgen reagieren. Die Zusammenführung der Ergebnisse zur Risikobewertung von Dritten auf derselben Plattform wie Unternehmensrisiken, Richtlinienmanagement und Kontrollüberwachung bedeutet, dass diese Zusammenhänge in Echtzeit sichtbar sind, anhand desselben Risikorahmens bewertet, über dieselben Workflows eskaliert und in derselben Übersicht für die Führungsetage dargestellt werden.
Warum reichen Technologieinvestitionen allein nicht aus, um die Leistung von Risikomanagementprogrammen zu verbessern?
Technologie ohne Steuerung scheitert auf vorhersehbare Weise. Automatisierung ohne Struktur erzeugt nur Unordnung. Datenintegration ohne klare Zuständigkeiten ist nicht skalierbar. Berichterstattung ohne definierten Entscheidungsprozess trägt lediglich zur Menge an Informationen bei, auf die niemand reagiert. Die PwC-Umfrage ergab, dass 55 % der Compliance-Verantwortlichen die Unterstützung durch die Geschäftsleitung als den wichtigsten Faktor für eine starke Compliance-Kultur nennen, und 59 % der Unternehmen mit abgestimmten, zentralisierten Compliance-Modellen berichten von einem höheren Vertrauen in die Entscheidungsfindung. Die Plattform bietet die entsprechenden Möglichkeiten. Das Governance-Modell entscheidet darüber, ob sich diese Möglichkeiten im Laufe der Zeit zu einem strategischen Vorteil entwickeln.
Quelle: PwC Global Compliance Survey 2025, pwc.com/gx/en/issues/risk-regulation/global-compliance-survey.html
