Ein Interview mit Professor Scherer von der Technischen Hochschule Deggendorf, Leiter des Internationalen Instituts für Governance, Management, Risk & Compliance
Welchen Grund gab es für Sie, ein (weiteres) Buch zum Thema Governance-Management schreiben?
In den letzten Jahren wurde der Begriff Corporate Governance durch Krisen und Skandale in Industrie, Wirtschaft, aber auch anderen Bereichen, wie Politik und bei öffentlichen Einrichtungen sehr populär. Hinzu kommen Standards, wie der Deutsche Corporate Governance Kodex oder OECD Principles of Corporate Governance vom November 2015. Diese behandeln das Thema direkt. Zudem finden sich zahlreiche weitere Standards, wie ISO, IDW und COSO, in denen regelmäßig Bezug zum Thema Governance genommen wird.
Die Schwierigkeit all dieser Standards ist, dass der Begriff Governance unterschiedlich definiert wird und vielfach schwammig bleibt. Mit anderen Worten: Die Adressaten, nämlich die Führungskräfte, wissen oft nicht, was sie zu tun haben, um die Anforderungen von Governance zu erfüllen. Zum Thema Governance und insbesondere zu einem integrierten GRC-Ansatz – Governance, Risk und Compliance als integrative Klammer um zahlreiche Managementthemen verstanden – gibt es bis dato wenig Literatur. Für mich ein Zeichen, dass es hier in puncto Fachliteratur Nachholbedarf gab und noch immer gibt. Hinzu kommt, dass sich bisher wenige Institute und Lehrstühle vertieft mit diesem Thema beschäftigen. Die Technische Hochschule Deggendorf installierte deshalb mit Genehmigung des Bayerischen Staatsministeriums das Internationale Institut für Governance, Management, Risk und Compliance als Kompetenzzentrum.
Derzeit wird der Begriff GRC sehr unterschiedlich definiert. Was verstehen Sie unter Governance, Risk und Compliance?
Governance bedeutet für mich die Interaktion der Organe eines Unternehmens oder einer Organisation sowie die Grundsätze ordnungsgemäßer, will heißen pflichtgemäßer, Unternehmensführung und -überwachung. Dabei beschäftigt sich Risikomanagement mit der Unsicherheit bezüglich des Erreichens von Zielen. Risikomanagement erzeugt Transparenz über die Unsicherheit und steuert bei der Möglichkeit von positiven und negativen Planabweichungen, um Ziele bestmöglich zu erreichen. Compliancemanagement wiederum steht für das pflichtgemäße Verhalten im Unternehmen. Compliance wird definiert mit Planung, Umsetzung, Überprüfung und Verbesserung einer Organisation, um pflichtgemäßes Verhalten und entsprechende Reaktion bei Verstößen zu gewährleisten. Zusammengenommen sehe ich in der integrierten GRC-Funktion die compliance-orientierte, risikobasierte sowie ordnungsgemäße Unternehmensführung und -überwachung.
Sie stellen in dem Buch einen völlig neuen Ansatz eines integrierten Governance-Managementsystems vor. Können Sie den Ansatz für uns kurz skizzieren?
Seit einigen Jahren werden geradezu inflationär Standards erlassen, von ISO über IDW bis COSO und OECD. Und das für jedes Unternehmensprozessthema, angefangen beim Qualitätsmanagement über Business Continuity und Security bis Compliance. Daraus entstehen zwangsläufig entsprechende Managementsystem-Inseln. Der im Buch beschriebene integrierte GRC-Ansatz zeigt, wie ein einziges führendes System die Anforderungen der diversen Standards erfüllen kann und somit die Existenz von Managementsystem-Inseln auflöst.
Verliert ein Managementsystem, das alle Bereiche wie Risikomanagement, Compliance, IKS, etc. vereint, nicht seine Aussagekraft und wird zu einem verwaltungstechnischen Monster?
Nein, im Gegenteil. Es werden unnötige Redundanzen immensen Ausmaßes eingespart. Ein Managementsystem besteht ja aus einer Aufbau- und Ablauforganisation mit jeder Menge Schnittstellen und Prozessabläufen.
Beispielsweise sollte im Vertrieb nur ein einziger Anfragemanagementprozess existieren. Dieser muss aber die diversen Anforderungen, unter anderem aus den Bereich BWL, Recht und Technik, erfüllen.
Hierzu zählen auch Standards, vom Qualitätsmanagement nach ISO 9001 und Risk/ISO 31000 bis Compliance/ISO 19600 sowie Business Continuity/ISO 22301. Dies bedeutet in der Praxis oft nur eine geringfügige Anreicherung schon vorhandener Prozessschritte. Ebenso sollte sich dieser Prozess mit seinen Schnittstellen zu anderen Prozessabläufen bezüglich der Zuteilung von Verantwortungen und Zielen in Stellenbeschreibungen wiederfinden.
Wo sehen Sie den Unterschied zwischen den theoretischen Modellen und der gelebten Praxis?
In der gelebten Praxis ist zu berücksichtigen, dass wir es mit gewachsenen und zum Teil sehr gut gelebten Strukturen zu tun haben. Diese dürfen nicht aufgrund eines theoretischen Modells eingerissen werden, das auf dem Reißbrett sehr schlüssig und optimal ausgearbeitet erscheint. Ein Umstand, den viele Praktiker befürchten. Dem ist jedoch nicht so. Zunächst einmal sollte das theoretische Modell auf die vorhandenen Praxiselemente gespiegelt und die bereits gut gelebten Komponenten, die sich im Unternehmen vorfinden, in das theoretische Modell eingefügt werden. Bei noch fehlenden oder nicht gut laufenden Komponenten, die enorme Risiken beherbergen, kann sukzessive unter Beachtung des Prinzips und eines pragmatischen Ansatzes versucht werden, dem theoretischen Modell nahezukommen.
Ein weiteres großes Praxisproblem ist nicht das fehlende „Sahnehäubchen“, also hochwissenschaftliche Tools oder Modelle. Vielmehr geht es häufig um fehlende Basics, wie beispielsweise dokumentierte, gelebte und aktualisierte Prozessabläufe. Oder es fehlen entsprechende Mitarbeiter, die das notwendige Know-how und die Motivation haben, diese Themen umzusetzen.
Gibt es Ihrer Meinung nach relevante Unterschiede in der internationalen Umsetzung von Governance-Managementsystemen?
Ja, sicher sind im globalen Umfeld Governance-Managementsysteme unterschiedlich definiert. Beispielsweise wird der Begriff GRC-System in den USA wesentlich liberaler gebraucht als in Europa. Sofern jedoch auf internationaler Basis ein einigermaßen trennscharf definierter Governance-Rahmen vorgegeben würde, könnte auch die Umsetzung im internationalen Kontext ähnlich laufen. Zahlreiche Standards, wie ISO oder OECD, werden ja bereits von vielen Wirtschaftsnationen angewandt. Außerdem sollten nahezu alle Unternehmen mittlerweile global aufgestellt sein, so dass eher die Frage auftaucht, ob die diversen Unternehmen unterschiedliche Governance-Ansätze und -Kulturen fahren.
Was diesbezüglich auf alle Fälle noch fehlt, ist eine global einheitliche Definition von Governance sowie der Erlass entsprechender Rahmenbedingungen. Dies geht los bei diversen Ethik-Modellen über unterschiedliche Rechtsordnungen bis hin zu Einstellungsstrukturen, die bei Menschen in unterschiedlichen Nationen vorherrschen. Schließlich werden die relevanten Themen in Governance, Risk und Compliance überwiegend von Menschen getragen. Und bei Menschen sind persönliche Einstellungen, das Wissen, die Emotionen, das Wollen, das Können und das Vorhandensein von notwendigen Ressourcen zur Umsetzung die Voraussetzungen für ein dementsprechend vernünftiges Handeln.
Sie kennen sich im nationalen und internationalen Umfeld mit vielen Unternehmen aus. Gibt es in Ihren Augen ein Unternehmen, das im Bereich GRC einen „Best Practice-Ansatz“ erfolgreich umsetzt und lebt?
In der Praxis beobachten wir selbst bei großen Konzernen, die viel Energie und Ressourcen in die Themen Governance, Risk und Compliance stecken, das Scheitern eines gelebten Ansatzes in der Umsetzung. Ich würde es derzeit nicht wagen, ein Unternehmen als Vorbild herauszustellen. Denn auch in jüngster Vergangenheit hat sich sehr oft gezeigt, dass trotz funktionierender Prozessabläufe und enormer Aufwendungen die Ziele von GRC nicht erreicht werden können.
Das trifft beispielsweise dann zu, wenn eine entsprechende Unternehmenskultur in der Organisation fehlt und Governance nicht konsequent über alle Hierarchieebenen umgesetzt wird.
Was sind die Herausforderungen, denen sich die Unternehmen in 2016 stellen müssen?
Große Herausforderungen warten auf die Unternehmen durch die Globalisierung, Digitalisierung und die geopolitischen Umwälzungen. Punkte, die meines Erachtens gerade erst so richtig beginnen. Hinzu kommt der Druck, die steigenden Anforderungen aus den Regulierungsvorgaben und an die notwendige Transparenz zu erfüllen. Das stellt so manches Unternehmen ohne funktionierende Governance-Strukturen vor enorme Herausforderungen. Ein weiteres Thema ist Industrie 4.0. In diesem Kontext werden aufgrund der geforderten horizontalen Vernetzung auch Unternehmen betroffen sein, die sich mit dem Thema bisher nicht beschäftigt haben, beispielsweise in der Supply-Chain. Dokumentierte, vernetzte Prozessabläufe werden dafür zwingend notwendig werden. Dass größere Unternehmen zwingend ab 2017 im Lagebricht auch Nachhaltigkeitsfragen zu erörtern haben, wird zu entsprechenden Vorgaben für deren Lieferanten und outgesourcten Dienstleistern führen.
Die Welt ist überall im Umbruch – sowohl wirtschaftlich als auch gesellschaftlich. Wagen Sie für uns einen Ausblick in das Jahr 2026?
Erst kürzlich wurde über eine Studie berichtet, die zeigte, dass Zukunftsprognosen auch von namhaften Institutionen in etwa zu gleichen Anteilen zutrafen wie auch weit danebenlagen. Ähnlich wie bei Wetterprognosen, die Zeiträume von zehn Tagen überschreiten. Deshalb möchte ich mich diesbezüglich lieber zurückhalten. Ich will es an dieser Stelle mit dem alten griechischen Spruch halten: „panta rhei“, „alles ist im Fluss“. Und der Wandel erfolgt zum Teil nicht auf einer linearen, sondern exponentiellen Zeitschiene. Verharrende Unternehmer und Unternehmen stehen bald auf dem Abstellgleis. Governance wird Werttreiber und Stabilisator zugleich sein. „Risks-of-changes-Management“ ist dabei ein wesentlicher Bestandteil von GRC.
Dr. jur. Josef Scherer ist seit 1996 Professor für Unternehmensrecht (Compliance), insbesondere Risiko- und Krisenmanagement, Sanierungs- und Insolvenzrecht an der Technischen Hochschule Deggendorf (THD) sowie Gründer und Leiter des Internationalen Instituts für Governance, Management, Risk & Compliance (GMRC) der THD. Das GMRC ist die führende Hochschuleinrichtung und das Kompetenzzentrum rund um die Kernfragen der ordnungsgemäßen Unternehmensführung und -überwachung.
…………………………………………………………………………………………………………………………………………………………….
Neues Fachbuch zu Governance-Management
Mit dem Buch „Governance-Management“, Band II (Standard & Audit), wird ein neuer Ansatz eines integrierten (Governance-)Managementsystems beschrieben. Inhaltlich orientiert sich das Werk an unterschiedlichen internationalen Standards. Ziel ist die Vernetzung diverser Unternehmensfunktionen – vom Governance- und Qualitäts-Management über Risiko- und Compliance-Management bis zum Steuerungs- und Überwachungssystem und der Revision. Damit zielt das Buch auf eine Reduzierung von Redundanzen und Insellösungen, um Synergien zu erreichen. Die Fachautoren des Buches sind Prof. Dr. Josef Scherer, Leiter des Internationalen Instituts für Governance, Management, Risk & Compliance (GMRC) sowie Klaus Furth, Richter und Lehrbeauftragter an der Technischen Hochschule Deggendorf.
Das Buch kostet 19,90 Euro und ist beim GMRC-Verlag unter gmrc-verlag@t-online.de erhältlich.