Ein Gastbeitrag von Michael Rasmussen in Zusammenarbeit mit SAI360.
Auf der Suche nach Erkenntnissen über Umwelt, Soziales und Governance (Environmental, Social, Governance: ESG) in einem Dschungel von GRC-Daten oder “Wie man vor lauter Bäumen den Wald doch erkennen an”
Die letzten zwei Jahre haben die GRC-Prozesse (Governance, Risikomanagement, Compliance) in ein neues Licht gerückt und einige Einstellungen zu Risiken verändert. Dennoch bleiben viele Unternehmen mit vielen Fragen zurück: Was sind die besten Verfahren zur Identifizierung, Analyse, Überwachung und Verwaltung von Risiken, die für Ihr Unternehmen spezifisch sind? Unterstützen diese Risikoaktivitäten das künftige Geschäftswachstum und sollten Sie Kontrollen oder Berichte für die Bereiche Umwelt, Soziales und Governance einführen?
2021 war ein Jahr der Resilienz, in dem wir die Wellen der Pandemie bewältigt haben und uns gleichzeitig mit dem Druck konfrontiert sahen, ESG-Themen innerhalb von Organisationen zu berücksichtigen. Das Jahr 2022 wird diese Themen der Widerstandsfähigkeit und Integrität fortsetzen, bringt aber auch mehr Flexibilität mit sich.
Unternehmen auf der ganzen Welt und in allen Branchen konzentrieren sich aktuell auf die Verstärkung ihrer Resilienz. Die Organisation muss inmitten von Ungewissheit und Veränderungen den Betrieb aufrechterhalten. In einigen Branchen (z. B. Finanzdienstleistungen) wird dies zu einer wichtigen regulatorischen Anforderung. Daher ist ein ganzheitlicher Blick auf die Ziele und die Leistung des Unternehmens im Kontext von Unsicherheit und Risiko erforderlich.
Unternehmen streben nach geschäftlicher und betrieblicher Widerstandsfähigkeit. Dadurch wird die Integration und symbiotische Interaktion von Risikomanagement und Geschäftskontinuität unbedingt erforderlich. Unternehmen im Jahr 2022 müssen widerstandsfähig und flexibel sein und ein umfassendes Situationsbewusstsein für das vernetzte Risikoumfeld haben, das sich auf sie auswirkt. Um ihre Strategie umzusetzen und sowohl agil als auch widerstandsfähig zu sein, muss das Unternehmen das einzelne Risiko (den Baum) und die Verflechtung der Risiken mit der Strategie und den Zielen (den Wald) sehen.
Die Mathematik des Risikomanagements
Das Risikomanagement in der Wirtschaft ist nichtlinear. Es handelt sich nicht um eine einfache Gleichung von 1 + 1 = 2, sondern um ein Geflecht exponentieller und manchmal chaotischer Beziehungen und Auswirkungen, bei denen 1 + 1 = 3, 30 oder 300 ist. Was wie eine kleine Störung oder ein geringes Gefahrenpotenzial erscheint, kann manchmal eine massive Auswirkung oder auch gar keine Auswirkung haben. In einem linearen System wäre die Wirkung aber proportional zur Ursache.
In der nichtlinearen Welt der Wirtschaft sind die Auswirkungen von Risiken exponentiell. Die Wirtschaft ist die Verwirklichung der Chaostheorie. Die kleine Erschütterung eines Risikos kann die Ziele stören oder sogar das Unternehmen zu Fall bringen. Wenn wir die Zusammenhänge von Risiken in der nichtlinearen Welt der Unternehmensziele nicht erkennen, ist die Auswirkung oft exponentiell bis unvorhersehbar.
In diesem Zusammenhang muss sich das Unternehmen auch mit ESG in seiner Strategie und seinem operationellen Geschäft befassen. ESG ist nach wie vor ein wichtiges Thema für Unternehmen. Organisationen auf der ganzen Welt und in allen Branchen sind gefordert, ein ESG Management zu definieren, umzusetzen und darüber zu berichten. Der Druck kommt aus allen Richtungen: von Investoren, Kunden, Mitarbeitern, Regulierungsbehörden und Aktivisten.
Die Realität zeigt, dass ESG ernst genommen werden muss und die Unternehmen sich intensiv mit dem Thema beschäftigen müssen. Das Ziel sollte sein, eine integre und belastbare Organisation zu schaffen, die sicherstellt, dass die Anforderungen bzgl. Werte, Ethik, Verpflichtungen, Beziehungen und Transaktionen in den Prozessen und der täglichen Arbeit umgesetzt werden.
Von Resilienz zu Agilität
Wie können Organisationen nicht nur widerstandsfähig, sondern auch agil sein und gleichzeitig ihre Integrität inmitten von Veränderungen und Ungewissheit (Risiko) wahren? Unternehmen versuchen, ihre Integrität zu verbessern, damit sie in Zeiten der Ungewissheit ihren ethischen Grundsätzen, Werten, Zusagen und Verpflichtungen gerecht werden. Außerdem wollen sie die geschäftliche und betriebliche Resilienz und Agilität erhöhen.
Man beginnt mit den Zielen der Organisation. Das können z.B. Ziele auf der Ebene einer Einheit, eines Bereichs, einer Abteilung, eines Prozesses, eines Projekts oder einer Anlage sein. Von diesem Punkt aus hat man den Kontext, um Risiken/Ungewissheiten zu managen und mit Integrität zu handeln.
Unternehmen benötigen eine strukturiertere Anleitung, wie sie GRC- und ESG-Strategien und -Prozesse in den verschiedenen Bereichen von Zielen, Risiken und Verpflichtungen umsetzen können.
Ein 5-Schritte-Plan für Ihre GRC-Strategie in einer ESG-Ära
- Verstehen Sie, wo Sie stehen und wo Sie hinwollen. Dies beginnt mit einer ehrlichen Bewertung des aktuellen Zustands der GRC- und ESG-Prozesse in Ihrem Unternehmen. Was wird heute getan, was funktioniert, was funktioniert nicht. Und, um es auf den Punkt zu bringen, was muss sich ändern. Von dort aus können Sie Ihren idealen zukünftigen Zustand in zwei Jahren definieren und Ihren Fahrplan erstellen, um von Ihrem aktuellen Zustand zu Ihrem zukünftigen Zustand zu gelangen.
- Holen Sie das richtige Team an Bord. GRC und ESG sind komplexe Themen, an denen viele verschiedene Abteilungen beteiligt sind. Sie müssen die richtigen Mitglieder des Kernteams sowie die unterstützenden Teammitglieder bestimmen. Dazu gehört die Ausarbeitung einer Charta für einen abteilungsübergreifenden Ausschuss, der GRC und ESG-Management in einem integrierten Kontext behandeln kann. Außerdem ist eine Person erforderlich, die für die integrierte GRC- und ESG-Strategie verantwortlich und letztlich rechenschaftspflichtig ist.
- Wählen Sie die passende technologische Grundlage. Sie müssen Ihre Strategie auf der passenden Informations- und Technologiegrundlage aufbauen, die Ihren angestrebten GRC/ESG-Zustand gewährleisten kann. ESG- und GRC-Software und -Technologie sollten Ihre Vision voll unterstützen und in der Lage sein, Ihren GRC/ESG-Strategieplan und Ihre Prozesse effizient, effektiv und flexibel zu gestalten.
- Unterteilen Sie die Dinge in Etappen. Dies ist eine Reise von Ihrem aktuellen Zustand zu Ihrem zukünftigen Zustand. Es ist kein Lichtschalter, den Sie anknipsen. Sie müssen Prioritäten setzen und die Dinge in Zwischenschritte unterteilen, die für Ihr Unternehmen erreichbar sind. Das Projekt wird scheitern, wenn Sie versuchen, sich zu schnell zu viel vorzunehmen.
- Seien Sie bereit für Veränderungen. Wir leben in einer dynamischen Welt und die Dinge ändern sich. Sie müssen in der Lage sein, flexibel auf Veränderungen in und außerhalb Ihres Risiko-, Regulierungs- und Geschäftsumfelds zu reagieren, während Sie Ihre Strategie umsetzen. Letztendlich wollen wir folgenden Zustand erreichen: Agilität, Widerstandsfähigkeit und Integrität inmitten eines dynamischen, verteilten und gestörten Geschäftsumfelds.
Das Webinar “How to Build Your GRC Strategy” von Michael Rasmussen und Jamie Walsh von SAI360 hält für Sie weitere interessante Informationen bereit und behandelt folgende Fragestellungen:
- Warum Ihr Unternehmen im Jahr 2022 eine solide GRC-Strategie braucht
- Überlegungen beim Aufbau Ihres GRC-Rahmens
- Wie Sie ESG-Risiken im Zusammenhang mit Ihren bestehenden Prozessen betrachten können
- Die nächsten Schritte, die Sie auf Ihrer GRC-Reise unternehmen können – egal, wo Sie sich gerade befinden
Über den Autor
Michael Rasmussen, The GRC Pundit und Gründer von GRC 20/20, ist ein international anerkannter Experte für Governance, Risikomanagement und Compliance (GRC) – mit besonderem Fachwissen zu den Themen Unternehmens-GRC, GRC-Technologie, Corporate Compliance und Richtlinienmanagement. Mit mehr als 27 Jahren Erfahrung hilft er Unternehmen dabei, GRC-Prozesse zu verbessern, eine GRC-Architektur zu entwerfen und zu implementieren und Technologien auszuwählen, die effektiv, effizient und agil sind. Er ist ein gefragter Redner, Autor und Berater und gilt als “Vater von GRC” – er war der erste, der den GRC-Markt im Februar 2002 während seiner Tätigkeit bei Forrester definierte und modellierte. Michael Rasmussen hat an Berichten und Ausschüssen des US-Kongresses mitgewirkt und ist OCEG GRC Fellow sowie Ehrenmitglied auf Lebenszeit und Global Ambassador of Risk Management des Institute of Risk Management.