Wenn Warnsignale nicht zusammenfinden: Start des CAS Governance, Risk and Compliance

von Prof. Dr. Philipp Henrizi, Professor und Leiter CAS am Institut für Finanzdienstleistungen Zug IFZ.

Der Wirecard-Fall eignet sich besonders gut, um die Bedeutung eines ganzheitlichen Governance-, Risk- und Compliance-Verständnisses sichtbar zu machen. Denn Unternehmenskrisen dieser Grössenordnung lassen sich selten auf eine einzige Ursache reduzieren. Vielmehr treffen Schwächen auf unterschiedlichen Ebenen aufeinander: Verantwortlichkeiten sind unklar oder werden nicht ausreichend wahrgenommen, Risiken und Warnsignale werden falsch eingeschätzt und Kontroll- sowie Compliance-Mechanismen entfalten nicht die notwendige Wirkung.

Governance, Risk und Compliance gehören zusammen

Am ersten Kurstag haben wir den Wirecard-Fall deshalb aus drei unterschiedlichen, aber miteinander verbundenen Perspektiven betrachtet:

• Governance – Steuerung, Aufsicht und Verantwortlichkeit:
  Wer trägt Verantwortung, wer entscheidet und wer überwacht? Und wie werden kritische Informationen und Warnsignale adressiert?
• Risk – Unsicherheit, Exposition und Entscheidungen:
  Was kann die Erreichung der Unternehmensziele gefährden? Wie werden Risiken erkannt, bewertet und gesteuert – und wie beeinflussen sie Entscheidungen?
• Compliance – Regelkonformität, Integrität und Reaktion:
  Welche Pflichten gelten für ein Unternehmen und seine Entscheidungsträger? Wie wird deren Einhaltung sichergestellt? Und was geschieht, wenn Verstösse oder Auffälligkeiten festgestellt werden?

Die Diskussion anhand von Wirecard machte dabei einen zentralen Punkt deutlich: Ein funktionierendes GRC-System entsteht nicht dadurch, dass Governance, Risk Management und Compliance jeweils für sich gut organisiert sind. Entscheidend ist ihr Zusammenspiel.

GRC wird wirksam, wenn relevante Signale über Funktionsgrenzen hinweg zusammengeführt, unabhängig beurteilt, rechtzeitig eskaliert und in Entscheidungen übersetzt werden. Gerade bei komplexen oder widersprüchlichen Informationen liegt darin eine wesentliche Herausforderung guter Unternehmensführung.

Von der Fallanalyse zur eigenen Organisation

Diese integrative Perspektive bildet auch den Kern des CAS Governance, Risk and Compliance. Der Lehrgang betrachtet Governance, Enterprise Risk Management und Compliance Management bewusst nicht isoliert, sondern in ihrem Zusammenspiel. Laut Programm ist das CAS der schweizweit einzige Studiengang mit einem solchen ganzheitlichen GRC-Ansatz. Ein besonderer Fokus liegt dabei auf interdisziplinärem Denken und der Arbeit mit praxisorientierten Fallbeispielen.

In den kommenden Monaten beschäftigen sich die Teilnehmenden entsprechend mit drei zentralen Themenfeldern. Im Bereich Corporate Governance geht es unter anderem um Rollen und Verantwortlichkeiten, den Aufbau eines GRC-Systems, Interne Revision, AI Governance, Fraud Risk Assessment sowie Wirtschaftskriminalität. Im Enterprise Risk Management stehen moderne ERM-Frameworks und Risikomanagementprozesse, Entscheidungsqualität, Cyber Security, Behavioral Economics und Business Continuity Management im Fokus. Der Bereich Compliance Management behandelt unter anderem Integrität und Wirtschaftsethik, Compliance-Management-Systeme nach ISO 37301, Geldwäscherei und Korruption, Datenschutz sowie Compliance als Führungsaufgabe.

Damit geht es im CAS nicht nur darum, Instrumente und Methoden der drei Disziplinen kennenzulernen. Die Teilnehmenden sollen Herausforderungen an den Schnittstellen erkennen und mit Spezialistinnen und Spezialisten aus Governance, Risk und Compliance auf Augenhöhe diskutieren können.

GRC beginnt an den Schnittstellen

Der Starttag mit unseren 28 Teilnehmerinnen und Teilnehmern hat bereits gezeigt, wie wertvoll der Austausch unterschiedlicher beruflicher Perspektiven für diese Fragestellungen ist. Denn die entscheidenden GRC-Fragen liegen häufig gerade dort, wo Zuständigkeiten, Informationen und Einschätzungen aufeinandertreffen.

Der Wirecard-Fall ist dafür ein prominentes Beispiel. Die zugrunde liegende Herausforderung ist jedoch keineswegs auf spektakuläre Unternehmensskandale beschränkt. Sie betrifft Organisationen ganz unterschiedlicher Grösse und Branchen:

Wer erkennt ein kritisches Signal? Wer ordnet es ein? Wer muss davon erfahren? Wer entscheidet – und wer stellt sicher, dass tatsächlich gehandelt wird?

Genau an diesen Schnittstellen entscheidet sich, ob Governance, Risk und Compliance lediglich nebeneinander existieren – oder ob daraus ein wirksames GRC-System entsteht.

Ich freu mich, diese Fragen gemeinsam mit den Teilnehmerinnen und Teilnehmern während der kommenden Monate weiter zu vertiefen und wünschen allen einen spannenden und erkenntnisreichen CAS!

Weitere Informationen zum CAS Governance, Risk and Compliance: