Isolierte ERM- und Compliance-Funktionen? Was das kostet – und wie man es behebt

Enterprise Risk Management (ERM) und Compliance arbeiten oft unabhängig voneinander – nicht aufgrund einer bewussten Entscheidung, sondern weil die Strukturen schlichtweg nicht darauf ausgelegt waren, die Zusammenhänge zu verknüpfen. Diese Trennung kann jedoch zu kritischen blinden Flecken führen, die Probleme verschleiern und das Unternehmen durch verzögerte Entscheidungen, widersprüchliche Maßnahmen, Produktivitätsverluste und verpasste Chancen bares Geld kosten.

Risikomanagement und Compliance haben das gemeinsame Ziel, die Organisation zu schützen. Zudem sind beide Teams in der Regel gut über bevorstehende regulatorische Änderungen informiert. Das Problem liegt in der Umsetzung dieser Änderungen – der Entscheidung darüber, was relevant ist, wer die Verantwortung trägt und wie die Erledigung erfolgt.

Hier erfahren Sie, wie Sie die Lücken zwischen dem Wissen über kommende Änderungen und deren tatsächlicher Umsetzung finden, diese schließen und zusammenarbeiten, um kostspielige Fehler zu vermeiden.

Ein Ziel, zwei Perspektiven

Obwohl ERM und Compliance dieselben Regulierungsbehörden, dieselben Anforderungen und dieselben Aktualisierungen überwachen, betrachten sie diese Signale durch unterschiedliche Brillen. ERM betrachtet Bedrohungen und Chancen auf Unternehmensebene im Hinblick auf die Auswirkungen auf langfristige Geschäftsziele. Compliance konzentriert sich auf die Details, um die strikte Einhaltung des Gesetzestextes zu gewährleisten.

Betrachten Sie die zwei Perspektiven desselben Ereignisses:

Compliance: Haken wir jede Anforderung buchstabengetreu ab?	ERM: Wie hoch ist das Risiko, wenn wir hier einen Fehler machen?
Konzentriert sich auf Details auf Einzelregelebene.	Konzentriert sich auf die Wahrscheinlichkeit auf Portfolioebene.
Berücksichtigt Präzedenzfälle bei der Durchsetzung.	Berücksichtigt geschäftliche Auswirkungen und Kontrolldesign.
Misst Einhaltung und Dokumentation.	Misst Restrisiko und Kontrolleffektivität.
Kann die umfassenderen Risikoauswirkungen von Änderungen übersehen.	Kann regulatorische Feinheiten übersehen.

Ein Ziel, zwei Perspektiven

Beide Perspektiven sind absolut legitim und wertvoll – aber für sich allein genommen unvollständig. Die einseitige Sichtweise wird zum Problem, wenn Interpretation, Verantwortlichkeit und Nachverfolgung unklar sind. Isolierte Datensilos, widersprüchliche Taxonomien und getrennte Berichtslinien verschärfen die Verwirrung.

Zwei parallel arbeitende Teams kosten das Unternehmen Geld in Form von:

Doppelarbeit. Risiko- und Compliance-Teams recherchieren, interpretieren und agieren unabhängig voneinander parallel zur gleichen regulatorischen Entwicklung.

Inkonsistente Reaktion. Ähnliche Änderungen werden unterschiedlich gehandhabt, je nachdem, welches Team, welche Region oder welche Person die neue Regel oder die aktualisierten Leitlinien zuerst liest.

Langsamere Zykluszeiten. Jede Änderung löst einen weiteren Ad-hoc-Prozess aus, um herauszufinden, was wo gilt und wer verantwortlich ist.

Die schädlichsten Kosten der Fragmentierung entstehen jedoch durch blinde Flecken. Was fällt durch das Raster, weil ein Team dachte, das andere würde sich darum kümmern? Werden regulatorische Änderungen das Risiko auf Unternehmensebene erhöhen – und um wie viel? Was wurde nicht priorisiert, weil die beiden Perspektiven nicht verknüpft waren, um die volle Auswirkung aufzuzeigen?

Wo es zu Ausfällen kommt

Bei jeder regulatorischen Änderung müssen Unternehmen das Signal erkennen, die Auswirkungen interpretieren und angemessene Maßnahmen ergreifen. Der Zusammenbruch erfolgt zwischen den Schritten bei der Entscheidung:

Wessen Aufgabe ist das?

Man geht leicht davon aus, dass andere die Sache im Griff haben, wenn die Verantwortlichkeit durch eine Berufsbezeichnung impliziert wird, anstatt einer spezifischen Person zugewiesen zu werden. Die Zuweisung der Verantwortlichkeit ist besonders schwierig, wenn eine regulatorische Änderung mehrere Geschäftsbereiche, Standorte oder Produkte betrifft.

Ist es wirklich erledigt?

Nachverfolgt ist nicht gleichbedeutend mit erledigt. Eine Kontrolle, Richtlinie oder ein Prozess, der als „in Bearbeitung“ markiert ist, bedeutet nicht, dass sich tatsächlich etwas geändert hat.

Auditoren sind darauf geschult, Lücken zwischen dem, was nachverfolgt wurde, und dem, was tatsächlich abgeschlossen wurde, zu finden. Die Folge ist eine Prüfungsfeststellung, die den Namen Ihrer Organisation trägt.

So schließen Sie die Lücken

Struktur, nicht guter Wille, hält Teams synchron. Das Schließen der Lücken erfordert Koordinationsmechanismen, die funktionieren.

• Gemeinsames Triage-Forum. Bewerten Sie jedes Element auf Anwendbarkeit und Auswirkungen mit einer konsistenten Methode, die Rauschen von dem trennt, was eine Entscheidung erfordert. Entscheiden Sie, ob die Änderung allgemein oder spezifisch gilt und ob sie für die Organisation von hoher oder geringer Bedeutung ist. Einigen Sie sich auf einen Zeitplan für Maßnahmen und Lösungen basierend auf der Prioritätsstufe.
• Gemeinsame Taxonomie. Beide Teams müssen dieselbe Sprache sprechen, z. B. was Wesentlichkeit bedeutet. Die Definition von Begriffen im Vorfeld verhindert spätere Fehlinterpretationen.
• Ein System of Record, nicht zwei. Bewahren Sie alles, was mit Überwachung, Bewertung, Verantwortlichkeit und Status zu tun hat, auf einer einzigen Plattform auf. Regulatorische Änderungen werden einmal erfasst, sofort nach Relevanz gekennzeichnet und nach Geschäftsbereich, Gerichtsbarkeit oder Risikoart weitergeleitet.
• Zugewiesene Verantwortliche für jedes handlungsrelevante Element. Die Verantwortlichkeit – für eine Person, nicht für eine Abteilung – muss für jede einzelne Änderung benannt werden, die eine Maßnahme erfordert. Dies lässt keine Unklarheiten zu.
• Definierte Eskalationspfade. Leiten Sie jedes festgefahrene Element automatisch nach oben weiter, anstatt es im Posteingang von jemandem liegen zu lassen.
• Nachverfolgung bis zum Abschluss. Der Abschluss erfordert eine echte Abschlussmethode – Fristen, Eskalation und Nachweise der Fertigstellung – nicht nur einen Statusbericht.
• Berichterstattung auf Ausschussebene. Nehmen Sie den Status regulatorischer Maßnahmen – nicht nur vage „in Bearbeitung“-Nachverfolgungen – in einem festen Rhythmus in die Berichterstattung an den Risikoausschuss und die Unternehmensleitung auf.

Die Struktur für Verbindungen schaffen

Machen Sie nicht den Fehler, Ihre gesamte Energie in die Überwachung regulatorischer Änderungen zu stecken und davon auszugehen, dass sich das operative Ende von selbst erledigt. Das passiert selten.

Ohne eine gemeinsame, strukturierte Methode zur Bewertung und Abstimmung der Anwendbarkeit beginnt die Ermittlung der Auswirkungen jeder neuen regulatorischen Änderung bei Null. Die Sichtbarkeit wird durch Rauschen getrübt, die Anwendbarkeit auf das Geschäft ist zweideutig und die Verantwortlichkeit unklar. Genau hier schleicht sich Inkonsistenz ein.

Sicherlich bedeutet die Behebung der Probleme nicht, von vorne anzufangen. ERM und Compliance müssen nicht zu einer einzigen Funktion verschmelzen, um als eine verbundene Einheit zu agieren. Sie benötigen eine gemeinsame Infrastruktur, die regulatorische Signale in koordinierte Maßnahmen umwandelt. Eine gemeinsame Plattform bietet beiden Teams einen Ort, um Änderungen zu erfassen, die Anwendbarkeit zu bewerten, Verantwortlichkeiten zuzuweisen, Aufgaben weiterzuleiten, Nachweise zu verfolgen, Verzögerungen zu eskalieren und den Status reibungslos zu melden.

Diese Technologieschicht ist wichtig, da Übergaben oft der Punkt sind, an dem die regulatorische Reaktion scheitert. Tabellenkalkulationen, E-Mail-Verläufe und separate Punktlösungen lassen zu viel Raum für Doppelarbeit, fehlende Verantwortlichkeiten und inkonsistente Berichterstattung. Ein einziges System of Record schafft das Bindegewebe zwischen ERM, Compliance und dem Unternehmen, zentralisiert den Prozess und überträgt gleichzeitig die Rechenschaftspflicht auf die richtigen Verantwortlichen im gesamten Unternehmen.

Das Ziel sind nicht mehr Meetings oder eine weitere Ebene der Aufsicht. Es ist eine disziplinierte Ausführung in großem Maßstab. Wenn jede regulatorische Änderung einen klaren Pfad, einen benannten Verantwortlichen, eine integrierte Eskalation und einen Nachweis der Fertigstellung hat, können Sie die Lücke zwischen dem Wissen über das, was kommt, und dem Nachweis, dass die richtigen Maßnahmen ergriffen wurden, schließen.

Weitere Informationen zur Verknüpfung von Risiko und Compliance mit Technologie finden Sie im E-Book Transforming Compliance from Check-the-Box to Champion sowie in der Compliance-Software von Riskonnect.