Risikomanagement in Zeiten hoher Komplexität

Transkript

1 Risikomanagement in Zeiten hoher Komplexität

2 Zusammenfassung Risikomanagement war für Unternehmen noch nie so wichtig wie heute. Die steigende Komplexität von Risiken und Vorschriften erschwert allerdings zunehmend die Aufgaben im Bereich Governance, Risk and Compliance (GRC). Eine im Auftrag von SAP durchgeführte weltweite Umfrage von Loudhouse unter GRC-Führungskräften belegt die großen Herausforderungen, vor denen Unternehmen beim Risikomanagement heute stehen. Die richtige Balance zwischen Risiken und Chancen schafft Wettbewerbsvorteile und sichert die Rentabilität. Die meisten Unternehmen erkennen diese strategische Bedeutung, doch vielen bereitet die Umsetzung Schwierigkeiten. Laut der Umfrage verfügt nur eins von zehn Unternehmen über geeignete GRC-Werkzeuge, -Technologien und -Prozesse. Ebenso gibt nur eins von zehn Unternehmen an, dass seine Werkzeuge, Technologien und Prozesse auch mit dem zukünftigen Wachstum Schritt halten können. Das heißt, Unternehmen setzen sich einem hohen Risiko aus. Unzulänglichkeiten im Bereich GRC können zu Geschäfts- und Umsatzverlusten, dem Ende von Geschäftsbeziehungen und sogar Rufschädigungen führen. Unternehmen, deren Erfolg vor allem auf dem Renommee einer Marke beruht, sind hier ganz besonders verwundbar. Die Studie zeigt auch, dass Unternehmen unterschiedlich gut vorbereitet sind. Die Botschaft, die die GRC-Fachkräfte vermitteln, scheint klar zu sein: Unternehmen müssen umgehend handeln. Forschungsmethode Im Mai und Juni 2015 wurden Gespräche mit GRC- Verantwortlichen in Unternehmen geführt, deren Umsatz bereichsübergreifend bei über 500 Millionen US-Dollar (oder einem Äquivalent) liegt. Risikomanagement in Zeiten hoher Komplexität Loudhouse 2015 Seite 2

3 GRC-Landschaft Die GRC-Bereiche in Unternehmen stehen unter Druck und starker Beobachtung und kämpfen mit erheblichen Veränderungen. Die große Mehrheit (81 %) der GRC- Mitarbeiter in der Umfrage gibt an, dass die Risiken und die gesetzlichen Vorschriften und Anforderungen in den letzten fünf Jahren zunehmend komplexer geworden sind. Vom GRC-Bereich werden Kostensenkung und der Wirksamkeitsnachweis der GRC-Maßnahmen erwartet. Diese internen Anforderungen umfassen auch mehr Transparenz über die Effizienz von Kontrollprozessen, die Konzentration auf konsistente und hochwertige GRC-Informationen und schärfere Prüfungen durch Stakeholder. GRC-Mitarbeiter müssen sich also gleichzeitig mit zunehmender Komplexität und einem wachsenden internen Druck auseinandersetzen. Dieser Druck muss im Zusammenhang mit der wachsenden Bedeutung von GRC in den Unternehmen gesehen werden. Laut den Befragten wird Kontrollmangel als zweitgrößtes Unternehmensrisiko in den kommenden beiden Jahren (41 %) gesehen, direkt hinter dem Wettbewerbsdruck (42 %). Die nächstgrößten Risiken ergeben sich aus finanziellen und wirtschaftlichen Problemen (36 %), der Mitarbeiterleistung (36 %) und dem Verbraucherverhalten (35 %). Die existenzielle Gefahr, der sich Unternehmen mit unzureichender GRC aussetzen, wurde noch nie deutlicher erkannt. Die negativsten Konsequenzen, die die Befragten sehen, sind Geschäfts- und Umsatzverluste (45 %), Rufschäden (42 %) und Geschäftsunterbrechungen (37 %), gefolgt von Gerichtsverfahren (32 %) und Geldbußen (31 %). Die Befragten sind geteilter Meinung, ob die größten Risiken von extern oder von intern ausgehen. Mehr als die Hälfte (57 %) befürchten externe Risiken, wohingegen 43 % sich stärker um interne Risiken sorgen. Europäische und US-amerikanische Unternehmen sehen die Risiken eher außerhalb ihrer eigenen Unternehmen. Südafrikanische und japanische Unternehmen hingegen zeigen sich besorgter um interne Risiken. Abbildung 1: Faktoren, die auf GRC den größten Druck ausüben 49 % Zunehmende Komplexität von Risiken und Vorschriften Schaffung von mehr Transparenz über die Wirksamkeit von Kontrollprozessen und Compliance 47 % Druck zur GRC-Kostenreduzierung 44 % 43 % 42 % Konzentration auf konsistente und hochwertige GRC-Informationen Zunehmende Überprüfung durch die Stakeholder Risikomanagement in Zeiten hoher Komplexität Loudhouse 2015 Seite 3

4 GRC-Herausforderungen Governance, Risk und Compliance ist in Unternehmen immer wichtiger geworden und steht unter immer stärkerer Beobachtung. Die GRC-Ansätze weisen einen sehr unterschiedlichen Entwicklungsgrad auf. Nur eins von zehn Unternehmen gibt an, dass es organisationsweit GRC-Prozesse integriert hat, bei denen alle Führungskräfte aufeinander abgestimmte GRC- Sichten und dieselben Kennzahlen für alle Prozesse und Projekte nutzen. 67 % der Unternehmen verfolgen einen fragmentierten Ansatz und nutzen abteilungsoder problemspezifische Lösungen. Nur 33 % der Unternehmen setzen eine gemeinschaftliche, einheitliche Technologieplattform für die Steuerung aller GRC-Prozesse ein. Nahezu zwangsweise macht es die Vielfalt und Vielzahl der in Unternehmen heute genutzten IT-Lösungen nahezu unmöglich, eine einheitliche und für alle verbindliche Sicht auf Daten zu gewinnen, auf die sich Entscheidungen stützen könnten. 63 % der Befragten geben an, dass sie keine kohärente Sicht auf das Geschäft ihrer Unternehmen gewinnen können. Sie versuchen stattdessen, die zunehmenden Erwartungen der Geschäftsbereiche mit Werkzeugen zu erfüllen, die wenig hilfreich und nicht in andere Unternehmenslösungen integriert sind. Nur eins von zehn Unternehmen ist mit den eigenen GRC-Werkzeugen, -Technologien und -Prozessen vollständig zufrieden und der Auffassung, dass diese exakt an den aktuellen Anforderungen ausgerichtet sind. Und ebenso ist sich nur jedes zehnte Unternehmen wirklich sicher, dass die GRC- Werkzeuge, -Technologien und -Prozesse mit seinem zukünftigen Wachstum Schritt halten werden. Dies löst natürlich Unzufriedenheit bei den GRC- Verantwortlichen aus. Nahezu vier von zehn GRC-Fachkräften (38 %) verspüren bereits den Mangel an Transparenz und Integration von Risiko- und Kontrollverfahren. Ein ähnlich hoher Anteil weist auf den Zeitaufwand beim Abgleich von Berichtsdokumenten hin (37 %). Viele Mitarbeiter beklagen auch Schwierigkeiten beim Datenzugriff und bei der Bearbeitung wichtiger Daten (34 %) sowie bei der Verwendung von Daten für Planungszwecke (34 %). Die Länder mit dem höchsten Prozentsatz an Unternehmen, die miteinander inkompatible Silolösungen nutzen, sind die USA (73 %), Japan (73 %) und Großbritannien (72 %). Einheitliche Plattformen werden am häufigsten in Brasilien (43 %), Deutschland (42 %) und Frankreich genutzt (41 %). Selbst in den Ländern, in denen integrierte Lösungen verbreiteter sind, ist ihr Anteil noch nicht hoch genug, um nachhaltig zu wirken. Unternehmen weltweit haben dies erkannt. Nahezu drei Viertel (72 %) von ihnen erkennen den Wert einer Integration von GRC-Programmen mit Maßnahmen zur Weiterentwicklung der Unternehmensarchitektur. Risikomanagement in Zeiten hoher Komplexität Loudhouse 2015 Seite 4

5 Abbildung 2: Aktueller Zeitaufwand für GRC im Vergleich zu Best Practices Istwert Best Practice Ineffizienzen binden Zeit, die geschäftlich besser genutzt werden könnte. Derzeit verbringen GRC-Mitarbeiter 59 % ihrer Arbeitszeit mit administrativen und nur 41 % mit strategischen Aufgaben. 41 % 59 % 54 % 46 % Unter idealen Bedingungen wäre der Einsatz für strategische Aufgaben wesentlich höher. Doch die extrem zeitaufwendige Administration verhindert, dass die GRC-Mitarbeiter einen größeren strategischen Geschäftsbeitrag liefern können. Das Ergebnis: Unternehmen verfolgen weitgehend nur einen reaktiven GRC-Ansatz. 34 % Administrations- und Transaktionsaufgaben Strategischer Beitrag zu Geschäftsentscheidungen Darüber hinaus sind 34 % der Befragten der Meinung, dass ihre aktuellen Prozesse und Systeme zu stark vergangenheitsorientiert und kaum auf strategische Planung ausgerichtet sind. Lediglich 46 % der im Unternehmen vorhandenen GRC-Daten sind effektiv erfasst und werden für strategische Ziele genutzt. Veraltete, unzureichende GRC-Lösungen verhindern, dass messbarer strategischer Mehrwert geliefert wird. meinen, dass die aktuellen Prozesse und Systeme zu stark vergangenheitsorientiert und kaum auf strategische Planung ausgerichtet sind. Risikomanagement in Zeiten hoher Komplexität Loudhouse 2015 Seite 5

6 Abbildung 3: Prozentsatz der erfassten und verwendeten Daten in den jeweiligen Quellen, die GRC unterstützen Internet der Dinge 46 % 6 % 23 % Geschäftsbeziehungen 6 % 22 % Externe Quellen 27 % 31 % 24 % 23 % 15 % 14 % 5 % 4 % der GRC-Daten im Zugriff von Unternehmen sind effektiv erfasst und werden vom Unternehmen für strategische Ziele genutzt. 5 % 25 % 29 % 24 % 13 % 4 % Personaldaten 4 % 22 % 28 % 25 % 18 % 3 % Finanztransaktionen 3 % 19 % 30 % 27 % 20 % 2 % Operative Daten (Volumina und Statistiken) 3 % 20 % 33 % 27 % 16 % 2 % s, Dokumente und Tabellen 4 % 25 % 32 % 20 % 17 % 2 % Keine (0 %) 1 % - 25 % 26 % - 50 % 51 % - 75 % Mehr als 75 % Weiß nicht Risikomanagement in Zeiten hoher Komplexität Loudhouse 2015 Seite 6

7 Für die Beurteilung des GRC- Ansatzes eines Unternehmens wurden die Befragten einer der vier Reifegrad-Stufen zugeordnet: Stufe 3 Abbildung 4: Aktueller GRC-Ansatz Stufe 4 Stufe 1 11 % 23 % 21 % Welche der folgenden Aussagen beschreibt den aktuellen GRC-Ansatz Ihres Unternehmens am besten? Stufe 1: Fragmentierter und weitgehend reaktiver GRC-Ansatz mit separaten Teams, die sich jeweils mit spezifischen Vorschriften, Risiken und Governance-Fragen beschäftigen Stufe 2: Unser Unternehmen ist sich der GRC- Zusammenhänge nur teilweise bewusst und konzentriert sich hauptsächlich auf die offensichtlichsten und zwingendsten Complianceprobleme. In Richtlinien und Werkzeuge, die GRC vereinfachen, wird wenig investiert. Stufe 3: Wir sind mitten im Prozess einer strategischen Neuausrichtung, die auf einem unternehmensweit konsistenten GRC-Rahmenwerk basiert. 45 % Stufe 2 Abbildung 5: Reifegrad des GRC-Ansatzes nach Land Gesamt USA Großbritannien Deutschland Niederlande Brasilien Japan Frankreich Südafrika Nordische Länder Stufe 1 23 % 28 % 19 % 26 % 15 % 27 % 23 % 19 % 25 % 18 % Stufe 2 45 % 41 % 48 % 40 % 53 % 40 % 50 % 51 % 38 % 53 % Stufe 3 21 % 16 % 19 % 27 % 23 % 21 % 22 % 20 % 25 % 19 % Stufe 4 11 % 14 % 15 % 8 % 9 % 13 % 5 % 10 % 13 % 10 % Stufe 4: GRC ist auf allen Organisationsebenen integriert. Unsere Führungskräfte haben eine ausgewogene GRC- Sicht und arbeiten in allen Prozessen und Projekten mit einheitlichen Kennzahlen. Der fragmentierte Ansatz dominiert besonders in den Niederlanden, Japan, Frankreich und den nordischen Ländern. Die Länder, in denen GRC am häufigsten auf allen Unternehmensebenen integriert ist oder in denen die Implementierung eines konsistenten GRC-Rahmenwerks ansteht, sind Südafrika, Deutschland, Großbritannien und Brasilien. Risikomanagement in Zeiten hoher Komplexität Loudhouse 2015 Seite 7

8 Tragweite der aktuellen GRC-Ansätze Solange keine Investitionen in die Aktualisierung der GRC-Systeme getätigt werden, werden die Möglichkeiten der GRC-Abteilungen, einen strategischen Geschäftsbeitrag zu leisten, noch weiter sinken. Es ist offensichtlich, dass die aktuellen GRC-Ansätze in den Unternehmen nicht nachhaltig wirken. Die Bedenken von 90 % der Befragten, dass ihre GRC-Werkzeuge, -Technologien und -Prozesse nicht mit zukünftigem Wachstum Schritt halten können, spiegeln sich auch in der Beurteilung wider, wie wenig die vorhandene Technologie die geschäftsrelevanten GRC-Ziele unterstützt. Nur eins von sieben Unternehmen betrachtet seine aktuelle Technologie zur Unterstützung von GRC-Zielen als sehr effektiv in allen Unternehmensbereichen. Ungefähr 40 % beurteilen ihre Technologie als nicht besonders effektiv. In keinem anderen Bereich ist diese technologische Schwäche spürbarer als bei internen Kontrollsystemen. Nur 21 % der Befragten beurteilen ihre aktuelle Technologie als sehr effektiv für die Überwachung von Risiken. Noch weniger, nämlich 17 %, befinden ihre Technologie für die Automatisierung von Kontrollen als sehr effektiv. Trotz der wahrgenommenen technologischen Ineffizienz in diesen Bereichen ist über die Hälfte (54 %) der Befragten der Auffassung, dass eine durchgehende Überwachung interner und externer Daten die Effektivität steigern kann. 43 % meinen, dass so mehr Risikobereiche erfasst werden. Nahezu ein Viertel (24 %) nimmt an, dass eine durchgehende Überwachung eine strategischere Ausrichtung der GRC-Abteilung bewirkt. Die Unzufriedenheit der GRC-Mitarbeiter rührt daher, dass ihnen dafür die richtigen Werkzeuge fehlen. Die angeführten Problempunkte überraschen kaum, wenn man berücksichtigt, dass nahezu die Hälfte der Unternehmen (48 %) ihre GRC-Prozesse und -Technologien in den letzten drei Jahren nie überprüft haben. Viele Unternehmen haben bisher noch nicht einmal den Änderungsbedarf evaluiert. Daher ist es nur logisch, dass 75 % der Befragten der Ansicht sind, dass die GRC-Prozesse in ihren Unternehmen eine Generalüberholung benötigen. 21 % der Befragten beurteilen ihre aktuelle Technologie für die Risikoüberwachung als sehr effektiv. Risikomanagement in Zeiten hoher Komplexität Loudhouse 2015 Seite 8

9 65 % der Unternehmen können ihre aktuellen Risiken weder quantifizieren noch qualifizieren. 74 % Ohne Maßnahmen, die die zukünftige Funktionsfähigkeit der GRC-Abteilungen sicherstellen, setzen sich die Unternehmen weiteren Risiken aus. Tatsächlich sehen sechs von zehn Befragten (62 %) das Risikomanagement als wachsende betriebliche und finanzielle Belastung. Doch werden als schwerwiegendste Folgen der unzulänglichen GRC-Ansätze (und des mangelnden Einsatzes geeigneter Technologie) die wachsenden Risiken (43 %) und das Unvermögen, alle Risiken erfassen zu können (38 %), angesehen. Tatsächlich können 65 % der Unternehmen ihre aktuellen Risiken weder quantifizieren noch qualifizieren. Dass 70 % von ihnen nicht in der Lage sind, neu entstehende Risiken zu quantifizieren, überrascht dann auch nicht mehr. Und diese Risiken sind für Unternehmen durchaus eine ernsthafte Bedrohung, so die Studie. Von nahezu drei Viertel der Befragten (74 %) wird anerkannt, dass ein effektives Risikomanagement sich stark auf den Unternehmensgewinn auswirken kann. wissen, dass ein effektives Risikomanagement sich stark auf den Unternehmensgewinn auswirken kann. Befragte US-Amerikaner zeigen sich am besorgtesten über den aktuellen GRC- Gesamtzustand: 90 % stimmen der Aussage zu, dass ihre GRC-Prozesse eine Generalüberholung benötigen. Dieser Meinung sind im weltweiten Durchschnitt nur 75 %. Mittlerweile stimmen 87 % der befragten US-Amerikaner zu, dass sich GRC weiterentwickeln und einen größeren Geschäftsbeitrag leisten muss. Risikomanagement in Zeiten hoher Komplexität Loudhouse 2015 Seite 9

10 Weiterentwicklung von GRC Die meisten GRC-Verantwortlichen sind sich einig: Ein Weckruf ist nötig. Eine deutliche Mehrheit (73 %) gibt an, dass sich GRC weiterentwickeln und mehr Geschäftsbeiträge leisten muss. Die Unternehmen wissen, dass sie die GRC- Prozesse standardisieren, Kosten senken und strategischen Mehrwert erzielen müssen. In den kommenden zwölf Monaten liegen die Prioritäten im GRC auf höherer Konsistenz (42 %), früherer Erkennung und Steuerung von Risiken (41 %), höherer GRC-Effizienz (39 %) sowie auf GRC- Leistungs- und strategischer Wertsteigerung (37 %). Abbildung 6: Prioritäten für GRC in den kommenden zwölf Monaten 42 % 41 % Mehr Konsistenz und unternehmensweite Prozessstandardisierung Frühzeitige Erkennung und Steuerung von Risiken Senkung der GRC-Kosten und Effizienzsteigerung 39 % 37 % 36 % 35 % 29 % Leistungssteigerung und strategischer Wert Erfüllung neuer und sich ändernder regulatorischer Anforderungen Umfassende und kontinuierliche Überwachung und Steuerung von Risiken Einführung neuer, fortschrittlicher GRC-Technologien Etablierung einer konsistenten Risikobereitschaft 22 % 14 % 2 % Rechtzeitiges Reporting Keine der oben genannten Prioritäten Risikomanagement in Zeiten hoher Komplexität Loudhouse 2015 Seite 10

11 Die Hindernisse für die Erreichung der GRC-Ziele unterscheiden sich von Land zu Land. Für Südafrika ist, knapp gefolgt von den USA, der GRC- Fachkräftemangel eine der größten Herausforderungen. Fehlende Akzeptanz im Vorstand ist vor allem in Europa und Nord- und Südamerika ein Hindernis. Rund ein Drittel der Befragten dieser Regionen äußern solche Bedenken. In den Niederlanden liegt dieser Anteil nur noch bei einem Fünftel, in Deutschland bei ungefähr einem Zehntel. Auf dem Papier liest sich alles ganz einfach, aber die Realität bietet viele Hürden. Da ist zunächst der Ressourcenmangel. Mehr als ein Drittel der Befragten (36 %) gibt an, dass sie zu wenig IT-Unterstützung für die Erreichung ihrer GRC-Ziele erhalten. Weitere Hürden sind der Fachkräftemangel (35 %) und zu kleine Budgets (33 %). Die größte Herausforderung für GRC-Verantwortliche ist jedoch ein wahrgenommener Mangel an Unterstützung durch die Geschäftsbereiche. Fehlende Akzeptanz im Vorstand (31 %) und mangelnde Zusammenarbeit der GRC-Stakeholder und -Führungskräfte (31 %) werden als signifikante Hindernisse für die GRC-Zielerreichung angesehen. GRC-Mitarbeiter müssen viel Zeit darauf verwenden, die Geschäftsbereiche und speziell die Vorstandsebene über die Vorteile leistungsfähiger GRC-Prozesse und -Lösungen aufzuklären. Governance, Risk and Compliance geht jeden etwas an. Das Überleben des Unternehmens kann vom Erreichen der strategischen GRC-Ziele abhängen. Und in einer von zunehmender Komplexität geprägten Zeit muss diese Unterstützung so fokussiert sein wie ein Laserstrahl. GRC-Abteilungen können sich die gewünschte Priorität auf strategischer Ebene nur erarbeiten, wenn sie messbaren Mehrwert für das gesamte Unternehmen erzielen. Unternehmen müssen sich heute mit ständig zunehmender Komplexität der gesetzlichen Anforderungen, einem größer werdenden Risikoumfeld und den eigenen ambitionierten Geschäftsvorgaben auseinandersetzen. Mit den richtigen Werkzeugen, Prozessen und Technologien kann GRC ein schwer überwindbarer Schutzwall gegen Risiken sein. Viel wichtiger ist jedoch, dass GRC einen strategischen Mehrwert bietet, der die Wettbewerbsfähigkeit und auf lange Sicht das Überleben des Unternehmens sicherstellt. 36 % geben an, dass die unzureichende IT Unterstützung ein Hindernis bei der Erreichung der GRC-Ziele ist. Risikomanagement in Zeiten hoher Komplexität Loudhouse 2015 Seite 11

12 Ein Fünf-Punkte-Plan für den perfekten GRC-Einsatz 1. Beweisen Sie den strategischen Wert von GRC. Man sollte nicht darauf warten, dass Vorstände den strategischen Wert von GRC von selbst erkennen. Es müssen Beweise gebracht werden, die mit konkreten Daten hinterlegt sind. Solange diese Beweise für den Wert leistungsfähiger GRC-Prozesse und -Werkzeuge fehlen, bleibt die Gefahr einer weiteren Vernachlässigung von GRC groß. 2. Weisen Sie die Verantwortlichkeit für GRC eindeutig zu. Es ist wichtig, dass eine Person im Unternehmen die Verantwortung für GRC trägt. Verantwortung führt zu Maßnahmen und Fortschritten. 3. Streben Sie eine ganzheitliche, zukunftssichere Lösung an. GRC-Lösungen müssen Sie ganzheitlich angehen. Dabei sollten Sie eine Architektur in Betracht ziehen, die die Integration von GRC in andere Geschäftsbereiche ermöglicht. Sie sollte skalierbar sein und auch die zukünftigen Ziele Ihres Unternehmens abdecken. 4. Forcieren Sie Änderungen der Unternehmenskultur. Die besten GRC-Technologien und -Prozesse bleiben ineffektiv, wenn Ihr Unternehmen den Beitrag von GRC zum Geschäftserfolg nicht erkennt. GRC sollte grundlegend in die Geschäftsprozesse integriert und im Denken aller Verantwortlichen verankert sein. 5. Handeln Sie sofort. Verzögerungen führen zu schwerwiegenden Konsequenzen. Der Druck der gesetzlichen Vorgaben wächst in allen Branchen weiter. Ohne die richtigen Werkzeuge und Methoden setzen sich Unternehmen vermeidbaren Risiken aus. Risikomanagement in Zeiten hoher Komplexität Loudhouse 2015 Seite 12

13