LIFE SCIENCES
Regulatorische Anforderungen
Mit europäischen Regelwerken wie DORA, NIS2 und dem AI Act steigen die Anforderungen an Governance-, Risiko- und Kontrollsysteme spürbar und branchenübergreifend. Unternehmen sehen sich zunehmend mit komplexen Risiken konfrontiert - insbesondere im Zusammenhang mit Informations- und Kommunikationstechnologien sowie wachsenden digitalen Abhängigkeiten.
GRC-Lösungen unterstützen Organisationen dabei, Risiken systematisch zu steuern, regulatorische Vorgaben umzusetzen sowie Rollen und Verantwortlichkeiten transparent abzubilden. Damit entwickeln sie sich zunehmend zu einem zentralen Instrument für ein belastbares Organisations- und Risikomanagement.
"Viele Unternehmen entwickeln ihre GRC-Strukturen derzeit weiter oder bauen diese neu auf", betont Partner Roland Ehlies. "Dabei zeigt sich, dass klare Anforderungen und eine strukturierte Auswahl entscheidend für eine nachhaltige Implementierung sind."
Funktionen und Leistungsumfang
Die Studie macht deutlich, dass sich Anbieter insbesondere hinsichtlich Modularität, Zielkundensegmenten und Lizenzmodellen unterscheiden. Während zahlreiche Lösungen zentrale Bereiche wie Informationssicherheit, Risikomanagement, Audit oder Business Continuity unterstützen, decken nur wenige Anbieter sämtliche Funktionsbereiche vollständig ab.
Die Ergebnisse unterstreichen zudem, dass beim Einsatz von GRC-Lösungen ein "individuelles Fitting" den pauschalen One-size-fits-all-Ansatz zunehmend ersetzt - nicht zuletzt aufgrund wachsender regulatorischer und organisatorischer Anforderungen.
Daraus ergeben sich grundsätzlich zwei strategische Ansätze für Unternehmen: die Implementierung einer möglichst integrierten Plattform oder die Kombination mehrerer spezialisierter Lösungen. Beide Optionen setzen jedoch eine präzise Definition der eigenen Anforderungen voraus.
"Eine pauschal geeignete Lösung gibt es im GRC-Umfeld nicht", resümiert Gerrit Aufderheide. "Welche Plattform sinnvoll ist, hängt maßgeblich von Faktoren wie Unternehmensgröße, regulatorischem Umfeld sowie bestehenden technischen Strukturen ab." Für eine initiale Ermittlung des individuellen Fittings stellt das Unternehmen auf der Studien-Homepage einen Fragebogen für interessierte Unternehmen bereit. Die Ergebnisse werden im Anschluss in einem Expertengespräch vorgestellt.
IKT- und Drittparteirisiken
Ein Schwerpunkt vieler Lösungen liegt auf der Abbildung von Risiken im Zusammenhang mit Informations- und Kommunikationstechnologie. Dazu zählen unter anderem Abhängigkeiten von IT-Dienstleistern, Cloud-Anbietern oder externen Partnern, die das Risikoprofil von Organisationen zunehmend beeinflussen.
Viele Anbieter verfügen bereits über Funktionen zur Unterstützung regulatorischer Anforderungen wie DORA, etwa bei der Identifikation kritischer Funktionen oder der strukturierten Dokumentation relevanter Informationen. Unterschiede zeigen sich jedoch beispielsweise beim Automatisierungsgrad, bei Integrationsmöglichkeiten sowie bei der praktischen Umsetzung innerhalb bestehender Systemlandschaften.
"Neben der funktionalen Abdeckung entscheiden zunehmend Faktoren wie Skalierbarkeit, Integrationsfähigkeit und Wirtschaftlichkeit darüber, ob eine GRC-Lösung dauerhaft tragfähig ist", erklärt Roland Ehlies. "Wer heute auswählt, trifft damit eine Entscheidung mit langfristigen Auswirkungen auf Steuerungsfähigkeit, Transparenz und regulatorische Resilienz des Unternehmens."
