Warum GRC den Zielkonflikt von Geschäftsleitung und GRC-Experten aktuell nicht vollständig auflöst

Über Rollenklarheit, Akzeptanz als Währung und die Kunst, Executive Performance zu stärken, ohne sie zu überlasten.

Governance, Risk und Compliance – kurz GRC – ist längst als integriertes Rahmenkonzept etabliert, das Unternehmen dabei unterstützt, Ziele aufeinander abzustimmen, Risiken zu steuern und die Einhaltung von Vorschriften wie internen Richtlinien sicherzustellen. Die rechtlichen Ankerpunkte sind bekannt: § 91 ff. AktG, § 93 AktG, § 43 GmbHG, das KonTraG sowie zahlreiche sektorspezifische Regelwerke. In den vergangenen Jahren sind hinzugekommen das Hinweisgeberschutzgesetz, das Lieferkettensorgfaltspflichtengesetz, DORA, die NIS2-Umsetzung, ESG- und Nachhaltigkeitsberichterstattung. Die Regulierungsdichte wächst, und mit ihr die Erwartungen an die Geschäftsleitung.

Und dennoch – oder gerade deshalb – beobachten wir in der Beratungspraxis einen Zielkonflikt, den selbst ausgereifte GRC-Systeme nicht vollständig auflösen. Er ist kein Konstruktionsfehler, sondern eine strukturelle Spannung, die benannt, verstanden und gestaltet werden will.

Governance ist und bleibt die Domäne der Geschäftsleitung

Governance ist keine Assistenzfunktion, die sich delegieren ließe. Sie ist die ureigene Aufgabe der Unternehmensleitung. Sie bestimmt Vision, Mission und Strategie. Sie setzt die Rahmenwerke. Sie verantwortet die Umsetzung. Sie organisiert, delegiert, kontrolliert – und zeichnet am Ende für die lückenlose Dokumentation verantwortlich. Genau hier setzen die Sorgfaltspflichten nach § 43 GmbHG und § 93 AktG an: Die Leitungsverantwortung lässt sich organisieren, aber nicht wegdelegieren.

GRC-Experten – ob intern im Unternehmen verankert oder extern mandatiert – stehen in diesem Gefüge an einer klar definierten Stelle: Sie unterstützen die Geschäftsleitung bei Organisation, Delegation und Überwachung. Sie sind keine Parallelautorität. Sie sind Ermöglicher.

Zwei Missverständnisse – zwei Richtungen der Klarstellung

Der Zielkonflikt entsteht, wenn eine von zwei Seiten ihre Rolle verkennt.

Geschäftsleitungen müssen klar verstehen: Die Beauftragung eines Compliance Officers, eines Risk Managers oder einer ganzen GRC-Funktion bedeutet keine Abgabe der Leitungsverantwortung. Sie bedeutet auch keinen Vertrauensverlust gegenüber dem eigenen Urteil. Sie bedeutet Zugewinn an Struktur, Frühwarnung und Systematik – nicht weniger, aber auch nicht mehr.

GRC-Experten wiederum müssen respektieren, wofür sie eingesetzt sind: Ihr Auftrag ist, die Executive Performance zu steigern. Sie helfen zu fokussieren, zu ordnen, Routinen zu stabilisieren. Sie produzieren Entlastung, nicht Zusatzlast. Das ist weder Dienstbarkeit noch Bescheidenheit – es ist professionelles Rollenverständnis. Wer in GRC-Funktionen mit „moralischem Gewissen des Unternehmens" oder mit Durchsetzungsgesten arbeitet, verfehlt den Zweck der Funktion.

Die begrenzte Ressource: Aufmerksamkeit der Geschäftsleitung

Wirksame GRC-Arbeit ist in modernen Unternehmen ein Vollzeitjob. Das ergibt sich nicht aus Selbstbedeutung der Profession, sondern schlicht aus der Komplexität der Anforderungen: DORA, LkSG, HinSchG, DSGVO, MaRisk, NIS2, ESG-Reporting, KRITIS, Exportkontrolle, Geldwäscheprävention, Kartellrecht, Produkthaftung – kein einzelnes Geschäftsleitungsmitglied kann diese Themen in der gebotenen Tiefe selbst tragen. Genau dafür gibt es GRC-Funktionen.

Die eigentliche Herausforderung liegt an anderer Stelle: Die Aufnahmekapazität der Geschäftsleitung ist endlich. Sie ist die knappste Ressource im ganzen System. Wer sie überfordert, wirkt nicht gründlich, sondern bekommt sie nicht mehr angeboten.

Gute GRC-Experten verstehen das. Sie berichten nicht alles, was sie wissen, sondern das, was Entscheidung ermöglicht. Sie strukturieren Vorlagen so, dass Leitung führen kann, nicht nachverwalten muss. Sie trennen sauber zwischen Information, Empfehlung und Entscheidungsaufruf. Und sie akzeptieren, dass die Geschäftsleitung auch gegen den Vorschlag der GRC-Funktion entscheiden darf – unter Wahrnehmung ihrer Leitungsverantwortung und lückenloser Dokumentation.

Drei Wirkrichtungen – und der Blick aus dem umgedrehten Organigramm

In konventioneller Darstellung dient GRC in drei Richtungen:

Nach oben – zum Sponsor, also zur Geschäftsleitung, zum Aufsichtsrat oder Beirat. Verlässliches Reporting, Frühwarnung, Entscheidungsvorbereitung.

Zur Seite – zu den anderen Stabs- und Unterstützungsfunktionen. Abstimmung, Harmonisierung, gemeinsames Leitplanken-Setzen ohne Doppelarbeit.

„Nach unten" – zu den Hauptwertschöpfungsfunktionen. Vertrieb, Produktion, Entwicklung, Kundenbetreuung.

Erst wenn man das Organigramm gedanklich umdreht, wird sichtbar, wer hier eigentlich wen unterstützt. Die wertschöpfenden Funktionen tragen das Unternehmen. Die Geschäftsleitung trägt die Verantwortung. GRC trägt bei, indem es beide handlungsfähig hält. Diese Perspektivumkehr ist keine sprachliche Spielerei – sie ist die Voraussetzung für Haltung.

Akzeptanz ist die Währung der GRC-Performance

Wenn wir in unserer Arbeit einen Maßstab nennen müssten, der alles andere strukturiert, wäre es dieser: Akzeptanz. Nicht Normkonformität, nicht Auditfestigkeit, nicht Reifegrad-Punkte – sondern gelebte, kalkulierbare Akzeptanz.

Akzeptanz hat dabei zwei Ebenen. Die grundsätzliche Akzeptanz für die Bedeutung der GRC-Arbeit im Unternehmen insgesamt – und die konkrete Akzeptanz einzelner Arbeitsprodukte: des Risikoberichts, der Schulung, der Policy, des Audits. Beides muss erarbeitet werden. Bei der Geschäftsleitung, bei den benachbarten Stabsfunktionen, in der gesamten Organisation.

Akzeptanz entsteht nicht durch Anordnung von oben. Sie entsteht durch Nutzen, durch Tonlage, durch Timing und durch konsequente Ergebnisqualität. Sie ist verdient, nicht verliehen.

Warum GRC den Konflikt nicht vollständig auflöst – und das auch nicht muss

Klassische GRC-Rahmenwerke – COSO, COBIT, ISO 37301, das überarbeitete Three-Lines-Modell des IIA – leisten außerordentlich viel. Sie schaffen Struktur, Rollenklarheit und Nachvollziehbarkeit. Was sie nicht leisten, ist die Auflösung des Grundkonflikts zwischen begrenzter Leitungsaufmerksamkeit und unbegrenzter Regulierungsdichte. Dieser Konflikt bleibt. Er ist der Preis einer arbeitsteiligen, regulierten, verantwortungsvollen Unternehmensführung.

Gute GRC-Arbeit löst den Konflikt nicht auf – sie gestaltet ihn. Sie macht ihn kalkulierbar. Sie verwandelt latente Spannung in produktive Reibung. Sie schützt die Geschäftsleitung vor Überlastung und gleichzeitig vor Blindflug. Und sie erinnert alle Beteiligten regelmäßig daran, wem die Funktion dient.

Das ist die Haltung, aus der das VAlog®-System entwickelt wurde – und die Perspektive, mit der wir in GRC-PERFORMANCE-Mandaten arbeiten: Wissen. Wahren. Wachen. Wehren. Und dabei nie vergessen, wer das Unternehmen führt.