Ausschuss für Risikomanagement und Compliance

1) Ernennung und Mandat

Der Ausschuss für Risikomanagement und Compliance (im Folgenden „Ausschuss“) ist ein kollegiales Gremium, das

bildet und pflegt Risk Appetite und Compliance-Prinzipien;

genehmigt die wichtigsten Politiken/Normen und deren Änderungen;

überwacht die wichtigsten Risiken (operative, regulatorische, Informationssicherheit/Datenschutz, Finanzen, Dritte);

legt die Compliance-Metriken und SLO/SLA fest und überwacht deren Erreichung;

befasst sich mit Fragen der Eskalation und des Konflikts von Prioritäten;

stellt den Status „audit-ready“ bereit (Evidenzbasis, Entscheidungsprotokolle).

2) Zusammensetzung und Unabhängigkeit

• Leiter Compliance/DSB (Co-Chair)
• CISO/Head of Security (co-chair)
• Head of Legal
• Head of Risk/Enterprise Risk
• CFO/Finance (für Folgenabschätzungen)
• Geschäfts-/Produktbeauftragter (VP/Director)
• Leiter Plattform/Infrastruktur oder CTO-Delegate

• Interne Revision (Beobachter)
• HR/L & D (Schulung/Zertifizierungen)
• Beschaffung/Vendor Mgmt (Dritte)
• Data/Platform (DWH/Lineage/CCM)

Prinzipien der Unabhängigkeit: keine Interessenkonflikte, Dokumentation von Wiederholungen (Selbstüberweisungen), Fixierung der Rolle der Beobachter.

3) RACI des Ausschusses

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

4) Vorschriften und Periodizität

Normaler Modus: einmal im Monat (90 Minuten) + wöchentliche KPI/KRI-Express-Überwachung (15 Minuten).
Krisenmodus (Incident/Regulator): Sitzungen alle 24-48 Stunden bis zur Stabilisierung.
Quorum: ≥ 2/3 der Stimmberechtigten, einschließlich eines Co-Chairs.
Lösungen: einfache Mehrheit; durch hohes Risiko - 2/3 und Vetorecht bei Co-Chairs (in der Satzung zu fixieren).

5) Eingehende Artefakte (Eingaben)

Risiko-Register und Heatmap (von KRI aktualisiert).
Compliance KPI/SLO: DSAR/SLA, Access Hygiene, Drift, Evidence Coverage и др.
Änderungsprotokoll nach Richtlinie (Major/Minor/Emergency).
Waivers-Register mit Ablaufdaten und Ausgleichskontrollen.
Incidents & Findings: Sev1/Sev2, Wiederholbarkeit, Remediationsstatus.
Vendor Risk: kritische Anbieter, Verstöße gegen SLA/Zertifikate.
Audit/Assessments: Status, offene Kommentare, Bereitschaft „per Button“.

6) Ausgänge und Artefakte (Ausgänge)

Entscheidungsprotokoll mit Owner, Due Date, Severity und erwarteter Risikowirkung.
Aktualisierte Risk Appetite Statement und Prioritäten.
Apruv/Ablehnung von Richtlinien und Ausnahmen (waivers) mit Bedingungen.
Eskalationsschreiben/-lösungen für Vorstand/CEO bei hohem Risiko.
One-Pager-Kommunikation und Aufgaben für Teams (Tickets in ITSM/GRC).

7) Typische Tagesordnung (60-90 Minuten)

1. Zusammenfassung von KPI/KRI und Abweichungen (10").
2. Incidents/Sev1-Updates und Lektionen (15").
3. Politiker: Große Veränderungen, Konfliktdeutungen, Lokalisierungen (15").
4. Dritte: Verstöße gegen SLA/Zertifikate, Subprozessoren (10").
5. Waivers: Verlängerung/Schließung, rote Zonen (10").
6. Audit/Assessments: Bereitschaftsstatus und "Audit Pack" (10").
7. Lösungen und Aufgabenverteilung (10").

8) Entscheidungs- und Eskalationsverfahren

Entscheidungskarte (Vorlage): Kontext → Optionen → Auswirkungen auf Risiko/Wert → Empfehlung → Abstimmung.
Eskalation: wenn Risiko> Appetite oder überfällig> SLA - Take-away auf Executive/Board.
Review: Post-Fact-Bewertung der Wirkung der Lösung nach 30-60 Tagen (Impact Review).

9) Integrationen und Flow Through

RBA (Risk Audit): Findings → Tagesordnung des → Owner/Due Committee → Abschlusskontrolle.
CCM (Continuous Monitoring): Alerts/Metriken → Priorisierung von Regeln/Schwellenwerten.
Policy Lifecycle/Change Mgmt: Major-Bearbeitungen → Apruv, Kommunikation, Lernen.
Vendor DD/Outsourcing: Scoring-Modell und Gup-Listen → Vertragsbedingungen/SLA.
Incident Mgmt: SOAR/PR/Legal Playbooks → Berichte und Lektionen.

10) Leistungskennzahlen des Ausschusses

On-time Remediation:% der Aufgaben des Ausschusses, die rechtzeitig abgeschlossen wurden (nach Severity).
Decision Lead Time: Die mediane Zeit von der Frage bis zur Entscheidung.
Waiver Hygiene:% -Ausnahmen mit aktuellem Ablaufdatum (Ziel: 100%).
Repeat Findings: Anteil der Wiederholungen in 12 Monaten (Ziel: ↓).
Audit Readiness Time: Stunden bis zum vollständigen „Audit Pack“.
Risk Reduction Index: ∆ des QoQ-Gesamtrisikos.
Kommunikation SLA:% der Rollen, die rechtzeitig durch Major-Entscheidungen benachrichtigt wurden.

11) Satzung des Ausschusses (Vorlage)

Zweck: Überwachung von Risiken und Compliance; Schutz der Interessen des Unternehmens und der Kunden.
Umfang: alle Jurisdiktionen/Geschäftsbereiche/IT-Systeme/Dritte.
Befugnisse: Genehmigung von Richtlinien/Ausnahmen; Anforderung von Daten/Audits; Eskalation im Vorstand.
Zusammensetzung und Beschlussfähigkeit: (siehe § 2 und § 4).
Interessenkonflikte: Erklärungen, Recusals, Zeitschrift.
Protokolle: Standard für volle Minuten (Agenda, Entscheidungen, Stimmen, Eigentümer, Due, Links zu Evidence).
Überarbeitung der Satzung: jährlich oder auf Antrag des Vorstandes.

12) Dokumentvorlagen

12. 1 Decision Card

Thema/Kontext/Vorschriften/Risiken

Optionen und Bewertung (Kosten, Zeitrahmen, Auswirkungen auf SLA/KRI)

Empfehlung und Risikostufe nach der Entscheidung

Inhaber der Leistung und Frist

Ergebnis der Abstimmung (Ja/Nein/Stimmenthaltung)

12. 2 Protokoll der Sitzung

Datum/Quorum/Teilnehmer

Benachrichtigung

Diskussion (kurz, Punkt für Punkt)

Lösungen (Owner, Due, Erfolgsmetrik)

Offene Fragen/Eskalationen

Anwendungen (Dashboards, Berichte, Links zum WORM-Archiv)

12. 3 Risk Appetite Matrix (Beispiel)

13) Dashboards des Ausschusses (Minimum)

Risk Heatmap: Wahrscheinlichkeit × Auswirkung × Restrisiko.
Compliance KPI Center: DSAR, Access Hygiene, Drift, Evidence Coverage.
Incidents & Findings: Sev1/Sev2, MTTR, Wiederholbarkeit.
Policy Changes: Major/Minor/Emergency Pipeline und Lernstatus.
Vendor Risiken: Zertifikate, SLAs, Subprozessoren, Vorfälle.
Waivers & Deadlines: aktiv/überfällig, Eskalationen.
Audit Readiness: Prozentsatz des „Audit-Pakets“ für Audits/Zertifizierungen.

14) Jahreskalender des Ausschusses

Monatlich: regelmäßige Tagesordnung (§ 7).
Vierteljährlich: Überarbeitung des Risikoappetits, KPI/KRI-Trends, Summe der Findings.
Halbjahr: Prüfung der wichtigsten Politikbereiche und des Waivers-Portfolios.
Jährlich: Satzung des Ausschusses, Audit-/Zertifizierungsplan, Unterrichtsbuchhaltung.

15) Krisenmanagement (Sev1/Regulatory)

sofortige Einberufung; battle-rhythm updates (z.B. alle 4 Stunden).
Einheitliche Kommunikation (Legal/PR), Controlling Legal Hold.
Lösungen zur Zugriffskonturierung/Deaktivierung von Datenintegrationen/Isolation.
Separates Protokoll des Vorfalls und Post-Mortem mit Aktionen.

16) Antipatterns

Der Ausschuss als „Briefkasten“ ohne Befugnisse und Fristen.
Das Fehlen von Protokollen und Beweisen ist bei der Prüfung umstritten.
Ewige Waiver ohne Ablaufdatum und ausgleichende Kontrollen.
Unlösbare Agenden: keine Entscheidungskarten, keine Optionen und keine Bewertung der Wirkung.
KPIs ohne Eigentümer und Verbindung zu Risk Appetite.
Interessenkonflikte ohne Managed Recusals.

17) Modell der Ausschussreife (M0-M4)

M0 Ad-hoc: seltene Begegnungen, ohne Metriken und Protokolle.
M1 Formalisiert: Satzung, Beschlussfähigkeit, Basisprotokolle, monatliche Sitzungen.
M2 Verwaltet: KPI/KRI-Dashboards, Entscheidungskarten, Waiver-Kontrolle.
M3 Integriert: Kommunikation mit CCM/RBA/Policy-as-Code, „audit-ready by button“.
M4 Assured: Predictive KRIs, automatische Eskalation, regelmäßige Impact-Review-Entscheidungen.

18) Verwandte Artikel wiki

Risikobasiertes Audit (RBA)

Kontinuierliche Compliance-Überwachung (CCM)

KPIs und Compliance-Kennzahlen

Änderungsmanagement in der Compliance-Richtlinie

Lebenszyklus von Richtlinien und Verfahren

Due Diligence und Outsourcing-Risiken

Legal Hold und Dateneinfrieren

Summe

Ein starker Ausschuss ist kein „Meeting“, sondern ein Mechanismus des Risikomanagements: klares Mandat, Unabhängigkeit und Beschlussfähigkeit in Dashboards, Entscheidungen mit Eigentümern und Fristen, Kontrolle der Ausführung und Evidenzbasis. Dann wird Compliance zu einer vorhersehbaren Säule der Strategie und nicht zu einer Geschäftsbremse.