Rahmen für Corporate Governance

1) Zweck und Grundsätze

Ziel ist es, ein nachhaltiges, dem Gesetz und den Strategien des Unternehmens entsprechendes Management mit transparenter Verantwortung, messbaren Kontrollmechanismen und einer „audit-ready“ Evidenzbasis zu gewährleisten.

• Tone from the Top: Eigenverantwortung von Vorstand und CEO.
• Accountability & Transparency: Messbarkeit von Entscheidungen, offenes Reporting.
• Risk-first & Compliance-by-Design: Anforderungen und Kontrollen sind in die Prozesse eingebettet.
• SoD/DoA: Aufgabenteilung und geführte Delegation.
• Evidence by Design: Zeitschriften, WORM-Speicher, Hash-Belege.
• Stakeholder Value: Ausgleich der Interessen von Aktionären, Kunden, Mitarbeitern, Regulatoren und Partnern.

2) Rahmenarchitektur

Verfassung/Satzung + Unternehmenspolitik (Kodex, Interessenkonflikte, ABC, Datenschutz, Risiko, Informationssicherheit).
Verwaltungsorgane: Verwaltungsrat, Ausschüsse, Führungsteam.

1. Zeile - Prozessbesitzer und P&L;

2. - Risiko/Compliance/Sicherheit;

3. - Interne Prüfung (Internal Audit).

Prozesse: Strategie und Budget, Risikoappetit, Compliance, internes Controlling, Datenmanagement/KI, VRM, Fincontrolling, Disclosure, Krisenmanagement.

Artefakte und Metriken: DoA, SoD-Matrizen, Risiko-/Kontrollregister, KPI/KRI Dashboards, Protokolle, „Audit Pack“.

3) Verwaltungsrat und Ausschüsse

Board: Genehmigt Strategie, Risikobereitschaft, Schlüsselrichtlinien, ernennt/bewertet CEOs, überwacht das interne Kontroll- und Compliance-System.

• Audit & Risk Committee (ARC): Finanzberichterstattung, interne Kontrolle, Risikokarte, Interaktion mit einem externen Prüfer.
• Compliance & Ethics Committee (CEC): Richtlinien, Compliance, Ethik/Whistleblowing, Sanktionen/Schulungen.
• Technology & Data Committee (TDC): Cyber/Privacy, KI-Ethik, Architektur und Nachhaltigkeit.
• Remuneration & Nomination (RemNom): Vergütung, Kontinuität, Unabhängigkeit der Direktoren.

Schlüsselpraktiken: jährliche Selbstbewertung des Rates und der Ausschüsse, Sitzungskalender, unabhängige Direktoren, „Executive Sessions“.

4) Geschäftsführung (ExCom)

CEO - Gesamtverantwortung für die Umsetzung der Strategie und des Kontrollsystems.
CFO - Finccontrol, Treasury, Reporting.
CRO/Head of Risk - Risikomanagement, Risikoappetit, KRI.
Head of Compliance/DPO - Regulierung/Datenschutz, Richtlinien, Schulungen, Interaktion mit der Aufsicht.
CISO/CTO - Sicherheit/Technologie, Nachhaltigkeit, BCP/DR.
General Counsel - Rechtsposition, Streitigkeiten, Lizenzen.
COO - Prozesse, Qualität, operative Nachhaltigkeit.
HR Director - Kultur, Ethik, Ausbildung, Disziplin.

5) Delegierungsmatrix (DoA) und SoD

Die DoA erfasst, wer berechtigt ist, Entscheidungen zu treffen/Dokumente zu unterzeichnen/Transaktionen unter den Schwellenwerten von Beträgen und Risiken zu genehmigen.
Der SoD schließt Rollenkonflikte aus (Initiator ≠ zustimmender ≠ Performer ≠ Controller).

• Zahlungsaufteilung: Initiator/Apruver/Zahler - verschiedene Personen/Rollen.
• Admin-Rechte: Anforderung → Uprufs des Managers → Privilegien durch PAM, obligatorisches Journal und Re-Zertifizierung.
• Einkauf und Anbieter: unabhängige VRM-Kontrolle, Prüfungsrecht, Spiegelretention.
• Ausnahmen (waivers) - nur mit Ablaufdatum und ausgleichenden Kontrollen.

6) Risikoappetit und Risikomanagement

Risk Appetite Statement (RAS): Domain-Zulassungen (Finanzen, Lizenzen, Datenschutz, IB, Betrieb, Reputation).
Risikoregister: Inherent/Residual/Target, Eigentümer, CAPA, Fristen.
Werkzeuge: Heatmap, Scoring (5 × 5/ALE/FAIR), Monte Carlo für Top-Risiken.
Prozesse: vierteljährliche Revisionen, Incident-Trigger, „Stop-the-Line“ bei drohender Lizenz/PII.

7) Internes Kontrollsystem (ICS)

Control Statements (als Code, YAML/JSON) → messbare Schwellenwerte, Quellen von Metriken.
CCM (Continuous Control Monitoring): Regel-Autoprüfungen, Pass/Fail-Berichte, CI/CD-Gates.
ToD/ToE: Design/Performance Test, Sampling und Stratifizierung.
Evidence by Design: Protokolle/Uploads/Screencasts, Hash-Quittungen, WORM/Object Lock.

8) Compliance und Ethik

Policy Repository: Versionen, Lokalisierungen, Zuordnungen zu Normen.
Ausbildung und Zertifizierung: Curriculums nach Rolle/Land, Read- & -attest, Rezertifizierung.
Ethische Linie/Whistleblowing: Anonymität, Schutz vor Repression, SLA zur Verarbeitung.
Verfolgung von rechtlichen Updates und Alerts: Radar, Priorisierung, Implementierung.

9) Daten, KI und Datenschutz

Data Governance: Datenverzeichnis, Domaininhaber, Qualität, Lineage.
Privacy-by-Design: Minimierung, Rechtsgrundlage, DSAR/Retention/Legal Hold, Grenzüberschreitung.
AI Governance: Modellregister, Datenquellen und Lizenzen, Bewertung von Vorurteilen, Erklärbarkeit, Human-in-the-Loop, Entscheidungsprotokoll, Richtlinien für den Einsatz generativer KI.

10) Finanzmanagement und Offenlegung

Berichtskalender (intern/extern), Konsolidierung, Politik der Erfassung von Erträgen/Rückstellungen.
Budgetierung/Variablenanalyse (BvA), Investitionsausschüsse.
Interaktion mit einem externen Auditor: Unabhängigkeit, PBC-Listen, Management-Repräsentationen.

11) Interaktion mit Regulierungsbehörden und Stakeholdern

Einzelkanal und Fallnummerierung, Zustellbestätigungen, SLA-Antworten.
Öffentliches Engagement: Verantwortungsvolle Werbung/Spiel, Zugänglichkeit, DEI.
Stakeholder-Karte und Kommunikationsplan (One-Pager: „was/wann/wer/wie wir messen“).

12) Krisenmanagement (Krise/BCP/DR)

Kommandozentrale und Rollen (Incident Commander, Legal Liaison, Comms Lead).
Runbooks: Szenarien (Leckage, Zahlungsversagen, DDoS, Sanktionen, höhere Gewalt).
RTO/RPO-Tests, Übungen, Post-Mortem → CAPA, Aktualisierung von Richtlinien/Kontrollen.
Legal Hold und Beweisspeicherkette.

13) Dashboards und Metriken (Mindestsatz)

Governance Scorecard: Sitzungen/Beschlussfähigkeit/Umsetzung von Entscheidungen, Selbstbewertung.
Risk & Compliance: On-time CAPA, Regulatory On-time, Repeat Findings, Evidence Completeness.
Kontrollen & CCM: Pass-Rate, „rote“ Regeln, Schließzeiten von Vorfällen.
Datenschutz & Daten: DSAR SLA, TTL-Löschungen, grenzüberschreitende Übertragungen, Vorfälle.
Vendor & Payments: Zertifikate, SLA, chargeback ratio, fraud loss%.
Training & Ethik: Reichweite/Timing, Whistleblowing Trust Index.

Jeder Indikator hat einen Eigentümer, eine Datenquelle, eine Formel und eine Zielschwelle.

14) Dokumentenmanagement und Nachweise

Protokolle von Räten/Ausschüssen, Entscheidungen, Abstimmungen - mit Zeitstempel.
Richtlinien-/Risiko-/Kontroll-/Ausschlussregister (Waiver) - in Git versioniert.
„Audit Pack“ per Button: aktuelle Richtlinien/Diffamierungen, CCM-Berichte, Logs/Screencasts, Schulungszertifikate, Vendor-Bestätigungen.

15) RACI (zusammengefasst nach Schlüsselprozessen)

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

16) SOP (Standardverfahren)

SOP-1: Quartalszyklus der Unternehmensführung

Sammlung von Metriken → Komitees (ARC/CEC/TDC/RemNom) → Entscheidungen und DoA-Updates → Berichte an den Vorstand → die Veröffentlichung von Dashboards → WORM-Archiv.

SOP-2: Änderung in DoA/SoD

Der Initiator → die Begründung des Risikos/der Wirkung → die rechtliche/Compliance-Überprüfung → die Genehmigung durch den Ausschuss → die Veröffentlichung → die Schulung und den Read-Attest.

SOP-3: Incident/Regulatory Update

Signalradar → Triage → Implementierungsplan → Aktualisierung von Richtlinien/Kontrollen/Verträgen → Verifizierung → Archiv „update pack“.

SOP-4: Bewertung der Wirksamkeit des Rates und der Ausschüsse

Eine Fragebogenvorlage → ein Interview → ein Bericht mit Empfehlungen → ein Verbesserungsplan → ein öffentlicher Ausführungstracker.

17) Artefaktmuster

17. 1 DoA-Matrix (Fragment)

17. 2 SoD (Admin-Zugänge, Zahlungen)

Initiator ≠ Apruwer ≠ Darsteller; PAM-Magazin, monatliche Re-Zertifizierung.

17. 3 Entscheidungskarte des Ausschusses

Kontext → Alternativen → Gewählte Option → Risiken/Kontrollen → KPIs → Fristen → Verantwortliche → Evidence-Links.

17. 4 RAS-Richtlinie (Auszug)

Deklarative Domainzulassungen, „rote Linien“ (z. B. Impact für Lizenzen/Datenschutz ≥ 4 erfordert eine Exec-Eskalation).

18) Antipatterns

„Governeurship on Paper“: Eine Politik ohne Metriken/Kontrollen/SSM.
Unsichere DoA/SoD → Konflikte und Missbrauch.
Keine Version/Protokolle der Ratsbeschlüsse.
Ausschüsse ohne Mandat/Quorum/Kalender.
Waivers ohne Laufzeit und Ausgleichsmaßnahmen.
Lern- und Read- & -attest ignorieren.
Kein Vendor-Spiegel → eine Lücke in der Kette.

19) Reifegradmodell (M0-M4)

M0 Ad-hoc: Entscheidungen „auf Abruf“, keine DoA/SoD, Reporting ist reaktiv.
M1 Basis: Ausschüsse eingerichtet, DoA/SoD definiert, Protokolle geführt.
M2 Verwaltet: RAS, Risikokarte, CCM, Policy Repository, Dashboards.
M3 Integriert: Policy/Assurance-as-Code, „Audit Pack“ per Button, AI/Data Governance, VRM-Spiegel.
M4 Continuous Assurance: Predictive KRIs, Recommendation Gates, regelmäßige Self-Assessments und externe Benchmarks.

20) Verwandte Artikel wiki

Richtlinien- und Regelwerk

Compliance Roadmap

Risiko-Heatmap/Risiko-Scoring und Priorisierung

Kontinuierliche Compliance-Überwachung (CCM)

Ausschuss für Risikomanagement und Compliance

Protokollierung und Audit Trail/Aufbewahrung von Nachweisen

Krisenmanagement und Kommunikation

Partner Compliance Guide (VRM)

Summe

Das Corporate Governance Framework ist das Betriebssystem eines Unternehmens: Rollen und Befugnisse, messbare Kontrollen, digitale Artefakte und transparente Lösungen. Mit diesem Ansatz verwandelt sich die Strategie in Maßnahmen, Risiken in überschaubare Metriken und Compliance in ständige Prüfungsbereitschaft und Geschäftsresilienz.