GRC, Risiko, Compliance und Recht

Zweck und Übersicht des Bereichs

Dieser Bereich umfasst Governance, Risiko, Compliance und rechtliche Aspekte. Er besteht aus vier verknüpften Hubs: GRC (Policies, Kontrollen, Audits, Findings), Compliance (Pflichten, Nachweise, Attestierungen), Risk (Risikoregister mit strukturierten Methoden) und Legal (Rechtsvorgänge und Dokumente). Er deckt die Typen GRC-*, IT-RISK, IT-POLICY, IT-CONTROL, IT-AUDIT-FINDING und die rechtlichen Entitäten ab.

GRC

Wozu es dient. Die GRC-Zentrale (Governance, Risk & Compliance): Steuerung von Policies, Kontrollen, Audits und Findings, abgebildet auf die regulatorischen Frameworks.

Wann Sie es verwenden. Für den Gesamtüberblick über das GRC-Programm und den Zugriff auf seine Objekte.

Wie Sie es öffnen. Über die Home / den Security Hub (Kachel GRC).

Was es anzeigt und wie Sie es bedienen. Das GRC-Dashboard mit den Objekten GRC-POLICY (Lebenszyklus: Entwurf→Prüfung→Genehmigung→Veröffentlichung→Aktualisierung→Rückzug, mit Attestierung), GRC-CONTROL (auf die Frameworks abgebildete Kontrollen: Status, Nachweise, Tests), GRC-AUDIT (Planung, Durchführung, Finding-Review, Bericht) und GRC-FINDING (Schweregrad, Remediation-Verantwortlicher, Verfolgung bis zum Abschluss bzw. zur Risikoakzeptanz).

Was danach passiert. Veröffentlichte Policies erfordern eine Attestierung; offene Findings steuern die Remediation.

Hinweise. Zu den unterstützten Frameworks gehören ISO 27001, NIS2, SOC2 und DSGVO.

Compliance & Governance

Wozu es dient. Verwaltet die auf die Frameworks abgebildeten Compliance-Kontrollen mit Konformitätsstatus, Nachweisen und regelmäßigen Tests.

Wann Sie es verwenden. Um das Kontrollsystem zu verwalten und seine Konformität zu prüfen.

Wie Sie es öffnen. Über den Bereich GRC / Legal Hub.

Was es anzeigt und wie Sie es bedienen. Die Liste der Kontrollen pro Framework mit Status, Nachweisen und Testdaten.

Was danach passiert. Nicht konforme Kontrollen erzeugen Findings/Maßnahmen.

Hinweise. Ergänzt den Compliance Workspace (Compliance Workspace).

Compliance Hub

Wozu es dient. Der Einstieg in das Modul für Unternehmens-Compliance, das die Kampagnen-Engine von HR (mit Tag module) für Pflichten, Kontrollen, Nachweise und Attestierungen wiederverwendet.

Wann Sie es verwenden. Um den Arbeitsbereich der Compliance auszuwählen.

Wie Sie es öffnen. Über die Home / den Security Hub (Kachel Compliance).

Was es anzeigt und wie Sie es bedienen. Die Kacheln zu den Ansichten des Compliance Workspace (Compliance Workspace).

Was danach passiert. Die gewählte Ansicht öffnet sich.

Hinweise. Core-Modul, das die Kampagnen-Engine mit HR teilt.

Compliance Workspace

Wozu es dient. Die Arbeitskonsole der Compliance, gegliedert in Ansichten.

Wann Sie es verwenden. Um Pflichten, Kontrollen, Nachweise, Audits, Datenschutz und Attestierungen zu verwalten.

Wie Sie es öffnen. Über den Compliance Hub (Kacheln).

Was es anzeigt. Die verfügbaren Ansichten:

Ansicht	Inhalt
board	Compliance-Übersichts-Dashboard
adempimenti	Pflichten und Fristen
controls	Compliance-Kontrollen
ccm	Continuous Controls Monitoring
evidence	Gesammelte Nachweise
gap	Gap-Analyse
audit	Compliance-Audits
incidents	Compliance-Vorfälle
risk	Compliance-Risiken
privacy	Datenschutz / DSGVO
m231	Modell 231
cra	Cyber Resilience Act
esg	ESG (Nachhaltigkeit)
regwatch	Regulatorisches Monitoring
suppliers	Lieferanten-Compliance
training	Compliance-Schulungen
catalog	Katalog der Pflichten/Anforderungen
aigov / aiasst	AI Governance und KI-Assistent

Wie Sie es bedienen. Sie wählen die Ansicht; jede Ansicht bietet eigene Listen, Details und Aktionen (Pflichten anlegen, Nachweise sammeln, Attestierungskampagnen starten, Gap-Analyse). Attestierungskampagnen erfordern die Unterschrift zur Kenntnisnahme.

Was danach passiert. Pflichten und Nachweise fließen in den Compliance-Status ein; die Kampagnen erzeugen die Signaturanfragen.

Hinweise. Die Kampagnen-Engine wird mit dem HR-Hub geteilt.

Risk Management Hub

Wozu es dient. Der Einstieg in das Risikomanagement.

Wann Sie es verwenden. Um auf Register, Cockpit und Werkzeuge der Risikoanalyse zuzugreifen.

Wie Sie es öffnen. Über die Home / den Security Hub (Kachel Risk).

Was es anzeigt und wie Sie es bedienen. Die Kacheln zu Risk Cockpit und Risk Register (sowie zu den Werkzeugen Bowtie/FAIR/Entity/Crosswalk).

Was danach passiert. Das gewählte Werkzeug öffnet sich.

Hinweise. Deckt IT-RISK und die GRC-Risiken ab.

Enterprise Risk Register

Wozu es dient. Das unternehmensweite Risikoregister: Katalog der Risiken mit Bewertung und Behandlung.

Wann Sie es verwenden. Um Risiken zu erfassen, zu bewerten und zu überwachen.

Wie Sie es öffnen. Über den Risk Hub, Kachel Register.

Was es anzeigt. Die Liste der Risiken mit Likelihood, Impact, berechnetem Score und Behandlungsplan (Accept/Mitigate/Transfer/Avoid), Verantwortlichem und Review-Datum; eine Heatmap (Wahrscheinlichkeit × Auswirkung) und die Exposition nach Kategorie.

Wie Sie es bedienen. Sie legen ein Risiko an bzw. bewerten es, weisen Behandlung und Verantwortlichen zu und planen das Review.

Was danach passiert. Hohe Risiken steuern die Mitigationsmaßnahmen und die Leitungsentscheidungen (Risk Cockpit).

Hinweise. Der Score wird aus Likelihood × Impact berechnet.

Risk Cockpit

Wozu es dient. Die Leitungsansicht für Risiken: Übersicht für die Geschäftsleitung.

Wann Sie es verwenden. Für die strategische Überwachung des Risikoprofils.

Wie Sie es öffnen. Über den Risk Hub, Kachel Cockpit.

Was es anzeigt und wie Sie es bedienen. Die aggregierten Risiko-KPIs, Trends und Hauptrisiken mit Drill-down.

Was danach passiert. Es steuert die Leitungsentscheidungen zum Risiko.

Hinweise. Leitungsrollen vorbehalten (siehe Cockpits und Leitungsansichten).

Risk Bowtie

Wozu es dient. Führt die Bow-Tie-Analyse durch: Ursachen → Ereignis → Folgen, mit präventiven und reaktiven Barrieren.

Wann Sie es verwenden. Um ein Risiko eingehend zu analysieren und die Barrieren zu entwerfen.

Wie Sie es öffnen. Über den Risk Hub / das Register.

Was es anzeigt und wie Sie es bedienen. Das Bow-Tie-Diagramm mit Ursachen, zentralem Ereignis, Folgen und Barrieren; Sie modellieren die Elemente.

Was danach passiert. Die Barrieren werden zu Kontrollen/Maßnahmen, die verfolgt werden.

Hinweise. Strukturierte qualitative Methode.

Risk FAIR

Wozu es dient. Führt die quantitative FAIR-Analyse (Factor Analysis of Information Risk) durch: wirtschaftliche Schätzung des Risikos.

Wann Sie es verwenden. Um die Exposition eines Risikos in Geldbeträgen zu beziffern.

Wie Sie es öffnen. Über den Risk Hub / das Register.

Was es anzeigt und wie Sie es bedienen. Die FAIR-Faktoren (Häufigkeit, Ausmaß) und die geschätzte Verlustverteilung.

Was danach passiert. Die Quantifizierung unterstützt Entscheidungen zu Behandlung und Versicherung.

Hinweise. Quantitative Methode.

Risk Entity

Wozu es dient. Verwaltet die Risikoentitäten (Objekte/Assets/Prozesse, auf die sich Risiken beziehen).

Wann Sie es verwenden. Um Risiken mit den betroffenen Entitäten zu verknüpfen.

Wie Sie es öffnen. Über den Risk Hub.

Was es anzeigt und wie Sie es bedienen. Die Entitäten mit den zugehörigen Risiken.

Was danach passiert. Verbessert die Nachverfolgbarkeit Risiko↔Entität.

Hinweise. Ergänzt das Register.

Compliance Crosswalk

Wozu es dient. Der Crosswalk, der Risiken/Kontrollen auf die verschiedenen Compliance-Frameworks abbildet (Entsprechungen zwischen Standards).

Wann Sie es verwenden. Um eine Kontrolle für mehrere Frameworks wiederzuverwenden und Doppelarbeit zu vermeiden.

Wie Sie es öffnen. Über den Risk Hub / Bereich Compliance.

Was es anzeigt und wie Sie es bedienen. Die Entsprechungsmatrix zwischen Kontrollen und den Anforderungen der verschiedenen Frameworks.

Was danach passiert. Verringert den Aufwand für Compliance über mehrere Frameworks hinweg.

Hinweise. Verbindet Risk und Compliance.

Legal Hub

Wozu es dient. Der Einstieg in den Rechtsbereich: Vorgänge, Verträge, Einwilligungen, DSAR, Legal Hold, elektronische Signatur.

Wann Sie es verwenden. Um auf die rechtlichen Werkzeuge zuzugreifen.

Wie Sie es öffnen. Über die Home / den Security Hub (Kachel Legal).

Was es anzeigt und wie Sie es bedienen. Die Kacheln zu Legal Cockpit, den rechtlichen Entitäten (nach Kategorie), den Verträgen, der KB, dem Report Builder und die Verknüpfungen zu GRC/Risk/PSA.

Was danach passiert. Das gewählte Werkzeug öffnet sich.

Legal Entity

Wozu es dient. Verwaltet die rechtlichen Entitäten nach Kategorie.

Wann Sie es verwenden. Um Vorgänge, Einwilligungen, DSAR, Legal Holds und Signaturumschläge zu bearbeiten.

Wie Sie es öffnen. Über den Legal Hub, Kacheln nach Kategorie.

Was es anzeigt. Die Entitäten nach Kategorie:

Kategorie	Inhalt
matter	Rechtsvorgang/Rechtsstreit
legal_intake	Annahme rechtlicher Anfragen
dsar_request	DSAR-Anfragen (Betroffenenrechte, DSGVO)
consent_record	Einwilligungsregister
legal_hold	Legal Holds (Aufbewahrung von Dokumenten)
esign_envelope	Umschläge für elektronische Signatur

Wie Sie es bedienen. Sie wählen die Kategorie und verwalten die zugehörigen Entitäten (Anlegen, Fortschreiben, Signatur).

Was danach passiert. Die Vorgänge folgen ihrem Ablauf; die Signaturumschläge starten die elektronische Signatur.

Hinweise. Die Dokumentenverwaltung nutzt die rechtlichen Collections.

Legal Cockpit

Wozu es dient. Die Leitungsansicht für Rechtsthemen: Übersicht über Vorgänge und Kennzahlen.

Wann Sie es verwenden. Für die Aufsicht über den Rechtsbereich.

Wie Sie es öffnen. Über den Legal Hub, Kachel Cockpit.

Was es anzeigt und wie Sie es bedienen. Die Rechts-KPIs (offene Vorgänge, Fristen, Exposition) mit Drill-down.

Was danach passiert. Es steuert die Prioritäten des Rechtsbereichs.

Hinweise. Rechts- und Leitungsrollen vorbehalten.

Records Management

Wozu es dient. Steuert die Aufbewahrung von Records (dokumentarisch und generisch) gemäß den Aufbewahrungsrichtlinien.

Wann Sie es verwenden. Um aufbewahrungspflichtige Records und Legal Holds zu verwalten.

Wie Sie es öffnen. Über den Legal Hub / Builder.

Was es anzeigt und wie Sie es bedienen. Die Records mit ihrer Aufbewahrungsklasse und ihrem Status; generische Records können mit dem Builder erstellte Entitäten sein (Administration).

Was danach passiert. Records werden gemäß den Regeln aufbewahrt oder gelöscht; Legal Holds sperren ihre Löschung.

Hinweise. Verknüpft mit dem Legal Hold (Legal Entity).

Collections (risk-collections, legal-collections)

Wozu es dient. Verwalten die Dokumentensammlungen der Domänen Risk und Legal (Sammlungen von Dokumenten/Nachweisen).

Wann Sie es verwenden. Um die mit Risiken und Rechtsvorgängen verknüpften Dokumente zu ordnen und einzusehen.

Wie Sie es öffnen. Über die Seiten Risk/Legal.

Was es anzeigt und wie Sie es bedienen. Die Sammlungen mit den zugehörigen Dokumenten; Öffnen im Viewer bzw. zur Signatur.

Was danach passiert. Die Dokumente fließen in Nachweise und Vorgänge ein.

Hinweise. Verwenden den Anhangs-Viewer und die Dokumentensignatur wieder.