GRC-Glossar

Nichterfüllung einer Anforderung der Norm oder des eigenen Managementsystems. Sie wird als Haupt- oder Nebenabweichung eingestuft und verlangt eine Ursachenanalyse und eine Korrekturmaßnahme.

Mehr dazu: Auditmanagement

Person oder Organisation, die personenbezogene Daten im Auftrag eines anderen, des Verantwortlichen, verarbeitet. Grundlage ist der Auftragsverarbeitungsvertrag, den die DSGVO verlangt.

Mehr dazu: Datenschutz

Mögliche Ursache eines Vorfalls, der einem Asset schaden kann: ein Ransomware-Angriff, ein menschlicher Fehler, ein Stromausfall oder eine Überschwemmung. Trifft eine Bedrohung auf eine Schwachstelle, entsteht ein Risiko.

Mehr dazu: Risikomanagement

Das Risiko, bevor irgendeine Kontrolle greift. Es zeigt die tatsächliche Gefährdung, wenn nichts funktionieren würde.

Mehr dazu: Risikomanagement

Dokument, das beschreibt, wie kritische Prozesse nach einer schweren Störung aufrechterhalten oder wiederhergestellt werden: wer entscheidet, was aktiviert wird und in welcher Reihenfolge.

Mehr dazu: Business Continuity

Untersuchung, welche Prozesse kritisch sind, wie lange sie ausfallen dürfen und welche Ressourcen sie für den Wiederanlauf brauchen. Aus ihr ergeben sich RTO, RPO und die Prioritäten des Notfallplans.

Mehr dazu: Business Continuity

Rahmenwerk der ISACA für die Governance und das Management der Informationstechnik. Es richtet IT-Ziele an den Unternehmenszielen aus und definiert Prozesse, Verantwortlichkeiten und Kennzahlen.

Mehr dazu: COBIT

Richtlinien, Kontrollen und Verantwortliche, die sicherstellen, dass die Organisation Gesetze, übernommene Normen und eigene ethische Verpflichtungen einhält. Ziel ist es, Sanktionen und Reputationsschäden zu vermeiden.

Mehr dazu: Compliance

Rahmenwerke des Committee of Sponsoring Organizations of the Treadway Commission. COSO Internal Control definiert fünf Komponenten der Kontrolle; COSO ERM überträgt diesen Ansatz auf das unternehmensweite Risikomanagement.

Mehr dazu: COSO ERM

Richtlinie (EU) 2022/2464 zur Nachhaltigkeitsberichterstattung von Unternehmen. Betroffene Unternehmen müssen nach den ESRS berichten und den Bericht prüfen lassen.

Mehr dazu: CSRD

Die Fähigkeit, während eines Cyberangriffs weiter Leistungen zu erbringen und sich danach zu erholen. Neben der Prävention umfasst sie Erkennung, Reaktion, Wiederherstellung und das Lernen aus dem Vorfall.

Mehr dazu: DORA

Grundsatz der DSGVO, nach dem der Datenschutz schon bei der Konzeption eines Produkts, Dienstes oder Prozesses berücksichtigt werden muss und nicht erst am Ende.

Mehr dazu: Datenschutz

Vorabprüfung, die die DSGVO verlangt, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Personen birgt, etwa bei umfangreichen Gesundheitsdaten oder systematischer Überwachung.

Mehr dazu: DSGVO

Rolle, die die Einhaltung der DSGVO überwacht, die Organisation berät und Ansprechpartner der Aufsichtsbehörde ist. Pflicht für öffentliche Stellen und bei bestimmten umfangreichen Verarbeitungen.

Mehr dazu: DSGVO

Vorfall, der zur Vernichtung, zum Verlust, zur Veränderung oder zum unbefugten Zugriff auf personenbezogene Daten führt. Nach der DSGVO muss er, wenn er ein Risiko für Personen darstellt, binnen 72 Stunden der Aufsichtsbehörde gemeldet werden.

Mehr dazu: Datenschutz

Der technische Teil der Kontinuität: wie Systeme und Daten nach einer Katastrophe innerhalb der vereinbarten RTO und RPO wiederhergestellt werden.

Mehr dazu: ISO 27031

Grundsatz der CSRD: Ein Nachhaltigkeitsthema ist wesentlich, wenn das Unternehmen Auswirkungen auf Menschen oder Umwelt hat (Auswirkungswesentlichkeit) oder wenn es die eigenen Ergebnisse beeinflusst (finanzielle Wesentlichkeit). Eines von beiden genügt.

Mehr dazu: ESG und Nachhaltigkeit

Verordnung (EU) 2022/2554 über die digitale operationale Resilienz, seit Januar 2025 anwendbar auf Banken, Versicherer, Vermögensverwalter und andere Finanzunternehmen. Sie regelt IKT-Risikomanagement, Meldung von Vorfällen, Resilienztests und das Risiko von IKT-Drittdienstleistern.

Mehr dazu: DORA

Risiko, das über Lieferanten, Partner oder Subunternehmer entsteht. Es wird gesteuert, indem man sie vor Vertragsschluss bewertet, während der Zusammenarbeit überwacht und den Ausstieg plant.

Mehr dazu: Drittparteienrisiko

Verordnung (EU) 2016/679, die die Verarbeitung personenbezogener Daten in der Europäischen Union regelt. Sie verlangt eine Rechtsgrundlage, Transparenz, Sicherheit und nachweisbare Rechenschaft.

Mehr dazu: DSGVO

Prüfung vor und während der Zusammenarbeit mit einem Dritten (Lieferant, Partner, Kunde), um seine finanziellen, Sicherheits-, Compliance- oder Reputationsrisiken zu kennen.

Mehr dazu: Drittparteienrisiko

Pflichtdokument der ISO 27001, das die Kontrollen aus Anhang A auflistet, angibt, welche angewendet werden, und Ausschlüsse begründet. Eines der ersten Dokumente, die der Auditor ansieht.

Mehr dazu: ISO 27001

Kürzel für Umwelt, Soziales und Unternehmensführung (Environmental, Social, Governance). Fasst die nichtfinanziellen Kriterien zusammen, nach denen Investoren, Kunden und Aufsicht ein Unternehmen bewerten.

Mehr dazu: ESG und Nachhaltigkeit

Die European Sustainability Reporting Standards. Sie legen fest, welche Daten in welchem Format die CSRD-pflichtigen Unternehmen veröffentlichen müssen.

Mehr dazu: CSRD

Verordnung (EU) 2024/1689, das erste umfassende Gesetz über künstliche Intelligenz. Sie stuft Systeme nach Risiko ein: Manche Anwendungen verbietet sie, Hochrisiko-Systemen legt sie strenge Pflichten auf und für andere verlangt sie Transparenz.

Mehr dazu: EU AI Act

Aufgaben, die in einer Hand erlauben würden, einen Fehler oder Betrug zu begehen und zu verbergen, werden auf verschiedene Personen verteilt, etwa eine Zahlung freigeben und sie verbuchen.

Mehr dazu: Interne Kontrollen

Abgleich zwischen dem, was die Organisation heute tut, und dem, was eine Norm oder Regulierung verlangt. Ergebnis ist die Liste der offenen Anforderungen und der Plan, sie zu schließen.

Mehr dazu: Regulatorik

Arbeitsweise, die Unternehmensführung, Risikomanagement und Regelkonformität in einem Modell zusammenführt, mit gemeinsamen Daten statt isolierter Tabellen.

Mehr dazu: GRC-Plattform

Vertraulicher Weg, um Verstöße innerhalb der Organisation zu melden. Die EU-Whistleblower-Richtlinie (2019/1937) schreibt es für den öffentlichen Sektor und für Unternehmen ab 50 Beschäftigten vor.

Mehr dazu: Hinweisgebersystem

Unter DORA ein Unternehmen, das digitale oder Datendienste für ein Finanzunternehmen erbringt. Das Finanzunternehmen muss ihn bewerten, im Informationsregister führen und eine Ausstiegsstrategie vorsehen.

Mehr dazu: Drittparteienrisiko

Jeder Information wird eine Stufe zugeordnet (öffentlich, intern, vertraulich, streng vertraulich…), je nach Schaden bei einer Offenlegung. Für jede Stufe gelten eigene Regeln für Zugriff, Versand und Vernichtung.

Mehr dazu: ISO 27001

Von der Geschäftsleitung verabschiedetes Dokument, das Ziele und Regeln der Informationssicherheit festlegt. Alles andere (Standards, Verfahren, Kontrollen) leitet sich daraus ab.

Mehr dazu: Informationssicherheit

Alles, was für die Organisation Wert hat und geschützt werden muss: Daten, Anwendungen, Server, Schlüsselpersonen oder Gebäude. Das Asset-Inventar ist der Ausgangspunkt jeder Risikoanalyse.

Mehr dazu: Informationssicherheit

Unabhängige Funktion, die prüft, ob Kontrollen, Risikomanagement und Governance so funktionieren, wie sie sollen. Sie berichtet an Aufsichtsrat oder Prüfungsausschuss.

Mehr dazu: Auditmanagement

Von der Geschäftsleitung gestalteter Prozess, der hinreichende Sicherheit über die Verlässlichkeit von Informationen, die Wirksamkeit der Abläufe und die Einhaltung von Regeln gibt. Das meistgenutzte Rahmenwerk ist COSO.

Mehr dazu: Interne Kontrollen

Richtlinien, Prozesse und Kontrollen, mit denen eine Organisation die Sicherheit ihrer Informationen systematisch und in kontinuierlicher Verbesserung steuert. Das ist es, was ISO 27001 zertifiziert.

Mehr dazu: ISO 27001

Zertifizierbare internationale Norm für Business-Continuity-Managementsysteme. Sie verlangt eine Auswirkungsanalyse, Wiederanlaufstrategien und das Testen der Pläne.

Mehr dazu: ISO 22301

Zertifizierbare internationale Norm für Informationssicherheits-Managementsysteme (ISMS). Sie beruht auf einer Risikobeurteilung und einem Anhang mit Kontrollen, die umzusetzen oder zu begründen sind.

Mehr dazu: ISO 27001

Erweiterung des Informationssicherheitsmanagements um den Datenschutz. Sie hilft, die Einhaltung der DSGVO und anderer Datenschutzgesetze nachzuweisen.

Mehr dazu: ISO 27701

Internationaler Leitfaden für das Risikomanagement in jeder Art von Organisation. Nicht zertifizierbar: Er beschreibt Grundsätze, einen Rahmen und einen Prozess.

Mehr dazu: ISO 31000

Zertifizierbare Norm für Anti-Korruptions-Managementsysteme. Sie verlangt, das Bestechungsrisiko zu bewerten, Dritte zu kontrollieren und Meldewege für Verdachtsfälle bereitzustellen.

Mehr dazu: ISO 37001

Zertifizierbare Norm für Compliance-Managementsysteme. Sie dient als Grundlage, um die Einhaltung jeder Pflicht zu organisieren, ob gesetzlich oder freiwillig.

Mehr dazu: ISO 37301

Erste zertifizierbare Norm für KI-Managementsysteme. Sie ordnet die verantwortungsvolle Entwicklung und Nutzung von KI und passt zu den Anforderungen der europäischen KI-Verordnung.

Mehr dazu: ISO 42001

Richtlinien, Rollen und Kontrollen, um KI-Systeme sicher, ethisch und rechtskonform zu entwickeln und zu nutzen. Dazu gehören das Systeminventar, die Risikoeinstufung und die Aufsicht.

Mehr dazu: KI-Governance

Ersatzkontrolle, die greift, wenn die vorgesehene Kontrolle nicht umsetzbar ist. Sie muss dasselbe Risiko mit gleichwertigem Schutz abdecken, und es lohnt sich, die Wahl zu dokumentieren.

Mehr dazu: Interne Kontrollen

Eine Kontrolle wird den Anforderungen mehrerer Normen zugeordnet (etwa ISO 27001, NIS2 und DORA), damit sie nur einmal umgesetzt und nachgewiesen werden muss.

Mehr dazu: Regulatorik

Maßnahme, die die Eintrittswahrscheinlichkeit oder die Auswirkung eines Risikos senkt. Sie kann technisch (Verschlüsselung, Backups), organisatorisch (eine Richtlinie, Funktionstrennung) oder physisch (Zutrittskontrolle zu einem Gebäude) sein.

Mehr dazu: Interne Kontrollen

Anlagen oder Systeme, die für lebenswichtige Dienste wie Energie, Wasser oder Verkehr unverzichtbar sind. In der EU legt die CER-Richtlinie die Pflichten kritischer Einrichtungen fest.

Mehr dazu: KRITIS

Aufgaben mit Verantwortlichem und Termin, um ein Risiko zu behandeln, eine Feststellung abzuschließen oder eine Abweichung zu beheben. Seine Nachverfolgung zeigt, dass sich die Organisation verbessert.

Mehr dazu: Risikominderung

Zeitraum, nach dem der Stillstand eines Prozesses der Organisation unannehmbaren Schaden zufügt. Die RTO muss immer kürzer sein.

Mehr dazu: Business Continuity

Beleg dafür, dass eine Kontrolle durchgeführt wurde: ein Protokoll, ein Screenshot, eine Niederschrift oder ein Bericht. Ohne Nachweis existiert die Kontrolle für den Auditor nicht.

Mehr dazu: Auditmanagement

Richtlinie (EU) 2022/2555 zur Cybersicherheit. Sie erweitert die betroffenen Sektoren, verlangt Risikomanagementmaßnahmen, nimmt die Geschäftsleitung in die Pflicht und setzt Meldefristen für Vorfälle: Frühwarnung binnen 24 Stunden, Meldung binnen 72.

Mehr dazu: NIS2

Das Cybersecurity Framework des US-amerikanischen NIST, weltweit im Einsatz. Es gliedert Cybersicherheit in sechs Funktionen: steuern, identifizieren, schützen, erkennen, reagieren und wiederherstellen.

Mehr dazu: NIST CSF

Die Fähigkeit einer Organisation, ihre wichtigen Leistungen bei jeder Störung weiter zu erbringen, ob technisch, durch einen Lieferanten oder physisch verursacht.

Mehr dazu: DORA

Verluste durch fehlerhafte Prozesse, Menschen oder Systeme oder durch externe Ereignisse. Eines der Risiken, die die Banken- und Versicherungsaufsicht am genauesten beobachtet.

Mehr dazu: Banken

Sicherheitsstandard der Zahlungskartenbranche. Er gilt für alle, die Kartendaten speichern, verarbeiten oder übertragen.

Mehr dazu: PCI DSS

Ergebnis des Abgleichs von Nachweisen mit einem Kriterium. Das kann eine Abweichung, eine Beobachtung oder ein Verbesserungspotenzial sein und führt meist zu einem Maßnahmenplan.

Mehr dazu: Auditmanagement

Analyse, die Risiko in Geld statt in Farbskalen ausdrückt, meist durch die Simulation tausender Szenarien mit der Monte-Carlo-Methode. Sie beantwortet Fragen wie „Wie viel können wir in einem Jahr verlieren?“.

Mehr dazu: Quantitative Risk

Das Risiko, das nach Anwendung der Kontrollen bleibt. Liegt es weiter über dem Risikoappetit, muss die Behandlung verstärkt oder das Risiko ausdrücklich akzeptiert werden.

Mehr dazu: Risikomanagement

Ansicht, die Risiken, ihre Indikatoren und den Stand der Maßnahmenpläne bündelt, damit die Geschäftsleitung auf einen Blick sieht, wo das Risiko liegt und wie es sich entwickelt.

Mehr dazu: Berichte

Matrix aus Wahrscheinlichkeit und Auswirkung, in der jedes Risiko in einem farbigen Feld liegt. Sie zeigt auf einen Blick die kritischen Risiken und vergleicht Brutto- und Restrisiko.

Mehr dazu: Risikomanagement

Tabelle, die jedem Risiko die mindernden Kontrollen, ihren Verantwortlichen, ihre Häufigkeit und den erwarteten Nachweis zuordnet. Grundlage der Prüfung des internen Kontrollsystems.

Mehr dazu: Interne Kontrollen

Das Risikoniveau, das die Geschäftsleitung eingehen will, um ihre Ziele zu erreichen. Es wird schriftlich festgelegt und dient zur Entscheidung, welche Risiken akzeptiert und welche behandelt werden.

Mehr dazu: Risikomanagement

Die Entscheidung, was mit einem Risiko geschieht: es mit Kontrollen mindern, es übertragen (etwa durch eine Versicherung), es durch Aufgabe der Tätigkeit vermeiden oder es akzeptieren.

Mehr dazu: Risikominderung

Prozess, Risiken zu identifizieren, zu analysieren (Wahrscheinlichkeit und Auswirkung) und gegen den Risikoappetit zu bewerten, um zu entscheiden, welche zuerst behandelt werden.

Mehr dazu: Risikomanagement

Person mit Verantwortung und Befugnis, ein bestimmtes Risiko zu steuern. Sie entscheidet über die Behandlung und steht für seine Entwicklung ein.

Mehr dazu: Risikomanagement

Kennzahl, die warnt, dass ein Risiko wächst, bevor es eintritt, etwa die Zahl offener kritischer Schwachstellen oder die Fluktuation in einer Schlüsselposition. Für sie werden Warnschwellen festgelegt.

Mehr dazu: Risikomanagement

Die zulässige Abweichung vom Risikoappetit für ein bestimmtes Ziel. Sie übersetzt den allgemeineren Risikoappetit in messbare Grenzen.

Mehr dazu: Risikomanagement

Die maximal tolerierbare Datenverlustmenge, gemessen in Zeit. Eine RPO von vier Stunden bedeutet, dass Sicherungen höchstens vier Stunden vor dem Vorfall liegen dürfen.

Mehr dazu: Business Continuity

Die maximale Zeit, um einen Prozess oder ein System nach einer Störung wiederherzustellen. Sie ergibt sich aus der Business-Impact-Analyse und muss kürzer als die MTPD sein.

Mehr dazu: Business Continuity

Eine Schwäche eines Assets oder einer Kontrolle, die eine Bedrohung ausnutzen kann, etwa nicht gepatchte Software oder ein geteiltes Passwort.

Mehr dazu: Informationssicherheit

US-Gesetz von 2002 für in den USA börsennotierte Unternehmen und ihre Tochtergesellschaften. Section 404 verlangt, das interne Kontrollsystem über die Finanzberichterstattung zu beurteilen und zu bestätigen.

Mehr dazu: SOX

Rollenverteilung im Risikomanagement: Die erste Linie (operative Bereiche) steuert das Risiko, die zweite (Risiko und Compliance) überwacht es und die dritte (Interne Revision) gibt eine unabhängige Beurteilung.

Mehr dazu: Auditmanagement

Prüf- und Austauschverfahren für Informationssicherheit in der Automobilindustrie, betrieben von der ENX Association und auf Basis des VDA-ISA-Fragenkatalogs. Hersteller verlangen es von ihren Zulieferern.

Mehr dazu: TISAX

Ansatz, der alle Risiken der Organisation (strategische, finanzielle, operative, Compliance-Risiken) mit einer Methode und einem Gesamtbild steuert statt Abteilung für Abteilung.

Mehr dazu: Risikomanagement

Die drei Schutzziele der Informationssicherheit: Nur Berechtigte haben Zugriff, Daten werden nicht unkontrolliert verändert und sie stehen bereit, wenn sie gebraucht werden.

Mehr dazu: Informationssicherheit

Von der DSGVO verlangtes Verzeichnis jeder Verarbeitung personenbezogener Daten: Zweck, Datenkategorien, Empfänger, Löschfristen und Sicherheitsmaßnahmen.

Mehr dazu: DSGVO

Prozess, um Vorfälle zu erkennen, zu erfassen, einzustufen, zu beheben und daraus zu lernen. Unter DORA, NIS2 und DSGVO gehört auch die fristgerechte Meldung an die Behörde dazu.

Mehr dazu: Vorfallmanagement

Prüfung durch eine akkreditierte Stelle, ob ein Managementsystem eine zertifizierbare Norm wie ISO 27001 oder ISO 22301 erfüllt. Wird sie bestanden, erhält die Organisation das Zertifikat, das mit Überwachungsaudits aufrechterhalten wird.

Mehr dazu: Auditmanagement