Governance, Risk and Compliance (GRC)

Governance, Risk and Compliance (deutsch etwa Unternehmensführung, Risiko und Regelkonformität, meist als Akronym GRC verwendet) bezeichnet den Ansatz, drei traditionell getrennt organisierte Steuerungsdisziplinen einer Organisation als ein zusammenhängendes System zu behandeln: die Festlegung von Zielen und Entscheidungsstrukturen (Governance), den Umgang mit Unsicherheit über deren Erreichung (Risk) und die Einhaltung verbindlicher externer wie interner Vorgaben (Compliance).

Der Begriff entstand Anfang der 2000er Jahre im Umfeld der US-amerikanischen Bilanzskandale und der darauf folgenden Regulierungswelle und bezeichnet weniger eine Methode als eine Organisationsform – die Zusammenführung von Tätigkeiten, die in großen Unternehmen zuvor in getrennten Abteilungen mit eigenen Berichtswegen, eigenen Datenbeständen und häufig widersprüchlichen Bewertungsmaßstäben stattfanden.

Seit der Verabschiedung des EU AI Act und der Veröffentlichung erster Managementstandards für künstliche Intelligenz ist GRC zum organisatorischen Rahmen geworden, in dem KI-spezifische Pflichten in Unternehmen tatsächlich umgesetzt werden.

Zusammenfassung

GRC ist ein Begriff der Praxis, nicht der Theorie: Er entstand in Beratungshäusern, Verbänden und Softwareunternehmen, bevor er akademisch definiert wurde.

Als Urheber des Akronyms gilt üblicherweise der Analyst Michael Rasmussen (2002); die Open Compliance and Ethics Group (OCEG) beansprucht die Prägung für sich selbst und veröffentlichte 2004 mit dem GRC Capability Model – nach der Einbandfarbe Red Book genannt – den ersten Referenzrahmen.

Die erste begutachtete wissenschaftliche Arbeit zum Thema erschien 2007 von OCEG-Mitgründer Scott L. Mitchell; die erste in der Fachliteratur breit rezipierte akademische Definition formulierten Nicolas Racz, Edgar Weippl und Andreas Seufert 2010.

Der gemeinsame Nenner aller Definitionen ist die Integration. GRC behauptet nicht, neue Kontrollmechanismen zu erfinden, sondern dass die vorhandenen erst dann wirksam werden, wenn sie auf dieselben Ziele, dieselbe Risikobewertung und dieselbe Datengrundlage bezogen sind.

Das praktische Gegenbild ist die gewachsene Konzernstruktur, in der Innenrevision, Rechtsabteilung, Informationssicherheit, Datenschutz und operative Risikosteuerung dieselben Sachverhalte mehrfach, mit unterschiedlichen Methoden und ohne Kenntnis voneinander prüfen.

Methodisch stützt sich die Praxis auf einige wenige Referenzwerke: das COSO-Rahmenwerk für interne Kontrolle und unternehmensweites Risikomanagement, die Norm ISO 31000 für Risikomanagement, das Three Lines-Modell des Institute of Internal Auditors für die Zuordnung von Verantwortlichkeiten und – für den KI-Bereich – seit 2023 ISO/IEC 42001 sowie das AI Risk Management Framework des US-amerikanischen NIST.

Der EU AI Act verlangt von Anbietern von Hochrisiko-KI-Systemen sowohl ein kontinuierliches Risikomanagementsystem (Artikel 9) als auch ein dokumentiertes Qualitätsmanagementsystem (Artikel 17) und macht damit erstmals gesetzlich verbindlich, was GRC bis dahin als freiwillige Managementpraxis vertreten hatte.

Begriffsgeschichte

Regulatorischer Auslöser (2001–2004)

Die Insolvenzen von Enron (2001) und WorldCom (2002) und die dadurch ausgelöste Vertrauenskrise gegenüber der Rechnungslegung börsennotierter US-Unternehmen führten 2002 zum Sarbanes-Oxley Act. Dessen Abschnitt 404 verpflichtet das Management, die Wirksamkeit der internen Kontrollen über die Finanzberichterstattung jährlich zu beurteilen, und die Abschlussprüfer, diese Beurteilung zu testieren.

Abschnitt 404 gilt als die aufwendigste Einzelvorschrift des Gesetzes; der Nachweisaufwand – Dokumentation, Testierung und Nachverfolgung tausender Einzelkontrollen – überstieg schnell das, was sich mit Tabellenkalkulationen und Aktenordnern bewältigen ließ.

Das U.S. Government Accountability Office hält in einer Untersuchung von 2025 fest, dass die Befolgungskosten neben Prüfer- und Beraterhonoraren wesentlich aus Investitionen in Technologie bestehen, ausdrücklich einschließlich GRC-Systemen.

Aus diesem Nachweisdruck entstand ein Markt, und mit dem Markt ein Begriff. Die Open Compliance and Ethics Group wurde 2002 gegründet und veröffentlichte 2004 den ersten Referenzrahmen, der Governance, Risikomanagement, Compliance und Ethik ausdrücklich als eine Aufgabe behandelte.

Die Urheberschaft des Akronyms selbst ist nicht eindeutig geklärt: Verbreitet wird sie dem Analysten Michael Rasmussen zugeschrieben, der es im Februar 2002 eingeführt haben soll; OCEG datiert die Prägung auf die eigene Gründung im selben Jahr.

Für die Sache ist die Frage folgenlos, für die Einordnung des Begriffs nicht: GRC ist von Beginn an ein Begriff mit kommerziellem Interesse an seiner eigenen Verbreitung gewesen – Analysehäuser und Softwareanbieter, die ihn prägten, verkauften zugleich die Werkzeuge, die er erforderlich machte.

Akademische Nachholbewegung (2007–2010)

Scott L. Mitchell veröffentlichte 2007 im International Journal of Disclosure and Governance die erste begutachtete Arbeit zum Thema. Sie führte den Begriff Principled Performance ein – die These, GRC ziele nicht auf Fehlervermeidung, sondern auf die verlässliche Erreichung von Zielen unter Unsicherheit und unter Wahrung von Integrität. Diese Rahmung ist bis heute die Selbstbeschreibung des Feldes: GRC als Ermöglichung, nicht als Bremse.

Racz, Weippl und Seufert legten 2010 eine Definition vor, die aus einer Literaturauswertung gewonnen und anschließend in einer Befragung von Praktiker:innen geprüft wurde.

Sie bestimmen integriertes GRC als einen ganzheitlichen Ansatz, durch den eine Organisation ethisch und im Rahmen ihrer Risikotoleranz, ihrer internen Richtlinien und der für sie geltenden externen Vorschriften handelt, indem sie Strategien, Prozesse, Technologie und Personal aufeinander ausrichtet.

Bemerkenswert an dieser Definition ist, was sie nicht enthält: eine Methode. Sie benennt vier Gegenstände der Ausrichtung und ein Ziel, überlässt das Wie aber vollständig der jeweiligen Organisation – ein Zug, der die spätere Kritik an der Unschärfe des Begriffs vorwegnimmt.

Konsolidierung der Rahmenwerke (2013–2020)

Das Institute of Internal Auditors veröffentlichte 2013 das Positionspapier The Three Lines of Defense in Effective Risk Management and Control, das Verantwortlichkeiten drei „Verteidigungslinien” zuordnet: dem operativen Management, den überwachenden Funktionen wie Risikomanagement und Compliance und der unabhängigen Innenrevision.

Das Modell wurde zum meistverwendeten Ordnungsschema der GRC-Praxis – und zugleich zum meistkritisierten, weil die militärische Metapher Abwehr statt Wertschöpfung nahelegt und die Linien in der Praxis dazu neigten, sich gegeneinander abzugrenzen statt zusammenzuarbeiten.

Im Juli 2020 ersetzte das IIA das Papier durch The IIA’s Three Lines Model, das den Begriff defense streicht und die Beziehungen zwischen Leitungsorgan, Management und Innenrevision als Zusammenspiel statt als gestaffelte Abwehr beschreibt.

Parallel wurden die beiden Hauptreferenzen überarbeitet: COSO aktualisierte 2017 sein Rahmenwerk für unternehmensweites Risikomanagement und verband es ausdrücklich mit Strategie und Leistung; die ISO revidierte 2018 die Norm ISO 31000 und betonte stärker die Einbindung des Risikomanagements in die Führungsprozesse statt seiner Ausgliederung in eine Spezialabteilung.

Methodische Grundlagen

Die drei Bestandteile des Akronyms bezeichnen unterschiedliche Fragen. Governance betrifft die Struktur der Entscheidungsfindung: Wer legt Ziele fest, wer entscheidet über Ressourcen, wem gegenüber ist wer rechenschaftspflichtig?

Risk betrifft den Umgang mit Unsicherheit: Welche Ereignisse können die Zielerreichung gefährden, wie wahrscheinlich und wie schwerwiegend sind sie, welches Maß an Risiko ist die Organisation bereit zu tragen? Compliance betrifft Verbindlichkeit: Welche externen Vorschriften und internen Regeln gelten, wie wird ihre Einhaltung sichergestellt und nachgewiesen?

Die integrative These lautet, dass diese Fragen nicht unabhängig beantwortbar sind. Eine Compliance-Anforderung ohne Risikobewertung führt zu gleichförmigem Aufwand für ungleich bedeutsame Sachverhalte; ein Risikomanagement ohne Governance-Anbindung produziert Bewertungen, die keine Entscheidung auslösen; eine Governance ohne Compliance-Rückmeldung erfährt nicht, ob ihre Vorgaben tatsächlich befolgt werden.

Der praktische Kern von GRC ist deshalb weniger analytisch als infrastrukturell: ein gemeinsames Verzeichnis von Risiken, Kontrollen, Vorschriften und Zuständigkeiten, auf das alle beteiligten Funktionen zugreifen.

Zwei Begriffe strukturieren die Risikoseite. Der Risikoappetit bezeichnet das Maß an Risiko, das eine Organisation zur Erreichung ihrer Ziele bewusst einzugehen bereit ist – eine Festlegung des Leitungsorgans, nicht eine Berechnung.

Die Risikoaggregation bezeichnet die Zusammenführung von Einzelrisiken zu einer Gesamtaussage; sie ist anspruchsvoll, weil Einzelrisiken korreliert sein können und sich nicht einfach addieren lassen.

Für die Aggregation über verteilte Risikogrößen hinweg ist die Monte-Carlo-Simulation das gebräuchliche Verfahren: Statt mit Einzelwerten zu rechnen, werden Wahrscheinlichkeitsverteilungen wiederholt zufällig abgetastet, um eine Verteilung des Gesamtergebnisses zu erhalten.

Das OCEG-Modell gliedert die Aufgabe in vier wiederkehrende Komponenten – Learn, Align, Perform, Review –, also in einen Zyklus aus Kontextverständnis, Ausrichtung auf Ziele, Durchführung und Überprüfung. Diese Zyklusform ist keine Besonderheit von GRC, sondern das gemeinsame Bauprinzip aller Managementsystemnormen; sie ist der Grund dafür, dass sich GRC-Strukturen vergleichsweise leicht auf neue Regelungsgegenstände wie KI übertragen ließen.

Anwendungsfelder

Die klassischen Anwendungsfelder sind die Finanzberichterstattung (getrieben durch Sarbanes-Oxley und vergleichbare nationale Vorschriften), die Informationssicherheit (typischerweise organisiert als Informationssicherheitsmanagement-System, ISMS, nach ISO/IEC 27001), der Datenschutz (in der EU getrieben durch die Datenschutz-Grundverordnung) sowie sektorspezifische Aufsichtsanforderungen, insbesondere im Finanz- und Gesundheitswesen.

Für dieses Lexikon relevant ist die jüngste Erweiterung: KI-Systeme als eigener Regelungsgegenstand. Drei Instrumente sind hier maßgeblich.

ISO/IEC 42001:2023, im Dezember 2023 veröffentlicht, ist die erste Managementsystemnorm für künstliche Intelligenz.

Sie beschreibt Anforderungen an Einrichtung, Betrieb und fortlaufende Verbesserung eines Artificial Intelligence Management System (AIMS) und folgt derselben Struktur wie die etablierten Managementsystemnormen – was bedeutet, dass Organisationen mit bestehendem ISMS oder Qualitätsmanagementsystem sie in vorhandene Strukturen einfügen können, statt eine eigene Parallelorganisation aufzubauen. Zertifizierungsprogramme dazu starteten ab Anfang 2024.

Das AI Risk Management Framework (AI RMF 1.0) des US-amerikanischen National Institute of Standards and Technology, veröffentlicht am 26. Januar 2023, ist freiwillig, sektorunabhängig und anwendungsfallneutral.

Es gliedert die Aufgabe in vier Funktionen: Govern (Verantwortlichkeiten, Richtlinien und Aufsicht festlegen), Map (Kontext und Risiken eines konkreten Systems bestimmen), Measure (Risiken quantitativ und qualitativ analysieren und verfolgen) und Manage (Ressourcen zur Risikobehandlung zuweisen, Restrisiko dokumentieren, auf Vorfälle reagieren).

Die Nähe zur GRC-Logik ist offensichtlich – Govern steht nicht zufällig an erster Stelle.

Der EU AI Act macht beides verbindlich, wo bisher Freiwilligkeit galt. Artikel 9 verlangt von Anbietern von Hochrisiko-KI-Systemen ein Risikomanagementsystem, das ausdrücklich als kontinuierlicher iterativer Prozess über den gesamten Lebenszyklus angelegt sein muss und regelmäßige systematische Überprüfung erfordert.

Artikel 17 verlangt zusätzlich ein schriftlich dokumentiertes Qualitätsmanagementsystem, das unter anderem Datenmanagement, Beobachtung nach dem Inverkehrbringen und Verfahren zur Meldung schwerwiegender Vorfälle umfasst; Anbieter, die bereits sektorspezifischen Anforderungen an Qualitätsmanagementsysteme unterliegen, dürfen diese einbeziehen. Damit ist die organisatorische Antwort auf KI-Regulierung im Wesentlichen vorgezeichnet: Sie läuft über bestehende GRC-Strukturen.

Kritik

Die verbreitetste Kritik betrifft die Unschärfe des Begriffs. GRC benennt drei Gegenstände und behauptet ihre Zusammengehörigkeit, ohne eine Methode zu liefern, an der sich Erfolg oder Misserfolg messen ließe. Die akademische Definition von Racz und Kolleg:innen ist darin exemplarisch: Sie ist so weit gefasst, dass kaum eine ernsthafte Organisationspraxis ihr widersprechen könnte.

Kritiker:innen sehen darin einen Sammelbegriff, dessen Hauptfunktion die Bündelung eines Softwaremarktes ist – was durch die Entstehungsgeschichte gestützt wird, in der Analysehäuser und Anbieter den Begriff prägten und zugleich die Werkzeuge verkauften, die er nahelegte.

Die zweite Kritik betrifft das Verhältnis von Dokumentation und Wirkung. Der Nachweisdruck, der GRC hervorgebracht hat, belohnt Belegbarkeit, nicht notwendigerweise Sicherheit: Eine dokumentierte, getestete und testierte Kontrolle erfüllt die Prüfungsanforderung unabhängig davon, ob sie das zugrundeliegende Risiko tatsächlich mindert.

In der KI-Anwendung verschärft sich dieses Problem, weil zentrale Eigenschaften von KI-Systemen – Verzerrungen in Trainingsdaten, unerwartete Fähigkeiten, Halluzinationen, Verhalten außerhalb der geprüften Verteilung – schwer in die diskreten, prüfbaren Einzelkontrollen zu überführen sind, für die das Instrumentarium entwickelt wurde.

Die Gefahr ist ein Compliance-Nachweis, der formale Anforderungen erfüllt, ohne die Eigenschaften zu erfassen, um derentwillen reguliert wurde.

Die dritte Kritik richtet sich gegen das Three Lines of Defense-Modell und war stark genug, um dessen Überarbeitung zu veranlassen. Die Verteidigungsmetapher, so der Einwand, konstruiere ein Gegeneinander statt einer gemeinsamen Aufgabe und begünstige das Abschieben von Verantwortung entlang der Linien; das IIA hat mit der Neufassung 2020 wesentliche Punkte dieser Kritik übernommen.

Stand 2025/2026

Die Marktentwicklung zeigt eine Annäherung von klassischem GRC und KI-Governance. Das Analysehaus Gartner führt seit 2026 einen eigenen Magic Quadrant für KI-Governance-Plattformen neben dem bestehenden für GRC-Werkzeuge; nach eigener Darstellung erfüllen nur wenige Anbieter die Aufnahmekriterien für beide Kategorien gleichzeitig, was auf einen noch getrennten, sich aber schließenden Markt hindeutet.

Erwartet wird eine Konsolidierungswelle, in der etablierte GRC-Anbieter spezialisierte KI-Governance-Anbieter übernehmen.

Für die Praxis in der EU ist der entscheidende Termin die gestaffelte Anwendbarkeit der Hochrisiko-Pflichten des EU AI Act, die mit dem im Juni 2026 endgültig beschlossenen Digitalen Omnibus auf den 2. Dezember 2027 beziehungsweise den 2. August 2028 verschoben wurde.

Die zusätzliche Zeit verschiebt den Aufbau der entsprechenden Managementsysteme, hebt ihn aber nicht auf – die Pflicht zur KI-Kompetenz nach Artikel 4 und die Verbote nach Artikel 5 gelten bereits seit Februar 2025.

Offen ist, ob sich KI-Governance als eigenständige Disziplin etabliert oder als weitere Domäne in bestehende GRC-Strukturen aufgeht. Die Standardisierungsseite deutet auf Letzteres: ISO/IEC 42001 ist bewusst als anschlussfähige Managementsystemnorm konstruiert, und Artikel 17 des EU AI Act erlaubt ausdrücklich die Einbeziehung vorhandener Qualitätsmanagementsysteme.

Ob diese Anschlussfähigkeit ein Vorteil ist, hängt an der oben genannten Frage: ob ein Instrumentarium, das für die Prüfung diskreter Kontrollen in der Finanzberichterstattung entwickelt wurde, den Eigenschaften probabilistischer, sich im Betrieb verändernder Systeme gewachsen ist.

Quellenangaben

Committee of Sponsoring Organizations of the Treadway Commission (COSO), 2017. Enterprise Risk Management – Integrating with Strategy and Performance.
Europäische Union, 2024. Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz. In: Amtsblatt der Europäischen Union L, 2024/1689, 12. Juli 2024. (Artikel 9 Risikomanagementsystem; Artikel 17 Qualitätsmanagementsystem.)
Gartner, 2026. Magic Quadrant for AI Governance Platforms. Gartner Research, 2026.
Institute of Internal Auditors (The IIA), 2013. The Three Lines of Defense in Effective Risk Management and Control. IIA Position Paper, Januar 2013.
Institute of Internal Auditors (The IIA), 2020. The IIA’s Three Lines Model: An Update of the Three Lines of Defense. IIA Position Paper, Juli 2020.
International Organization for Standardization (ISO), 2018. ISO 31000:2018 – Risk management. Guidelines.
International Organization for Standardization / International Electrotechnical Commission, 2023. ISO/IEC 42001:2023 – Information technology. Artificial intelligence. Management system.
Mitchell, Scott L., 2007. GRC360: A framework to help organisations drive principled performance. In: International Journal of Disclosure and Governance 4, S. 279–296. DOI: 10.1057/palgrave.jdg.2050066
National Institute of Standards and Technology (NIST), 2023. Artificial Intelligence Risk Management Framework (AI RMF 1.0). NIST AI 100-1. Gaithersburg, MD: NIST, 26. Januar 2023. DOI: 10.6028/NIST.AI.100-1
Open Compliance and Ethics Group (OCEG), 2023. GRC Capability Model 3.5 (OCEG Red Book).
Racz, Nicolas / Weippl, Edgar / Seufert, Andreas, 2010. A Frame of Reference for Research of Integrated Governance, Risk and Compliance (GRC). In: De Decker, Bart / Schaumüller-Bichl, Ingrid (Hrsg.): Communications and Multimedia Security (CMS 2010). Lecture Notes in Computer Science 6109. Berlin/Heidelberg: Springer, S. 106–117. DOI: 10.1007/978-3-642-13241-4_11
United States Congress, 2002. Sarbanes-Oxley Act of 2002. Public Law 107-204, 30. Juli 2002. (Insbesondere Section 404.)
United States Government Accountability Office (GAO), 2025. Sarbanes-Oxley Act: Compliance Costs Are Higher for Larger Companies but More Burdensome for Smaller Ones.

← Zurück zur Lexikon-Übersicht

Zuletzt bearbeitet: 10. August 2026

Zusammengestellt, formuliert, lektoriert und korrigiert mit KI-Unterstützung. Kuratiert von Nils Brauer. Alle Angaben ohne Gewähr.