Ein Compliance-Risiko bleibt aus einem von zwei Gründen verborgen. Entweder schaut niemand hin, oder niemand weiß, dass er hinschauen sollte.
Die erste Art ist ärgerlich und lässt sich beheben. Veraltete Richtlinien, ein Offboarding-Prozess, bei dem Zugriffsrechte bestehen bleiben, ein Anbieter, den jemand vor drei Jahren mit seiner privaten Karte bezahlt hat und der inzwischen Kundendaten speichert. All das kann eine entschlossene Person mit einer Tabelle und einer freien Woche aufdecken. Es ist eine Frage der Disziplin, und solche Probleme lassen sich mit Einsatz lösen.
Bei der zweiten Art hilft Einsatz nicht, weil er in die falsche Richtung geht. Niemand schaut über die Unternehmensgrenzen hinaus.
Dieser Artikel behandelt beide Arten und zeigt, wie Sie sie bewerten und in einer Risikolandkarte erfassen. Die internen Risiken kommen zuerst. Denn diese können Sie tatsächlich noch diesen Monat beheben. Außerdem möchte ich als Anbieter nicht über kostenlose Lösungen hinweggehen, um möglichst schnell zur kostenpflichtigen zu kommen.
Was ist ein Compliance-Risiko?
Ein Compliance-Risiko entsteht, wenn Ihr Unternehmen eine für es geltende gesetzliche, regulatorische oder vertragliche Verpflichtung nicht erfüllt oder möglicherweise nicht erfüllen wird.
Drei Formulierungen in diesem Satz sind entscheidend.
„Unternehmen“ ist diejenige, die häufig falsch verstanden wird. Warum das so ist, erklärt der Großteil dieses Artikels. Es endet nicht bei Ihren Beschäftigten.
„Möglicherweise“ ist wichtig, weil ein Compliance-Risiko schon besteht, bevor etwas schiefgegangen ist. Eine Lücke ist ein Risiko, unabhängig davon, ob sie bereits ausgenutzt wurde. Ein Unternehmen ohne Vorfälle hat deshalb noch lange kein funktionierendes Compliance-Programm. Vielleicht hatte es einfach Glück. Von außen sehen beide Fälle gleich aus.
„Für es geltende“ ist wichtig, weil ein Großteil der Compliance-Sorgen in vielen Unternehmen Pflichten betrifft, die für sie gar nicht verbindlich sind. Die tatsächlich geltenden Pflichten bleiben derweil unbeachtet. Diese Unterscheidung ist die erste Aufgabe. Die Liste ist meist kürzer und ungewöhnlicher, als man erwartet.
Eine Abgrenzung zu verwandten Begriffen ist sinnvoll. Rechtsrisiken betreffen drohende Rechtsstreitigkeiten. Operationelle Risiken betreffen das Versagen eigener Prozesse. Reputationsrisiken entstehen, wenn einer dieser Fälle öffentlich wird. Compliance-Risiken überschneiden sich mit allen drei Kategorien, sind aber mit keiner identisch.
Was Compliance-Verstöße tatsächlich kosten
Ein Compliance-Verstoß liegt vor, wenn eine Verpflichtung verletzt wird. Die interessante Frage ist, was das kostet. Die Antwort umfasst mehrere Ebenen, die in den meisten Berechnungen fehlen.
Die Geldbuße ist der sichtbare und häufig kleinste Teil. Darunter liegt das von der Aufsicht verlangte Abhilfeprogramm: ein Projekt über mehrere Quartale, das Personal bindet. Hinzu kommen Rechtskosten, unabhängig davon, ob jemals eine Strafe verhängt wird. Dann die Offenlegungspflichten gegenüber Kunden, LPs, Co-Investoren und Bankpartnern.
Danach kommt der Teil, den kaum jemand richtig berechnet: Führungskräfte beschäftigen sich drei Monate mit der Bewältigung des Vorfalls, statt das Unternehmen zu führen. Für kleine Unternehmen ist das häufig der größte Kostenposten. In keiner Kalkulation taucht er auf.
Wir haben dafür ein konkretes Rechenmodell entwickelt, statt eine weitere Seite mit abschreckenden Statistiken zu füllen. Wenn Sie im Partnermeeting einen Budgetposten verteidigen müssen, brauchen Sie eine Zahl, die einer kritischen Prüfung standhält.
Warum Compliance längst mehr als eine Backoffice-Aufgabe ist
In den letzten Jahren hat sich etwas verändert. Das verdient eine klare Benennung, weil es verändert, wer sich mit diesem Thema beschäftigt.
Früher war Compliance eine Kostenstelle, die einmal im Quartal nach oben berichtete und ansonsten in Ruhe gelassen wurde. Heute ist sie eine Voraussetzung für Großkundenverträge, Kapitalbeschaffung und Bankbeziehungen. Das ist eine geschäftliche Veränderung im Gewand einer Governance-Frage.
Der Mechanismus ist recht einfach. Großkunden prüfen Sicherheit und Compliance inzwischen vor der Unterzeichnung. LPs fragen routinemäßig nach operationeller Due Diligence, statt sie nur im Einzelfall anzufordern. Banken stellen ihren Partnern die Fragen, die ihre eigene Aufsicht ihnen stellt. So werden dieselben Erwartungen entlang der Kette an Unternehmen weitergegeben, die selbst keiner Aufsicht unterliegen.
Eine Compliance-Lücke führt daher nicht mehr nur irgendwann möglicherweise zu einer Strafe. Sie kann schon nächsten Monat einen Abschluss verzögern. Diese neue Sichtweise hat das Thema auf die Tagesordnung der Führungsgremien gebracht. Deshalb sind Budgetgespräche leichter geworden, obwohl die Arbeit schwieriger geworden ist.
Die 10 größten Compliance-Risiken, geordnet nach der Dauer bis zur Entdeckung
Die meisten Top-10-Listen ordnen Risiken nach ihrer Schwere. Das hilft wenig, denn die Schwere hängt vollständig von Ihrer Branche und Unternehmensgröße ab.
Nützlicher ist eine Rangfolge danach, wie lange Risiken unentdeckt bleiben.
Sicherheitsteams verwenden dafür den Begriff „Verweildauer“: die Zeit, die ein Eindringling unbemerkt in einem Netzwerk verbringt. Er lässt sich nahezu vollständig auf Compliance übertragen. Er zeigt etwas, das eine Rangfolge nach Schwere nicht zeigen kann: wie viel Zeit ein Risiko hat, sich zu verschärfen, bevor Sie davon erfahren.
Die Reihenfolge beginnt bei den Risiken, die am längsten verborgen bleiben. Die ersten fünf sind die gefährlichen. Sie werden feststellen, dass sie etwas gemeinsam haben.
1. Identitätsmissbrauch und Angriffe auf die Marke
Gefälschte Supportkanäle. Kopierte Social-Media-Accounts. Gefälschte Gründerprofile, die Investitionen einwerben. Die Angesprochenen glauben, mit einem Unternehmen zu sprechen, an dem Sie beteiligt sind.
Dieses Risiko lässt sich beim Onboarding grundsätzlich nicht entdecken. Das ist wörtlich gemeint. Als Sie die Transaktion abgeschlossen haben, war das Produkt noch nicht auf dem Markt. Es gab nichts, dessen Identität man hätte missbrauchen können. Im Datenraum konnte dazu nichts stehen, weil es noch nicht existierte.
Unternehmen erfahren meist davon, wenn ein Gründer in Panik anruft. Manchmal erfahren sie es durch den Screenshot eines Nutzers, der bereits Geld verloren hat. Das ist erheblich schlimmer.
2. Veränderungen im Hintergrund von Gründern und Organmitgliedern
Sie haben sie beim Abschluss geprüft. Die Prüfung war unauffällig, weil es nichts Auffälliges gab. Seitdem wurde nichts mehr geprüft.
Achtzehn Monate später wird eine Klage gegen den Gründer persönlich eingereicht. Sie betrifft ein Unternehmen, das er vor Ihrem geführt hat. Die Information ist öffentlich. Sie steht in einer Gerichtsakte. Wer auf die Idee käme, nachzusehen, bräuchte dafür ungefähr vier Minuten.
Niemand kommt darauf. Denn geprüft wurde einmal, während der Transaktion. Und die ist seit anderthalb Jahren abgeschlossen.
3. Sanktionsrisiken über einen Geschäftspartner
Sie haben das Unternehmen geprüft. Gut. Haben Sie auch seine Bank geprüft? Seine Börse? Seinen größten Kunden? OFAC und vergleichbare Behörden veröffentlichen laufend neue Sanktionslistungen. Wird der wichtigste Geschäftspartner eines Unternehmens gelistet, gerät auch das Unternehmen und damit Ihre Beteiligung in ein Compliance-Problem. Es hat dieses Problem nicht verursacht und möglicherweise noch nicht einmal bemerkt.
Das erste Anzeichen ist meist ein gesperrtes Konto. Dann geht es bereits um Krisenmanagement statt Risikomanagement. Und das ist wesentlich teurer.
4. Umstrukturierung von Unternehmen
Sitzverlegungen. Neue Organmitglieder. Anteilsübertragungen an Parteien, die niemand geprüft hat. Neue Tochtergesellschaften in Rechtsräumen, die beim Abschluss keine Rolle spielten. Im Kryptobereich ist das Alltag: Finanzierungsrunde abschließen, auf die BVI oder in die VAE umziehen, Beteiligungsstruktur ändern. Das geprüfte Unternehmen existiert in dieser Form nicht mehr. Register wie OpenCorporates machen all das sichtbar, sofern jemand hinschaut.
Meist tut das niemand. Die Entdeckung erfolgt häufig bei der Due Diligence für die nächste Finanzierungsrunde. Ein Analyst eines anderen Unternehmens findet die Änderung und fragt, warum Sie sie übersehen haben.
5. Neue regulatorische Einstufung
Das Unternehmen hat überhaupt nichts verändert. Die Regeln haben sich geändert.
Ein Token wird als Wertpapier eingestuft. Ein Dienst gilt in einem Rechtsraum nun als Finanztransfergeschäft, obwohl das im Vorjahr noch anders war. Ein Produkt, das bei Ihrer Überweisung legal war, fällt jetzt unter eine damals noch nicht existierende Erlaubnispflicht.
Für jeden Onboarding-Prozess ist das definitionsgemäß unsichtbar. Entdeckt wird es meist erst mit einem behördlichen Schreiben oder wenn eine Bank gezielte Fragen stellt.
6. Anbieter, die nie durch die Beschaffung gingen
Die Tools wurden mit einer privaten Karte bezahlt. Der KI-Transkriptionsdienst, bei dem sich jemand angemeldet hat und der inzwischen Ihre Partnermeetings verarbeitet. Das Terminplanungstool mit Lesezugriff auf sämtliche Kalender des Unternehmens.
Sie können nicht steuern, wovon Sie nichts wissen. Beginnen Sie mit den Spesenabrechnungen. Das ist unspektakulär und funktioniert.
7. Lücken beim Offboarding
Zugriffsrechte, die nach dem Ausscheiden bestehen bleiben. Langweilig und allgegenwärtig.
Jemand ist im März ausgeschieden. Das E-Mail-Konto wurde am selben Tag deaktiviert. Der Zugang zum Transaktions-CRM blieb bestehen. Ebenso die Zugänge zum gemeinsamen Laufwerk, zum Slack-Workspace mit Verbindung zu einem Portfoliounternehmen und zur vor zwei Jahren eingerichteten Cloud-Konsole. Denn all das hatte jeweils die Person individuell eingerichtet, die es damals brauchte.
Eine schriftliche Checkliste und eine vierteljährliche Überprüfung der Zugriffsrechte. Ein Nachmittag Arbeit schließt eine der Lücken, die in kleinen Unternehmen besonders zuverlässig ausgenutzt werden.
8. Die eine Person, die weiß, wie alles funktioniert
Jedes kleine Unternehmen hat sie. Kompetent, seit vier Jahren dabei. Wenn sie geht, geht die Compliance-Funktion mit ihr. Denn dokumentiert ist nichts davon, außer in ihrem Kopf.
Kaum jemand trägt das ins Risikoregister ein, weil es sich wie ein Vorwurf anfühlt. Schreiben Sie es trotzdem auf.
9. Einmal geschriebene und nie wieder gelesene Richtlinien
Jemand hat 2023 eine hervorragend ausgearbeitete Informationssicherheitsrichtlinie erstellt, weil ein Kunde sie verlangte. Sie landete in einem Ordner. Seitdem hat das Unternehmen den Cloud-Anbieter, das Lohnabrechnungssystem und die Hälfte der Belegschaft ausgetauscht.
Die Lösung kostet nichts. Jede Richtlinie erhält eine namentlich benannte verantwortliche Person und einen Überprüfungstermin. Dieser Termin gehört in den Kalender, statt nur in einem Plan zu stehen.
10. Absolvierte Schulungen, von denen nichts hängen bleibt
Alle haben das Modul absolviert. Die Abschlussquote liegt bei hundert Prozent. Trotzdem überweist anschließend jemand vierzigtausend Dollar auf ein gefälschtes Anbieterkonto. Denn das Modul bestand darin, sich um vier Uhr nachmittags zwanzig Minuten lang durch Folien zu klicken.
Eine besonders raffinierte Lösung habe ich dafür nicht. Ehrlich gesagt wirken kurze, konkrete und häufige Schulungen besser als lange, allgemeine Jahresschulungen. Fünf Minuten über den tatsächlichen Angriff, dem Ihr Unternehmen ausgesetzt sein wird, viermal im Jahr.
Dieselbe Liste als Übersicht
| Risiko | Wo es liegt | Wie lange es typischerweise verborgen bleibt |
| 1. Identitätsmissbrauch | Extern | Bis Nutzer bereits Geld verloren haben |
| 2. Veränderungen im Hintergrund von Gründern | Extern | Bis die Information öffentlich ist und jemand anderes Sie darauf hinweist |
| 3. Sanktionen gegen Geschäftspartner | Extern | Bis eine Bank ein Konto sperrt |
| 4. Unternehmensumstrukturierung | Extern | Bis zur Due Diligence der nächsten Finanzierungsrunde |
| 5. Neue regulatorische Einstufung | Extern | Bis ein behördliches Schreiben eintrifft |
| 6. Unkontrollierte Anbieter | Intern | Bis zu einer Datenschutzverletzung oder einer Verlängerungsrechnung |
| 7. Lücken beim Offboarding | Intern | Bis der Zugang eines ehemaligen Mitarbeiters auffällt |
| 8. Abhängigkeit von einer einzelnen Person | Intern | Bis sie kündigt |
| 9. Veraltete Richtlinien | Intern | Bis zum nächsten Audit |
| 10. Wirkungslose Schulungen | Intern | Bis jemand einen Fehler macht |
Diese Zeiträume beruhen auf beobachteten Mustern, nicht auf Messungen. Ihre eigenen Erfahrungen können abweichen. Achten Sie aber auf die Verteilung.
Alles in der oberen Hälfte liegt außerhalb Ihres Unternehmens. Alles in der unteren Hälfte liegt innerhalb.
Interne Risiken werden durch normale Abläufe innerhalb von Wochen oder Monaten sichtbar, weil irgendwann ein Anlass dazu zwingt. Ein Audit. Eine Vertragsverlängerung. Ein Fehler. Externe Risiken werden sichtbar, wenn jemand außerhalb Ihres Unternehmens sie für Sie findet. Anders gesagt: Sie werden nicht frühzeitig entdeckt. Sie treffen Sie.
Wo endet Ihr Unternehmen eigentlich?
Sie haben eine juristische Person. Sie haben ein Organigramm. Keines von beiden beschreibt den Bereich, in dem Ihre Risiken entstehen. Wenn Sie Ihr Compliance-Programm daran ausrichten, ist es intern schlüssig und nach außen blind.
Denken Sie daran, was tatsächlich auf Ihrem Schreibtisch landet. Der Gründer eines Portfoliounternehmens erscheint auf einer Sanktionsliste. Ein Unterauftragsverarbeiter Ihres Fondsadministrators wird Opfer eines Datenlecks, das auch Ihre Daten betrifft. Die Börse, über die ein Portfoliounternehmen seine Geschäfte abwickelt, bricht an einem Wochenende zusammen. Sie erfahren davon aus einer Telegram-Gruppe, bevor das Unternehmen Sie informiert.
Keine dieser Personen gehört zu Ihrer Belegschaft. Funktional liegen sie alle innerhalb Ihres Compliance-Verantwortungsbereichs.
Die aufsichtsrechtliche Position ist eindeutig. Sie ist auch dann relevant, wenn Sie selbst keiner Aufsicht unterliegen. Leitlinien stellen ausdrücklich klar: Ein Unternehmen kann eine Tätigkeit auslagern, die Verantwortung dafür jedoch nicht. Laufende Due Diligence und Überwachung Dritter gelten als eigenständiger Bestandteil eines Compliance-Management-Systems. Derselbe Grundsatz findet sich in den FATF-Empfehlungen zur laufenden Sorgfaltspflicht gegenüber Kunden.
Die meisten VC- und Kryptofonds unterliegen dieser Aufsicht nicht. Hier möchte ich präzise bleiben, denn überzogene Aussagen wären leicht gemacht und unehrlich. Niemand kommt nächstes Quartal zur Prüfung. Die Logik gilt aber unabhängig davon, ob jemand ihre Umsetzung durchsetzt. Und LPs beginnen, dieselben Fragen wie Aufsichtsbehörden zu stellen.
So bewerten Sie Compliance-Risiken
Die Standardmethode hat vier Schritte. Ein fünfter fehlt.
Schritt eins: die tatsächlich verbindlichen Pflichten erfassen
Gemeint sind die Regeln, Verträge und regulatorischen Zusagen, für deren Verletzung Sie sich rechtfertigen müssten. Beeindruckend klingende Rahmenwerke sind dafür unerheblich. Die Liste ist meist kürzer als befürchtet und ungewöhnlicher als erwartet. Sie enthält ein oder zwei Punkte, die bisher ignoriert wurden, weil niemand ihre Geltung erkannt hat.
Schritt zwei: Entitäten erfassen, nicht nur Prozesse
Diesen Schritt überspringt die Standardmethodik. Deshalb sind die meisten Bewertungen unvollständig.
Die herkömmliche Risikobewertung erfasst Prozesse: Onboarding, Zahlungen, Datenverarbeitung, Berichterstattung. Für ein Unternehmen mit internen Risiken reicht das aus.
Bei externen Risiken brauchen Sie zusätzlich ein Verzeichnis der Entitäten. Jedes Portfoliounternehmen. Jeden wichtigen Geschäftspartner. Ihren Administrator, Ihre Verwahrstelle, wichtige Anbieter. Alle, deren Versagen auf Ihrem Schreibtisch landet.
Die meisten Unternehmen haben diese Liste noch nie erstellt. Sie fällt immer länger aus als erwartet. Schon ihre Erstellung verändert das Gespräch, bevor Sie auch nur eine Bewertung vorgenommen haben.
Schritt drei: Wahrscheinlichkeit und Auswirkungen bewerten
Der vertraute Teil. Wie wahrscheinlich ist das Ereignis, und wie schlimm wäre es? Verwenden Sie eine beliebige Skala mit drei oder fünf Stufen. Diese Wahl ist bei Weitem nicht so wichtig, wie die Diskussionen darüber vermuten lassen.
Schritt vier: Erkennbarkeit bewerten, was kaum jemand tut
Wie lange würde es dauern, bis Sie davon erfahren?
Die Frage lautet nicht: „Könnten wir es finden, wenn wir nachsehen?“ Gemeint ist die tatsächliche Zeit zwischen dem Ereignis und seiner Entdeckung durch jemanden im Unternehmen. Maßgeblich sind die Verfahren, die Sie tatsächlich einsetzen.
Bewerten Sie das in Tagen. Seien Sie ehrlich. Wenn die ehrliche Antwort lautet: „Wir erfahren davon, wenn der Gründer es uns sagt“, tragen Sie eine Zahl ein, die das widerspiegelt.
Schritt fünf: anhand aller drei Faktoren priorisieren
Damit kommen wir zu dem Teil, der aus meiner Sicht in den gängigen Rahmenwerken tatsächlich fehlt.
Eine Compliance-Risikolandkarte erstellen: die vergessene Achse
Die herkömmliche Risikolandkarte ist eine Zwei-mal-zwei-Matrix. Auf einer Achse steht die Wahrscheinlichkeit, auf der anderen die Auswirkung. Sie tragen Ihre Risiken ein. Was oben rechts landet, erhält das Budget. ISO 31000 und COSO folgen im Grundsatz diesem Ansatz. Er hat dem unternehmerischen Risikomanagement jahrzehntelang gute Dienste geleistet.
Er enthält jedoch eine versteckte Annahme, die erheblichen Schaden anrichtet.
Er setzt voraus, dass Sie bemerken, wenn ein Risiko eintritt.
Auf der Landkarte kommt die Erkennung nirgends vor. Wahrscheinlichkeit ist vorhanden. Auswirkung ist vorhanden. Die Zeit zwischen Ereignis und Kenntnisnahme fehlt vollständig. Als wäre sie null. Als würden Risiken sich selbst ankündigen.
Das tun sie nicht. Und Zeit vervielfacht die Auswirkungen. Sie ist keine Fußnote dazu.
Nehmen Sie ein Risiko mit mittlerer Wahrscheinlichkeit und mittleren Auswirkungen. Wenn Sie es innerhalb eines Tages entdecken, ist es beherrschbar. Sie greifen früh ein, begrenzen das Risiko, und die Behebung ist günstig. Gegenüber der Aufsicht können Sie außerdem darauf verweisen, dass Sie es selbst entdeckt haben. Das zählt viel.
Nehmen Sie dasselbe Risiko, das vierzehn Monate unentdeckt bleibt. Die Belastung wächst. Jede Gelegenheit für einen günstigen Eingriff ist verstrichen. Die Behebung ist inzwischen ein Projekt. Und jemand anderes hat das Risiko entdeckt. Bei der anschließenden Rechtfertigung ist Ihre Ausgangslage erheblich schlechter.
Gleiche Wahrscheinlichkeit. Gleiche nominelle Auswirkung. Eine völlig andere Realität.
Die Formel
Die Landkarte braucht also eine dritte Dimension. Am einfachsten lässt sich das so ausdrücken:
Effektive Risikobelastung = Wahrscheinlichkeit × Auswirkung × Zeit bis zur Entdeckung.
Sie können das auf einer ebenen Fläche darstellen: Behalten Sie die Zwei-mal-zwei-Matrix bei und kennzeichnen Sie die Erkennbarkeit durch Punktgröße oder Farbe. In der Praxis gewichten die meisten Teams einfach den Risikowert. Das ist in Ordnung. Die formale Umsetzung zählt weniger als die Disziplin, die dritte Frage überhaupt zu stellen.
Passen Sie Ihre bestehende Risikolandkarte so an, und es passiert etwas Unbequemes. Risiken, die als mittel eingestuft unauffällig in der Mitte lagen, rücken deutlich in die Ecke. Fast alle erweisen sich als extern. Denn für externe Risiken laufen meist keine Erkennungsverfahren.
Diese neue Reihenfolge ist das Argument für kontinuierliches Monitoring in einem Satz. Es ergibt sich aus der Methodik selbst, nicht aus der Aussage eines Anbieters.
Die Fehler, die fast alle bei der Risikoerfassung machen
Es sind sechs. Der erste ist fatal.
Nur erfassen, was Sie kontrollieren. Die Landkarte umfasst Ihre Prozesse, Systeme und Beschäftigten und endet an der Tür. Das Ergebnis ist ein intern sorgfältiges Dokument, das vielleicht fünfzehn Prozent Ihrer tatsächlichen Risikobelastung beschreibt.
Nur einmal erfassen. Eine im März erstellte und nie wieder betrachtete Risikolandkarte ist ein Foto. Die Welt, die sie beschreibt, hat sich weiterentwickelt. Das ist gefährlicher als gar keine Landkarte. Denn jetzt liegt ein Dokument vor, das den Eindruck einer Kontrolle vermittelt, die nicht stattfindet.
Wahrscheinlichkeit mit Erkennbarkeit verwechseln. „Wir haben so etwas noch nie erlebt“ wird häufig als „Das ist unwahrscheinlich“ verstanden. Manchmal bedeutet es: „Wir würden es gar nicht bemerken.“ Beide Fälle liefern dieselben Anhaltspunkte und erfordern entgegengesetzte Reaktionen.
Auf Ebene der Entitäten statt der Beziehungen erfassen. Sie haben Ihr Portfoliounternehmen erfasst. Seine Bank, seine Börse und seinen größten Kunden haben Sie ausgelassen. Alle drei können das Unternehmen in ein Compliance-Problem bringen, das es nicht selbst verursacht hat.
Alle ihren eigenen Bereich bewerten lassen. Menschen bewerten ihre eigenen Bereiche als risikoarm. Das liegt weniger an Unehrlichkeit als an der Nähe zum Thema. Lassen Sie deshalb jemanden außerhalb der Funktion die Bewertung vornehmen oder zumindest hinterfragen.
Die Landkarte zum Dokument statt zum Werkzeug werden lassen. Sie muss bestimmen, was überwacht und eskaliert wird und wofür es Budget gibt. Tut sie das nicht, ist sie keine Landkarte. Sie ist ein Arbeitsergebnis, das für jemand anderen erstellt wurde.
Risikolandkarten unterscheiden sich je nach Organisation
Die Form der Landkarte unterscheidet sich je nach Branche erheblich. Deshalb enttäuschen allgemeine Vorlagen fast jeden, der sie herunterlädt.
Ein Fertigungsunternehmen oder ein klassischer Konzern hat überwiegend interne Risiken. Lieferkette, Anlagen, Beschäftigte, Daten. Dinge, die das Unternehmen besitzt und steuert. Dafür wurden die gängigen Rahmenwerke entwickelt, und hier funktionieren sie.
Ein SaaS-Unternehmen blickt ebenfalls überwiegend nach innen. Seine Risiken konzentrieren sich auf Datenverarbeitung und Sicherheitskontrollen. SOC 2, ISO 27001, GDPR. Deshalb gibt es die Kategorie der Automatisierung von Sicherheits-Compliance, und deshalb ist sie so schnell gewachsen.
Bei Fintech teilt sich der Blick. Nach innen auf die eigenen Kontrollen, nach außen auf die Kunden. Diese müssen beim Onboarding geprüft und anschließend überwacht werden. Zwei unterschiedliche Programme, häufig betreut von derselben überlasteten Person.
Ein reguliertes Institut hat umfangreiche interne Pflichten sowie formale Anforderungen an die Überwachung Dritter. Deshalb kauft es meist eine GRC-Plattform und stellt jemanden für deren Betrieb ein.
Bei einem Venture-Capital- oder Private-Equity-Fonds ist das Verhältnis umgekehrt. Intern elf Personen, zweihundert Millionen investiert in achtunddreißig Unternehmen, die er nicht kontrolliert. Interne Risiken sind real, aber gering. Fast die gesamte Risikobelastung liegt bei externen Entitäten. Kein Standardrahmenwerk beschreibt diese Situation.
Bei einem Kryptofonds ist dieses Verhältnis am stärksten umgekehrt. Hinzu kommen zwei getrennte externe Risikobereiche, die sich nicht überschneiden. On-Chain-Risiken, die durch Wallet-Analysen abgedeckt werden. Und Off-Chain-Risiken von Entitäten wie Gründern, Unternehmensstrukturen und Identitätsmissbrauch, die davon nicht erfasst werden. Fonds, die das erste Werkzeug gekauft haben und damit auch den zweiten Bereich für abgedeckt halten, machen den häufigsten teuren Fehler dieses Marktes. Falls Ihnen diese Unterscheidung neu ist, haben wir hier die gesamte Lösungslandschaft dargestellt.
Bewährte Vorgehensweisen, die meist nichts kosten
Fünf Dinge. Drei davon kosten nichts. Das möchte ich vorweg sagen, denn üblicherweise erklärt hier ein Anbieter, die Lösung bestehe in einer Bestellung.
Ziehen Sie zuerst die tatsächliche Grenze. Listen Sie alle Entitäten auf, deren Versagen auf Ihrem Schreibtisch landet. Portfoliounternehmen, deren wichtigste Geschäftspartner, Ihr Administrator, Ihre Verwahrstelle, Ihre externen Dienstleister. Das ist kostenlos und dauert einen Nachmittag.
Geben Sie die Zeit bis zur Entdeckung als Zahl an. „Laufend“ reicht nicht. Wenn die ehrliche Antwort „vierteljährlich“ lautet, akzeptieren Sie im ungünstigsten Fall etwa neunzig Tage zwischen dem öffentlichen Auftauchen eines Signals und seiner Wahrnehmung im Unternehmen. Das kann völlig in Ordnung sein. Es sollte eine bewusste Entscheidung sein, keine übernommene Lücke. Sie gehört in Ihre Risikomanagementrichtlinie, statt nur in jemandes Kopf zu existieren.
Benennen Sie für jedes Risiko eine verantwortliche Person, bevor Sie sie brauchen. Wo kein Name steht, folgt keine Reaktion. Das ist mit Abstand der häufigste Grund, warum Alarme unbearbeitet bleiben. Es ist kein Werkzeugproblem. Keine Software löst es für Sie. Mehr zur Weiterleitung finden Sie hier.
Automatisieren Sie die Beobachtung. Automatisieren Sie keine Entscheidungen. Eine Maschine kann über Nacht zehntausend Artikel in sechs Sprachen lesen und die vier herausfiltern, die für Sie relevante Entitäten betreffen. Kein menschliches Team schafft das. Eine Maschine kann aber nicht entscheiden, was Sie als Nächstes tun. Jedes System, das Ihnen statt eines belegten Signals eine Schlussfolgerung liefert, schafft ein Haftungsrisiko. Sie haben dann ein autoritativ wirkendes Dokument zu einer Entscheidung, die Sie nicht prüfen können. Bestehen Sie auf dem Link zur Primärquelle. Auch bei uns.
Prüfen Sie anschließend, was Sie aufgebaut haben. Damit kommen wir zum letzten Punkt.
Das Audit in einer Stunde
Sie können noch heute Nachmittag herausfinden, wo Sie stehen.
Wählen Sie zufällig drei Portfoliounternehmen aus. Keine gezielte Auswahl Ihrer Problemfälle. Wirklich zufällig, idealerweise mit einem Unternehmen, bei dem Sie völlig entspannt sind.
Beantworten Sie für jedes vier Fragen. Haben sich die Organmitglieder seit unserem Abschluss geändert? Haben sich Rechtsraum oder Unternehmensstruktur geändert? Wer sind heute die wichtigsten Geschäftspartner, und waren einige davon schon beim Abschluss Geschäftspartner? Gibt sich gerade jemand auf sozialen Kanälen als dieses Unternehmen aus?
Messen Sie die benötigte Zeit. Multiplizieren Sie sie anschließend mit der Anzahl der Unternehmen im Portfolio.
Übersteigt das Ergebnis die tatsächlich verfügbare Zeit, haben Sie keinen Monitoring-Prozess. Sie haben eine Absicht. Zwischen beiden besteht ein wesentlicher Unterschied, der meist im ungünstigsten Moment sichtbar wird.
Noch etwas: Können Sie diese vier Fragen nicht einmal für ein einziges Unternehmen beantworten, ohne den Gründer anzuschreiben, ist das bereits der Befund. Sie müssen die anderen siebenunddreißig nicht mehr prüfen.
Häufig gestellte Fragen
Sie zu beheben lohnt sich. Sie sind aber auch die einfachere Hälfte. Die Risiken, die tatsächlich Geld kosten, liegen außerhalb des Unternehmens. Etwa ein veränderter Hintergrund eines Gründers, die Sanktionslistung eines Geschäftspartners oder eine unbemerkte Sitzverlegung. Die meisten Unternehmen setzen überhaupt nichts ein, um solche Veränderungen zu erkennen.
Eine Landkarte interner Kontrollen kann vermutlich ein Jahr bestehen bleiben. Eine Landkarte für achtunddreißig Portfoliounternehmen kann das nicht. Diese Unternehmen ändern Organmitglieder, Rechtsräume und Geschäftspartner nach ihrem eigenen Zeitplan. Überprüfen Sie den internen Bereich halbjährlich. Überprüfen Sie die externe Hälfte kontinuierlich, oder räumen Sie ein, dass Sie sie nicht wirklich überprüfen.
Fazit
Die Risiken innerhalb Ihres Unternehmens lassen sich finden. Das ist mühsam, aber möglich. Dieser Artikel hat Ihnen gezeigt, wo Sie ungefähr suchen sollten. Weisen Sie Verantwortliche und Termine zu. Die meisten davon stellen dann kein Risiko mehr dar.
Die Risiken außerhalb Ihres Unternehmens lassen sich nicht durch genaueres Hinsehen entdecken, weil dort überhaupt niemand hinschaut. Das ist kein Disziplinproblem. Mehr Einsatz schließt diese Lücke nicht.
Genau diese Lücke soll Beady AI schließen. Mit kontinuierlichem Monitoring der Entitäten, von denen Ihre Risiken ausgehen: Portfoliounternehmen, Gründer und Geschäftspartner. Es erfasst Sanktionslisten, negative Medienberichte, Unternehmensregister und Identitätsmissbrauch in sozialen Medien. Jedes Signal ist mit seiner Originalquelle verknüpft. Buchen Sie einen Termin, und wir prüfen Ihre tatsächlichen Beteiligungen statt eines Demo-Datensatzes. Die meisten Fonds finden schon beim ersten Durchlauf etwas. Ob Sie das beruhigt, hängt von Ihrem Temperament ab.
