GRC-Systeme – Herausforderungen bei der Internationalisierung

Alle Unternehmen sollten das Ziel haben, Geschäftsprozesse und GRC (Governance, Risikomanagement und Compliance) Anforderungen in verschiedenen Ländern, Regio­nen aber auch Geschäftsfeldern zu vereinheitlichen und zu optimieren, um somit die Einhaltung regulatorischer Anforderungen flächendeckend sicherzustellen. Die Inter­natio­nal­isierung von GRC-Systemen birgt jedoch eine Vielzahl von Herausforderungen, die von Unternehmen zu meistern sind.

   
Die größte Herausforderung bei der Internationalisierung von GRC-Systemen stellen die regulatorischen An­forderungen selbst dar. Sie können sich von Land zu Land teilweise sehr stark unterscheiden, auch wenn sie eigentlich gleichlautende Ziele verfolgen. So stellt z.B. die Richtlinie (EU) 2019/1937 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, das Rahmenwerk für alle europäischen Mitgliedsstaaten für einen Hinweisgeberschutz dar. Die nationale Umsetzung unterscheidet sich in den einzelnen Ländern jedoch teil­weise erheblich voneinander – nicht nur was die zeitliche, sondern auch die inhaltliche Umsetzung angeht.

Deshalb ist es für Unternehmen wichtig, alle für sie relevanten regulatorischen Anforderungen zeitnah zu identifizieren, zu bewerten und umzusetzen. 

• Sprachliche und kulturelle Barrieren »

• Technologische Barrieren und Datenintegrität »

• Hilfestellung im Rahmen der IDW Prüfungsstandards »
  

• Sonderstellung: Lieferkettensorgfaltspflichtengesetz »

Sprachliche und kulturelle Barrieren

Sprachliche Unterschiede können im Rahmen der Internationalisierung auftreten und müssen bei der Ausge­staltung von Systemen und Maßnahmen frühzeitig eingeplant werden. Fehlt an dieser Stelle eine entsprech­ende Planung, kann diese Fehlentscheidung des Managements zu einer gescheiterten Internationalisierung der GRC-Systeme aufgrund sprachlicher Barrieren führen.

Besondere Herausforderungen können dabei auch die kulturellen Unterschiede darstellen: So bestehen z.B. im Rahmen von Anti-Korruptionsmaßnahmen in Bezug auf den Erhalt und die Gewährung von Geschenken und Einladungen von Land zu Land große Unterschiede. In arabischen Ländern ist es durchaus üblich, private Ein­ladungen eines Geschäftspartners zu erhalten. Das Überreichen von üppigen Geschenken an hochrangige Gäste ist Teil der arabischen Gastfreundschaft.

Diese dort übliche Praxis würde in zentraleuropäischen Ländern aus Compliance-Gesichtspunkten als eher unangemessen angesehen werden. Die Wirksamkeit eines Compliance Management Systems hängt jedoch auch von der Akzeptanz und somit Anwendbarkeit ab, weshalb kulturelle Unterschiede zwingend in der Aus­gestaltung berücksichtigt werden sollten. 

Technologische Barrieren und Datenintegrität

Besonders bei der Übermittlung von Daten aus einem Land in ein anderes müssen Unternehmen auf die geltenden regulatorischen Vorgaben achten. So können unterschiedliche Datenschutzanforderungen vor­herrsch­en oder die Übermittlung spezieller Daten aus einem Land heraus nicht, oder nur unter Umständen, gestattet sein. Bei der Übertragung von Daten aus China nach Deutschland sind z.B. sowohl die DSGVO (Datenschutz-Grundverordnung) als auch das chinesische Gesetz zum Schutz persönlicher Daten (Personal Information Protection Law – PIPL) zu berücksichtigen. Daneben existieren in Hinblick auf die (lokale) Speich­erung von Daten Vorgaben.

Bei der Datenübermittlung selbst können die technologischen Infrastrukturen eine Herausforderung darstellen. Unternehmen sollten stets darauf achten, wirksame Schnittstellen zwischen den Unternehmen zu implemen­tieren. Eine manuelle Übermittlung von Daten birgt immer ein Risiko von Übertragungsfehlern. 

Hilfestellung in den IDW Prüfungsstandards

Eine Hilfestellung zur erfolgreichen Internationalisierung von GRC-Systemen finden Unternehmen in den Prüf­ungsstandards des Instituts der Wirtschaftsprüfer in Deutschland (IDW PS 980 ff.). So können zu den Grund­elementen eines Compliance Management Systems, wie Kultur, Ziele, Risiken, Organisation, Programme, Kom­munikation sowie der Überwachung und Verbesserung der Systeme Anforderungen entnommen werden, die es bei der Planung und Umsetzung der unternehmensweiten GRC-Systeme zu berücksichtigen gilt. 
 

Sonderstellung: Lieferkettensorgfaltspflichtengesetz

Eine besondere Herausforderung für die Internationalisierung von GRC-Systemen stellt das Lieferkettensorg­falts­pflichtengesetz dar – das Erfordernis zur Internationalisierung kann sich hierbei aus der üblichen Ge­schäfts­tätigkeit des betroffenen Unternehmens ergeben. Auf Basis eines risikoorientierten Ansatzes muss das Unternehmen gegenüber allen (un)mittelbaren Lieferanten die menschenrechts- und umweltbezogene Erwar­tungshaltung kommunizieren und deren Einhaltung einfordern. Sollten Unternehmen Verstöße bei ihren Lief­eranten feststellen, sind entsprechende Abhilfemaßnahmen zu ergreifen. Somit müssen die entsprechenden Rahmenbedingungen durch Unternehmen gesetzt werden – die Umsetzung selbst ist jedoch den Lieferanten überlassen. Die Internationalisierung findet also zum Teil durch den Geschäftspartner statt.