Schnittstelle zwischen GRC-Core und Fachdomänen
Fachdomänen behalten ihre eigene Methodik, arbeiten aber mit denselben GRC-Objekten und geben entscheidungsrelevante Ergebnisse an den Core zurück.
Der Core gibt Kontext und Leitplanken – die Domain liefert Fachsicht und Nachweise
Was die Fachdomäne erhält
Ziele, Kontext, Verpflichtungen und Anforderungen, Risikoappetit und Toleranzen, Entscheidungen, interne Vorgaben und Zielzustände.
Was die Fachdomäne zurückliefert
Risiken, Fähigkeiten, Controls, Nachweise, Kennzahlen, Findings, Issues und Maßnahmen – fachlich eingeordnet und auf den GRC-Core rückführbar.
Ransomware erklärt nur einen Teil des Geschäftsproblems
Der GRC-Core kennt das Ziel „Renten vollständig, korrekt und rechtzeitig auszahlen“ und die tolerierbare Unterbrechung. Wird die Dienstleisterstörung als Ransomware erkannt, analysiert die Cybersecurity-Domain Assets, Angriffspfad, Identitäten, Detection, Incident Response und Recovery. Die Ergebnisse fließen als Risiko-, Control-, Evidence- und Finding-Objekte zurück.
Die Fachdomäne behält ihre Methode – der Core behält die Entscheidungskette
Cybersecurity, Datenschutz, Business Continuity oder Third Party Management dürfen fachlich unterschiedlich arbeiten. Für GRC müssen ihre Ergebnisse aber auf gemeinsame Objekte wie Ziel, Risiko, Requirement, Control, Evidence, Finding und Decision zurückführbar sein. So bleibt Spezialisierung möglich, ohne dass getrennte Steuerungswelten entstehen.