Stephan VossISO (Information Security Officer)stephan.voss@stephan-voss.deLinkedIn
ISMS-GRC-WEBGOVERNANCE · RISK · COMPLIANCE · ASSURANCE
GRC-LIFECYCLE

Vom Verstehen zur Verbesserung

Ein durchgängiger Kreislauf verbindet Kontext, Bewertung, Entscheidung, Umsetzung, Nachweis und Lernen.

ROTER FADEN · RENTENZAHLUNG
02
Vom Ziel in den Kreislauf

Aus der Frage nach rechtzeitiger Rentenzahlung werden Abhängigkeiten, Verpflichtungen, Risiken und Entscheidungen sichtbar.

Gesamten Fall ansehen →
DER KREISLAUF

Acht Schritte – immer mit vier Blickrichtungen

GRC-Lifecycle als geschlossener Kreislauf mit Verstehen, Bewerten, Entscheiden, Steuern, Umsetzen, Nachweisen, Prüfen und Verbessern.
Verbessern führt zurück zum Verstehen. Neue Erkenntnisse verändern Kontext, Bewertung und Entscheidungen.
01 · VERSTEHENWas wollen wir erreichen?

Ziele, Geschäftskontext, Abhängigkeiten und relevante Rahmenbedingungen verstehen.

02 · BEWERTENWas kann Zielerreichung beeinflussen?

Risiken, Chancen, Auswirkungen und Unsicherheiten in ihrem Kontext bewerten.

03 · ENTSCHEIDENWas tun wir – und wer entscheidet?

Prioritäten, Toleranzen und den verantworteten Umgang mit Risiken und Anforderungen festlegen.

04 · STEUERNWie wird die Entscheidung wirksam?

Vorgaben, Verantwortlichkeiten und Steuerungen so festlegen, dass die Entscheidung umgesetzt werden kann.

05 · UMSETZENWas geschieht tatsächlich?

Menschen, Prozesse und Technik setzen die festgelegte Steuerung im Tagesgeschäft um.

06 · NACHWEISENWoran ist die Umsetzung erkennbar?

Nachweise und Kennzahlen machen Durchführung, Zustand und relevante Abweichungen nachvollziehbar.

07 · PRÜFENFunktioniert die Steuerung wirklich?

Design, Implementierung und Betrieb werden gegen Ziel, Risiko und Anforderung beurteilt.

08 · VERBESSERNWas lernen und verändern wir?

Findings, Ursachen und neue Erkenntnisse führen zu Maßnahmen und zurück in den aktualisierten Kontext.

BLICKRICHTUNGEN

Jeder Schritt wird aus vier Perspektiven betrachtet

GOVERNANCE
Mandat & Entscheidung
RISK
Unsicherheit & Priorität
COMPLIANCE
Verpflichtung & Grenze
ASSURANCE
Nachweis & Wirkung
KEIN WASSERFALL

Der Lifecycle ist eine Denkfolge, keine starre Prozessschablone

In der Praxis kann ein Finding den Einstieg bilden, eine neue Verpflichtung eine Entscheidung erzwingen oder ein Incident den Kontext verändern. Entscheidend ist nicht, bei Schritt 1 zu beginnen, sondern dass die notwendigen Fragen bis zu Entscheidung, Nachweis und Verbesserung geschlossen werden.

Beispiel: Ein fehlgeschlagener Restore-Test startet bei „Prüfen“. Daraus folgen neue Bewertung, Entscheidung, Maßnahme und erneute Prüfung – und möglicherweise eine geänderte Annahme darüber, wie belastbar die Geschäftsleistung wirklich ist.
VERNETZEN

Vier Blickrichtungen verhindern blinde Flecken

Governance fragt nach Mandat und Entscheidung, Risk nach Unsicherheit und Priorität, Compliance nach bindenden Grenzen und Assurance nach belastbarer Wirkung. Nicht jeder Schritt benötigt vier separate Dokumente; die Perspektiven helfen vielmehr dabei, eine Entscheidung vollständig zu denken.