zazoon ag erfahrungen

ZAZOON AG

  • From Risk Management to Resilience

    From Risk Management to Resilience

    For years, traditional risk management and operational resilience were treated as separate disciplines. While risk management focuses on identifying and assessing threats at a strategic level, resilience ensures business continuity in the face of disruptions.

    But this separation is becoming a liability. In a world of overlapping crises—volatile supply chains, rising cyberattacks, geopolitical instability—isolated thinking is no longer effective.

    The key lies in integration: risk management and resilience must be planned and implemented together.

    1. Risk Management vs. Resilience – and Why the Distinction No Longer Matters

    Risk management involves the systematic identification, assessment, and monitoring of potential threats. It answers:

    • What could happen?
    • How likely is it?
    • What would the impact be?

    Resilience, by contrast, is about ensuring the organization remains operational during disruptions—through contingency plans, redundancies, and fast response mechanisms.

    In theory, both disciplines complement each other. In practice, however, they often operate in isolation:

    • Different tools and systems
    • Separate teams with distinct goals
    • No unified risk evaluation or scenario planning

    The result: Risks are recognized but not operationally addressed—or vice versa.

    2. Why Integration Is Essential

    a) Strategic risks must translate into operational readiness

    Identifying a cyberattack as a top risk is not enough without concrete action: tested backup systems, trained response teams, and clear communication protocols.

    b) Crises are multifaceted and don’t respect boundaries

    A power outage affects IT, customer relations, legal obligations, and supply chain operations. Without coordination, responses are fragmented and ineffective.

    c) Speed is the new currency of resilience

    Modern threats escalate in real time. Only integrated structures—combining strategic foresight with operational agility—allow fast, aligned responses.

    3. How to Connect Risk Management and Resilience

    1. Establish a common language

    Agree on shared terminology for “risk,” “impact,” “criticality,” and “scenario” across departments.

    2. Use a unified platform

    Consolidate risk and continuity data into one system to ensure transparency and eliminate duplication.

    3. Conduct joint simulations

    Risk managers and crisis teams should regularly run combined scenario exercises.

    4. Rethink governance structures

    Rather than reporting separately, create integrated dashboards for the board and executive management.

    5. Promote a culture of collaboration

    Operational departments must recognize that resilience is not an add-on—it is a leadership priority.

    4. From Static Risk Reports to Dynamic Resilience

    Traditional risk management is often backward-looking: annual reports, heat maps, risk categories.

    Modern resilience, however, requires:

    • Real-time data (e.g. supply chain alerts, IT status, social media)
    • Forward-looking indicators
    • Organizational agility, communication, and adaptability

    What’s needed is not separation—but a shared ecosystem where risk insights lead directly to readiness and action.

    5. What Organizations Should Do Now

    ActionImpact
    Align risk and resilience strategiesDerive priorities systematically
    Build cross-functional teamsBreak down silos, leverage expertise
    Implement integrated reportingProvide clarity to leadership and regulators
    Institutionalize scenario planningStrengthen anticipation and decision-making
    Foster shared ownership cultureMake resilience a strategic responsibility

    Conclusion

    In a volatile and complex world, isolated silos are no longer sustainable. Organizations that integrate risk management with operational resilience gain faster reaction times, better decision-making, and stronger long-term stability.

    The future belongs to those who not only understand risk—but know how to respond with clarity and confidence.

    FAQ – Risk Management and Resilience

    What’s the difference between risk management and resilience?
    Risk management identifies and evaluates potential threats. Resilience ensures the organization can operate during and after those threats.

    Why are these functions often separated?
    Historical growth, distinct responsibilities, and different reporting structures have led to functional silos—despite their shared goals.

    What are the benefits of integration?

    • Faster crisis response
    • Shared understanding of risk scenarios
    • More efficient use of resources
    • Better decisions under pressure

    How can companies get started?
    Launch a joint workshop between risk and crisis teams, define shared terms, and begin working with combined scenarios and reporting structures.

    Is this relevant for small and mid-sized companies too?
    Absolutely. Any business facing operational complexity or regulatory scrutiny can benefit from integrated risk-resilience thinking.

    What tools support this approach?
    Modern GRC (Governance, Risk, Compliance) and Integrated Risk Management (IRM) platforms that unify risk analysis, continuity planning, incident management, and communication.

  • Corporate Culture as the Foundation of Effective Governance: Why Rules Alone Are Not Enough

    Corporate Culture as the Foundation of Effective Governance: Why Rules Alone Are Not Enough

    In many organizations, governance is primarily associated with formal structures, compliance policies, and regulatory controls. However, effective governance goes beyond systems and rules—it requires a strong ethical foundation and shared values. It is the lived corporate culture that determines whether governance structures are truly effective or merely symbolic.

    This article explains why culture is the essential foundation for good governance—not just in financial institutions but in any organization seeking resilience, integrity, and long-term success.

    1. Governance Without Culture: A System Prone to Failure

    Governance frameworks define roles, controls, and decision-making processes to ensure legality, accountability, and strategic alignment. But these frameworks only work when people actively support and internalize them.

    Example: The 2008 financial crisis and the collapse of Credit Suisse were not caused by a lack of regulations. Rather, they were driven by a toxic risk culture and short-term thinking that ignored broader consequences. Compliance structures existed, but they were hollow.

    Conclusion: Governance without a healthy culture is vulnerable to rule-bending, misconduct, and systemic failure.

    2. What Is Corporate Culture—and What Makes It Effective?

    Corporate culture encompasses the values, assumptions, and behavioral norms that shape how employees think and act. It is reflected in:

    • how mistakes are handled,
    • whether critical questions are welcomed or silenced,
    • how leadership communicates and makes decisions,
    • and whether ethical principles are respected under pressure.

    An effective culture is characterized by:

    ElementGovernance Impact
    IntegrityDecisions prioritize long-term responsibility
    TransparencyRisks and conflicts are openly addressed
    AccountabilityEmployees act responsibly beyond mere compliance
    Openness to dissentCritical thinking and dialogue are encouraged
    Trust & respectReinforces collaboration and internal control

    3. Risk Culture: The Litmus Test of Governance in Action

    A core component of corporate culture is risk culture—the organization’s mindset and behavior regarding uncertainty, errors, and risk exposure.

    In a mature risk culture:

    • Risks are not ignored but proactively surfaced.
    • Mistakes are used as learning opportunities.
    • Employees feel empowered to raise concerns—even upward.

    The so-called “tone from the top” is crucial. If leadership communicates risk awareness but acts otherwise, the credibility of governance collapses.

    What supports a healthy risk culture?

    • Risk-awareness training across all levels
    • Cross-level dialogue on critical topics
    • Psychological safety in raising issues

    4. Culture Is Not Just a Finance Issue

    While corporate culture is often discussed in the context of banks or insurance firms, it applies across industries:

    • Manufacturing: Without a strong safety culture, even the best technical standards can be undermined by shortcuts or pressure.
    • Healthcare: Patient safety depends on whether staff feel safe to report mistakes or risks.
    • Tech industry: Agility and innovation flourish in environments that tolerate failure and support learning.
    • Public sector: Anti-corruption efforts rely on lived integrity—not just codes of conduct.

    Culture is the organization’s invisible operating system. It determines how formal rules are interpreted, adapted—or quietly ignored.

    5. How to Actively Shape Corporate Culture

    Unlike policies, culture cannot simply be „implemented.“ It must evolve and be nurtured over time. Key levers include:

    a) Leading by Example

    Leadership behavior sets the standard. Leaders who act according to declared values foster authenticity and credibility.

    b) Operationalizing Values

    Stated values like “responsibility” or “integrity” must be translated into tangible behaviors for different roles and contexts.

    Example:

    • What does “integrity” mean in procurement decisions?
    • How is “accountability” demonstrated in customer service?

    c) Enabling Feedback and Reflection

    Culture thrives through open dialogue:

    • regular employee surveys,
    • facilitated discussions,
    • and culture-based metrics in reports.

    d) Integrating Culture into Governance

    • Culture audits within internal controls
    • Culture-fit considerations in promotions
    • Ethical dimensions in risk assessments

    6. Conclusion: Culture Is the New Compliance

    In a world shaped by uncertainty, complexity, and shifting expectations, governance based solely on formal mechanisms is no longer sufficient.

    Good governance depends on a solid cultural foundation.

    Corporate culture is not a “soft” factor—it is a strategic resource. It strengthens trust, enables resilience, and supports responsible action in turbulent times. Organizations that treat culture as a core management concern—not an HR issue—will be more adaptive and credible in the years ahead.

    FAQ – Corporate Culture and Governance

    What is corporate culture?
    It refers to the shared values, behaviors, and informal norms that shape how people work, communicate, and make decisions in an organization.

    Why is culture important for governance?
    Rules and policies only work if they are embedded in a culture of integrity, openness, and responsibility. Culture determines whether governance systems are followed in spirit or bypassed.

    How is governance different from culture?
    Governance is formal (structures, roles, controls). Culture is informal (mindsets, behavior patterns). The latter determines how the former is applied in real life.

    What is risk culture?
    Risk culture defines how people deal with uncertainty and potential threats. It includes how risks are perceived, discussed, escalated—or suppressed.

    What are the signs of a weak culture?

    • Fear of speaking up
    • Tolerated rule-breaking
    • Top-down communication only
    • Ethical blind spots
    • Lack of reflection after failure

    How can an organization shape its culture?

    • Consistent leadership behavior
    • Clear definition and translation of values
    • Honest conversations across hierarchies
    • Integration into audits, HR, and risk processes

    Is this only relevant for financial institutions?
    Not at all. Any organization exposed to risk, responsibility, or human impact needs a strong culture—be it in health, tech, manufacturing, or government.

    Can culture be measured?
    Yes, indirectly. Through surveys, incident reports, whistleblower data, retention rates, and internal assessments. Culture metrics are increasingly used in audits and strategy reviews.

  • Unternehmenskultur als Fundament wirksamer Governance: Warum Regeln allein nicht reichen

    Unternehmenskultur als Fundament wirksamer Governance: Warum Regeln allein nicht reichen

    In vielen Organisationen ist Governance eng mit formalen Regelwerken, Kontrollen und Richtlinien verknüpft. Doch immer häufiger zeigt sich: Effektive Governance braucht mehr als Strukturen – sie braucht Haltung. Die gelebte Unternehmenskultur entscheidet, ob Richtlinien wirken, Risiken aktiv gesteuert und Werte tatsächlich gelebt werden.

    Dieser Artikel zeigt, warum Unternehmenskultur das Fundament guter Governance bildet – nicht nur in der Finanzbranche, sondern in jeder Organisation, die langfristig resilient, verantwortungsvoll und erfolgreich sein will.

    1. Governance ohne Kultur: Ein System mit Sollbruchstellen

    Governance-Systeme definieren Prozesse, Verantwortlichkeiten und Kontrollmechanismen, um ein Unternehmen gesetzeskonform und zielgerichtet zu steuern. Doch die Wirksamkeit dieser Systeme hängt davon ab, ob sie von den Mitarbeitenden getragen werden – oder ob sie lediglich auf dem Papier existieren.

    Beispiel: In der Finanzkrise 2008 und beim Kollaps der Credit Suisse waren zwar formale Strukturen vorhanden, doch es fehlte an einer gelebten Risikokultur. Entscheidungen wurden getroffen, ohne langfristige Folgen oder ethische Prinzipien zu berücksichtigen – mit fatalen Konsequenzen.

    Fazit: Governance ohne wertebasierte Kultur ist anfällig für Regelverstöße, Opportunismus und Fehlanreize.

    2. Was ist Unternehmenskultur – und was macht sie wirksam?

    Unternehmenskultur beschreibt das Zusammenspiel aus Werten, Einstellungen, Normen und Verhaltensweisen, das in einem Unternehmen täglich gelebt wird – bewusst oder unbewusst. Sie zeigt sich darin:

    • wie mit Fehlern umgegangen wird,
    • ob kritische Fragen gestellt werden dürfen,
    • wie Führungskräfte kommunizieren,
    • und ob ethische Grundsätze im Alltag Priorität haben.

    Eine wirksame Kultur zeichnet sich aus durch:

    MerkmalWirkung auf Governance
    IntegritätEntscheidungen orientieren sich am Gesamtwohl
    TransparenzRisiken und Fehlentwicklungen werden sichtbar
    VerantwortungsgefühlMitarbeitende handeln nicht nur pflichtgetreu
    DiskursfähigkeitKonflikte werden produktiv bearbeitet
    Respekt & Vertrauenstärkt Zusammenarbeit und interne Kontrolle

    3. Risikokultur: Der Lackmustest gelebter Governance

    Ein zentrales Element der Unternehmenskultur ist die Risikokultur – also der Umgang mit Unsicherheit, Fehlern und potenziellen Bedrohungen.

    In einem reifen Risikoumfeld gilt:

    • Risiken werden nicht verdrängt, sondern offen angesprochen.
    • Fehler werden als Lernchancen begriffen.
    • Mitarbeitende sind befähigt, Risiken zu erkennen und zu melden.

    Tone from the Top ist hier entscheidend: Wenn das Top-Management nur formale Risiko-Reports verlangt, aber selbst riskante oder widersprüchliche Entscheidungen trifft, untergräbt das die gesamte Kultur.

    Verstärkend wirken:

    • Interne Schulungen zur Risikowahrnehmung
    • Dialogformate zwischen Führung und operativer Ebene
    • Psychologische Sicherheit (sichere Räume für Kritik und Fragen)

    4. Unternehmenskultur ist nicht nur ein Thema für Banken

    Auch wenn viele Analysen aus der Finanzbranche stammen, ist das Thema branchenübergreifend relevant:

    • Industrieunternehmen: Ohne Sicherheitskultur können technische Standards nicht verhindern, dass Arbeitsschutzvorgaben missachtet werden.
    • Gesundheitswesen: Patientensicherheit hängt maßgeblich davon ab, ob Fehler offen kommuniziert werden – oder vertuscht.
    • Tech-Branche: Agilität und Innovation erfordern eine Kultur, die Fehler zulässt und Lernen ermöglicht.
    • Öffentlicher Sektor: Korruptionsprävention gelingt nur, wenn Integrität auf allen Ebenen gefördert wird – nicht nur durch Richtlinien, sondern durch Vorbilder.

    Überall gilt: Kultur ist das soziale Betriebssystem eines Unternehmens – sie entscheidet, wie Regeln interpretiert, umgesetzt oder umgangen werden.

    5. Wie lässt sich Unternehmenskultur aktiv gestalten?

    Anders als Prozesse lässt sich Kultur nicht „einführen“. Sie muss über Zeit entwickelt und gepflegt werden. Entscheidend sind:

    a) Vorleben durch Führung

    Führungskräfte prägen Kultur durch ihr tägliches Verhalten. Sie entscheiden, ob Werte gelebt oder relativiert werden.

    b) Werte operationalisieren

    Unternehmenswerte dürfen nicht abstrakt bleiben („Integrität“, „Verantwortung“), sondern müssen in konkretes Verhalten übersetzt werden.

    Beispiel:

    • Was bedeutet „Verantwortung übernehmen“ in der Vertriebsabteilung?
    • Wie zeigt sich „Integrität“ im Einkauf?

    c) Feedback und Reflexion

    Kultur braucht Resonanzräume:

    • regelmäßige Mitarbeiterbefragungen,
    • Dialogformate zu kritischen Themen,
    • Kulturindikatoren im Reporting.

    d) In Governance-Strukturen integrieren

    • Kultur-Checks in internen Audits
    • Kulturkriterien in Beförderungsprozessen
    • Berücksichtigung von Ethikfragen in Risikoanalysen

    6. Fazit: Kultur ist die neue Compliance

    In einer Zeit zunehmender Komplexität, digitaler Beschleunigung und wachsender regulatorischer Anforderungen reicht es nicht mehr, auf formale Kontrollsysteme zu setzen.

    Governance wird nur dann wirksam, wenn sie auf einem belastbaren kulturellen Fundament ruht.

    Unternehmenskultur ist kein „weiches“ Thema, sondern harte Voraussetzung für Resilienz, Vertrauen und Integrität. Wer Kultur strategisch entwickelt, baut nicht nur bessere Organisationen – sondern robustere Geschäftsmodelle für eine unsichere Zukunft.

    FAQ – Unternehmenskultur und Governance

    Was versteht man unter Unternehmenskultur?
    Unternehmenskultur beschreibt die gemeinsamen Werte, Normen und Verhaltensweisen, die das Denken und Handeln in einer Organisation prägen – ob bewusst oder unbewusst. Sie zeigt sich im Umgang mit Verantwortung, Fehlern, Macht, Konflikten und Entscheidungsfindung.

    Warum ist Unternehmenskultur für Governance wichtig?
    Governance-Regeln und Kontrollsysteme können nur dann wirksam greifen, wenn sie von der Belegschaft getragen werden. Eine starke Unternehmenskultur stellt sicher, dass Regeln nicht nur befolgt, sondern in ihrem Sinn verstanden und mitgetragen werden. Sie stärkt ethisches Verhalten, Transparenz und Verantwortungsbewusstsein.

    Was ist der Unterschied zwischen Governance und Kultur?
    Governance umfasst formale Strukturen, Prozesse und Richtlinien zur Steuerung und Kontrolle eines Unternehmens. Kultur hingegen ist informell – sie bestimmt, wie Menschen mit diesen Regeln umgehen, ob sie sich hinterfragen, ignorieren oder leben.

    Was bedeutet Risikokultur?
    Risikokultur ist der Teil der Unternehmenskultur, der den Umgang mit Unsicherheit, Risiken und Fehlern beschreibt. Sie beeinflusst, ob Risiken offen angesprochen, frühzeitig erkannt und verantwortungsvoll behandelt werden – oder ob sie verdrängt und verschleppt werden.

    Wie erkennt man eine schwache Unternehmenskultur?
    Warnzeichen sind z. B.:

    • Schweigekultur und Angst vor Kritik
    • Regelbrüche, die toleriert oder belohnt werden
    • Intransparente Kommunikation
    • Führungskräfte, die gegen deklarierte Werte handeln
    • Fehlender Umgang mit Fehlern oder Tabuisierung von Risiken

    Wie kann ein Unternehmen seine Kultur aktiv gestalten?

    • Durch klares Vorbildverhalten der Führung („Tone from the Top“)
    • Indem Werte konkret definiert und in Handlungen übersetzt werden
    • Mit Feedbackformaten, Dialogräumen und Kulturindikatoren
    • Durch Integration kultureller Kriterien in Audit-, Risiko- und HR-Prozesse

    Ist das Thema nur für Banken und Finanzdienstleister relevant?
    Nein. Auch Industrieunternehmen, der öffentliche Sektor, Gesundheitsorganisationen oder Tech-Firmen profitieren von einer gesunden Unternehmenskultur. Sie ist überall dort entscheidend, wo Entscheidungen unter Unsicherheit getroffen, Verantwortung getragen oder sensible Daten und Menschen betroffen sind.

    Kann man Unternehmenskultur messen?
    Kultur lässt sich indirekt erfassen – z. B. über Mitarbeiterbefragungen, Verhaltensanalysen, interne Audits oder KPIs zu Fehlermeldungen, Fluktuation, Eskalationen oder Hinweisgebersystemen. Entscheidend ist die Kombination quantitativer und qualitativer Beobachtungen.

  • Leadership Change in Risk Management at N26: What Companies Can Learn from a GRC Perspective

    Leadership Change in Risk Management at N26: What Companies Can Learn from a GRC Perspective

    Intro

    In the summer of 2025, German neobank N26 announced a significant leadership change: Chief Risk Officer (CRO) Carina Kozole will leave the company. She will be succeeded by Jochen Klöpper, formerly with Santander Consumer Bank.

    Leadership transitions in key risk roles are always noteworthy – not only because of their impact on the organization itself, but also for what they reveal about the structural requirements of Governance, Risk, and Compliance (GRC) in fast-growing and heavily regulated businesses.

    This article analyzes the developments at N26 through a systemic lens, outlines common challenges for digital financial service providers, and explains how integrated GRC systems help companies remain stable, compliant, and resilient during leadership transitions.

    What Happened at N26?

    Carina Kozole joined N26 in late 2023 as Chief Risk Officer and was responsible for enterprise-wide risk and compliance oversight. In 2025, the company announced her departure and named Jochen Klöpper as her successor. Klöpper brings extensive experience in risk management from his previous roles at Santander and other banks.

    The timing is notable: N26, like many neobanks, is under increasing regulatory scrutiny. Topics such as AML compliance, IT security, credit risk, and internal controls are becoming critical not only from a regulatory perspective but also in terms of business continuity and market trust.

    The Challenge: Growth, Complexity, and Regulatory Exposure

    Digital organizations like N26 often face three structural issues:

    1. Growth outpaces governance

    Startups and digital scale-ups tend to prioritize innovation and customer growth. Governance, compliance, and process maturity often come later – sometimes too late.

    2. Layered, evolving regulation

    Digital banks operate under overlapping and evolving regulatory frameworks across jurisdictions. Without structured systems to track and manage these requirements, even competent teams can fall behind.

    3. Dependency on individuals

    In organizations where governance processes are not systematized, key responsibilities may rest with individuals. When those people leave, knowledge gaps, delays, or even compliance breaches can occur.

    The GRC Perspective: Mitigating Risk Through Structure

    Modern GRC systems help institutionalize risk and compliance processes, reduce dependency on individuals, and provide transparency across the organization.

    What GRC software enables:

    1. Centralized, auditable risk management

    Risk categories, ownership, evaluations, and mitigation measures are documented in a structured, traceable system – not in spreadsheets.

    2. Real-time regulatory oversight

    Requirements (e.g., AML laws, data protection regulations, banking guidelines) are tracked centrally, with automated compliance status and escalation workflows.

    3. Continuity during leadership transitions

    With roles, responsibilities, deadlines, and documentation centralized, a new CRO can pick up critical tasks without process disruption or blind spots.

    4. Visible governance culture

    GRC systems can also track qualitative indicators – such as training effectiveness, audit response times, and cultural maturity – and contribute to an overall view of risk readiness.

    Lessons Learned: From N26 to the Broader Market

    • People matter – but systems carry the organization. GRC systems ensure continuity when leadership changes.
    • Regulation is continuous, not project-based. Real-time visibility and structured compliance management are essential.
    • Good governance combines structure and culture. Systems alone are not enough; values, communication, and accountability must follow.
    • GRC tools are strategic, not just administrative. When well-integrated, they reduce risk exposure, improve investor confidence, and support long-term resilience.

    Conclusion

    The CRO transition at N26 illustrates the high stakes of governance and compliance in modern digital organizations. Especially in regulated sectors, leadership continuity and process integrity are inseparable.

    A robust GRC system turns governance from a reactive obligation into a proactive capability – one that protects the organization, enables growth, and earns trust.

    FAQ – Frequently Asked Questions on CRO Transitions and GRC

    What does CRO stand for?
    CRO stands for Chief Risk Officer – the executive responsible for enterprise-wide risk governance, including financial, regulatory, operational, and strategic risks.

    Why is a CRO transition significant in banking?
    Banks operate under strict regulatory regimes. A leadership change in the risk function may signal strategic shifts, regulatory attention, or internal restructuring. It can also affect market perception.

    What happened at N26?
    Carina Kozole will leave N26 in 2025. She will be succeeded by Jochen Klöpper, a seasoned risk executive from Santander. The move comes amid continued focus on strengthening risk and compliance capabilities.

    What is a GRC system?
    GRC (Governance, Risk, and Compliance) systems are software solutions that integrate regulatory management, risk monitoring, policy controls, and reporting into one framework.

    How does a GRC platform support leadership transitions?
    It ensures that responsibilities, regulatory obligations, and ongoing tasks are transparent and documented. That way, new leaders can take over without disruption or knowledge gaps.

    Is GRC only relevant to large corporations or banks?
    No. Any organization facing regulatory complexity, rapid growth, or cross-functional risk exposure can benefit from GRC systems – including in health care, energy, technology, and public administration.

    What are the benefits of using GRC software?

    • Full visibility into risks and control measures
    • Regulatory tracking and automated compliance reporting
    • Role continuity and institutional memory
    • Improved audit readiness and accountability
    • Enhanced risk culture and decision-making
  • Führungswechsel im Risikomanagement bei N26: Was Unternehmen aus GRC-Perspektive daraus lernen können

    Führungswechsel im Risikomanagement bei N26: Was Unternehmen aus GRC-Perspektive daraus lernen können

    Im Sommer 2025 kündigte die Neobank N26 eine bedeutende Veränderung in ihrer Führungsebene an: Chief Risk Officer Carina Kozole wird das Unternehmen verlassen. Ihre Nachfolge übernimmt Jochen Klöpper, der zuvor bei der Santander Consumer Bank tätig war.

    Solche Wechsel in Schlüsselpositionen des Risikomanagements werfen Fragen auf – nicht nur mit Blick auf die betroffene Organisation selbst, sondern auch im Hinblick auf strukturelle Anforderungen an Governance, Risk & Compliance (GRC) in schnell wachsenden und stark regulierten Unternehmen.

    In diesem Beitrag analysieren wir die Entwicklungen bei N26 aus einer systemischen Perspektive, zeigen typische Herausforderungen für digitale Finanzdienstleister auf und erläutern, wie integrierte GRC-Systeme dazu beitragen können, personelle und prozessuale Risiken besser zu steuern.

    Was ist bei N26 passiert?

    Carina Kozole war erst seit Ende 2023 als Chief Risk Officer bei N26 tätig. In dieser Zeit hatte sie die Verantwortung für zentrale Funktionen im Risikomanagement und in der Compliance. Laut Medienberichten verlässt sie das Unternehmen 2025, ihr Nachfolger Jochen Klöpper bringt langjährige Erfahrung aus dem klassischen Bankenumfeld mit.

    Der Führungswechsel erfolgt in einer Phase, in der N26 – wie viele Neobanken – verstärkt unter regulatorischer Beobachtung steht. Themen wie Geldwäscheprävention, IT-Sicherheit, Kreditvergabeprozesse und interne Kontrollsysteme sind von hoher Relevanz – nicht nur aus rechtlicher Sicht, sondern auch für Reputation und Geschäftsentwicklung.

    Herausforderungen in stark wachsenden Organisationen

    Insbesondere in wachstumsstarken FinTechs wie N26 zeigen sich drei typische Spannungsfelder:

    1. Skalierung vor Struktur

    Wachstum in digitalen Geschäftsmodellen ist oft technologie- und produktgetrieben. Governance- und Compliance-Strukturen geraten dabei leicht ins Hintertreffen – insbesondere wenn Personalengpässe, hohe Kundenzahlen und neue Märkte gleichzeitig zu bewältigen sind.

    2. Komplexität der Regulatorik

    Digitale Banken bewegen sich im Spannungsfeld zwischen klassischer Bankenaufsicht, Technologie-Risiken und grenzüberschreitender Regulierung. Ohne ein integriertes System zur Steuerung von regulatorischen Anforderungen können selbst gut aufgestellte Teams schnell überlastet sein.

    3. Abhängigkeit von Schlüsselpersonen

    In vielen Organisationen hängt das Funktionieren des Risikomanagements stark von einzelnen Führungskräften ab. Fehlen systemgestützte Prozesse und dokumentierte Arbeitsweisen, können personelle Wechsel zu Know-how-Verlust und Reibungsverlusten führen.

    Die Rolle von GRC-Systemen in solchen Situationen

    Ein modernes GRC-System ist weit mehr als ein Compliance-Tool. Es verbindet strategische Governance mit operativer Risikosteuerung und regulatorischer Umsetzung – in einer integrierten, dokumentierten und nachvollziehbaren Form.

    Konkret bedeutet das:

    1. Institutionalisierung von Risikomanagement

    Statt Risikoanalysen und Maßnahmenlisten in Excel-Dateien zu führen, bildet ein GRC-System alle Risikokategorien, Zuständigkeiten, Bewertungen und Gegenmaßnahmen systematisch ab – revisionssicher und rollenbasiert.

    2. Regulatorische Anforderungen zentral steuern

    GRC-Software kann regulatorische Anforderungen (z. B. MaRisk, EBA-Guidelines, DSGVO) hinterlegen, Verantwortlichkeiten zuweisen und Umsetzungsstände automatisch überwachen – inklusive Eskalationen bei Fristüberschreitungen.

    3. Business Continuity und Rollenabsicherung

    Bei Personalwechseln wie im Fall N26 lässt sich durch ein GRC-System sofort nachvollziehen, welche regulatorischen Pflichten und Risiken in der Verantwortung der CRO-Funktion lagen – inklusive Audit-Trail und offener Maßnahmen. So entsteht Transparenz und Kontinuität.

    4. Kultur und Governance sichtbar machen

    Ein GRC-System kann auch qualitative Elemente erfassen: Reifegrade von Prozessen, Ergebnisse aus Mitarbeiterbefragungen zur Risikokultur, Eskalationsfrequenz oder Wirksamkeit von Schulungen. So entsteht ein vollständigeres Bild der gelebten Governance im Unternehmen.

    Lessons Learned: Was Unternehmen aus dem Fall N26 mitnehmen sollten

    • Führungspersonen sind wichtig – Systeme sind unverzichtbar. Der Abgang einer CRO darf nicht zu Kontrolllücken führen. GRC-Systeme sichern Wissen, Pflichten und Prozesse institutionell ab.
    • Regulatorik ist kein Einmalprojekt. Gerade digitale Banken sollten aufsichtsrechtliche Anforderungen systematisch überwachen – in allen Bereichen von Geldwäsche bis Datenschutz.
    • Governance braucht Kultur – und Strukturen. Vertrauen in Organisationen entsteht nicht nur durch Personen, sondern durch nachvollziehbare Prozesse, geteilte Verantwortung und strukturierte Risikoüberwachung.
    • GRC-Software ist ein strategisches Steuerungsinstrument. Richtig implementiert, trägt sie nicht nur zur Einhaltung von Vorschriften bei, sondern stärkt auch das Vertrauen von Investoren, Partnern und Aufsichtsbehörden.

    Fazit

    Der Führungswechsel bei N26 zeigt beispielhaft, wie sensibel und komplex das Zusammenspiel von Person, Prozess und regulatorischem Umfeld in digitalen Unternehmen ist. Die Antwort liegt nicht in Misstrauen gegenüber Technologie – sondern in einer proaktiven, integrierten und systemgestützten Governance-Strategie.

    GRC-Systeme helfen dabei, Governance, Risikomanagement und Compliance nicht als isolierte Pflichten, sondern als integrierte Führungsaufgabe zu verstehen – und damit auch in Zeiten des Wandels handlungsfähig und regelkonform zu bleiben.

    Danke für die Klarstellung – hier ist ein präzises FAQ (Frequently Asked Questions) zum Artikelthema, SEO-optimiert und inhaltlich abgestimmt:

    FAQ – Häufig gestellte Fragen zum Thema CRO-Wechsel und GRC

    Was bedeutet CRO?
    CRO steht für Chief Risk Officer. Diese Person trägt die Gesamtverantwortung für das Risikomanagement eines Unternehmens – insbesondere für die systematische Erkennung, Bewertung und Steuerung von Risiken.

    Warum ist ein CRO-Wechsel in Banken besonders relevant?
    Banken unterliegen strengen aufsichtsrechtlichen Vorgaben. Ein Wechsel in der CRO-Position kann regulatorische Aufmerksamkeit erzeugen und auf strukturelle oder strategische Anpassungen im Risikomanagement hinweisen.

    Was ist bei N26 passiert?
    Die bisherige CRO, Carina Kozole, verlässt N26. Ihre Nachfolge übernimmt Jochen Klöpper, der zuvor bei der Santander Consumer Bank tätig war. Der Wechsel findet vor dem Hintergrund wachsender regulatorischer Anforderungen statt.

    Was ist ein GRC-System?
    Ein GRC-System ist eine integrierte Softwarelösung zur Steuerung von Governance (Unternehmensführung), Risk (Risikomanagement) und Compliance (Regelkonformität). Es verbindet strategische Steuerung mit operativer Umsetzung.

    Wie hilft GRC-Software bei personellen Wechseln?
    Sie dokumentiert Verantwortlichkeiten, Maßnahmen, regulatorische Pflichten und Prozesshistorien systematisch. Das minimiert Übergabeverluste und sorgt für Kontinuität bei kritischen Rollen wie dem CRO.

    Ist GRC nur für große Unternehmen oder Banken relevant?
    Nein. Auch mittelständische Unternehmen und Organisationen in regulierten Sektoren (z. B. Energie, Gesundheit, IT) profitieren von einem systematischen GRC-Ansatz – besonders bei schnellem Wachstum oder komplexer Regulierung.

    Was sind die Vorteile eines GRC-Systems?

    • Übersicht über alle Risiken und Maßnahmen
    • Frühwarnsysteme bei Regelverstößen oder Fristversäumnissen
    • Nachvollziehbarkeit für Revision, Aufsicht und Management
    • Kontinuität in Krisen oder bei Personalwechseln
    • Verbesserung von Governance und Compliance-Kultur

  • Wolfspeed vor der Insolvenz: Ursachen, Versäumnisse im GRC

    Wolfspeed vor der Insolvenz: Ursachen, Versäumnisse im GRC

    Was ist passiert?

    Wolfspeed, einst als Vorreiter im Bereich Siliziumkarbid-Halbleiter gefeiert, steht überraschend vor einem Chapter-11-Insolvenzverfahren. Der Konzern hatte Milliarden in Produktionskapazitäten investiert, um die erwartete Nachfrage der Elektrofahrzeug-Industrie zu bedienen. Doch das Geschäftsmodell geriet unter Druck: Die Nachfrage blieb hinter den Erwartungen zurück, gleichzeitig wuchs der internationale Konkurrenzdruck, insbesondere aus China.

    Dieser Artikel analysiert die zentralen Ursachen der Krise, die Rolle eines unzureichenden Governance-, Risk- und Compliance-Managements (GRC) und zeigt, wie ein integratives GRC-System das Debakel hätte abmildern können. Unternehmen in strategisch sensiblen Wachstumsbranchen finden hier wichtige Handlungsempfehlungen.

    1. Die Entwicklung von Wolfspeed: Aufstieg und Risikoexpansion

    Wolfspeed entstand aus Cree Inc. und entwickelte sich zu einem global führenden Anbieter von Siliziumkarbid-(SiC)-Leistungshalbleitern. Insbesondere durch den Trend zur Elektrifizierung des Automobilsektors versprach man sich enormes Wachstumspotenzial.

    Das Unternehmen kündigte Großinvestitionen an – darunter eine 5-Milliarden-Dollar-Fabrik in North Carolina sowie den Aufbau einer Wafer-Produktion in Deutschland. Zur Finanzierung dieser ambitionierten Vorhaben nahm Wolfspeed über die Jahre Schulden in Höhe von über 6 Milliarden US-Dollar auf.

    2. Ursachen für die finanzielle Schieflage

    a) Überschätzte Marktnachfrage

    Wolfspeeds Strategie basierte auf einem ungebrochenen Wachstum der Elektromobilität, insbesondere in den USA. Diese Annahme erwies sich jedoch als zu optimistisch. Mehrere Automobilhersteller kündigten ab 2023 Auftragskürzungen an, der Absatz von E-Fahrzeugen stagnierte. Wolfspeed musste bereits im Frühjahr 2025 einräumen, dass „erhebliche Zweifel an der Fortführung des Geschäftsbetriebs“ bestehen.

    b) Kapitalintensive Expansion ohne Risikopuffer

    Die Investitionsoffensive wurde fast ausschließlich fremdfinanziert. Die Kombination aus gestiegenen Zinssätzen, rückläufigem Umsatzwachstum und hohen Fixkosten führte zu einer angespannten Liquiditätslage. Die Verschuldung belief sich zuletzt auf über 6,5 Milliarden US-Dollar, bei lediglich rund 1,3 Milliarden Dollar verfügbaren Mitteln.

    c) Konkurrenzdruck – vor allem aus China

    Chinesische Anbieter wie SICC Co., TanKeBlue oder San’an Optoelectronics haben ihre Produktionskapazitäten für SiC-Wafer massiv ausgebaut und setzen durch staatliche Subventionen auf aggressive Preisstrategien. Innerhalb von zwei Jahren sind die Marktpreise für SiC-Wafer um rund 30 Prozent gefallen. Wolfspeed konnte mit diesen Preisniveaus nicht konkurrieren und verlor Marktanteile.

    d) Verzögerungen bei staatlicher Förderung

    Wolfspeed hatte auf Mittel aus dem US-amerikanischen CHIPS and Science Act gesetzt. Zwar wurden bis zu 750 Millionen US-Dollar Fördermittel zugesagt, doch kam es zu erheblichen Verzögerungen in der Auszahlung. Dies verschärfte die Finanzierungslage weiter.

    e) Mangelhafte strategische Steuerung

    Neben der externen Marktdynamik fällt auf, dass Wolfspeed zu lange an der eigenen Wachstumsvision festhielt, obwohl operative Frühindikatoren – sinkende Auftragseingänge, Verschlechterung des Cashflows, zunehmender Wettbewerbsdruck – zu strategischer Anpassung hätten führen müssen. Die notwendige Kurskorrektur blieb aus.

    3. GRC-Versäumnisse als Verstärker der Krise

    Ein Blick auf Governance, Risk und Compliance zeigt: Die Krise war nicht ausschließlich marktgetrieben. Ein professionell aufgesetztes GRC-System hätte frühzeitig auf Fehlentwicklungen hinweisen und gegensteuern können.

    Governance: Strategisches Controlling und Eskalation

    • Fehlende Szenarioplanung und Alternativstrategien bei sich ändernden Marktbedingungen.
    • Unzureichende Kontrolle der Kapitalbindungsstruktur durch das Board of Directors.
    • Zu späte Reaktion auf operative Signale (Umsatzeinbruch, Kundenrückgänge).

    Risk Management: Intransparente Risikoverteilung

    • Keine definierten Schuldenobergrenzen oder Limits für Investitionsverpflichtungen.
    • Keine integrierten Stresstests auf Basis unterschiedlicher Nachfrage- und Preisniveaus.
    • Fehlende Risikomodelle zur Bewertung geopolitischer Einflüsse und Wettbewerbsdynamik.

    Compliance: Fördermittel, Marktkommunikation, ESG

    • Mangelhafte Vorbereitung auf regulatorische Anforderungen zur Auszahlung staatlicher Förderungen.
    • Verspätete Offenlegung gegenüber Investoren zur finanziellen Lage und operativen Risiken.
    • ESG-Risiken wie Ressourcenverbrauch oder Lieferkettenunsicherheiten wurden nicht systematisch in der Risikoanalyse berücksichtigt.

    4. Was hätte ein starkes GRC-System leisten können?

    Ein robustes GRC-System ersetzt kein funktionierendes Geschäftsmodell. Aber es verschafft Unternehmen die nötige Steuerungsfähigkeit, um Risiken früh zu identifizieren, Entscheidungen besser abzusichern und das Vertrauen externer Stakeholder zu erhalten.

    GRC-KomponentePräventive MaßnahmeMögliche WirkungGovernanceEinführung eines strategischen FrühwarnsystemsFrühzeitige Kurskorrektur bei MarktschwächeRiskSzenarien- und Stresstests für Investitions- und SchuldenpolitikBegrenzung der Fremdkapitalquote, gezielte RisikoallokationComplianceFrühzeitige Erfüllung von Förderkriterien, klare Kommunikation mit InvestorenSicherung staatlicher Zuschüsse, bessere Bonität, LiquiditätserhaltReportingOperative Risiko- und Finanzkennzahlen im monatlichen ReviewTransparenz für Aufsichtsgremien und Gläubiger, bessere Reaktionsfähigkeit

    5. Fazit

    Wolfspeed steht stellvertretend für viele technologiegetriebene Unternehmen, die auf Basis eines vielversprechenden Megatrends massive Wachstumsprojekte realisieren, jedoch Governance- und Risikostrukturen vernachlässigen. In einem volatilen globalen Marktumfeld kann dies fatale Konsequenzen haben.

    Die Insolvenz ist für Wolfspeed eine Zäsur. Sie erlaubt – wenn rechtzeitig restrukturiert wird – unter Gläubigerschutz eine Neuausrichtung. Die zentrale Lehre: Ohne ein starkes, integriertes GRC-System bleibt selbst die innovativste Technologie angreifbar.

    FAQ – Häufig gestellte Fragen zur Wolfspeed-Insolvenz

    Was ist Wolfspeed? Wolfspeed ist ein US-amerikanischer Hersteller von Halbleitern auf Basis von Siliziumkarbid (SiC), die in Hochleistungsanwendungen wie E-Fahrzeugen, Industrieanlagen und erneuerbaren Energien eingesetzt werden.

    Warum steckt Wolfspeed in finanziellen Schwierigkeiten? Das Unternehmen hat sich bei der Expansion übernommen, die Nachfrage nach E-Fahrzeugen ist geringer als erwartet, gleichzeitig belastet der Wettbewerbsdruck aus China das Geschäft. Die Folge ist eine drohende Zahlungsunfähigkeit.

    Was bedeutet Chapter 11? Chapter 11 ist ein US-Insolvenzverfahren, das Unternehmen erlaubt, sich unter gerichtlicher Aufsicht zu restrukturieren, während der laufende Geschäftsbetrieb aufrechterhalten wird.

    Welche Rolle spielte die Konkurrenz? Chinesische Hersteller haben massiv in die Produktion von SiC investiert und durch Subventionen aggressiv die Preise gedrückt. Wolfspeed konnte bei diesen Marktbedingungen nicht kostendeckend produzieren.

    Wie hätte ein starkes GRC-System geholfen? Ein integriertes GRC-System hätte Risiken frühzeitig identifiziert, strategische Entscheidungen abgesichert und die Kommunikation mit Investoren und Förderinstitutionen optimiert – und damit die Insolvenz möglicherweise verhindert oder zeitlich entschärft.

  • Wolfspeed Nears Insolvency – Root Causes, GRC Failures, and Lessons for the Industry

    Wolfspeed Nears Insolvency – Root Causes, GRC Failures, and Lessons for the Industry

    Intro

    Wolfspeed, once celebrated as a pioneer in silicon carbide (SiC) semiconductor technology, is preparing for a Chapter 11 bankruptcy. The company had aggressively expanded its production capacity in anticipation of surging demand from the electric vehicle (EV) sector. However, growth expectations fell short, and the business model collapsed under mounting pressure from market forces and internal strategic missteps.

    This article examines the underlying causes of Wolfspeed’s crisis, explores how the absence of robust Governance, Risk, and Compliance (GRC) structures contributed to the situation, and outlines what organizations can learn from this high-profile failure.

    1. Wolfspeed’s Trajectory: Ambition Meets Vulnerability

    Wolfspeed emerged from Cree Inc. and quickly rose to global prominence as a leading supplier of silicon carbide power semiconductors. With EV adoption growing and governments subsidizing electrification, Wolfspeed positioned itself as a critical player in this evolving landscape.

    The company embarked on a capital-intensive expansion, including a $5 billion fab in North Carolina and a wafer facility in Germany. This growth was financed almost entirely through debt, with more than $6 billion in liabilities accumulated by 2025.

    2. Key Drivers of the Financial Collapse

    a) Overestimation of Market Demand

    Wolfspeed built its growth model on the assumption of sustained EV adoption. Yet, by late 2024, automakers in North America and Europe began scaling back their production forecasts, citing stagnating EV sales. Wolfspeed’s order volumes declined, and in early 2025, the company publicly acknowledged “substantial doubt” about its ability to continue as a going concern.

    b) Excessive Leverage and Capital Commitments

    Wolfspeed’s debt-financed expansion left it highly vulnerable to rising interest rates and market volatility. With $6.5 billion in debt and only $1.3 billion in cash reserves, the company faced significant liquidity constraints.

    c) Intensifying Competition – Especially from China

    Chinese competitors such as SICC Co., TanKeBlue, and San’an Optoelectronics significantly expanded their SiC wafer production capacity with strong state support. By 2025, the price of SiC wafers had dropped by up to 30%, driven by Chinese firms‘ low-cost strategies. Wolfspeed, operating in high-cost regions, was unable to match these prices and began losing market share.

    d) Delays in Government Subsidies

    Wolfspeed had banked on U.S. CHIPS and Science Act subsidies, expecting up to $750 million in public funding. However, bureaucratic delays and regulatory hurdles meant that funds were slow to materialize, exacerbating the company’s funding gap.

    e) Strategic Management Failures

    Wolfspeed remained committed to its expansion strategy despite multiple warning signs—declining customer demand, deteriorating free cash flow, and growing competition. There was little evidence of active scenario planning or risk-based adjustment of the company’s investment pipeline.

    3. GRC Failures That Amplified the Crisis

    Although market conditions clearly played a role, Wolfspeed’s internal systems failed to identify, assess, and respond to emerging risks effectively. The absence of a mature GRC framework left the company structurally exposed.

    Governance

    • No evidence of strategic scenario planning to evaluate alternative market trajectories.
    • Weak board oversight over leverage, capital allocation, and risk exposure.
    • Delayed response to operational signals such as revenue declines and customer attrition.

    Risk Management

    • No clearly defined debt ceilings or investment triggers tied to demand indicators.
    • Lack of stress testing to assess interest rate sensitivity or price erosion scenarios.
    • Insufficient market intelligence on global competitors and supply chain risks.

    Compliance

    • Delays in fulfilling conditions for government subsidy disbursements.
    • Reactive investor communication, which eroded stakeholder trust.
    • No integrated approach to ESG-related risks in global operations.

    4. How Strong GRC Could Have Made a Difference

    A well-implemented GRC framework would not have guaranteed success—but it would have provided critical foresight, agility, and resilience to manage through adversity.

    GRC ComponentPreventive MeasurePotential Impact
    GovernanceEarly warning systems and scenario-based reviewsStrategic course correction before financial instability
    RiskStress testing, debt control, risk-adjusted investment policyImproved capital discipline and market responsiveness
    ComplianceActive subsidy tracking, stakeholder communicationsPreservation of creditworthiness and investor confidence
    ReportingMonthly KPI dashboards on operational and financial riskTransparency for executives and creditors alike

    5. Conclusion and Strategic Lessons

    Wolfspeed’s crisis is a cautionary tale for high-growth industrial firms. Even with advanced technology and a favorable policy environment, overconfidence and poor risk oversight can derail long-term success.

    As Wolfspeed enters Chapter 11, it will attempt to restructure and emerge as a leaner, more stable entity. But the damage—particularly for shareholders and suppliers—is already significant.

    The lesson is clear: GRC is not merely a compliance obligation. It is a critical management function that enables informed decisions, protects against overreach, and builds resilience in a volatile global economy.

    FAQ – Wolfspeed’s Insolvency and the Role of GRC

    What does Wolfspeed do?
    Wolfspeed manufactures silicon carbide (SiC) power semiconductors used in electric vehicles, energy infrastructure, and industrial systems.

    Why is Wolfspeed in financial trouble?
    The company overinvested based on overestimated EV demand, while accumulating excessive debt. At the same time, Chinese competitors eroded market prices, and public subsidies were delayed.

    What is Chapter 11?
    Chapter 11 is a U.S. bankruptcy process that allows companies to reorganize under court protection without ceasing operations.

    How did Chinese competitors impact Wolfspeed?
    Chinese producers flooded the market with subsidized SiC wafers, causing prices to fall sharply. Wolfspeed could not compete on cost and lost market share.

    Could a strong GRC system have prevented this?
    While not a panacea, a robust GRC system would likely have flagged critical risks earlier, supported better decision-making, and protected key stakeholder relationships.

    What should other companies take away from this?

    • Link capital investments to validated demand indicators.
    • Run regular stress tests on liquidity, interest exposure, and market share erosion.
    • Use GRC tools not just for compliance, but as an integrated part of strategic planning.
  • Operational Resilience: Wie Unternehmen über Business Continuity hinausdenken müssen

    Operational Resilience: Wie Unternehmen über Business Continuity hinausdenken müssen

    Die Anforderungen an Unternehmen, ihre Widerstandsfähigkeit gegen Störungen sicherzustellen, wachsen rapide. Klassische Business-Continuity-Konzepte reichen im Jahr 2025 nicht mehr aus, um den vielfältigen regulatorischen und operativen Risiken gerecht zu werden. Der Begriff Operational Resilience rückt ins Zentrum moderner GRC-Strategien. Doch was bedeutet er genau? Und wie kann ein GRC-System helfen, die Resilienz eines Unternehmens systematisch zu stärken?

    Was ist Operational Resilience?

    Operational Resilience bezeichnet die Fähigkeit eines Unternehmens, kritische Geschäftsprozesse auch bei gravierenden Störungen aufrechtzuerhalten oder rasch wiederherzustellen. Dabei geht es nicht mehr nur um IT-Ausfälle oder Naturkatastrophen, sondern auch um:

    • Cyberangriffe
    • Ausfall von Drittanbietern
    • Geopolitische Krisen
    • Lieferkettenunterbrechungen
    • Regulatorische Schocks

    Im Unterschied zum klassischen Business Continuity Management (BCM) steht bei Operational Resilience nicht nur die Wiederherstellung im Fokus, sondern auch Prävention, Testbarkeit und nachhaltige Anpassungsfähigkeit.

    Relevante Regulierungen: DORA, NIS2 & mehr

    Besonders im Finanz- und IT-Sektor entstehen neue Pflichten:

    • EU DORA (Digital Operational Resilience Act): seit Januar 2025 in Kraft, betrifft Banken, Versicherer, Zahlungsdienste und IT-Dienstleister
    • NIS2: Weitreichende Anforderungen an Cybersicherheit und Meldepflichten
    • ISO 22301: Internationaler Standard für Business Continuity
    • BAIT, VAIT, KAIT: Aufsichtsanforderungen der BaFin an IT-Systeme

    Diese Vorgaben verlangen eine institutionalisierte Widerstandsfähigkeit, die laufend geprüft, dokumentiert und verbessert wird.

    Was muss ein Unternehmen konkret tun?

    1. Kritische Geschäftsprozesse identifizieren
      • Welche Prozesse sind für das Überleben des Unternehmens essentiell?
    2. Szenarien und Toleranzschwellen definieren
      • Wie lange darf ein Prozess ausfallen, bevor es kritisch wird?
    3. Risiken und Abhängigkeiten erfassen
      • Insbesondere bei Drittanbietern, IT-Diensten und Lieferketten
    4. Widerstandsfähigkeit testen und üben
      • Simulationen, Penetrationstests, Krisenstabsübungen
    5. Maßnahmen dokumentieren und in GRC-System integrieren
      • Wiederanlaufpläne, Kommunikationsstrategien, Eskalationsprozesse

    Rolle von GRC-Systemen

    Ein leistungsfähiges GRC-System ist das Fundament für eine resiliente Organisation. Es bietet:

    • zentrales Risikoregister mit Abbildung operativer Risiken
    • Verknüpfung von Prozessen, Assets und Dienstleistern
    • Maßnahmen-Tracking und Eskalationspfade
    • Audit-Trail für interne und externe Prüfungen
    • Berichtswesen für Aufsichtsbehörden, Stakeholder und Management

    Fazit: Operational Resilience ist das neue BCM

    Unternehmen müssen im Jahr 2025 weit über klassische Notfallpläne hinausdenken. Operational Resilience bedeutet: vorbereitet sein, schnell reagieren können und aus jeder Krise lernen. Wer heute in belastbare Strukturen und ein integriertes GRC-System investiert, sichert nicht nur die Einhaltung regulatorischer Vorgaben, sondern auch das Vertrauen von Kunden, Investoren und der Öffentlichkeit.

    FAQ: Operational Resilience & GRC

    Was ist der Unterschied zwischen Business Continuity und Operational Resilience?

    BCM fokussiert sich auf Wiederanlaufpläne. Operational Resilience geht weiter und umfasst auch Prävention, Tests und das Management komplexer Abhängigkeiten.

    Welche Unternehmen sind von DORA betroffen?

    Alle Finanzunternehmen und IT-Dienstleister im Geltungsbereich der EU, z. B. Banken, Versicherungen, FinTechs, Cloud-Anbieter.

    Ist Operational Resilience nur für regulierte Unternehmen relevant?

    Nein. Auch Mittelständler und Industrieunternehmen profitieren von resilienten Strukturen angesichts globaler Unsicherheiten.

    Welche Rolle spielen Drittanbieter?

    Eine zentrale! Resilienz umfasst immer auch die Liefer- und Dienstleisterkette. DORA schreibt z. B. eine strenge Überwachung kritischer IT-Dienste vor.

    Wie kann ein GRC-Tool konkret helfen?

    Durch zentrale Risikoerfassung, Maßnahmensteuerung, Szenarien-Tests und revisionssichere Dokumentation aller Resilienzkomponenten.

  • Operational Resilience: Why Companies Must Think Beyond Business Continuity

    Operational Resilience: Why Companies Must Think Beyond Business Continuity

    The demands on companies to ensure their resilience against disruptions are growing rapidly. Traditional business continuity concepts are no longer sufficient in 2025 to meet the diverse regulatory and operational risks. The term operational resilience is becoming central to modern GRC strategies. But what exactly does it mean? And how can a GRC system help strengthen a company’s resilience in a structured way?

    What is Operational Resilience?

    Operational resilience refers to an organization’s ability to maintain or quickly recover critical business processes even in the face of significant disruptions. It’s not just about IT outages or natural disasters anymore, but also:

    • Cyberattacks
    • Third-party failures
    • Geopolitical crises
    • Supply chain disruptions
    • Regulatory shocks

    Unlike traditional Business Continuity Management (BCM), operational resilience focuses not only on recovery but also on prevention, testability, and sustainable adaptability.

    Key Regulations: DORA, NIS2 & More

    New obligations are emerging, particularly in the financial and IT sectors:

    • EU DORA (Digital Operational Resilience Act): in force since January 2025, applies to banks, insurers, payment services, and IT providers
    • NIS2: Comprehensive cybersecurity and reporting requirements
    • ISO 22301: International standard for business continuity
    • BAIT, VAIT, KAIT: BaFin’s regulatory requirements for IT systems

    These regulations demand institutionalized resilience, continuously tested, documented, and improved.

    What must companies do in practice?

    1. Identify critical business processes
      • Which processes are essential to business survival?
    2. Define scenarios and tolerance thresholds
      • How long can a process fail before it becomes critical?
    3. Capture risks and dependencies
      • Especially regarding third-party providers, IT services, and supply chains
    4. Test and practice resilience
      • Simulations, penetration tests, crisis exercises
    5. Document actions and integrate into the GRC system
      • Recovery plans, communication strategies, escalation processes

    The Role of GRC Systems

    A robust GRC system is the foundation of a resilient organization. It offers:

    • Central risk register mapping operational risks
    • Linking processes, assets, and third parties
    • Action tracking and escalation workflows
    • Audit trail for internal and external audits
    • Reporting for regulators, stakeholders, and management

    Conclusion: Operational Resilience is the New BCM

    In 2025, companies must think far beyond traditional emergency plans. Operational resilience means being prepared, responding quickly, and learning from each crisis. Investing in resilient structures and an integrated GRC system today ensures not only regulatory compliance but also the trust of customers, investors, and the public.

    FAQ: Operational Resilience & GRC

    What is the difference between business continuity and operational resilience?

    BCM focuses on recovery plans. Operational resilience includes prevention, testing, and managing complex dependencies.

    Which companies are affected by DORA?

    All financial companies and IT service providers within the EU, including banks, insurers, fintechs, and cloud providers.

    Is operational resilience only relevant for regulated companies?

    No. SMEs and industrial firms also benefit from resilient structures in times of global uncertainty.

    What role do third parties play?

    A central one! Resilience always includes the supply and service provider chain. DORA mandates strict oversight of critical IT services.

    How can a GRC tool help?

    By providing centralized risk management, action tracking, scenario testing, and audit-proof documentation of all resilience components.

  • NIS2: What companies now need to do for their GRC systems

    NIS2: What companies now need to do for their GRC systems

    The new EU directive NIS2 (Network and Information Security Directive 2) brings significant requirements for companies across the EU. The goal is to comprehensively improve cybersecurity in critical and important sectors. But what exactly does that mean for governance, risk, and compliance management (GRC) in your organization?

    What is NIS2?

    NIS2 replaces the previous NIS directive and significantly expands its scope. It no longer only affects critical infrastructure, but also many medium and large enterprises in sectors such as:

    • Energy, transportation, healthcare, drinking water
    • IT services, digital infrastructure
    • Public administration, space, research

    New requirements:

    • Risk management for cyber and information security
    • Incident reporting within 24 hours
    • Company-wide security strategy
    • Responsibility at management level
    • Obligation to perform audits and provide evidence

    What does NIS2 mean for your GRC system?

    A modern GRC system is key to meeting the new requirements. Only with a systematic approach can risks, controls, reporting obligations, and responsibilities be documented and managed efficiently.

    Specifically, this means:

    • Risk Management: Integration of IT and cyber risks into the central risk register
    • Compliance Monitoring: Tracking of obligations and deadlines according to NIS2
    • Action Management: Assignment and tracking of protective and response measures
    • Audit Trail & Documentation: Complete traceability for audits

    Immediate actions to prepare for NIS2

    1. Clarify whether you are affected: Is your company directly or indirectly subject to NIS2?
    2. Conduct a gap analysis: What gaps exist in your current security and GRC structure?
    3. Define responsibilities: Who is responsible for cybersecurity and reporting?
    4. Upgrade GRC systems: Can your system integrate NIS2 requirements?
    5. Train and raise awareness: Prepare management and key personnel

    Conclusion: Action is needed now

    NIS2 not only brings new regulatory obligations, but also offers a chance to embed cyber resilience strategically. Companies that already use a powerful GRC system—or upgrade now—gain a real competitive edge. Important: don’t wait for national legislation—the time to prepare is now.

    FAQ on NIS2 and GRC

    When does NIS2 take effect?

    The EU directive has been in force since January 2023. National implementation must occur by October 2024. Companies should begin preparing now.

    Which companies are affected?

    All medium and large companies in certain critical and important sectors. This includes IT, energy, healthcare, transportation, and digital services.

    What happens in case of non-compliance?

    Severe fines and reputational damage. Liability may extend to the company’s management.

    How does a GRC system help with NIS2?

    It enables structured management of risks, actions, reporting obligations, and compliance requirements in a single integrated system.

    How does NIS2 differ from ISO 27001?

    NIS2 is a legal obligation; ISO 27001 is a voluntary standard. However, both complement each other: an ISMS in accordance with ISO 27001 can cover many NIS2 requirements.