Compliance-Software für Unternehmensgruppen

Wer mehr als eine Rechtseinheit führt, kennt das Problem. Eine Holding mit fünf Tochtergesellschaften. Ein internationaler Konzern mit einer Bank in Deutschland, einem Versicherer in Frankreich und einem Fintech in den VAE. Eine Private-Equity-Gesellschaft mit einem Dutzend Portfoliounternehmen. Ein Franchisenetzwerk. Jede Einheit hat eigene Aufsichtsbehörden, eigene Rahmenwerke, eigene Prüfer und eigene Nachweise, und trotzdem soll die Gruppe nach einem einzigen Standard arbeiten und an ein einziges Gremium berichten. Die meisten Compliance-Werkzeuge wurden für ein einzelnes Unternehmen gebaut. Sie brechen in dem Moment, in dem daraus eine Gruppe wird.

Dieser Leitfaden richtet sich an alle, die nach Compliance-Software für Unternehmensgruppen suchen, und an die vielen Formulierungen, die dasselbe meinen: Multi-Entity-Compliance-Software, Group Compliance Management, Holding-GRC, Compliance-Management für Tochtergesellschaften, Konzern-Compliance oder mandantenfähige Compliance-Plattform. Wir zeigen, was Gruppen-Compliance wirklich anders macht, worauf Sie achten sollten und wie Venvera das mit einer Funktion namens Company Groups löst: Richtlinien und Controls einmal im Mutter-Mandanten erstellen und an jede Tochtergesellschaft weitergeben, während jede Einheit ihre eigenen Nachweise behält.

Was "Compliance-Software für Unternehmensgruppen" tatsächlich bedeutet

Je nach Struktur wird danach unterschiedlich gesucht, die Absicht ist aber immer dieselbe: ein Ort, an dem Compliance über viele verbundene Rechtseinheiten hinweg läuft, ohne die Arbeit N-mal zu machen. Häufige Varianten sind:

• Multi-Entity-Compliance-Software und mandantenfähige Compliance-Plattform - für Organisationen, die mehrere eigenständige Rechtseinheiten betreiben.
• Compliance-Software für Holdings und Compliance-Steuerung durch die Muttergesellschaft - die Mutter setzt den Standard, die Töchter setzen ihn um.
• Compliance-Management für Tochtergesellschaften und Konzern-GRC-Software - jede Tochter bleibt an einem einzigen Governance-Rahmenwerk ausgerichtet.
• Berichte je Einheit - jede Einheit kann ihre eigene Lage gegenüber ihrem eigenen Gremium und ihren Prüfern darstellen, abgeleitet aus einem gemeinsamen Gruppenstandard.

Wie immer Sie es nennen: Die Anforderung bleibt gleich. Den Gruppenstandard einmal definieren, überall anwenden und jede Einheit lokal belegen lassen. Der schwierige Teil ist selten die Software. Er besteht darin, auf Gruppenebene zu klären, welche Entscheidungen die Mutter trifft und welche beim Geschäftsführer der Tochter bleiben, der einer lokalen Aufsicht Rede und Antwort stehen muss. Klären Sie das zuerst, denn keine Plattform klärt es für Sie.

Warum eine Unternehmensgruppe schwerer compliant zu halten ist

Compliance für ein einzelnes Unternehmen ist bereits viel Arbeit. Eine Gruppe vervielfacht sie, und zwar nicht linear:

• Dieselbe Richtlinie, fünfmal neu geschrieben. Die Informationssicherheitsrichtlinie der Mutter wird in jede Tochter kopiert, dort lokal bearbeitet und driftet auseinander. Sechs Monate später haben keine zwei Einheiten dieselbe Version und niemand kann sagen, welche verbindlich ist.
• Unterschiedliche Rahmenwerke je Einheit. Eine deutsche Bank verantwortet NIS2 und DORA. Eine britische Einheit fährt Cyber Essentials und ISO 27001. Eine US-Tochter braucht SOC 2 und HIPAA. Ein saudischer Arm steht vor SAMA und der NCA ECC. Eine Gruppe, viele Regelwerke.
• Nachweise liegen lokal, der Standard liegt zentral. Die Gruppen-Compliance sagt: "Alle müssen MFA erzwingen." Ob MFA tatsächlich erzwungen wird, ist eine Tatsache über jede einzelne Tochter und wird dort belegt. Das Werkzeug muss beide Wahrheiten halten, ohne sie zu vermischen.
• Datentrennung ist Pflicht. Vorfallsprotokoll, Lieferantenliste und Nachweise einer Tochter dürfen für eine andere niemals sichtbar sein. Eine gemeinsame Tabelle oder ein Single-Tenant-Werkzeug kann das nicht garantieren.

Worauf Sie bei Multi-Entity-Compliance-Software achten sollten

Wenn Sie in einer Demo nur zwei dieser Punkte belasten wollen, nehmen Sie Datentrennung und einmalige Erstellung mit automatischer Verteilung. Beide sind architektonisch: Ein Anbieter hat entweder dafür gebaut oder nicht, und beides nachzurüsten bedeutet eine Neuentwicklung. Alles Übrige lässt sich umgehen. Ein Werkzeug, das Unternehmensgruppen wirklich beherrscht, sollte Ihnen bieten:

• Eine Mutter-Tochter-Struktur: eine Möglichkeit, Mandanten zu einer Gruppe zusammenzuführen und eine Mutter zu bestimmen, die den Standard setzt.
• Einmal erstellen, überall verteilen: Richtlinien und die ihnen zugeordneten Controls werden bei der Mutter definiert und an jede Mitgliedseinheit als schreibgeschützte Quelle der Wahrheit weitergegeben.
• Nachweise und Isolation je Einheit: Jede Tochter behält ihre eigenen Nachweise und ihre eigenen Daten, vollständig von den anderen abgeschottet.
• Rahmenwerksauswahl je Einheit: Aktivieren Sie die Rahmenwerke, die jede Einheit aufgrund ihrer Jurisdiktion tatsächlich braucht.
• Rahmenwerksübergreifendes Mapping: Ein in einer Tochter einmal belegtes Control zählt für jedes Rahmenwerk, das diese Tochter betreibt.
• Gremienreife Berichte je Einheit: Jede Einheit kann Berichte für ihr eigenes Gremium und ihre eigenen Prüfer gegen den gemeinsamen Standard erzeugen.

Wie Venvera es löst: Company Groups

Venvera wurde von Beginn an als mandantenfähige Plattform gebaut, und Company Groups ist die Funktion, die daraus echte Gruppen-Compliance macht. Das Modell ist einfach beschrieben und streng bei der Isolation.

Ein Plattformadministrator legt eine Company Group an, fügt die Mitgliedsorganisationen hinzu und bestimmt eine davon zur Mutter (dem Admin-Mandanten). Ab diesem Punkt ist die Mutter die verbindliche Quelle der Richtlinien für die Gruppe, und die Töchter erben von ihr, ohne sie ändern zu können.

1. Richtlinien und Controls einmal bei der Mutter erstellen

Sie schreiben die Richtlinien der Gruppe im Mutter-Mandanten: die Informationssicherheitsrichtlinie, die Richtlinie zur zulässigen Nutzung, die Richtlinie zum Drittparteienrisiko und so weiter. Venvera ordnet jeder Richtlinie die konkreten Controls zu, die sie erfüllt. Diese Zuordnung ist der entscheidende Teil: Eine Richtlinie ist eine Menge von Control-Anforderungen, zu denen sich die Gruppe verpflichtet.

2. Jede Tochtergesellschaft erbt den Gruppenstandard

Diese Richtlinien und die zugeordneten Controls fließen als schreibgeschützter Standard an jede Mitgliedseinheit. Töchter können die Gruppenrichtlinie und ihre Control-Zuordnung lesen, aber keines von beidem bearbeiten, sodass es zu jedem Zeitpunkt genau eine verbindliche Version gibt. Aktualisieren Sie die Richtlinie bei der Mutter, lesen die Mitglieder die neue Fassung, weil sie direkt auf die Kopie der Mutter zugreifen statt ein veraltetes Duplikat zu halten. Kein Copy-and-paste mehr, kein Auseinanderdriften, keine Frage mehr, welche Version gerade gilt.

3. Jede Einheit belegt ihn mit eigenen Nachweisen

Hier liegt die entscheidende Unterscheidung. Der Standard ist gemeinsam, die Nachweise sind lokal. Jede Tochter hängt ihre eigenen Nachweise an die zugeordneten Controls in ihrem eigenen Mandanten: den Export ihrer MFA-Konfiguration, ihre Zugriffsüberprüfung, ihren Penetrationstestbericht. Die Nachweise einer Tochter sind für eine andere niemals sichtbar. Die Gruppe definiert ein Control als verpflichtend; jede Einheit ist dafür verantwortlich zu zeigen, dass es tatsächlich erfüllt ist. Seien Sie ehrlich mit sich selbst, wohin hier die Zeit fließt. Den Gruppenstandard bei der Mutter zu veröffentlichen ist ein Nachmittag Arbeit. Jedes lokale Team dazu zu bringen, seine eigenen Zugriffsüberprüfungen und Konfigurationsexporte gegen diesen Standard anzuhängen, ist ein Quartal geduldigen Nachfassens, und genau dieser Teil verdient echte Ressourcen.

Einmal umsetzen, für jedes Rahmenwerk belegen - und das je Einheit

Die meisten Töchter betreiben mehr als ein Rahmenwerk. Venveras rahmenwerksübergreifender Crosswalk sorgt dafür, dass ein einmal in einer Tochter belegtes Control das entsprechende Control in jedem Rahmenwerk erfüllt, das diese Einheit betreibt. Belegen Sie die MFA-Durchsetzung in Ihrer britischen Tochter, und sie kann ISO 27001, SOC 2, Cyber Essentials und weitere gleichzeitig erfüllen. Tun Sie es in Ihrer deutschen Bank, erfüllt sie damit NIS2, DORA und die weiteren Vorgaben, denen sie unterliegt. Der Gruppenstandard wird einmal je Einheit belegt statt einmal je Rahmenwerk je Einheit.

Genau das macht Gruppen-Compliance beherrschbar statt exponentiell. Ohne rahmenwerksübergreifendes Mapping steht eine Gruppe mit fünf Töchtern, die je vier Rahmenwerke betreiben, vor zwanzig getrennten Nachweisprogrammen. Mit Mapping belegt jede Tochter ihre Controls einmal, und die Plattform überträgt das Ergebnis auf ihre Rahmenwerke.

Verschiedene Einheiten, verschiedene Rahmenwerke, verschiedene Jurisdiktionen

Eine echte Gruppe ist selten einheitlich, und die Versuchung ist groß, sie trotzdem zu vereinheitlichen: einfach überall jedes Rahmenwerk einschalten, damit die Gruppe von oben aufgeräumt aussieht. Widerstehen Sie dem. Eine Tochter, die mit Controls konfrontiert wird, gegen die sie nie geprüft werden wird, verliert still das Vertrauen in die Liste, und eine Liste, der niemand vertraut, pflegt niemand. Venvera erlaubt es, für jede Einheit genau die Rahmenwerke zu aktivieren, die sie wirklich braucht, abhängig davon, wo sie tätig ist und was sie tut. Eine EU-Bank fährt vielleicht NIS2 und DORA, eine britische Einheit ISO 27001 und Cyber Essentials, eine US-Tochter SOC 2 und HIPAA, ein saudischer Arm SAMA und die NCA ECC. Ihre Mutter setzt den gemeinsamen Richtlinienstandard einmal; jede Tochter überträgt ihn auf die konkreten Rahmenwerke, denen sie unterliegt, und nur diese Rahmenwerke erscheinen im Arbeitsbereich dieser Einheit.

Gremienreife Berichte, je Einheit

Jede Tochter arbeitet gegen denselben geerbten Standard, sodass jede von ihnen gremien- und prüferreife Berichte zur eigenen Lage erzeugen kann, ohne zuvor die Grundlage neu aufbauen zu müssen. Die Mutter besitzt und pflegt den Standard; jede Einheit berichtet dagegen in ihrem eigenen Arbeitsbereich, auf ihren eigenen Rahmenwerken, mit ihren eigenen Nachweisen. So bleibt die Berichterstattung jeder Einheit in sich geschlossen und ihre Daten isoliert, während die Darstellung jeder Einheit auf ein gemeinsames Richtlinienwerk der Gruppe zurückführt.

Sicherheit und Datentrennung für Gruppen

Isolation ist die Anforderung, die Gruppen am stärksten unterschätzen, denn ein Übergriff zwischen zwei Einheiten bleibt unsichtbar, bis er zum aufsichtsrechtlichen Problem wird. Einheiten zu gruppieren darf niemals bedeuten, Daten zwischen ihnen durchsickern zu lassen. In Venvera ist die einheitenübergreifende Beziehung bewusst einseitig und schreibgeschützt: Mitgliedseinheiten können die gemeinsamen Gruppenrichtlinien und deren Control-Zuordnung lesen, aber die eigenen operativen Daten jeder Einheit, ihre Nachweise, Vorfälle, Lieferanten und ihr Risikoregister, bleiben streng auf diesen Mandanten begrenzt und werden auf Datenbankebene mit Row-Level Security durchgesetzt. Die Mitgliedschaft verwalten Plattformadministratoren, nicht die Mandanten selbst, sodass keine Einheit eine andere in eine Gruppe ziehen oder über die Grenze hinweg lesen kann. Eine Gruppe erhält einen gemeinsamen Standard und behält getrennte Datenbestände.

Für wen das gedacht ist

• Holdinggesellschaften, die von jeder Tochter verlangen, nach dem Governance-Standard der Mutter zu arbeiten.
• Internationale Konzerne mit Einheiten unter verschiedenen Aufsichtsbehörden, die dennoch an ein einziges Gremium berichten.
• Private Equity und Portfoliobetreiber, die Compliance über zugekaufte Unternehmen hinweg vereinheitlichen und dabei die Daten jedes Unternehmens getrennt halten.
• Franchise- und Mehrmarkengruppen, die ein Richtlinienwerk auf viele operative Einheiten ausrollen.
• Shared-Services- und Konzern-Compliance-Funktionen, die den Standard zentral verantworten und lokale Teams brauchen, die ihn belegen.

Weiterführend: die Venvera-Plattform, DORA Register of Information und NIS2 für Bankengruppen, Richtlinienbibliothek, Control Crosswalk.

Compliance-Software für Unternehmensgruppen: das Fazit

Das richtige Werkzeug für eine Unternehmensgruppe leistet drei Dinge gleichzeitig: Es lässt die Mutter den Standard einmal erstellen, es verteilt diesen Standard an jede Tochter als eine einzige schreibgeschützte Quelle der Wahrheit, und es lässt jede Einheit ihn lokal belegen, ohne dass Daten die Grenze überschreiten. Ergänzt um rahmenwerksübergreifendes Mapping wird aus der Compliance einer Gruppe statt N getrennter Programme ein Standard, oben gesetzt und an den Rändern belegt.

Genau so funktioniert Venveras Company Groups. Wenn Sie Compliance über mehr als eine Einheit hinweg steuern, buchen Sie eine kurze Demo oder starten Sie einen kostenlosen Compliance-Check, um es auf Ihre eigene Gruppenstruktur angewendet zu sehen.