Compliance Beratung und Risikomanagement: von der Regel zum belastbaren Nachweis

Compliance-Beratung — zusammen mit dem Risikomanagement häufig als GRC-Beratung zusammengefasst — arbeitet an der Frage, ob die Regeln, die für ein Unternehmen gelten, im Tagesgeschäft tatsächlich wirken. Eine Regel durchläuft dabei vier Zustände: Sie ist beschlossen, sie ist bekannt, sie ist in einen Arbeitsschritt eingebaut, und sie ist nachweisbar. Vorhaben scheitern fast nie am ersten Zustand — Richtlinien gibt es reichlich —, sondern am Übergang vom zweiten zum dritten. Genau dort liegt die Arbeit.

Sie unterscheidet Regelwerk von Kontrolle. Ein Richtlinientext ist keine Kontrolle. Eine Kontrolle hat eine benannte verantwortliche Person, einen Turnus, eine Schwelle, ab der eingegriffen wird, und eine Spur, die zeigt, dass sie stattgefunden hat. Zwanzig gepflegte Kontrollen an den Stellen, an denen wirklich etwas passieren kann, tragen weiter als zweihundert Seiten Regelwerk.

Sie ordnet Risiken nach Steuerbarkeit, nicht nach Schrecken. Ein Inventar, das nach Schadenshöhe sortiert ist, erzeugt Aufmerksamkeit für seltene Katastrophen und Blindheit für den Vorgang, der jede Woche schiefgeht. Brauchbar wird die Liste erst, wenn zu jedem Eintrag steht, wer ihn beeinflussen kann, mit welcher Maßnahme — und woran zu erkennen wäre, dass sie wirkt.

Sie baut die Regel in den Arbeitsschritt ein, nicht daneben. Eine Prüfung, die in einer separaten Datei stattfindet, wird unter Termindruck übersprungen; eine, die im Freigabeschritt des Systems liegt, nicht. Dazu gehört die Bereitschaft, Regeln zu streichen, die einen Ablauf blockieren, ohne ein Risiko zu senken.

Was sie nicht leistet. Sie ist keine Rechtsberatung: Ob eine Norm im Einzelfall anwendbar ist und welche Pflichten daraus folgen, gehört anwaltlich geprüft. Sie ist ebenso wenig Wirtschaftsprüfung oder Zertifizierung, und sie kann regelkonformes Verhalten nicht zusichern — wer Rechtssicherheit verspricht, verkauft ein Gefühl. Ohne Fachbereiche, IT und Einkauf bleibt zudem jede Kontrolle ein Dokument.

Angrenzende Themen liegen bewusst woanders: Angriffserkennung und Sicherheitsarchitektur in der Cyber Security Beratung, die Nachhaltigkeitsseite der Berichtspflichten in der Nachhaltigkeitsberatung, transaktionsnahe Prüfungen in der Corporate Finance Beratung und die allgemeine Aufnahme von Abläufen in der Prozessberatung.

Zwei Größen bestimmen das Budget: der Tagessatz und die Zahl der Tage. Die zweite ist die größere und wird seltener geplant. Abgerechnet wird über unser Netzwerk nach Tagessatz, ohne Projektpauschale und ohne erfolgsabhängige Bestandteile.

Was den Satz bewegt. An erster Stelle die Seniorität und die Entscheidungsnähe der Rolle: Wer einen Kontrollrahmen gegenüber Geschäftsführung, Aufsicht oder Prüfern vertritt, liegt über einer Rolle, die zuarbeitet. Danach der Regulierungsgrad der Branche — in beaufsichtigten oder zulassungspflichtigen Umgebungen ist die verlangte Zusatzerfahrung knapp, und Knappheit wirkt stärker als jeder andere Faktor. Der Präsenzanteil schlägt in beide Richtungen aus: Standort- und Lieferantenprüfungen brauchen Anwesenheit, während Arbeit an Richtlinien und Kontrollplänen weitgehend remote läuft und den Kreis infrage kommender Profile über die eigene Region hinaus öffnet. Zuletzt die Projektdauer: Ein Einsatz über zwölf Monate liegt pro Tag unter einem Vier-Wochen-Auftrag mit demselben Einarbeitungsaufwand.

Die Spannen aus dem eigenen Bestand — ausgewiesen im Preisausweis der jeweiligen Rollenseite. Für Governance-, Kontroll- und Rahmenarbeit 750 bis 1.300 € pro Tag (Freelance GRC Consultant, Freelance IT Governance Consultant). Für regulatorische Fachrollen im Außenhandel 800 bis 1.300 € (Freelance Handelscompliance-Spezialist, Freelance Exportkontroll-Spezialist, Freelance Zollexperte). Für Kontrollen im Rechnungswesen 700 bis 1.300 € (Freelance Financial Controller, Freelance Group Controller). Für Lieferanten-, Vertrags- und Nachweisarbeit 800 bis 1.400 € (Freelance Lieferantenauditor, Freelance Vertragsmanager (Einkauf), Freelance ESG Reporting Consultant). Führungsverantwortung liegt darüber: Eine Finanzverantwortung auf Zeit bewegt sich bei 1.300 bis 2.500 € (Interim CFO). Die Angaben sind Spannen und kein Preisschild — was für einen bestimmten Einsatz gilt, wird vor Beauftragung schriftlich festgehalten.

Stufenweise freigeben statt als Gesamtsumme. Ein Vorhaben lässt sich in vier Abschnitte schneiden, von denen jeder mit einer Entscheidung endet, die auch „nicht weiter" lauten darf: Bestandsaufnahme, Konzept mit Risikoinventar und Kontrollplan, Umsetzung mit dem Einbau in Abläufe und Systeme, Betrieb mit Turnus und Wirksamkeitsprüfung. Wer alles in einem Betrag freigibt, verliert die Stellen, an denen ein Zuschnitt noch günstig korrigiert werden könnte.

Der Unterschied zur Kanzlei- oder Prüfermandatierung liegt weniger im Preis als in dem, was Sie einkaufen. Eine Kanzlei beurteilt die Rechtslage und vertritt Sie; eine Wirtschaftsprüfungsgesellschaft prüft und testiert und darf schon aus Unabhängigkeitsgründen nicht aufbauen, was sie später prüft. Hier besetzen Sie eine Rolle in Ihrer eigenen Linie, die den Rahmen baut und betreibt — die Erfahrung bleibt dort, wo der Vorgang bearbeitet wird. Kosten für Zertifizierungen, externe Audits, anwaltliche Prüfung oder Softwarelizenzen gehören nicht zum Tagessatz.