Der Sturm zieht auf

Vier regulatorische Fronten gleichzeitig, DORA, revidiertes Datenschutzgesetz, FINMA-Fokus auf die gesamte Lieferkette und die CSRD, treffen eine Branche, die Risiko sonst mit Präzision kalkuliert, beim eigenen Compliance-Aufwand aber allzu oft aussitzt. Gastautor Thomas Schubert zeigt, warum Silodenken zwischen Legal, IT und Risikomanagement zum eigentlichen Risikotreiber wird, und wie «Test once, comply many» sowie Continuous-Control-Monitoring aus einem Kostenblock einen Wettbewerbsvorteil machen. Denn Kultur folgt Struktur, nicht umgekehrt.

Der Sturm zieht nicht durch. Er verstärkt sich.

Ein Versicherer kalkuliert Sturmschäden seit Jahrzehnten mit Präzision. Windgeschwindigkeit, Eintrittswahrscheinlichkeit, Schadenshöhe. Alles in Modellen erfasst, alles in Prämien eingepreist. Nur beim eigenen regulatorischen Sturm schaut die Branche erstaunlich oft aus dem Fenster und hofft, dass er woanders durchzieht.

Governance, Risk und Compliance waren für Versicherer und Broker lange eine Rückversicherung gegen Bussen. Ein Kostenblock, verwaltet von Spezialisten, die niemand ins Sitzungszimmer einlud, ausser wenn etwas schiefgelaufen war.

Nicht weil GRC plötzlich attraktiver geworden wäre, sondern weil die externen Kräfte, die auf die Branche einwirken, sich in wenigen Jahren vervielfacht haben. Wer heute noch reaktiv agiert, verwaltet nicht mehr Risiko. Er wird von ihm verwaltet.

Zeit, in die Silofreiheit aufzubrechen!

Der Marktbeweis: Vier Fronten gleichzeitig

Die regulatorische Dichte, mit der Versicherer und Broker heute konfrontiert sind, kennt keinen Präzedenzfall.

DORA gilt seit Januar 2025 auch für Versicherungsunternehmen mit EU-Bezug und für IKT-Dienstleister, die den europäischen Finanzmarkt bedienen. Die Verordnung verlangt lückenloses Drittanbieter-Management, regelmässige Resilienztests und ein Incident-Reporting, das binnen vier Stunden greifen muss. Für einen Broker mit einem Dutzend IT-Dienstleistern im Hintergrund ist das keine Formsache mehr.

Das revidierte Datenschutzgesetz hat die persönliche Haftung ins Sitzungszimmer getragen. Bei vorsätzlichen Verletzungen der Informations- oder Auskunftspflichten haften Geschäftsführung und Verwaltungsrat persönlich mit Bussen bis 250’000 Franken.

Das ist kein abstraktes Unternehmensrisiko mehr. Das ist ein Name auf einem Bussgeldbescheid.

Die FINMA hat ihren Fokus verschoben: weg vom reinen Outsourcing-Nachweis, hin zur gesamten Lieferkette inklusive Unterauftragnehmer und neu auch auf Insider Threats.

Und wo die CSRD greift, verlangt sie von Versicherern eine doppelte Wesentlichkeitsanalyse: wie das eigene Geschäft die Umwelt beeinflusst, und wie Klimarisiken das eigene Geschäft beeinflussen. Für eine Branche, die genau solche Risiken seit jeher bepreist, ist das eine paradoxe Pointe. Man kennt das Modell. Man hat es nur nie auf sich selbst angewendet.

Vier Fronten. Gleichzeitig. Keine davon verschwindet, wenn man sie ignoriert.

Das GRC-Risiko: Wenn der Aufwand die Kultur überholt

Der Reflex: neue Regulierung, neues Team, neue Checkliste. Das Resultat sind Silos, die sich gegenseitig blockieren, statt sich zu ergänzen. Der Compliance-Verantwortliche kennt DORA-Fristen auswendig, hat aber nie mit dem CISO gesprochen, der die tatsächliche IKT-Drittanbieter-Landschaft verwaltet. Das Risikomanagement modelliert Szenarien, die niemand aus der Geschäftsleitung je gesehen hat, weil sie in einem Bericht verschwinden, den keiner liest.

Das ist Folientherapie in ihrer verbreitetsten Form. Dokumentation, die beruhigt, aber nichts bewirkt. Und es ist Konformitäts-Schlaf. Das trügerische Gefühl, compliant zu sein, weil vielleicht ein Zertifikat an der Wand hängt, während die tatsächlichen Prozesse längst nicht mehr dazu passen. Kein Zahnrad greift mehr in das andere.

Die grössere Gefahr liegt in der Unternehmenskultur selbst. «Der Fisch stinkt vom Kopf» (von Erasmus von Rotterdam).

Wer GRC über Jahre als Verhinderer erlebt hat, wird sie auch als Verhinderer behandeln, selbst wenn die Führung offiziell einen Kulturwandel ausruft. Mitarbeitende melden Vorfälle nicht, weil sie Konsequenzen fürchten statt Unterstützung zu erwarten.

Führungskräfte nicken Berichte ab, ohne kritische Rückfragen zu stellen, weil es schneller geht. Das ist Sparringsdefizit: Niemand im System, der unbequeme Fragen stellt, bevor die Aufsichtsbehörde sie stellt.

Wer glaubt, das sei allein ein Problem der Grossversicherer, irrt. Broker mit zehn oder zwanzig Mitarbeitenden tragen dieselbe Haftung, oft ohne die Ressourcen, sie abzufedern. Regulierungs-Panik entsteht genau hier. Wenn Anforderungen schneller wachsen als das Verständnis dafür.

Die Praxislösung: Vom Aussitzen zum Steuern

Die Antwort ist nicht mehr Personal. Sie ist mehr Orchestrierung.

Ein Versicherer, der DORA, DSG, FINMA-Anforderungen und CSRD als getrennte Projekte behandelt, verdoppelt und verdreifacht seinen Aufwand für dieselbe zugrunde liegende Frage: Ist unser Unternehmen widerstandsfähig, transparent und nachweisbar sicher?

Wer stattdessen eine einzige Kontrolle mehreren Anforderungen zuordnet, nach dem Prinzip «Test once, comply many», senkt seinen Prüfungsaufwand nachweislich um 30 bis 70 Prozent.

«Continuous-Control-Monitoring» ersetzt die Momentaufnahme durch laufende Überwachung. Statt drei Tage vor dem Audit oder Quartalsbericht das Haus zu putzen, zeigt das System jederzeit, ob die Kontrollen tatsächlich wirken. Nicht nur, ob sie dokumentiert sind. Das «IKS» wird vom Nachweissystem zum Frühwarnsystem. Abweichungen werden sichtbar, bevor sie zum Verstoss eskalieren, nicht danach.

Das «CMS» strukturierter gliedern. Konsolidierung, nicht mehr Kontrollen. Dies nach dem Prinzip «Test once, comply many». Eine Kontrolle zeigt im Management-System mehrere regulatorische Ergebnisse auf, deckt mehrere regulatorische Anforderungen ab.

«Compliance by Design» integriert Compliance direkt in Projekten. Es verlagert den Fokus von der nachträglichen Fehlerbehebung auf präventiven Schutz. Das Fehlerrisiko sowie kostspielige, nachträgliche Anpassungen an Prozessen und IT-Systemen werden vermieden.

Für Broker, die mit zahlreichen Drittanbietern arbeiten, bedeutet das: Cyber-Hygiene, finanzielle Stabilität und Sanktionslisten-Abgleiche laufen in Echtzeit, nicht einmal jährlich per Fragebogen.

Das ist Silofreiheit in der Praxis: Legal sieht die Vertragsklausel mit dem IT-Dienstleister. Die IT sieht die Reaktionszeit im Ernstfall. Das Risikomanagement sieht die Drittparteien-Matrix. Erst wenn alle drei Perspektiven zusammenlaufen, wird aus fragmentierter Absicherung ein Regulierungs-Hebel, der Vertrauen schafft, Ausschreibungen gewinnt und Kapitalkosten senkt.

Und das Wichtigste: Kultur folgt Struktur, nicht umgekehrt.

Ein Unternehmen, das GRC als Frühwarnsystem statt als Nachschau versteht, verändert das Verhalten seiner Mitarbeitenden automatisch. Wer weiss, dass ein gemeldetes Risiko honoriert statt bestraft wird, meldet es früher. Genau dort entscheidet sich, ob eine Organisation den Sturm kommen sieht, oder erst merkt, dass er da war, als das Dach schon fehlte.

Die Konsequenz: Ja, es gibt sie!

Versicherer und Broker verkaufen Sicherheit gegen Unsicherheit. Es wird Zeit, dass sie dieses Prinzip auch auf sich selbst anwenden, bevor die Aufsichtsbehörde, der Kunde oder der eigene Verwaltungsrat es einfordert.

Wollen Sie endlich Compliance vom Kostentreiber zum Wettbewerbsvorteil machen?

TURNING REGULATION INTO VALUE!

Thomas Schubert

Mr. #DeedsCountMore

Lesen Sie auch: Vom Sparen zum Auszahlen: Die digitale Evolution der Vorsorge

---