Review SWISS GRC DAY 2022

Yahya Mohamed Mao, Head Business Development & Marketing Swiss GRC AG, begrüsst das Publikum, die Referenten und Event-Partner zum 5. SWISS GRC DAY. Er stellt ihnen eine interessante Reise durch spannende Themen im Bereich von Government, Risk Management und Compliance in Aussicht und freut sich auf interessante Fachbeiträge und anregende Gespräche während der Pause und beim Apéro.

«Are you Ransom ready?», fragt Tom Schmidt, Partner Ernst & Young AG, EMEIA FSO Cybersecurity Competency Leader & Switzerland FSO Cybersecurity Leader. Er beschreibt Aktuelle Cyber-Bedrohungen und zukünftige Herausforderungen und worauf (und wie) sich Unternehmen vorbereiten müssen.

Ransomware steht dabei im Fokus seines Referats. Cyber-Kriminelle verschlüsseln bei dieser Cyberangriffsform Daten und Server. Im Rahmen von Double Extortion verlangen sie nicht nur Geld für die Entschlüsselung, sondern auch dafür, dass sie die erbeuteten Daten nicht medienwirksam veröffentlichen. Die «Branche», die sich mittlerweile zu eigentlichen Cyber-Syndikaten formiert hat und sich in einem grossen Netzwerk bewegt, generierte alleine im Jahr 2020 etwa 20 Milliarden US-Dollar (gegenüber rund 11 Milliarden im Jahr 2019). Ransomware ist also ein höchst einträgliches Geschäft und einer der Gründe für den rasanten Anstieg dieser Cyberangriffe. Tom Schmidt zeigt die verschiedenen Schritte einer Ransomware Attacke und wie Unternehmen sich dagegen wappnen können.

> Link zur Präsentation

Dr. Susanna Lüthi-Walter, Chief Risk Officer ZRe, Zurich Insurance Company, und Eva Severa-Züger, Chief Compliance Officer ZRe, Zurich Insurance Company, kennen Bausteine, Herausforderungen und Erfolgsfaktoren beim Aufbau eines ganzheitlichen IKS aus Risk und Compliance Sicht.

Während sich der Umfang eines internen Kontrollsystems (IKS) traditionell auf die Finanzberichterstattung konzentriert, führt die zunehmende Bedeutung von Überwachungssystemen im heutigen Umfeld dazu, das IKS ganzheitlich zu betrachten. Die Referentinnen beleuchten diesen Trend und beschreiben ein ganzheitliches IKS als integralen Bestandteil des unternehmensweiten Risikomanagements, das alle wesentlichen operativen und finanziellen Unternehmensrisiken abbildet und auch Compliance Risiken einbindet. Dafür braucht es aus Sicht der Referentinnen u.a. einen pragmatischen Ansatz, eine integrative IKS-Strategie (inkl. Umsetzungsplanung), abgestimmte Instrumente und Tools sowie – ganz wichtig – genügend Ressourcen und eine starke Einbindung der First Line.

> Link zur Präsentation

Dr. Iur. Jean-Pierre Méan, Rechtsanwalt, ehemals Vorstand von Transparency International Schweiz, teilt seine Erfahrungen mit dem Management der Compliance und zeigt, wie eine integrale Compliance-Kultur bei Compliance- und Integritätsrisiken Abhilfe schafft.

 Eine ganzheitliche Betrachtungsweise steht auch in diesem Referat im Fokus. Eine solche bewährt sich nämlich ebenfalls beim komplexen Thema Compliance. Bereits die Tatsache, dass sich Compliance in der ISO-Normenfamilie Governance befindet, zeigt die engen Bezüge zu Governance, Anti-Korruption, Whistleblowing etc. Am Beispiel der Anti-Korruptionsnorm wird aufgezeigt, wie eine Compliance-Kultur implementiert werden kann, worauf dabei zu achten ist und wo die Norm am meisten hilft. Entscheidend für den Erfolg der Compliance-Kultur in einem Unternehmen ist in jedem Fall aber das Commitment des Top Managements. Und selbstredend gibt es in Sachen Compliance nach wie vor Verbesserungspotential. Dr. Méan ortet dieses u.a. in der Rolle und Positionierung des Compliance Officers, bei Interessenkonflikten und der Compliance für KMU.

> Link zur Präsentation

Tolga Ece, Leiter Kompetenzzentrum Risiko- und Versicherungsmanagement Stadt Zürich, stellt das Chancen- und Risikomanagement der Stadt Zürich und dessen umfassenden Ansatz für eine bessere Entscheidungsfindung vor – ein Praxisbericht über die Erfolgsfaktoren.

 In der Stadt Zürich besteht seit 2011 ein Risiko- und Versicherungsreglement. Risikomanagement fand dadurch Verbreitung, allerdings fehlte eine gemeinsame Systematik und eine konsolidierte Sichtweise. Das Projekt CHARM (aus Chance und Risikomanagement), das neben Risiken auch Chancen benennt und managen will, soll dies ändern. Ziel ist eine umfassende Chancen- und Risikopolitik, die beispielsweise die Leistungserfüllung und Funktionsfähigkeit der Stadtverwaltung mit immerhin knapp 30’000 Mitarbeitenden und die Förderung des Chancen- und Risikobewusstseins bei Mitarbeitenden gewährleisten soll. Tolga Ece beschreibt das konkrete Vorgehen im Projekt (Workshops, Bottom-up), nennt Erfolgsfaktoren (einfacher Ansatz, klare Grenzen), Stolpersteine (Risikokonsolidierung und -quantifizierung) und Schritte zur Weiterentwicklung (Frühwarnindikatoren, Querschnittsrisiken).

> Link zur Präsentation

Angela Hunziker, Leiterin Corporate Risk Management, SBB CFF FFS, zeigt, wie Integrierte Assurance in der Praxis  aussieht und welche Challenges der Zusammenarbeit verschiedener Assurance-Funktionen bestehen.

Unter Assurance wird die Gesamtheit der bestehenden Überwachungs- und Kontrollfunktionen in einem Unternehmen verstanden, als Combined Assurance die koordinierte und integrierte Zusammenarbeit aller Funktionen, die direkten oder indirekten Risikobezug haben und zur Verbesserung der Governance-Struktur beitragen können. Angela Hunziker zeigt Ansätze im Zusammenhang mit integrierter Assurance (ISO 37000, Drei-Linien-Modell des IIA), nennt vorteilhafte Rahmenbedingungen und aktuelle Hindernisse. Im zweiten Teil ihres Referats wirft sie einen Praxis-Blick auf die Integrierte Assurance (IA) bei der SBB, indem sie die Konzernziele des Unternehmens, die organisatorische Einbettung der IA und die Zusammenarbeit aufzeigt. Schliesslich verrät sie, wo die SBB bezüglich regelmässigem Informationsaustausch, gemeinsamer Themenbearbeitung, abgestimmter Prozesse, durchgängiger Tool-Landschaft und gesamtheitlichem Managementsystem stehen und wo Verbesserungspotential besteht.

> Link zur Präsentation