Warum erhebt jedes Team dieselbe Information noch einmal? In CRISAM® arbeiten Risikomanagement, Informationssicherheit, Compliance, Revision, Datenschutz und ESG auf denselben Risiken, Kontrollen und Nachweisen. Was ein Fachbereich einträgt, nutzen die anderen mit, jeweils in ihrer eigenen Sicht.
In vielen Unternehmen pflegt jedes Team seine eigene Liste. Dieselbe Kontrolle wird in mehreren Tabellen geführt, derselbe Nachweis liegt in verschiedenen Ordnern.
In CRISAM® liegen Risiken, Kontrollen, Maßnahmen und Nachweise in einem Modell. Was ein Team einträgt, steht den anderen zur Verfügung. Eine zweite Erhebung entfällt, ebenso die Abstimmung darüber, welche Liste gerade gilt.
Liefert dem Gremium die Bandbreite möglicher Ergebnisse, ist Grundlage für Kontrollen und Auditplanung und folgt derselben Logik wie die ESG-Risiken.
Eine Kontrolle wirkt im IKS, in der Informationssicherheit und im Compliance-Nachweis.
Ein Nachweis gilt für IKS, Risikomanagement, Compliance und Audit zugleich.
Wird einmal erfasst und gilt für ISMS und Datenschutz.
Betrifft die Kontrolle und das zugehörige Risiko und erscheint im Risikobericht und im Compliance Management.
AI Governance, Informationssicherheit und Datenschutz arbeiten mit denselben Objekten.
Risiken fließen in die Planung ein, für das EBIT entsteht eine Bandbreite möglicher Ergebnisse.
Werden im Enterprise Risk Management aggregiert und über die Schnittstelle an die Berichterstattung übergeben.
Jeder Fachbereich bringt seine eigene Taxonomie mit, die Daten sind historisch gewachsen, und der Bericht entsteht jedes Quartal neu. Sie brauchen eine Datenbasis, in der Risiken, Kontrollen, Maßnahmen und Nachweise einmal erfasst und konsistent vorliegen.
So unterstützt CRISAM® SieDie Fragen sind verständlich formuliert: Was kann passieren, wie hoch wäre der Schaden, wie häufig tritt er ein? Jedes Feld ist direkt erklärt.
Die Simulation berechnet und aggregiert Tausende mögliche Szenarien, auf Wunsch mit Korrelationen. Über 20 Bewertungsmethoden der ISO 31010 sind hinterlegt.
Jede Maßnahme ist mit dem Risiko verknüpft, inklusive Kosten und Wirkung. Der Workflow erinnert die Verantwortlichen automatisch an offene Aufgaben.
Was Sie in CRISAM® erfassen, nutzen andere Teams mit.
Mehr dazu: Integrated Risk ManagementReporting und AnalysenIDW PS 340 n.F.
| Risiko | Value at Risk 95 | Veränderung |
|---|---|---|
| Cybervorfall Produktionssteuerung | 2,10 Mio. | ▲ |
| Schwankung der Rohstoffpreise | 1,70 Mio. | ▼ |
| Ausfall eines Hauptlieferanten | 1,20 Mio. | ▲ |
| Wechselkurs USD zu EURO | 0,80 Mio. | ● |
| Verzögerung im Genehmigungsverfahren | 0,60 Mio. | neu |
Der Vorstand will wissen, wo das Risiko wirklich liegt, welche Maßnahmen wirken und ob sich die Investition lohnt. Dafür müssen Risiken aus Finance, Compliance, Informationssicherheit und Revision einheitlich bewertet vorliegen, in Euro und als Bandbreite möglicher Ergebnisse.
So unterstützt CRISAM® SieCRISAM® übernimmt Plan- und Istwerte direkt aus dem Controlling. Die Risiken werden unmittelbar in den Planwerten berücksichtigt.
Die Monte-Carlo-Simulation zeigt Erwartungswert und Value at Risk für jedes Jahr der Mittelfristplanung.
Schwellenwerte für Warnung und Limit sind hinterlegt. Dashboards zeigen die Auslastung und jede Überschreitung.
Was Sie in CRISAM® erfassen, nutzen andere Teams mit.
Mehr dazu: Reporting und AnalysenIntegrated Risk ManagementIDW PS 340 n.F.
| Kennzahl | 2026 | 2027 | 2028 |
|---|---|---|---|
| EBIT Plan | 36,0 | 37,0 | 38,0 |
| Erwartungswert risikoadjustiert | 28,9 | 29,9 | 30,9 |
| Value at Risk 95 | 21,8 | 23,0 | 24,0 |
| Value at Risk 5 | 34,8 | 35,8 | 36,8 |
| Kennzahl | Wert |
|---|---|
| Gesamtrisiko brutto | 12,4 Mio. € |
| Gesamtrisiko netto | 7,1 Mio. € |
Der Auditor fragt, welches Risiko durch welche Kontrolle behandelt wird, wer verantwortlich ist und wo der Nachweis liegt. Gleichzeitig ist das Team klein, die Fachbereiche liefern nur zögerlich zu, und die Zahl der Regelwerke wächst.
So unterstützt CRISAM® SieÜber die Mappings in den Content Libraries gilt dasselbe Control für ISO 27001, BSI IT-Grundschutz, VDA TISAX und weitere Regelwerke.
Zu jedem Control steht ein Antwortleitfaden. Workflows fordern die Bewertungen an, die Freigabe erfolgt mehrstufig.
Bedrohungen und Cyberrisiken in der Lieferkette werden in Echtzeit erkannt. Das Modul ist Teil der CRISAM® GRC Plattform.
Was Sie in CRISAM® erfassen, nutzen andere Teams mit.
| Kontrollziel | Ist | Soll | Abweichung |
|---|---|---|---|
| A.8.8 Handhabung technischer Schwachstellen | 2 | 4 | −2 |
| A.5.19 Informationssicherheit in Lieferantenbeziehungen | 2 | 4 | −2 |
| A.8.16 Überwachungstätigkeiten | 3 | 4 | −1 |
| A.6.3 Sensibilisierung und Schulung | 3 | 4 | −1 |
Sie messen eine GRC Plattform daran, ob sie Punktlösungen ablöst, in Ihre Zielarchitektur passt und dauerhaft sicher und wirtschaftlich läuft. Wichtig ist außerdem, welche Daten wohin fließen und wie sich Altdaten übernehmen lassen.
So unterstützt CRISAM® SieNeue Module nutzen die bereits gepflegten Stammdaten, Kontrollen und Maßnahmen.
Daten fließen über die REST API, den Power Automate Connector oder per Excel- und CSV-Import.
Zentrale Anmeldung über IAM und SSO, rollenbasierte Zugriffsrechte, Funktionstrennung im Workflow und ein Audit Trail für kritische Felder.
Was Sie in CRISAM® erfassen, nutzen andere Teams mit.
Mehr dazu: CRISAM® GRC PlattformInformation Security ManagementAI Management System
| System | Anbindung | Inhalt |
|---|---|---|
| Controlling und FP&A | REST API | Plan- und Istwerte |
| ERP und Einkauf | REST API | Lieferantenstammdaten |
| ITSM und Ticketing | Power Automate | Vorfälle |
| Microsoft 365 | Power Automate | Benachrichtigungen in Teams |
| Bestand aus Tabellen | Excel- und CSV-Import | Risikoinventar |
| Bereich | Einstellung |
|---|---|
| Anmeldung | IAM und SSO |
| Zugriff | rollenbasiert |
| Kritische Felder | Audit Trail aktiv |
Für jede Anforderung sollen Sie zeigen können, dass sie gilt, wer sie verantwortet, wie sie kontrolliert wird und welcher Nachweis dahintersteht. Die Zahl der Vorgaben wächst, das Team bleibt gleich groß, und die Fachbereiche sehen jede zusätzliche Dokumentationspflicht kritisch.
So unterstützt CRISAM® SieIDW PS 980 n.F., ISO 37301, ISO 37001, COSO II, UK Bribery Act, OECD-Prinzipien, die US Federal Sentencing Guidelines und U.S. DOJ.
Sie erfassen Risiken wie Bestechung, Sanktionen und Interessenkonflikte und reduzieren sie mit den passenden Verfahren.
Interessenkonflikte werden erkannt und bewertet. Prüfungen und Genehmigungen laufen im Workflow.
Was Sie in CRISAM® erfassen, nutzen andere Teams mit.
Mehr dazu: Compliance ManagementRechtskatasterConflicts of Interest
Der Weg vom Risiko über Kontrolle und Prüfung bis zur wirksamen Maßnahme soll belegbar sein, mit einem Status, den Sie dem Prüfungsausschuss jederzeit erklären können, auch wenn Risikokataloge und Methoden je Land oder Bereich unterschiedlich gewachsen sind.
So unterstützt CRISAM® SieAuditprioritäten leiten sich aus Risiko-, Kontroll- und Compliance-Modellen ab. Prüffelder mit hohem Risikowert erscheinen an erster Stelle.
Der Aufbau folgt IDW PS 982. Workflows steuern Zuweisung, Termin und Nachverfolgung, einmalig oder wiederkehrend.
Jede Maßnahme erhält Verantwortung, Frist und Status. Ob sie gewirkt hat, wird erneut geprüft und dokumentiert.
Was Sie in CRISAM® erfassen, nutzen andere Teams mit.
Mehr dazu: Internes KontrollsystemAudit ManagementGlobal Internal Audit Standards
| Feststellung | Frist | Status |
|---|---|---|
| Rezertifizierung der Zugriffsrechte fehlt | 30.11. | in Arbeit |
| Vier-Augen-Prinzip im Zahlungslauf | 15.10. | überfällig |
| Notfallplan Werk Nord nicht getestet | 31.12. | offen |
| Lieferantenbewertung unvollständig | 20.11. | in Arbeit |
| Kontrolle Kreditlimit ohne Nachweis | 01.10. | überfällig |
Die Zahl der Systeme, Dienstleister und Projekte wächst, die Fachbereiche räumen der Dokumentation wenig Priorität ein, und jede Gesellschaft hat einen anderen Stand. Trotzdem sollen Sie zeigen, was entschieden wurde, wer verantwortlich ist und welche Nachweise noch fehlen.
So unterstützt CRISAM® SieEs entsteht aus dem laufenden Datenbestand, je Gesellschaft oder für den Konzern.
CRISAM® führt durch die Prüfung, ob eine Folgenabschätzung nach Art. 35 DSGVO erforderlich ist. Das Ergebnis ist nachvollziehbar begründet.
Die Beurteilung der Sicherheit der Verarbeitung übernehmen Sie direkt aus dem Informationssicherheits-Managementsystem.
Was Sie in CRISAM® erfassen, nutzen andere Teams mit.
Mehr dazu: DatenschutzmanagementInformation Security ManagementDSGVO
| Verarbeitungstätigkeit | Folgenabschätzung | Status |
|---|---|---|
| Bewerbermanagement | erforderlich | in Bewertung |
| Videoüberwachung Lager | erforderlich | offen |
| Newsletter-Versand | nicht erforderlich | abgeschlossen |
| Zeiterfassung | nicht erforderlich | abgeschlossen |
Die ESG-Verantwortung ist im Unternehmen verteilt, Datenquellen und Bewertungsmethoden unterscheiden sich je Bereich und Standort. Trotzdem braucht es eine Wesentlichkeitsanalyse, deren Schwellwert einer Prüfung standhält.
So unterstützt CRISAM® SieSie stellen die IROs einander gegenüber und legen fest, ab wann ein Thema wesentlich ist. Die Begründung bleibt im System nachvollziehbar.
Aus den wesentlichen IROs leitet CRISAM® die zu berichtenden ESRS-Datenpunkte ab.
Das ESG-Modul baut auf Ihrem bestehenden Enterprise Risk Management auf, statt parallel dazu zu laufen.
Was Sie in CRISAM® erfassen, nutzen andere Teams mit.
Mehr dazu: ESGCSRDLkSG und CSDDD
| IRO | Art | Auswirkung | Finanziell | Wesentlich |
|---|---|---|---|---|
| Treibhausgasemissionen Produktion | Auswirkung | ja | ||
| Verfügbarkeit von Rohstoffen | Risiko | ja | ||
| Arbeitssicherheit in der Fertigung | Auswirkung | ja | ||
| Energieeffizienz der Gebäude | Chance | nein | ||
| Wasserverbrauch Standort Süd | Auswirkung | nein |
AI gelangt über Anwendungen, Cloud-Services und neue Releases ins Unternehmen, oft ohne eigenes Projekt. Spätestens bei der Prüfung wird gefragt, welche Systeme im Einsatz sind, wie sie eingestuft sind und wer sie verantwortet.
So unterstützt CRISAM® SieJedes System wird mit Verantwortlichem, Genehmiger, Einsatzzweck und Historie geführt, nicht nur als Zeile in einer Liste.
Die Prüfung reicht vom Anwendungsbereich über verbotene AI-Praktiken und Hochrisiko-Systeme bis zum systemischen Risiko.
Aus Rolle und Einstufung entsteht der Fragenkatalog, der zu bewerten ist. Sie stellen die Fragen nicht selbst zusammen.
Was Sie in CRISAM® erfassen, nutzen andere Teams mit.
Mehr dazu: AI Management SystemDatenschutzmanagementEU AI Act
| System oder Produkt | Einstufung | Rolle | Status |
|---|---|---|---|
| Chatbot im Kundenservice | Bestimmte AI-Systeme | Betreiber | genehmigt |
| Bewerberauswahl | Hochrisiko | Betreiber | bewertet |
| Betrugserkennung Zahlungen | Hochrisiko | Anbieter | nicht aktualisiert |
| Übersetzungsdienst | Allgemeiner Verwendungszweck | Betreiber | bewertet |
| Bildgenerator Marketing | noch nicht eingestuft | Betreiber | neu |
Mehr als 650 Unternehmen nutzen CRISAM®, vom DAX-Konzern bis zum Mittelstand.
Neue Module nutzen die bereits gepflegten Stammdaten, Kontrollen und Maßnahmen.
CRISAM® bindet sie über REST API, Power Automate Connector oder Import an.
Sie müssen sie weder selbst entwickeln noch im Audit eigens begründen.
Sie lässt sich bis zum Verantwortlichen, zur Kontrolle oder zum Nachweis zurückverfolgen, auch Monate später.
Je mehr Teams auf der Plattform arbeiten, desto häufiger wird eine Eingabe mehrfach genutzt. Zur CRISAM® GRC Plattform
CRISAM® ist eine GRC Plattform für alle Teams, die mit Risiken, Kontrollen und Nachweisen arbeiten: Risikomanagement, CFO und CRO, Informationssicherheit, IT-Leitung, Compliance, Interne Revision und IKS, Datenschutz, ESG und AI Governance. Alle arbeiten auf einer gemeinsamen Datenbasis, jedes Team sieht seinen Ausschnitt.
Was ein Team in CRISAM® erfasst, steht allen anderen zur Verfügung. Eine Kontrolle wirkt im IKS, in der Informationssicherheit und im Compliance-Nachweis, eine Prüfungsfeststellung steht im Risikobericht, technische und organisatorische Maßnahmen aus dem ISMS gelten auch für den Datenschutz. Niemand erhebt dieselbe Information ein zweites Mal.
Ja. Risiken, Kontrollen, Maßnahmen und Nachweise liegen in einem Modell. Ein Nachweis zählt für mehrere Zwecke, etwa für IKS, Risikomanagement, Compliance und Audit zugleich.
Ja. Viele Unternehmen starten mit dem Integrated Risk Management und erweitern später um Bereiche wie Informationssicherheit, IKS, Audit, Compliance, BCM oder ESG. Neue Module nutzen die bereits gepflegten Stammdaten, Kontrollen und Maßnahmen.
CRISAM® bietet eine REST API für den automatisierten Datenaustausch, einen Power Automate Connector für Microsoft 365 und Drittsysteme sowie standardisierte Importe per Excel und CSV. Typische Anbindungen sind Controlling, ERP und Einkauf, ITSM und Ticketing sowie IAM und Single Sign-on.
Nein. CRISAM® ist Standardsoftware ohne zusätzlichen Programmieraufwand. Modelle, Berichte und Workflows konfigurieren Sie als Anwender selbst. Ihre bestehenden Systeme bleiben, CRISAM® bindet sie über Schnittstellen an.
Sagen Sie uns, mit welchem Team Sie beginnen möchten. Ein GRC-Fachexperte zeigt Ihnen die passende Sicht anhand Ihres Anwendungsfalls.
Bleiben wir in Kontakt
Telefon
Newsletter
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen
