IT-Governance & IT-Compliance

IT-Risiken erkennen. Systeme sicher gestalten. Compliance nachweisbar machen.

Digitale Geschäftsprozesse und leistungsfähige IT-Systeme sind entscheidend für den Unternehmenserfolg. Gleichzeitig steigen die Anforderungen an IT-Sicherheit, interne Kontrollen und regulatorische Compliance.

Die PKF Wulf Gruppe unterstützt mittelständische Unternehmen bei der Einführung und Prüfung geschäftskritischer IT-Systeme, der Weiterentwicklung ihrer IT-Governance und der Umsetzung von Compliance-Anforderungen.

Unsere Technology GRC-Experten verbinden IT-Kompetenz mit Erfahrung in Wirtschaftsprüfung und Unternehmensprozessen. So helfen wir Ihnen, Risiken frühzeitig zu erkennen, Kontrollen wirksam zu gestalten und digitale Transformationsprojekte sicher zu begleiten.

IT-Governance-Beratung anfragen

Sprechen Sie mich an

Oliver Völkl

Partner, Head of Technology Governance, Risk and Compliance

Stuttgart

Zum Personenprofil Nachricht schreiben Anrufen

Technologie verantwortungsvoll nutzen

IT-Governance und Risikomanagement für den Mittelstand

Ob neues ERP-System, zunehmende regulatorische Anforderungen oder gewachsene IT-Strukturen: Unternehmen müssen sicherstellen, dass ihre IT nicht nur funktioniert, sondern auch angemessen kontrolliert und gesteuert wird.

Dabei stehen unterschiedliche Fragen im Mittelpunkt:

Geschäftsführung: Welche IT-Risiken bestehen und wie erfüllen wir unsere Governance- und Compliance-Verantwortung?
IT-Leitung: Wie gestalten wir sichere IT-Prozesse, kontrollieren Berechtigungen und reduzieren Risiken bei Systemumstellungen?
CFO und Finanzverantwortliche: Wie stellen wir verlässliche Finanzdaten, wirksame IT-Kontrollen und prüfungssichere Prozesse sicher?

Technology Governance, Risk & Compliance (Technology GRC) verbindet diese Perspektiven. Dazu gehören klare Verantwortlichkeiten, dokumentierte IT-Kontrollen, ein strukturierter Umgang mit Risiken und die Einhaltung relevanter gesetzlicher sowie regulatorischer Anforderungen.

Wir unterstützen Sie dabei, geeignete Maßnahmen zu entwickeln und in bestehende Unternehmensprozesse zu integrieren.

Unternehmen zukunftssicher aufstellen

IT-Governance ist auch Geschäftsführungs-verantwortung

Mit zunehmender Digitalisierung wachsen die Anforderungen an die Unternehmensleitung. Fehlende IT-Richtlinien, unklare Zuständigkeiten und unzureichende Kontrollen können erhebliche Geschäfts- und Haftungsrisiken verursachen.

Eine wirksame IT-Governance schafft Transparenz, regelt Verantwortlichkeiten und macht IT-Risiken beherrschbar. Wir unterstützen Sie dabei, bestehende Strukturen zu bewerten und angemessene Kontrollprozesse aufzubauen.

Unsere Leistungen

Technology GRC im Überblick

Unsere Beratung/Begleitung konzentriert sich auf drei eng miteinander verbundene Bereiche: die Absicherung digitaler Transformationsprojekte, die Weiterentwicklung von IT-Governance und Kontrollen sowie die Umsetzung regulatorischer Anforderungen.

ERP-Assessment und digitale Transformation

ERP-Einführung und Systemmigration mit kontrollierbaren Risiken.

Die Einführung oder Umstellung eines ERP-Systems greift tief in Geschäftsprozesse, Finanzbuchhaltung und interne Kontrollstrukturen ein. Fehler bei der Datenmigration, unzureichende Tests oder ungeeignete Berechtigungskonzepte können den Geschäftsbetrieb und die Verlässlichkeit von Finanzinformationen beeinträchtigen.

Mit unseren ERP-Assessments begleiten wir Unternehmen vor und nach dem Go-live und beurteilen ausgewählte Risiken der Systemeinführung.

Unsere Leistungen umfassen:

Projekt- und Konzeptprüfung: Sichtung wesentlicher Projektentscheidungen, Fachkonzepte und organisatorischer Rahmenbedingungen.
Testmanagement: Überprüfung von Testspezifikationen, Testfalldokumentationen und Freigabeprozessen.
Datenmigration und Schnittstellen: Beurteilung von Migrationskonzepten, Migrationstests und ausgewählten Schnittstellen.
Berechtigungskonzepte: Prüfung von Rollen, Zugriffsrechten und Überwachungsmechanismen.
Go-live- und Post-go-live-Assessment: Identifikation ausgewählter Risiken vor beziehungsweise nach der Produktivsetzung.

Der Umfang wird auf das konkrete Projekt abgestimmt – vom fokussierten Go-live-Check bis zum umfassenderen ERP-Assessment.

Ihr Mehrwert: Sie erhalten eine strukturierte sowie unabhängige Einschätzung wesentlicher Projektrisiken inkl. konkreter Handlungsempfehlungen für Ihr Projektteam und Management.

IT-Governance und interne IT-Kontrollen (ITGC)

Klare Verantwortlichkeiten und nachvollziehbare IT-Prozesse.

Wirksame IT-Governance schafft Transparenz über Zuständigkeiten, Risiken und Kontrollen. Insbesondere bei geschäftskritischen Anwendungen sind dokumentierte Prozesse wichtig, um IT-Risiken zu begrenzen und Anforderungen aus internen oder externen Prüfungen zu erfüllen.

Wir unterstützen/begleiten Unternehmen bei der Entwicklung, Dokumentation und Weiterentwicklung ihrer IT-Richtlinien und IT-Kontrollen.

Dazu gehören insbesondere:

Benutzer- und Berechtigungsmanagement
Change Management und Softwareänderungen
Incident Management
Backup & Recovery
Überwachung von IT-Dienstleistern
Passwort- und IT-Sicherheitsrichtlinien
Regelungen für den Einsatz künstlicher Intelligenz
IT-Betriebsprozesse und Job Scheduling

Ein Schwerpunkt liegt auf den sogenannten IT General Controls (ITGC). Diese allgemeinen IT-Kontrollen bilden eine wichtige Grundlage für verlässliche IT-gestützte Geschäfts- und Finanzprozesse.

Auch nach einer IT-Prüfung begleiten wir die Weiterentwicklung bestehender Kontrollen. In strukturierten Follow-up-Assessments prüfen wir den dokumentierten Stand vereinbarter Maßnahmen und identifizieren verbleibenden Handlungsbedarf.

Ihr Mehrwert: Nachvollziehbare IT-Prozesse, klar geregelte Verantwortlichkeiten und eine bessere Grundlage für interne sowie externe Prüfungen.

Berechtigungskonzepte und Zugriffskontrollen

Wer darf was? Kritische Zugriffsrechte erkennen und kontrollieren.

Berechtigungen wachsen in vielen Unternehmen über Jahre hinweg. Neue Mitarbeitende, wechselnde Verantwortlichkeiten und zusätzliche IT-Anwendungen erhöhen das Risiko unzureichend kontrollierter Zugriffsrechte.

Ein strukturiertes Berechtigungskonzept legt fest, welche Personen auf welche Systeme, Daten und Funktionen zugreifen dürfen.

Wir unterstützen/begleiten bei der Erstellung und Überprüfung von Berechtigungskonzepten für ERP-Systeme und andere geschäftskritische Anwendungen.

Unsere Leistungen umfassen:

Entwicklung und Dokumentation von Rollen- und Berechtigungskonzepten
Analyse kritischer Zugriffsrechte und Funktionstrennungskonflikte (Segregation of Duties, SoD)
Regelungen für privilegierte Zugriffe und Notfallbenutzer
Dokumentation von Freigabe- und Entzugsprozessen
Entwicklung geeigneter Überwachungs- und Kontrollverfahren

Ihr Mehrwert: Transparente Zugriffsrechte, reduzierte Berechtigungsrisiken und nachvollziehbare Kontrollprozesse.

NIS-2-Beratung und Readiness-Assessment

IT-Sicherheitsanforderungen erkennen und strukturiert umsetzen.

Mit NIS-2 gelten in Deutschland für zahlreiche Unternehmen erweiterte Anforderungen an die Informationssicherheit und das Cyberrisikomanagement. Betroffene Unternehmen müssen geeignete Risikomanagementmaßnahmen umsetzen und organisatorische Verantwortlichkeiten festlegen.

Wir unterstützen Sie mit einem strukturierten NIS-2-Readiness-Assessment, um den Umsetzungsstand ausgewählter Anforderungen zu bewerten und relevante Handlungsfelder zu identifizieren.

Dabei betrachten wir unter anderem:

Vorliegende Einordnung der NIS-2-Betroffenheit
IT-Risikoanalysen und Risikoregister
Governance und organisatorische Verantwortlichkeiten
Incident Management und Meldeprozesse
Business Continuity und Krisenmanagement
Sicherheit von IT-Systemen und Anwendungen
IT-Lieferkette und Dienstleisterrisiken
Schulungs- und Awarenessmaßnahmen

Auf dieser Grundlage entwickeln wir priorisierte Empfehlungen für die weitere Umsetzung.

Ihr Mehrwert: Transparenz über den aktuellen Umsetzungsstand und eine nachvollziehbare Grundlage zur Priorisierung notwendiger Maßnahmen.

BSI C5 – Cloud-Compliance und Testierung

Sicherheitskontrollen für Cloud-Dienstleistungen nachvollziehbar nachweisen.

Für Anbieter von Cloud-Dienstleistungen gewinnen unabhängige Nachweise über die Sicherheit ihrer Systeme und Prozesse zunehmend an Bedeutung.

Der Cloud Computing Compliance Criteria Catalogue (C5) des Bundesamts für Sicherheit in der Informationstechnik (BSI) definiert Anforderungen an die Informationssicherheit von Cloud-Diensten.

Wir unterstützen Cloud-Anbieter bei der Vorbereitung und Durchführung von C5-Prüfungen.

Unser Leistungsportfolio umfasst:

C5-Gap-Analyse und Prüfungsvorbereitung

Abgleich bestehender Kontrollmaßnahmen mit den C5-Kriterien, Identifikation von Handlungsfeldern und Begleitung beim Aufbau einer prüfungsrelevanten Dokumentation.

C5-Typ-1-Prüfung: Beurteilung der Ausgestaltung und Angemessenheit relevanter Kontrollen zu einem bestimmten Stichtag.
C5-Typ-2-Prüfung: Zusätzliche Beurteilung der Wirksamkeit relevanter Kontrollen über einen definierten Prüfungszeitraum.

C5-Berichte können insbesondere für Cloud-Anbieter relevant sein, die sicherheitskritische Kunden bedienen oder besonderen Nachweisanforderungen unterliegen, etwa im Gesundheitswesen.

Ihr Mehrwert: Strukturierte Vorbereitung auf die C5-Prüfung und belastbare Nachweise für Kunden und weitere Adressaten.

IT-Dienstleisterrisikomanagement – Third Party Risk Management

Externe IT-Abhängigkeiten erkennen und gezielt steuern.

Cloud-Plattformen, Rechenzentren und spezialisierte IT-Dienstleister übernehmen häufig geschäftskritische Funktionen. Unternehmen bleiben jedoch dafür verantwortlich, die daraus entstehenden Risiken angemessen zu steuern.

Mit unserem IT Third Party Risk Management (IT-TPRM) unterstützen/begleiten wir beim Aufbau transparenter Strukturen zur Überwachung externer IT-Dienstleister.

Dazu gehören:

Erstellung eines IT-Dienstleister- und Anwendungsregisters
Identifikation kritischer Dienstleister und Abhängigkeiten
Bewertung von Risiken, beispielsweise durch Vendor Lock-in
Festlegung von Verantwortlichkeiten anhand einer RACI-Matrix
Entwicklung eines Risikoregisters
Aufbau regelmäßiger Überwachungs- und Review-Prozesse

Ihr Mehrwert: Mehr Transparenz über externe IT-Abhängigkeiten und ein strukturierter Umgang mit Dienstleisterrisiken.

Von der Analyse zur Umsetzung

Unser Beratungsansatz

IT-Governance und Compliance müssen zum Unternehmen passen. Deshalb arbeiten wir mit einem risikoorientierten Ansatz, der sowohl die bestehende Systemlandschaft als auch die organisatorischen Rahmenbedingungen berücksichtigt.

1. Ausgangssituation und Zielsetzung klären

Gemeinsam definieren wir die relevanten Systeme, Prozesse und Fragestellungen. So konzentriert sich das Assessment auf die tatsächlich entscheidenden Risiken.

2. Bestehende Strukturen analysieren

Wir betrachten ausgewählte Konzepte, Richtlinien, Kontrollen und Nachweise. Interviews mit den verantwortlichen Personen ergänzen die Dokumentenanalyse.

3. Handlungsbedarf bewerten

Feststellungen werden strukturiert aufbereitet und mit praxisorientierten Handlungsempfehlungen versehen.

4. Umsetzung begleiten

Auf Wunsch unterstützen wir bei der Entwicklung geeigneter Richtlinien, Konzepte und Kontrollprozesse oder überprüfen die Umsetzung vereinbarter Maßnahmen.

Sie erhalten nachvollziehbare Ergebnisse, die als Grundlage für Managemententscheidungen und die weitere Projektarbeit dienen.

Warum Technology GRC mit der PKF Wulf Gruppe?

Wir verbinden IT-Verständnis mit Wirtschaftsprüfung und unternehmerischer Praxis.

IT-Risiken sind selten ausschließlich technische Probleme. Sie wirken sich auf Geschäftsprozesse, Finanzinformationen, interne Kontrollen und regulatorische Anforderungen aus.

Genau an dieser Schnittstelle liegt unsere Stärke.

Erfahrung aus Wirtschaftsprüfung und IT-Audit

Wir kennen die Anforderungen an rechnungslegungsrelevante IT-Systeme, interne Kontrollen und prüfungsrelevante Dokumentationen.

Praxisorientierte Beratung für den Mittelstand

Wir konzentrieren uns auf konkrete Fragestellungen und entwickeln Empfehlungen, die zur Größe, Komplexität und Risikosituation Ihres Unternehmens passen.

Beratung mit Blick auf Geschäftsprozesse

Wir betrachten nicht nur technische Systeme, sondern auch deren Bedeutung für Abläufe, Verantwortlichkeiten und Unternehmenssteuerung.

Persönliche Ansprechpartner und interdisziplinäre Zusammenarbeit

Unsere Technology GRC-Spezialisten arbeiten bei Bedarf mit weiteren Experten aus Wirtschaftsprüfung, Rechnungswesen und Unternehmensberatung sowie Rechtsanwälten zusammen. Prüfungs- und Beratungsaufträge werden dabei unter Beachtung der berufsrechtlichen Unabhängigkeitsanforderungen voneinander abgegrenzt.

Lassen Sie uns Ihre IT-Herausforderungen gemeinsam lösen.

Oliver Völkl ist Partner der PKF Wulf Gruppe und leitet den Bereich Technology Governance, Risk & Compliance. Mit seiner langjährigen Erfahrung in der IT-Prüfung und Beratung kennt er die Herausforderungen an der Schnittstelle von IT, Geschäftsprozessen und regulatorischen Anforderungen. Gemeinsam mit seinem Team entwickelt er Lösungen, die zu Ihrem Unternehmen passen.

Oliver Völkl kontaktieren

Häufige Fragen zu IT-Governance, ERP und IT-Compliance

Was ist Technology Governance, Risk & Compliance (GRC)?

Technology GRC umfasst die Steuerung und Überwachung von IT-Systemen, das Management technologischer Risiken und die Einhaltung relevanter regulatorischer sowie interner Anforderungen. Dazu zählen beispielsweise IT-Governance, Berechtigungskonzepte, IT-Kontrollen, IT-Risikomanagement und Compliance-Nachweise.

Haftet die Geschäftsführung für mangelnde IT-Sicherheit?

Ja, unter bestimmten Voraussetzungen können Geschäftsführer persönlich haften, wenn sie ihre Organisations- und Überwachungspflichten im Bereich der IT-Sicherheit verletzen und dem Unternehmen dadurch ein Schaden entsteht. Die Verantwortung für ein angemessenes Risikomanagement liegt nicht allein bei der IT-Abteilung. Klare Zuständigkeiten, dokumentierte IT-Richtlinien und wirksame Kontrollprozesse helfen, Risiken zu begrenzen und die Wahrnehmung der Geschäftsführungsaufgaben nachzuweisen.

Welche Verantwortung trägt die Geschäftsführung nach NIS-2?

Geschäftsleitungen (Management) besonders wichtiger und wichtiger Einrichtungen müssen nach § 38 BSIG die vorgeschriebenen Cybersicherheits-Risikomanagementmaßnahmen umsetzen, deren Umsetzung überwachen und regelmäßig an entsprechenden Schulungen teilnehmen. Bei schuldhaften Pflichtverletzungen können Haftungsfolgen entstehen. Ein NIS-2-Readiness-Assessment hilft, bestehende Maßnahmen und offene Handlungsfelder systematisch zu bewerten.

Braucht ein mittelständisches Unternehmen verbindliche IT-Richtlinien?

Gesetzliche Anforderungen und notwendiger Umfang hängen vom jeweiligen Unternehmen ab. Gerade in gewachsenen IT-Strukturen sind dokumentierte Richtlinien jedoch wichtig, um Verantwortlichkeiten, Berechtigungen und Kontrollprozesse nachvollziehbar zu regeln. Dazu gehören beispielsweise Change Management, Backup & Recovery, Incident Management und die Überwachung von IT-Dienstleistern. Fehlende Regelungen können Sicherheits-, Compliance- und Prüfungsrisiken erhöhen.

Wie können Unternehmen IT-Risiken und Kontrolllücken erkennen?

Ein strukturiertes IT-Risiko-Assessment betrachtet geschäftskritische Systeme, Prozesse, Berechtigungen und bestehende Kontrollen. Dabei werden unter anderem mögliche Ausfälle, unberechtigte Zugriffe, unzureichende Dokumentationen und externe IT-Abhängigkeiten berücksichtigt. Die Ergebnisse bilden die Grundlage für eine risikoorientierte Priorisierung geeigneter Maßnahmen.

Welche Risiken bestehen beim Wechsel eines ERP-Systems?

ERP-Umstellungen können wesentliche Risiken für Geschäftsprozesse und Finanzinformationen verursachen. Dazu gehören fehlerhafte Datenmigrationen, unvollständige Schnittstellen, unzureichende Testverfahren und kritische Berechtigungen. Ein ERP-Assessment vor oder nach dem Go-live hilft, solche Risiken zu identifizieren und gezielte Verbesserungen abzuleiten.

Warum sind IT-Kontrollen für CFOs und die Jahresabschlussprüfung relevant?

Viele Finanzprozesse beruhen auf ERP-Systemen und automatisierten Anwendungen. Allgemeine IT-Kontrollen (ITGC - IT General Controls) unterstützen die Verlässlichkeit dieser Systeme, beispielsweise durch geregelte Zugriffsberechtigungen und kontrollierte Softwareänderungen. Fehlende oder unwirksame Kontrollen können zusätzlichen Prüfungsaufwand verursachen und die Verlässlichkeit rechnungslegungsrelevanter Informationen beeinträchtigen.

Wie können Unternehmen Risiken durch externe IT-Dienstleister reduzieren?

Unternehmen sollten wissen, welche IT-Dienstleister geschäftskritische Leistungen erbringen und welche Abhängigkeiten daraus entstehen. Ein strukturiertes IT-Dienstleisterrisikomanagement umfasst unter anderem ein Dienstleisterregister, Risikoanalysen, klare Verantwortlichkeiten und regelmäßige Überwachungsmaßnahmen. So lassen sich Risiken durch Ausfälle, Sicherheitsmängel oder Vendor Lock-in besser steuern.

News

16.10.2026 Technology GRC

Geschäftsführerhaftung bei IT-Sicherheit: Was der Mittelstand wissen muss

IT-Sicherheit ist längst nicht mehr nur Aufgabe der IT-Abteilung. Fehlende Sicherheitsrichtlinien, unklare Zuständigkeiten und unzureichende…

Mehr erfahren
12.10.2026 Technology GRC

Überwachung von IT-Dienstleistern

Viele Unternehmen beziehen zentrale IT-Leistungen heute nicht mehr vollständig intern, sondern über externe Dienstleister. Dies kann u.a. den Betrieb…

Mehr erfahren
07.09.2026 Technology GRC

Abhängigkeit von IT-Dienstleister erfordert spezifisches Risikomanagement

Viele Unternehmen beziehen zentrale IT-Leistungen heute nicht mehr vollständig intern, sondern über externe Dienstleister. Dies kann u.a. den Betrieb…

Mehr erfahren
14.04.2026 Technology GRC

NIS-2 schon in Kraft – viele Unternehmen schätzen ihre Betroffenheit falsch ein

Im Dezember 2025 wurde die NIS-2-Richtlinie der EU über das neue BSI-Gesetz (BSIG) in nationales Recht umgesetzt. Dieses Gesetz betrifft ca. 30.000…

Mehr erfahren
16.09.2024 Technology GRC

Vermeidung von Haftungsfällen mittels IT-CMS

Mit der Implementierung von IT-Kontrollen können Geschäftsführer und Unternehmen der Gefahr vorbeugen, für Versäumnisse im IT-Bereich haftbar gemacht…

Mehr erfahren