Reicht ein zusätzlicher Mandant pro Gesellschaft?

Nicht unbedingt. Ihr müsst auch gemeinsame Leistungen, lokale Ausnahmen, Zugriffsgrenzen und den Weg in den Gruppenbericht prüfen.

Wie teste ich einen konsolidierten Bericht?

Verwendet zwei Gesellschaften mit absichtlich unterschiedlichem Umsetzungsstand. Prüft, ob der Bericht fehlende Daten, abweichende Geltungsbereiche und lokale Lücken sichtbar erhält.

Beste GRC-Software für Unternehmensgruppen 2026

Für eine Unternehmensgruppe ist die beste GRC-Software diejenige, die Gemeinsamkeiten nutzbar macht und Unterschiede sichtbar hält. Mehrere Mandanten allein lösen diese Aufgabe nicht. Entscheidend sind getrennte Zuständigkeiten, kontrollierte Wiederverwendung und aussagekräftige Gruppenberichte.

Kopexa ist unser eigenes Produkt. Dieser Artikel ist eine Auswahlhilfe auf Basis öffentlicher Herstellerinformationen vom 22. Oktober 2026, kein unabhängiger Labortest. Die genannten Lösungen bilden eine begrenzte Vorauswahl.

Beginnt mit eurem Steuerungsmodell

Legt zuerst fest, was zentral entschieden und was lokal verantwortet wird. Ein gemeinsamer Identitätsdienst, eine eigene Produktionsumgebung und eine neu erworbene Tochtergesellschaft stellen unterschiedliche Anforderungen.

Der Leitfaden GRC für Tochtergesellschaften hilft dabei, zentrale Vorgaben von lokaler Umsetzung zu trennen. Erst danach lässt sich beurteilen, ob ein Produkt eure Struktur abbildet.

Diese Kriterien entscheiden über die Eignung

Kriterium	Praktische Prüffrage
Zugriffsgrenzen	Sieht eine lokale Rolle ausschließlich die für sie vorgesehenen Daten?
Gemeinsame Grundlage	Wie wird eine zentrale Anforderung lokal übernommen und weitergepflegt?
Ausnahmen	Bleiben Begründung, Entscheidung und Prüftermin einer Abweichung sichtbar?
Konsolidierung	Erkennt die Gruppe unterschiedliche Umfänge und fehlende Rückmeldungen?
Veränderungen	Was passiert bei einer neuen Gesellschaft oder einem Verkauf?
Datenmitnahme	Lassen sich benötigte Informationen einer Einheit nachvollziehbar exportieren?

Behandelt die Zugriffstrennung als Muss-Kriterium. Sie sollte nicht durch einen hohen Gesamtscore in anderen Bereichen ausgeglichen werden können.

Drei Ansätze, die ihr prüfen könnt

Vanta beschreibt Workspaces für mehrere Geschäftseinheiten mit eigenen Inhalten und Integrationen sowie einer gruppenweiten Sicht. Die Dokumentation weist darauf hin, dass die Funktion ein Upgrade oder Zusatzpaket erfordern kann. Prüft im Angebot die tatsächliche Verfügbarkeit und den Umfang der Konsolidierung. Produktseite, Dokumentation

HiScout beschreibt eine gemeinsame Datenbasis seiner GRC-Module, Mandantenmanagement und anpassbare Abläufe. Lasst euch die konkreten Rechte und Übernahmewege an eurer Organisationsstruktur zeigen. HiScout GRC Suite

Kopexa bietet eigene Frameworks sowie die Verknüpfung von Maßnahmen, Nachweisen und Controls. Für eine Unternehmensgruppe ist im Test zu klären, wie eure Geltungsbereiche, Rollen und zentralen Anforderungen in der konkreten Konfiguration zusammenarbeiten. Eine bestimmte gruppenweite Aggregationsfunktion behaupten wir hier nicht ohne Prüfung.

Die unterschiedlichen Beschreibungen sind keine Aussage über fehlende Funktionen bei anderen Produkten.

Testet mit zwei absichtlich unterschiedlichen Gesellschaften

Fiktiver Prüffall: Gesellschaft A nutzt den zentralen Backupdienst. Gesellschaft B hat zusätzlich eine lokale Anwendung. Der zentrale Wiederherstellungstest deckt diese Anwendung nicht ab.

Ein geeigneter Test zeigt, ob beide Einheiten denselben zentralen Beleg verwenden können, ohne dass B dadurch fälschlich als vollständig abgesichert erscheint. Anschließend wird die zentrale Anforderung geändert. Prüft, wer davon erfährt und welche lokale Bewertung erhalten bleibt.

So testet ihr die Mehrfachnutzung eines Nachweises und ihre Grenzen zugleich.

Plant Einführung und späteren Wandel mit

Fragt nach Kosten und Aufwand für zusätzliche Gesellschaften, getrennte Administratoren, lokale Frameworks und Änderungen des Organisationsmodells. Lasst euch zeigen, welche Daten beim Aufteilen oder Zusammenführen erhalten bleiben.

Ein Exporttest gehört auch hier zur Auswahl. Dokumentiert außerdem die benötigte Methodik: Vergleichbare Berichte setzen vergleichbare Bewertungen voraus.

Entscheidet anhand eures Testprotokolls

Haltet Muss-Kriterien, beobachtetes Verhalten und offene Zusagen getrennt fest. Eine Roadmap-Funktion zählt nicht als heute verfügbare Lösung. Prüft die für euch ausschlaggebenden Punkte vor Vertragsabschluss erneut.

In einer begleiteten Kopexa-Testphase könnt ihr den beschriebenen Gruppenfall mit bereinigten Daten durchspielen. Für die spätere Steuerung sollte das Ergebnis bis zur Management-Entscheidung nachvollziehbar bleiben.