Irina Kotorova über Frauen in SaaS und die Zukunft der GRC-Branche

1. Die Bedeutung von GRC für moderne Unternehmen
2. Über die Herausforderungen von „Women in Saas“ und Diversität bei Zazoon
3. Wie Irina Kotorova Zazoons Entwicklung mitbestimmt
4. Tech-Trends und GRC-Regularien im Einklang

Irina Kotorova ist Chief Operating Officer (COO) bei Zazoon. Bevor sie in die SaaS- und GRC-Branche wechselte, sammelte sie unter anderem Erfahrung in kritischen Infrastrukturen wie der Wasserkrafttechnik. Im Interview spricht die COO über ihren Weg in die Tech-Branche, die Bedeutung von Governance, Risk and Compliance für moderne Unternehmen und darüber, wie Zazoon künstliche Intelligenz einsetzt, um Betriebe agil und regelkonform zu halten.

Die Bedeutung von GRC für moderne Unternehmen

Wie bist du in der SaaS-Branche und speziell im GRC-Bereich gelandet? 

Irina Kotorova: Vor meinem Wechsel in den SaaS- und GRC-Sektor habe ich in kritischen Infrastrukturen gearbeitet, genauer gesagt im Bereich der Wasserkrafttechnik. Dort war ich im Projektmanagement tätig und habe die Integration von Sicherheits- und Compliance-Prozessen in großen technischen Systemen weltweit betreut.

Das hat mir gezeigt, wie wichtig es ist, nachhaltige, überprüfbare und zuverlässige Prozesse in einem Umfeld mit erhöhter Verantwortung und strengen regulatorischen Rahmenbedingungen zu etablieren. Ich bin zu Zazoon gekommen, um die operative Widerstandsfähigkeit des Unternehmens zu stärken und unsere GRC-Plattform zu skalieren. Heute bin ich für Prozesse, strategische Entwicklung, Kundenerfolg und internationale Marktexpansion verantwortlich.

Für alle, die sich unter „GRC“ erstmal wenig vorstellen können – wie erklärst du, was ihr bei Zazoon macht und warum es für Unternehmen relevant ist?

Irina Kotorova: GRC steht für Governance, Risk und Compliance. Das klingt formell, aber in der Praxis ist es das, was Unternehmen heutzutage nicht nur beim Überleben hilft, sondern auch beim nachhaltigen Wachstum. Mit unserem Team arbeiten wir daran, GRC zugänglich, verständlich und effektiv zu machen, vor allem für Organisationen, die häufig auf manuelle Kontrollen setzen oder noch mit Tabellenkalkulationen und SharePoint arbeiten.

Unsere Plattform ist eine GRC-SaaS-Lösung, die das Management interner Richtlinien und Verfahren, die Kontrolle der Compliance (z. B. mit ISO 27001 oder DORA), Risikobewertung und -analyse, die Automatisierung von Kontrollen – wer, wann und was getan werden muss und ob es getan wurde – und vieles mehr kombiniert. Das alles bieten wir in einem einzigen Tool an.

Warum das wichtig ist: Weil sich die heutigen Unternehmen kein Chaos im Management leisten können. Es gibt zu viele regulatorische Anforderungen, Risiken, Cyberbedrohungen und Erwartungen von Kund*innen und Investor*innen. Es ist unmöglich, das alles im Kopf zu haben oder in einer Tabellenkalkulation zu überblicken. Und Fehler – ob Datenlecks, nicht erkannte Risiken oder veraltete Sicherheitsrichtlinien – haben reale Konsequenzen wie Bußgelder, Reputationsschäden und finanzielle Verluste. Wir helfen unseren Kund*innen, ein transparentes, steuerbares und konformes Managementsystem zu schaffen, ohne sie mit unnötiger Bürokratie zu überfordern.

Über die Herausforderungen von „Women in Saas“ und Diversität bei Zazoon

Du bist als Frau in der SaaS- und Tech-Branche in einem Bereich unterwegs, der besonders männlich dominiert ist. Was hat dich damals in diese Branche gezogen und was hält dich bis heute dort?

Irina Kotorova: Der Technologiesektor und insbesondere die Softwareentwicklung sind ziemlich männlich dominiert. Aber das hat mich nie abgeschreckt. Ganz im Gegenteil: Ich sehe den Wert, den ich einbringen kann. Neben einem systematischen Ansatz und Ergebnisorientierung bringe ich Empathie und eine weibliche Perspektive ins Team – etwas, das in technologischen Umgebungen oft übersehen wird. Das hilft, die Entscheidungsfindung auszugleichen, gesündere Teamdynamiken zu schaffen und Partnerschaften aufzubauen, die neben Logik auch auf Empathie basieren.

Mich hat auch die Möglichkeit gereizt, komplexe, systemische Probleme zu lösen: wie man transparentes Management aufbaut, wie man Risiken reduziert und Anforderungen erfüllt, ohne das Geschäft durch Bürokratie zu ersticken. Ich liebe Ordnung, Struktur und echte Ergebnisse, und das steht in GRC und SaaS im Mittelpunkt.

Was mich zudem inspiriert, ist die Möglichkeit, etwas von Grund auf aufzubauen, zu sehen, wie Ideen zu einem Produkt werden, mit Menschen mit internationalem Hintergrund zusammenzuarbeiten und ständig weiterzulernen. Und sicher ist ein weiterer Faktor der innere Antrieb. „Anders“ zu sein und zu sehen, dass der eigene Ansatz funktioniert, und dabei gleichzeitig seinen Weg in einer Branche zu ebnen, in der man erst einmal nicht erwartet wird … und dann fangen die Leute an, einem zuzuhören.

Gab es Situationen, in denen du besonders gespürt hast, dass „Women in SaaS“ noch immer Besonderheit statt Standard ist? Was würdest du Frauen raten, die heute vor ähnlichen Herausforderungen stehen?

Irina Kotorova: Ja, es gab Momente, in denen ich ein wenig das Gefühl hatte, dass „Women in SaaS“ immer noch die Ausnahme ist. Ob man die einzige Frau in einem Tech-Meeting ist oder nur eine von wenigen bei einem Firmen-Event – es ist spürbar. Und obwohl diese Sichtbarkeit manchmal isolierend wirken kann, ist sie auch eine Chance, herauszustechen und das Umfeld durch Präsenz und den eigenen Beitrag zu prägen.

Die Unterrepräsentation hat viele Ursachen, einige strukturell, einige kulturell, aber das sollte niemanden davon abhalten, in dieses Feld einzusteigen. Persönlich habe ich größtenteils positive Erfahrungen gemacht. Ich bin viel öfter auf Respekt, Neugier und Unterstützung gestoßen als auf Vorurteile.

„Mein Rat an andere Frauen ist, sich nicht 'anzupassen', sondern ihren eigenen Raum zu schaffen. Hab keine Angst, strukturiert und empathisch, analytisch und sanft zu sein, wenn das deine Art ist.“

– Irina Kotorova, COO bei Zazoon

Du musst keinen „maskulinen“ Ton kopieren, um gehört zu werden. Und du brauchst nicht und – wenn ich das so sagen darf – solltest auch nicht mit Männern konkurrieren. Kompetenz, Selbstvertrauen und Positivität sind die drei Säulen. Wenn du unterschätzt wirst, versuche nicht, mit Worten zu überzeugen; tu es mit Taten. Umgib dich mit aufgeschlossenen, optimistischen und ehrlichen Menschen. Mit den richtigen Leuten um dich herum wächst du nicht nur, sondern trägst zu einer neuen Definition davon bei, wie „normal“ in deinem Bereich aussieht.

Bei Zazoon setzt ihr euch für Gleichberechtigung und Diversität ein. Was macht ihr konkret, damit diese Themen nicht nur auf dem Papier existieren?

Irina Kotorova: Unser Team besteht aus Menschen mit unterschiedlichen kulturellen Hintergründen und Erfahrungen. Sie sind Profis auf ihrem Gebiet und gleichzeitig unglaublich freundliche, respektvolle und offene Menschen.

Bei Zazoon fördern wir Vielfalt so: 

• Erstens gehen wir bei der Einstellung sorgfältig vor. Wir haben keinen „Kulturfilter“ im Sinne von „wir suchen Leute, die so sind wie wir.“ Im Gegenteil: Wir schauen, wer dem Team noch fehlt und wie eine Person die bestehende Dynamik ergänzen wird.
• Zweitens haben wir eine flache Entscheidungsstruktur. Jede*r hat eine Stimme, unabhängig von Position, Alter oder Erfahrung.
• Drittens verfolgen wir einen flexiblen Ansatz bei den Arbeitsbedingungen. Wir berücksichtigen elterliche Pflichten, mentale Gesundheit und persönliche Rhythmen. Dabei geht es meiner Meinung nach nicht um Nachsicht, sondern um Respekt vor dem Individuum.

Ich bin davon überzeugt, dass Gleichheit und Vielfalt nicht nur „nice to have“ sind, sondern ein strategischer Vorteil, insbesondere im globalen SaaS-Modell. Es macht uns intelligenter, flexibler und widerstandsfähiger.

Wie Irina Kotorova Zazoons Entwicklung mitbestimmt

Mit welchen – beruflichen wie strategischen – Themen beschäftigst du dich als COO gerade besonders intensiv?

Irina Kotorova: Ich beschäftige mich bei Zazoon zurzeit mit drei Schlüsselbereichen:

1. Prozessskalierbarkeit

Wir wachsen und müssen sicherstellen, dass Kunden-Onboarding, Support, Qualitätskontrolle und Compliance stabil bleiben. Ich konzentriere mich auf Automatisierung, ohne Flexibilität zu verlieren, insbesondere in Bereichen wie Leistungsüberwachung, Service-Level-Agreements und bei wiederkehrenden Abläufen.

2. Eintritt in neue Märkte

Wir erweitern unsere Präsenz über DACH hinaus. Unsere aktuellen Prioritäten sind Großbritannien, Skandinavien und der Nahe Osten. Deshalb müssen wir unsere Betriebsmodelle überprüfen, von Partnerschaftsvereinbarungen bis zur Prozesslokalisierung, und Compliance-Module an lokale Vorschriften anpassen.

3. Integration von GRC in die täglichen Abläufe unserer Kund*innen

Unser Ziel ist nicht nur, „das Produkt zu liefern“, sondern es wirklich für unsere Kund*innen nutzbar zu machen. Das bedeutet eine einfache Integration in bestehende Systeme, eine klare Verantwortungsstruktur und die kontinuierliche Verbesserung basierend auf Nutzerfeedback. Deshalb bin ich aktiv an der Produktentwicklung und an UX-Fragen beteiligt.

„All das erfordert ein Gleichgewicht zwischen Kontrolle und Vertrauen, Geschwindigkeit und Stabilität. Für mich geht es bei operativer Effizienz nicht um Kontrolle um der Kontrolle willen, sondern darum, sicherzustellen, dass das gesamte System als ein einziger Organismus funktioniert und das Wachstum nicht behindert.“

– Irina Kotorova, COO bei Zazoon

Das Unternehmen gibt es nun schon seit mehr als 20 Jahren. Wie hat sich Zazoon seit seiner Gründung entwickelt und wie schafft ihr es, am Zahn der Zeit zu bleiben?

Irina Kotorova: 20 Jahre sind selten für ein Technologieunternehmen im GRC-Sektor. Wir haben einen langen Weg von der Beratungsexpertise im Bereich IT-Reputation zu einem vollwertigen SaaS-Produkt zurückgelegt, das heute mit Kund*innen in ganz Europa zusammenarbeitet.

Was uns geholfen hat, zu überleben und zu wachsen:

1. Wir hatten keine Angst, unsere Ansätze zu überdenken. Wo früher Menschen arbeiteten, haben wir Automatisierung eingeführt. Wo früher Vorlagen fehlten, haben wir eine flexible Architektur mit standardisierten Modulen aufgebaut. Wir haben ständig Veränderungen in Vorschriften, Technologien und der Denkweise unserer Kund*innen selbst beobachtet – und uns schneller angepasst als die großen Akteure.
2. Wir sind unabhängig geblieben. Das hat es uns ermöglicht, uns auf die langfristige Produktqualität, statt auf kurzfristige Kennzahlen zu konzentrieren. Wir bauen keine Präsentationen für Investor*innen, sondern ein lebendiges, anwendbares Tool für reale Menschen.
3. Wir waren und sind unseren Kund*innen immer nah. Das ist keine Marketingphrase – wir tauchen persönlich in die Pain Points unserer User ein, analysieren Prozesse und sehen, was wirklich funktioniert und was nicht.

Als COO gestaltet Irina Kotorova die Entwicklung des Software-Unternehmens Zazoon maßgeblich mit. Bild: Zazoon

Welche Tech-Trends beschäftigen euch zurzeit besonders und wie bringt ihr Themen wie Cloud-Technologie, Automation und KI mit den strengen GRC-Regularien in Einklang?

Irina Kotorova: Angesichts der speziellen Natur von GRC muss jede dieser Technologien nicht nur „neu“, sondern auch beherrschbar, erklärbar und mit den regulatorischen Rahmenbedingungen vereinbar sein. Wir arbeiten in der Cloud, was Flexibilität und Skalierbarkeit bietet, aber unsere Architektur ist so konzipiert, dass sie die Anforderungen an Datenschutz, Zugriffsprüfung und Isolationskontrolle erfüllt.

Wir implementieren Automatisierung überall dort, wo Routineaufgaben reduziert werden können, z. B. die automatische Ausführung von Kontrollaufgaben, Erinnerungen und Berichterstattung. Das entlastet Nutzer*innen, wobei wir jedoch immer Raum für manuelle Eingriffe lassen.

Was KI betrifft, so sehen wir sie als Ergänzung menschlicher Expertise, nicht als Ersatz. Wir planen zum Beispiel die Implementierung eines interaktiven KI-Chatbots für die Analyse von Richtlinientexten, die Suche nach Compliance-Lücken oder die Zusammenfassung von Dokumenten. Außerdem wollen wir einen KI-gestützten Regulierungsüberwachungsmechanismus integrieren, der eine bessere Compliance-Bereitschaft ermöglicht: Das Tool wird automatisch regulatorische Websites scannen und die verantwortlichen Nutzer*innen über wichtige Änderungen für ihre Organisation informieren.

Wie gehst du die Entwicklung bzw. Verbesserung eurer Produkte bei Zazoon an?

Irina Kotorova: Für mich geht es bei der Produktentwicklung immer um Konsistenz, Anwendbarkeit und Nachhaltigkeit. Ich konzentriere mich darauf, wie Prozesse in einem bestimmten Unternehmen funktionieren: wo die echten Pain Points liegen, wo es an Transparenz mangelt, wo menschliche Risiken bestehen.

Wichtig ist auch das Gleichgewicht zwischen Flexibilität und Kontrolle: Im GRC-Bereich kann man keine Einheitslösung entwickeln. Wir bauen unser Produkt modular auf, damit jedes Unternehmen das System an seine regulatorischen Anforderungen und internen Rollen anpassen kann, während die Logik der Kontrolle, Genehmigungen und Nachvollziehbarkeit erhalten bleibt. Mir ist wichtig, dass jede Funktion skalierbar ist, resistent gegen Änderungen von Standards und in die Gesamtproduktstrategie passt.

Zazoon GRC auf OMR Reviews

Tech-Trends und GRC-Regularien im Einklang

Neue EU-Richtlinien, ESG-Reporting, strengere Datenschutzregeln … wie bleiben Unternehmen da überhaupt noch handlungsfähig?

Irina Kotorova: Das ist definitiv eine Herausforderung und da wird nur ein systematischer Ansatz funktionieren. Unternehmen, die versuchen, neue Anforderungen manuell zu „flicken“ – mit einer Tabellenkalkulation, einem neuen Prozess oder einer temporären Beratung – enden früher oder später im Chaos.

„Was wirklich funktioniert, ist ein einheitliches, lebendiges und zentralisiertes System mit Rollen, Kontrollpunkten, automatischen Erinnerungen und Verbindungen zwischen Abteilungen. Das sorgt für Transparenz und Vorhersehbarkeit.“

– Irina Kotorova, COO bei Zazoon

Ohne Automatisierung leidet zudem die Flexibilität. Die Welt verändert sich, und was vor einem Jahr relevant war, ist heute möglicherweise nicht mehr gültig. Unternehmen, die ein adaptives Managementmodell aufbauen, reagieren schneller auf Gesetzesänderungen, anstatt ihnen hinterherzulaufen.

Welche sich verändernden Anforderungen an GRC-Software siehst du in der Schweiz, Deutschland und Europa – und wie reagiert Zazoon darauf?

Irina Kotorova: Wir beobachten, dass sich die Compliance-Erwartungen in DACH und der EU von der allgemeinen Dokumentation und Überwachung hin zu einer operationalisierten Compliance entwickeln. Regulatorische Anforderungen werden nicht nur detaillierter, sondern auch implementierungsspezifischer.

Der deutlichste Trend ist eine Verschiebung hin zu regulatorischer Spezifität und Automatisierung. In Deutschland legen die BaFin und IDW PS 980 den Schwerpunkt auf systematisierte interne Kontrollen und Echtzeitüberwachung. Die EU treibt NIS2, DORA und CSRD voran, die jeweils strukturierte Risiko-, Kontinuitäts- und Nachhaltigkeitskontrollen fordern. In der Schweiz erweitert die FINMA die Anforderungen an IT-Risiken und operationelle Widerstandsfähigkeit, insbesondere für beaufsichtigte Institutionen.

„Eine weitere grundlegende Veränderung ist die regulatorische Reaktion auf neue Technologien, insbesondere auf KI. Der EU AI Act und der neue ISO/IEC 42001-Standard für KI-Managementsysteme prägen, wie Unternehmen den Einsatz von KI in ihren Abläufen bewerten, steuern und dokumentieren müssen. Für Organisationen ergibt sich daraus ein doppelter Imperativ: KI einzuführen, um wettbewerbsfähig zu bleiben, und gleichzeitig sicherzustellen, dass diese von Tag eins an sicher, erklärbar und gesetzeskonform ist.“

– Irina Kotorova, COO bei Zazoon

Bei Zazoon reagieren wir mit unterschiedlichen Maßnahmen auf diese Entwicklungen. Unter anderem integrieren wir künstliche Intelligenz in unsere Compliance-Module. So unterstützen wir unsere Kund*innen bei der sicheren Einführung von KI. Zusätzlich sind wir Regulierungsbehörden, die KI-basierte Aufsichtstools wie die der BaFin einsetzen, auf diese Weise einen Schritt voraus. Das bedeutet, dass unsere Kund*innen Compliance-Lücken frühzeitiger und automatisiert erkennen können.

Lesetipp: Die CSRD-Berichtspflicht stellt neue Anforderungen an die Nachhaltigkeitsberichterstattung von Unternehmen. Wir haben alle wichtigen Infos für dich:

Was die CSRD-Berichtspflicht im Detail bedeutet

Wer von der CSRD-Berichtspflicht betroffen ist

Wie du ein korrektes CSRD-Reporting erstellst

Noch ein letzter Blick in die Zukunft: Wohin geht’s mit der GRC-Branche und wie wird sich Zazoon in den nächsten Jahren entwickeln?

Irina Kotorova: Ich bin davon überzeugt, dass sich die GRC-Branche zunehmend an realen Geschäftsprozessen ausrichten wird. Wir bewegen uns weg vom Modell „Berichterstattung um der Berichterstattung willen“ hin zu einem integrierten, dynamischen Management, bei dem Risiken, Richtlinien, Kontrollen und Compliance in die täglichen Abläufe von Unternehmen integriert sind.

Was wir in den kommenden Jahren erwarten können:

• Strengere regulatorische Anforderungen, insbesondere in den Bereichen Cybersicherheit, ESG und Lieferketten
• Wachsende Nachfrage nach Automatisierung und prädiktiver Analytik
• Eine Verschiebung des Fokus von einem „Compliance-Tool“ hin zu einer Plattform für nachhaltiges Organisationsmanagement

Für Zazoon ist dies eine Chance. In den kommenden Jahren werden wir unsere internationale Präsenz stärken, unser Partnernetzwerk erweitern und in KI-Funktionen investieren – aber nur dort, wo sie GRC transparenter und handhabbarer machen.