Analyst für Governance, Risiko und Compliance

Arbeitszeit: Die Zusammenarbeit erfolgt asynchron; die Arbeitszeit wird eigenverantwortlich eingeteilt.
Erfahrung: Mindestens 3 Jahre Erfahrung in GRC, interner Revision oder Security Compliance bei SaaS- oder Technologiefirmen sind gefragt, dazu Erfahrung in asynchronen oder global verteilten Teams.
Vergütung: Gehalt nicht angegeben

Die Rolle in Kürze

Die Rolle verankert Risikomanagement, Audits und Compliance kontinuierlich im Betrieb. Sie arbeitet mit Engineering, Security, IT und Recht zusammen, unterstützt Entscheidungen zur Risikotoleranz, hält Compliance-Programme aktuell und entwickelt die laufende Kontrollvalidierung weiter.

Deine Aufgaben

Die Rolle bewertet unternehmensweite Risiken und wesentliche Produktänderungen nach Eintrittswahrscheinlichkeit und Auswirkungen, schlägt Maßnahmen vor und legt der Führung Ergebnisse für Entscheidungen zur Risikotoleranz vor.
Sie pflegt das Risikoregister, verfolgt Abhilfemaßnahmen bis zum Abschluss und berichtet der Compliance- und Security-Leitung über den Status.
Sie prüft Kontrollen laufend mit vorhandenen automatisierten Tests oder andernfalls manuell, bewertet Fehler, priorisiert sie anhand des Risikoregisters und ordnet jedem Befund Verantwortliche und Fristen zu.
Sie unterstützt intern oder durch externe Partner durchgeführte interne Audits, schlägt deren Umfang anhand des Risikoregisters vor, liefert Nachweise und verfolgt Befunde bis zum Abschluss.
Sie hält Compliance-Programme einschließlich SOC 2 und ISO/IEC 27001:2022 aktuell, sammelt Nachweise, fasst bei Kontrollverantwortlichen nach und sichert die Vorbereitung auf jede Auditperiode.
Sie erweitert die kontinuierliche Kontrollvalidierung über die Compliance-Plattform hinaus, erstellt eigene Tests mit KI-Programmierwerkzeugen und prüft, ob diese die jeweiligen Kontrollanforderungen tatsächlich nachweisen.
Sie arbeitet mit Engineering und IT daran, Nachweise direkt aus Quellsystemen statt über Screenshots zu gewinnen.
Sie beantwortet Sicherheitsprüfungen von Kunden und Anbietern schnell und präzise.

Das solltest du mitbringen

Erforderlich

Erwartet werden mindestens 3 Jahre Erfahrung in GRC, interner Revision oder Security Compliance bei einem SaaS- oder Technologieunternehmen.
Erwartet wird Sicherheit im Umgang mit SOC-2- und ISO-27001-Kontrollen, einer Compliance-Plattform wie Drata oder Vanta sowie Nachweisen aus Systemen wie AWS, GCP, Google Workspace und Okta.
Erwartet wird eine klare Kommunikation mit technischen und nichttechnischen Zielgruppen.
Erwartet wird Erfahrung in asynchronen oder weltweit verteilten Teams.
Erwartet werden Freude am Lösen praktischer Probleme für Entwickler sowie ein sicherer Umgang mit Unklarheit und einem hohen Arbeitstempo.

Von Vorteil

Ideal sind Freude an einem asynchronen, schnelllebigen Arbeitsumfeld und Begeisterung für die Entwicklung von Werkzeugen für Entwickler, die auf Millionen skalieren.

So ist Remote hier geregelt

Die Tätigkeit ist vollständig remote und weltweit möglich; eigene Unternehmensbüros gibt es nicht.
Einmal jährlich kommt das gesamte Unternehmen für eine Woche in einer jeweils neuen Stadt zusammen.

Das wird angeboten

Vollständige Remote-Arbeit wird durch eine weltweit nutzbare Coworking-Mitgliedschaft oder einen Coworking-Zuschuss ergänzt.
Alle Teammitglieder erhalten eine Unternehmensbeteiligung im Rahmen eines ESOP.
Ein Technikbudget steht für die Arbeitsausstattung zur Verfügung, etwa für Laptop, Monitor oder Kopfhörer.
Die Krankenversicherung wird weltweit zu 100 % für Beschäftigte und zu 80 % für deren Angehörige übernommen.
Einmal jährlich findet ein einwöchiges Treffen des gesamten Unternehmens in einer jeweils neuen Stadt statt.
Asynchrone Zusammenarbeit ermöglicht eine eigenverantwortliche Zeiteinteilung.
Alle Teammitglieder erhalten jährlich ein Weiterbildungsbudget, beispielsweise für Kurse, Bücher oder Konferenzen.

Veröffentlicht: 21.10.2026 · Quelle geprüft: 21.10.2026.

Die Angaben sind für RemoteFruit einheitlich aufbereitet. Maßgeblich bleibt die Originalanzeige. RemoteFruit steht in keiner Partnerschaft mit dem ausschreibenden Unternehmen.