Fortsetzung des Interviews. Den ersten Teil lesen Sie hier auf ESV.info.

Im Three Lines of Defense Modell steht das Risikomanagement auf der gleichen Stufe wie die Compliance. Stehen RMS und CMS in Konkurrenz zueinander oder unterst�tzen Sie sich gegenseitig?

Oliver Bungartz: Das RMS und das Compliance Management System (CMS) sollten niemals in Konkurrenz zueinanderstehen und sich immer gegenseitig unterst�tzen. Je nach Rahmenwerk und zugrundeliegendem Modell des RMS ist das CMS ein Bestandteil des RMS. Nach dem Committee of Sponsoring Organizations of the Treadway Commission (COSO), auf dem u.a. auch der IDW PS 981 basiert, stellt Compliance eine Zielrichtung des RMS dar. Wird die potentielle Nichteinhaltung einer internen oder externen Regelung, d.h. ein Versto� gegen Gesetz und/oder interne Richt�linien, als Risiko f�r ein Unternehmen betrachtet, ist diese Sichtweise gut nachvollziehbar.

Wie grenzt sich das Risikomanagement von anderen Funktionsbereichen wie dem IKS ab?

Oliver Bungartz: Die Abgrenzung des RMS von anderen Funktionsbereichen bzw. Elementen der Corporate Governance ist entscheidend f�r die Effizienz und Effektivit�t der Unternehmens�berwachung. Dem Rahmenwerk von COSO folgend, k�nnten Thesen im Zusammenspiel der Elemente einer Corporate Governance formuliert werden:

• Das RMS beinhaltet ein Internes Kontrollsystem (IKS), womit das IKS ein Teil des RMS ist.
• Die Compliance ist sowohl eine Zielrichtung des RMS als auch des IKS.
• Die Interne Revision �berwacht das RMS und damit das IKS.
• Der Vorstand ist verantwortlich f�r die Einrichtung von RMS, IKS und Interner Revision.
• Der Aufsichtsrat beurteilt die Wirksamkeit von RMS, IKS, Interner Revision und Abschlusspr�fung.
• Der Abschlusspr�fer pr�ft u.a. das RMS sowie das IKS und ber�cksichtigt dabei die Interne Revision.
• Der Abschlusspr�fer und die Interne Revision berichten an den Vorstand, welcher wiederum an den Aufsichtsrat berichtet.

Zur Person

Als Leiter des Bereichs �Risk Advisory Services (RAS)� f�r RSM in Deutschland operiert Dr. Oliver Bungartz mit der Verantwortung f�r RAS in Kontinental-Europa innerhalb des globalen Netzwerks RSM International, dem derzeit sechstgr��ten Zusammenschluss von Gesellschaften in den Bereichen Wirtschaftspr�fung, Steuern und Beratung mit ca. 43.000 Mitarbeitern in �ber 120 L�ndern. Schwerpunkte seiner T�tigkeiten sind neben der Implementierung und Optimierung von Risikomanagementsystemen (RMS) vor allem Dienstleistungen im Bereich der Internen Revision, der Internen Kontrollsysteme (IKS), der Aufsichtsratst�tigkeit sowie der Compliance und Corporate Governance.

Risiken sind vielf�ltig, der Einkauf ist anderen Risiken ausgesetzt als die IT oder die Finanzen. Mit welchen allgemeinen Mitteln k�nnen Risiken effizient identifiziert werden?

Oliver Bungartz: F�r die wirksame und effiziente Identifizierung von Risiken in allen Unternehmensbereichen und Funktionen ist ein richtig konzipiertes und wirksames RMS das richtige Mittel. �ber eine systematische Risikobeurteilung wird sichergestellt, dass ein organisationsweites RMS etabliert wird, welches alle wesentlichen Unternehmensbereiche und alle signifikanten Unternehmensfunktionen einbezieht. Innerhalb der Unternehmensfunktionen wie z.B. Einkauf und IT m�ssen bei der Risikoidentifizierung die entsprechenden Experten involviert werden. Hierbei k�nnen externe Informationen und Sachverst�ndige hinzugezogen werden � letztlich liegt aber das entscheidende Risikoverst�ndnis f�r die einzelnen Bereiche im Unternehmen selbst.

Kann das RMS anhand von Kennzahlen effizient �berwacht werden?

Oliver Bungartz: Das RMS kann wie jedes andere System durch Kennzahlen effizient �berwacht werden. Zahlreiche Rahmenwerke und Standards wie z.B. COSO und der IDW PS 981 haben Prinzipien und Grundelemente f�r das RMS entwickelt, die im Rahmen eines Scoring-Modells herangezogen werden k�nnen, um einen Basiswert als Kennzahl der Wirksamkeit des RMS zu berechnen.

Kennzahlen im Bereich wirtschaftskriminelle Handlungen (�Fraud�) sowie den einzelnen Komponenten eines RMS wie

• Governance und Kultur,
• Strategie und Zielfestlegung,
• Ereignisidentifikation,
• Risikobeurteilung,
• Risikosteuerung,
• Kontrollaktivit�ten,
• Information, Kommunikation und Berichterstattung sowie
• �berwachung und Anpassung

k�nnen unterst�tzend verwendet werden. Unter Anwendung z.B. des Capability Maturity Model Integration (CMMI) kann dem RMS abschlie�end ein Reifegrad zugeordnet werden, woraus Handlungsempfehlungen abgeleitet werden k�nnen.

Wie zuverl�ssig k�nnen diese erhoben werden?

Oliver Bungartz: Die Zuverl�ssigkeit der Kennzahlen h�ngt wiederum von der Wirksamkeit und Ausgestaltung des RMS ab. Viele Informationen zur Berechnung der Kennzahlen werden durch das RMS selbst generiert. Auch wenn in der Beurteilung des RMS meist subjektive Aspekte einflie�en, ist die Wirksamkeit des RMS zuverl�ssig zu beurteilen. Dies ist letztlich die pers�nliche Aufgabe des Aufsichtsrats, welche einen entsprechenden Sachverstand erfordert und nicht delegierbar ist.

Risikomanagement f�r Aufsichtsr�te Die �berwachung der Wirksamkeit des Risikomanagementsystems (RMS) z�hlt zu den elementaren Pflichten des Aufsichtsrats. Gefordert vom Deutschen Corporate Governance Kodex, nimmt das Aktiengesetz die Mandatstr�ger auch rechtlich in die Verantwortung. In diesem anschaulichen Leitfaden von Oliver Bungartz erfahren Sie, wie sich Existenz, Aufbau und Funktionsf�higkeit von RMS effektiv und effizient beurteilen lassen. Im Fokus stehen u.a.: Gesetzliche Regelungen, organisatorische Grundlagen und Ausgestaltung des RMS im Kontext der Abschlusspr�fung Aktuelles COSO-Rahmenwerk � Grundprinzipien und Anforderungen f�r RMS Beurteilung der zentralen RMS-Komponenten � �Governance und Kultur�, �Strategie und Zielfestlegung�, �Ausf�hrung�, �Information, Kommunikation und Berichterstattung� sowie ��berwachung und Anpassung� Abrenzung zu anderen Bereichen der Corporate Governance wie Interne Kontrollsysteme (IKS), Interne Revision u. a. Die vorgestellten Beurteilungsmethoden, viele Arbeitshilfen und Checklisten unterst�tzen Sie dabei, die entscheidenden Stellschrauben leistungsf�higer RMS schneller zu erkennen und zielgerichtet zu kontrollieren.

(ESV/ps)