Das COSO Enterprise Risk Management-Framework - Veb

Controllilng
Das COSO Enterprise Risk Management-Framework
Haben Sie sich in Ihrem Unternehmen
aufgrund der Revision des Obligationenrechts
für das kommende Geschäftsjahr
bereits mit Risiken oder der Dokumentation
von Steuerungs- und Kontrollaktivitäten
auseinandergesetzt?
Das Enterprise-Risk-Management-Framework
von COSO (COSO ERM) kann
als Führungsinstrument helfen, wichtige
Chancen und Risiken zu erkennen
und geeignete Massnahmen zu ergreifen,
um die Erreichung von Unternehmenszielen
besser zu gewährleisten.
Der Verwaltungsrat und die Geschäftsleitung
tragen die Verantwortung, ein Internes
Kontrollsystem (IKS) im Unternehmen
auszugestalten. Ab dem Geschäftsjahr
2008 wird die Existenz eines IKS durch den
externen Revisor geprüft (Art. 728a, 728b
revOR). Auch sind im Anhang Angaben über
die Durchführung einer Risikobeurteilung zu
publizieren (Art. 663b revOR).
Bei der Ausgestaltung eines IKS kann sich die
Geschäftsleitung an dem weit verbreiteten
COSO Internal Control-Framework (COSO
Framework) orientieren. Daran wird sich auch
die Treuhand-Kammer mit ihrem Prüfungsstandard
der Existenz eines IKS ausrichten.
Das COSO ERM stellt eine Weiterentwicklung
dieses Konzepts dar, indem zum Beispiel
auf die Risiken noch intensiver eingegangen
wird. Es bietet eine Möglichkeit, den regulatorischen
Anforderungen zu entsprechen,
geht darüber aber noch hinaus.
Diese Anforderungen wurden von Bundesrat
Blocher und in der Botschaft zur Änderung
des Obligationenrechts noch präzisiert.
Die Risikobeurteilung erfasst demnach
nur die für die Beurteilung der Jahresrechnung
wesentlichen Geschäftsrisiken. Auch
bezieht sich das IKS nur auf die Verlässlichkeit
der Finanzberichterstattung.
Ziele des COSO ERM
Die Zielkategorien des COSO ERM sind umfangreicher
als diese Vorschriften, weil das
Reporting jegliche Form der internen und
externen Berichterstattung umfasst. Daneben
bestehen die Ziele der Gesetzes- und
Normenkonformität (Compliance) sowie
der Effektivität und Effizienz der operativen
Tätigkeiten (Operations). Zusätzlich beinhaltet
COSO ERM auch strategische Zielsetzungen.
Komponenten
Zusammen bilden acht Komponenten den
Kern des COSO ERM. Sie beeinflussen sich
gegenseitig und sind daher miteinander interdependent.
Das interne Umfeld reflektiert
Risiko-Philosophie, Integrität sowie
kulturelle und ethische Werte eines Unternehmens.
Auf dieser Grundlage werden die
Unternehmensziele definiert. Sie sind eine
wesentliche Voraussetzung, um diejenigen
Ereignisse zu identifizieren, die der Zielerreichung
entgegenstehen (Risiken) oder ihre
Realisation unterstützen können (Chancen).
Die Risiken werden beurteilt und Mög-
Das Enterprise-Risk-Management-Framework
von COSO
(COSO ERM)
rechnungswesen
8 4·07
&controlling
T. Flemming Ruud, PhD, WP (Norw.) ist
Professor für Wirtschaftsprüfung und Internes
Audit an den Universitäten Zürich und
St. Gallen und der Norwegian School of
Management, Oslo. Felix Reichert, lic. oec.
publ., Certified Internal Auditor (CIA), ist
Doktorand an der Universität Zürich und
wissenschaftlicher Mitarbeiter am Lehrstuhl
von Prof. Ruud.
lichkeiten ihrer Handhabung gemäss der
Risikotoleranz entwickelt. Steuerungs- und
Kontrollaktivitäten dienen der Sicherstellung
der Umsetzung der festgelegten Massnahmen.
Wesentliche Informationen müssen
identifiziert, aufbereitet und zeitgerecht
im ganzen Unternehmen kommuniziert
werden, so dass die Mitarbeiter ihre
Verantwortlichkeiten erfüllen können. Ein
Monitoring umfasst die laufende Überwachung
der Funktionstüchtigkeit sowie eine
regelmässige Überprüfung, um die Qualität
des ERM sicherzustellen.
Betroffene Unternehmensbereiche
Wie das IKS umfasst das ERM grundsätzlich
das gesamte Unternehmen und ist für alle
organisatorischen Einheiten relevant. Jedoch
entscheiden der Verwaltungsrat und
die Geschäftsleitung, wie weit dieses Konzept
umgesetzt werden soll.
Das COSO-ERM-Framework kann helfen,
ein einheitliches und klares Verständnis in
Bezug auf Risiko-Management sowie Interne
Steuerung und Kontrolle im Unternehmen
zu etablieren. Insbesondere bei komplexeren
Geschäftstätigkeiten dient es der
zweckmässigen Vereinfachung in Form einer
objektiven Darstellung interdependenter
Zusammenhänge. Die Orientierung an
diesem Ansatz bietet die Möglichkeit, über
regulatorische Anforderungen hinausgehende
Ziele zu realisieren. ���