Special Consulting - Peter Schmid Projektmanagement

26. August —1. September 2009 | HANDELSZEITUNG | nr. 35 consulting | 59
Risiken besser in den Griff bekommen
Risikomanagement
Wie Verwaltungsräte und
geschäftsleitungen die
Kosteneffizienz und
Wirksamkeit ihrer Risikoüberwachung
erhöhen
können, indem sie die
unternehmensinternen
Risikosteuerungs- und
Kontrollsysteme integrieren.
Simon marti und mark macuS
Die Auswirkungen des jüngsten
Wirtschaftsabschwungs
haben gezeigt, dass es für
Unternehmen entscheidend ist,
die verschiedenen Arten von Risiken,
denen sie ausgesetzt sind,
zu erkennen, zu analysieren und
zu reduzieren.
Aufgrund gesetzlicher und regulatorischer
Anforderungen müssen
sich Unternehmensleitun­
gen (Verwaltungsräte, Geschäftsleitungen)
mit einem breiten Spektrum
von Risiken auseinandersetzen.
So verlangen Vorschriften in
der Schweiz (z.B. Schweizer Obligationenrecht
Art. 728a), in Europa
und in den USA die Dokumentation
der Risikosteuerung bezüglich
der Buchführung und Rechnungslegung.
Desgleichen erwarten
Anleger, Interessenvertreter
und gewisse Aufsichtsbehörden
(beispielsweise im Finanzsektor)
von den Unternehmen einen proaktiven
Umgang mit ihren strategischen,
operativen und Rechts­/
Compliance­Risiken.
Da die meisten rechtlichen und
regulatorischen Anforderungen
eine bestimmte Risikokategorie
betreffen (strategisch, operativ, finanziell,
Compliance, Finanzberichterstattung)
und häufig zu unterschiedlichen
Zeitpunkten oder
von unterschiedlichen Teams etabliert
wurden, haben Unternehmen
autonome Risikosteuerungs­
und Kontrollsysteme aufgebaut,
mit denen sie jede einzelne Risikokategorie
separat behandeln.
Nachteile autonomer Systeme
Zwar hat sich eine separate
Steuerung und Kontrolle der einzelnen
Risikokategorien bisher generell
als die pragmatischste und
effizienteste Methode erwiesen.
Jedoch erkennen die Unterneh­
Anzeige
Koordination
die Vorteile einer integrierten methode können in verschiedenen Hinsichten beträchtlich sein.
men vermehrt die mit dieser Aufstellung
verbundenen Nachteile:
• Einzelne Berichte liefern nur bezüglich
einer einzelnen Risikokategorie
konsistente Informationen.
• Unterschiedliche methodische
Ansätze führen zu Inkonsistenzen
über verschiedene Risikokategorien
hinweg.
• Hoher Zeitaufwand für Unternehmensleitung,
um übergeordnete
Sicht wahrzunehmen.
• Mehrfachbehandlung oder Lücken
in der Risikobestimmung
aufgrund von fehlendem einheitlichem
Risikorahmen.
• Unkoordiniertes Vorgehen auf
operativer Ebene.
Es besteht somit ein grosses Potenzial
zur Beseitigung der heute
üblichen Trennung der verschiedenen
Risikosteuerungs­ und Kontrollsysteme.
Die Vorteile einer integrierten
Methode können hinsicht­
lich Risikobewusstsein, Risikokontrolle/­reduktion,
Effizienz und Kostenverringerung
beträchtlich sein.
Die Ziele der Integration
Wenn Unternehmen sich für eine
Integration ihrer Risikosteuerung
und ­kontrolle entscheiden,
stehen verschiedene Ziele im Vordergrund,
wie:
• Erhöhung der Wirksamkeit, das
heisst Sicherstellung, dass alle we­
bRuno ARnold
sentlichen Risiken kohärent behandelt
und reduziert werden;
• Erhöhen der Kosteneffizienz
durch Identifizierung und Eliminierung
von Doppelspurigkeiten;
• Freisetzung von Führungskapazitäten
durch gestraffte Prozesse
und Tools;
• Verstärkung des Risikobewusstseins
und damit verbesserte Qualität
der Entscheidungsfindung.
Die Basis für eine integrierte Risikosteuerung
und ­kontrolle sind
die gemeinsamen Merkmale der
verschiedenen Risikosteuerungs­
und Kontrollsysteme. Diese Systeme
bauen alle auf denselben
Elementen auf, welche abgestimmt
und integriert werden können:
• Rahmenwerk zu Risiken und Risikokategorien;
• Grundsatzdokument auf Verwaltungsratsebene
(z.B. Richtlinie);
• periodische Berichterstattung
auf verschiedenen Ebenen;
• spezifische Zuteilung von Rollen
und Aufgaben;
• Prozesse und Tools.
Das Ausmass der gewünschten
Integration der Risikosteuerung
und ­kontrolle ist in
der Praxis sehr unterschiedlich.
Bei der
Festlegung des Umfangs
der Integration
entscheiden Unternehmen
in der Regel
anhand der folgenden
drei Fragen:
1. Welche Bereiche
der Risikosteuerung
und ­kontrolle sollen integriert
werden (z.B. nur IKS und
ERM oder sämtliche Bereiche wie
IKS, ERM, Compliance Management
und andere)?
2. Welche der gemeinsamen
Elemente (Richtlinien, Berichte,
Rollen und Verantwortlichkeiten
oder Prozesse und Tools) sollen integriert
werden?
3. In welchem Ausmass sollen
die ausgewählten Elemente integriert
werden? Soll nur der Schlussbericht
für den Verwaltungsrat
oder das Audit Committee integriert
sein oder sollen alle Berichte
auf allen Stufen integriert werden?
Der Integrationsprozess
Die Integration beginnt mit einer
systematischen Analyse der
Ziele eines Unternehmens. Da­
Es ist wichtig,
auch die interne
Revision in einen
integrierten
Ansatz mit
einzubeziehen.
raus lässt sich das Rahmenwerk
entwickeln. Auch die verschiedenen
bestehenden Risikosteuerungs­
und Kontrollsysteme müssen
hinsichtlich ihrer gemeinsamen
Elemente analysiert werden.
Ab Beginn des Integrationsprozesses
wird von den Unternehmen
oft ein Berater für die Analyse
und Umsetzung der konzeptionellen
und organisatorischen Veränderungen
beigezogen, die sich
mit der Integration ergeben.
Danach muss das Unternehmen
den Umfang der gewünschten
Integration festlegen und die
drei oben aufgeführten Fragen
beantworten, um den Umfang
und den Ressourcenbedarf festzulegen.
Ist der Umfang des Integrationsprozesses
bestimmt, werden
die für die Integration gewählten
Elemente erarbeitet.
Genaue Überwachung nötig
Die Stabilität und die Eignung
der erarbeiteten Elemente werden
in Pilotbereichen oder ­abteilungen
getestet, bevor das integrierte
Modell im Unternehmen
eingeführt wird. Nach der Einführung
ist eine genaue Überwa­
chung nötig, um
mögliche Probleme
des integrierten Modells
festzustellen
und umgehend geeigneteMassnahmen
zu ergreifen.
Die meisten Unternehmenkonzentrieren
sich bei der
Integration auf die
Risikosteuerungs­ und Kontrolltätigkeiten
der operativ Verantwortlichen.
Es ist jedoch wichtig,
auch die interne Revision in einen
integrierten Ansatz mit einzubeziehen,
die beispielsweise Risikoindikatoren
überwachen oder den
Inhalt und den Prozess der von
der Geschäftsleitung durchgeführten
Risikoanalyse prüfen
kann. Weiter lassen sich die Prüfungsplanung
und ­berichterstattung
einschliessen, womit sich
weiteres Effizienz­ und Effektivitätspotenzial
in der integrierten
Risikosteuerung und ­kontrolle
realisieren lässt.
Simon marti, Partner internal audit, risk
and compliance Services, kPmG Schweiz,
Zürich; mark macus, Senior manager internal
audit, risk and compliance Services, kPmG
Schweiz, Zürich.