Wie steht es um die Zusammenarbeit von Risk Management und Interner Revision?

Sowohl die IR als auch das RM sind wichtige Funktionen der Unternehmensführung und nehmen insbesondere im unternehmensinternen Überwachungssystem eine entscheidende Rolle ein. Beide verfolgen das Ziel, potentielle Risiken frühzeitig zu erkennen und das Unternehmen vor diesen zu schützen. Deshalb ist das Zusammenspiel unverzichtbar. Unternehmen sind gefordert, Abteilungsgrenzen zu überwinden und IR- und RM-Prozesse sinnvoll zu verzahnen.

von Dr. Philipp Henrizi, Dozent und Studienleiter am Institut für Finanzdienstleistungen Zug IFZ

Insbesondere kann einerseits die IR bei der Verbesserung der Effektivität des RM unterstützen und andererseits kann das RM relevante Erkenntnisse für die risikoorientierte Ausrichtung der IR liefern. Ein regelmässiger Informationsaustausch dient zur Sicherstellung eines funktionierenden Überwachungssystems. Die Revision profitiert bei der Ausrichtung der risikoorientierten Prüfstrategie vom Informationsaustausch mit dem Risikomanager. Das RM kann durch die IR wichtige Hinweise zur Verbesserung bestehender Regelungen und Massnahmen sowie der frühzeitigen Identifikation neuer wesentlicher Risiken erhalten. Die Kommunikation zwischen den beiden Unternehmensfunktionen gilt es daher zu optimieren, Klarheit über Kompetenzen und Prozesse zu schaffen und ineffiziente Herangehensweisen zu vermeiden.

Basierend auf den Ergebnissen einer empirischen Studie des Instituts für Finanzdienstleistungen Zug der Hochschule Luzern lassen sich einige Kernbotschaften für die Praxis formulieren:

1. Voraussetzung für eine funktionierende Zusammenarbeit ist eine klare Abstimmung und Abgrenzung der Kompetenzen aber auch Tätigkeiten von Revisionsfunktion und RM. Dies ist zwingend notwendig, um Doppelarbeiten zu reduzieren, berufsständische Standards einzuhalten und knappe Ressourcen wirksam innerhalb der Organisation einzusetzen.
2. Eine einheitliche Definition der Begrifflichkeiten, gleiche Risikokategorien und Risikobewertungssysteme von beiden Organisationseinheiten erleichtern die Kommunikation und den Austausch über Risiken im Unternehmen. Zur Vermeidung von Unklarheiten und Ineffizienzen ist auch eine formale Vereinheitlichung und begriffliche Harmonisierung in der jeweiligen adressatenorientieren Berichterstattung erforderlich.
3. Zwischen IR und RM sollte ein direkter, unmittelbarer und bei Bedarf auch von beiden Seiten kurzfristig nutzbarer Kommunikationsweg sichergestellt sein. Für die Wirksamkeit ihrer Arbeit wird ein gegenseitiger Zugang zu allen relevanten Informationen benötigt. Dabei ist auch auf Vollständigkeit, Transparenz und Nachvollziehbarkeit zu achten.
4. Regelmässiger Austausch sollte fest eingeplant werden und die Prüfungspläne der IR sowie geplante Aktivitäten und Projekte beider Seiten beinhalten. Ebenso sollte man sich über Veränderungen in der Risikolage, Systemanpassungen oder auch veränderte Methoden in der Arbeit der Abteilung austauschen. Insbesondere im Zuge der Aufstellung des Auditplans ist durch die IR eine Diskussion der Risikosituation mit dem Risikomanager anzustreben.
5. Für eine erfolgreiche und wertorientierte Führung einer Organisation im Sinne einer guten Corporate Governance gehört auch ein auf die Risikolage fokussierendes Überwachungssystem. Daher sollte in jeder Branche dem RM ein entsprechender Stellenwert beigemessen werden, was auch entsprechend eine unabhängige Prüfung beinhaltet. Die Fähigkeiten eines Unternehmens im Umgang mit Risiken, speziell bei der Vorbereitung wesentlicher unternehmerischer Entscheidungen, sind von hoher Bedeutung für den Unternehmenserfolg.
6. Grundsätzlich sollte auf eine funktionale Trennung von IR und RM geachtet werden. Nur durch eine unabhängige Prüfung des Systemaufbaus und der festgelegten Abläufe im RM lässt sich ein Urteil über die Angemessenheit im Sinne der Zielsetzung gewinnen. Daher ist eine voneinander unabhängige Wahrnehmung beider Überwachungsfunktionen von Vorteil.

Lesen Sie den gesamten Artikel in Expert Fokus, Ausgabe 2020(8), 460-465.