5. Risikokontrolle

Unternehmenszusammenbrüche führten zu strengeren gesetzlichen Anforderungen für Vorstände/Geschäftsführung.

„House of Governance“-Modell (Gnändiger, 2013) mit drei Säulen:

1. Compliance-Managementsystem (CMS)

2. Risikomanagementsystem (RMS)

3. Internes Kontrollsystem (IKS)

Unterscheidung zwischen interner (Unternehmensführung, Aufsichtsrat, Abschlussprüfung) und externer Corporate Governance (Transparenz, Aktionärsüberwachung).

Gewährleistung der Einhaltung gesetzlicher Vorschriften und interner Standards.

Aufbau einer Compliance-Kultur (Vorbildfunktion der Geschäftsleitung).

Definition von Compliance-Zielen orientiert an Geschäftsprozessen.

Enge Verbindung zum Risikomanagementsystem: Identifikation compliance-relevanter Risiken.

Erstellung eines Compliance-Handbuchs mit Steuerungsmaßnahmen und Berichtswegen.

Identifikation und Bewertung unternehmensrelevanter Risiken.

Entwicklung von Strategien zur Risikosteuerung oder -vermeidung.

Erfassung compliance-relevanter Risiken und Maßnahmen im Compliance-Berichtswesen.

Sicherstellung der Funktionsfähigkeit von CMS & RMS.

Kontrolle der Einhaltung interner Arbeitsabläufe durch verschiedene Maßnahmen:

• Organisationsplan, Arbeitsanweisungen, Kontierungsrichtlinien, technische Kontrolleinrichtungen (z. B. Stechuhren).

Zwei Kontrollarten:

1. Prozessintegrierte Sicherungsmaßnahmen

   • Direkte Kontrolle innerhalb von Geschäftsprozessen durch Mitarbeitende.

   • Ziel: Fehlervermeidung & Problemidentifikation.

2. Prozessunabhängige Überwachungsfunktion

   • Durchführung durch die Interne Revision.

   • Erstellung von Prüfungsberichten mit Verbesserungsvorschlägen für die Geschäftsleitung.

Ziel: Information der Unternehmensführung über aktuelle Risikosituation.

Ursprung: Risikokontrolle (Soll-Ist-Abgleich der Risikowerte).

Informationsbereitstellung für verschiedene Führungsebenen & Sachbearbeitung.

Unterstützung bei dispositiven & operativen Entscheidungen.

• Dispositive Entscheidungen: Leitung & Steuerung betrieblicher Vorgänge (z. B. Stilllegung eines Betriebsteils).

• Operative Entscheidungen: Tagesgeschäft, z. B. Lieferantenauswahl.

Aktualität der Berichte.

Verfügbarkeit, Konsistenz & Qualität der Daten.

Vergleichbarkeit mit Vorperioden.

Vermeidung überflüssiger Berichte.

Definition des Empfängerkreises

Standardreporting

Ad-hoc-Reporting

Kern des Risikoberichtswesens.

Regelmäßige Berichte mit konstanten Informationen.

Meist monatliche Berichte über Gesamtrisikolage.

Ergänzung durch Quartalsberichte bei börsennotierten Unternehmen (gemäß IAS 34).

Grundlage für externe Berichterstattung (Lagebericht im Geschäftsbericht).

Ereignisbezogen, bei neuen oder kritischen Risiken.

Beispiele: Ausfall von Großkunden, Umweltschäden, Produkthaftung.

Hoher Aufwand → wirtschaftliche Notwendigkeit prüfen.

Sicherung konstanter Qualität im Reporting.

Dokumentation des gesamten Risikomanagementsystems.

• Rechtliche Grundlagen

• Risikostrategie

• Bedeutung Frühzeitige Risikoerkennung

• Definition Risikofelder mit Schadenspotenzialen.

• Grundsätze für das Erkennen, Bewerten, Kommunizieren & Reagieren auf Risiken

• Ablauf der Risikoberichterstattung.

• Auflistung von Kontrollmaßnahmen

• Fixierung von Risikoverantwortlichkeiten und Ansprechpersonen

Sender-Störungen: Fehlerhafte Übermittlung durch unklare oder unvollständige Kommunikation.

Kanal-Störungen: Technische Probleme (z. B. IT-Fehler, Verbindungsabbrüche).

Empfänger-Störungen: Fehlinterpretation oder mangelnde Aufmerksamkeit.

Semiotische Störungen:

• Syntaktische Störungen: Sprach- oder Schreibfehler.

• Semantische Störungen: Unterschiedliches Verständnis der Begriffe.

• Pragmatische Störungen: Konflikte zwischen Sender & Empfänger.

Lösungen: Einheitliche Begriffsdefinitionen, Risikobewusstsein fördern, klare Unternehmenskultur.

Koordination der Planung und Steuerung zur Unterstützung des Managements

Informationsversorgung für Entscheidungsprozesse

Ganzheitliche Steuerung und Verbesserung von Unternehmensprozessen

Anwendung des PDCA-Zyklus:

Kontrolltätigkeiten zur Effizienzsteigerung und strategischen Steuerung

Entwicklung neuer Risikostrategien

Überwachung sämtlicher Unternehmensrisiken

Integration von Risiken in Planungs- und Kontrollsysteme

Bindeglied zwischen Controlling und Risikomanagement

1. Eigenständige Abteilung ohne Verbindung zum Controlling

2. Teilweise Integration von Risikomanagement-Aufgaben ins Controlling

3. Vollintegration ins Controlling

Gesetzliche Anforderungen als Treiber für ein eigenständiges Risikomanagement

Erfüllung der Vorgaben des IDW PS 340 (Prüfung des Risikofrüherkennungssystems)

Unabhängigkeit von anderen Managementsystemen

Vorteil: Spezialisierung und Fachkompetenzaufbau

Nachteil: Abhängigkeit von anderen Abteilungen kann zu Abstimmungsproblemen führen

Aufgabenintegration ins Controlling:

• Identifikation, Bewertung und Überwachung von Risiken

• Nutzung bestehender Methoden wie Szenarioanalysen oder Monte-Carlo-Simulation

Verknüpfung mit Planungsprozessen:

• Identifikation und Bewertung von Planabweichungen

• Ergänzung von Planwerten um Szenarien oder Bandbreiten

• Nutzung von KPI-Systemen zur Risikoüberwachung

Prozessunabhängige Überwachung im Auftrag der Unternehmensleitung

Prüfung auf Ordnungsmäßigkeit, Rechtmäßigkeit, Wirtschaftlichkeit

Hohe Anforderungen an Unabhängigkeit und Fachkompetenz

Überprüfung der Wirksamkeit und Effizienz des Risikomanagements

• Financial Auditing: Prüfung von Finanz- und Rechnungswesen

• Operational Auditing: Verfahrens- und Systemprüfungen

• Management Auditing: Prüfung der Geschäftsleitung

Darstellung im Three Lines of Defense-Modell:

1. Erste Linie: Operative Geschäftsbereiche tragen Eigenverantwortung

2. Zweite Linie: Risikomanagement als zusätzliche Kontrollfunktion

3. Dritte Linie: Interne Revision überprüft Einhaltung der ersten beiden Linien

Ziel: Schutz des Unternehmens vor Vermögensverlusten und Regelverstößen