Das Positionspapier „Die Rolle der Internen Revision im unternehmensweiten Risikomanagement“ (The Role of Internal Auditing in Enterprise-wide Risk Management) unterstützt die Interne Revision sowie andere interessierte Gruppen, die nicht der Berufsgruppe der Internen Revision angehören, beim Verständnis von wesentlichen Themen im Bereich Führung und Überwachung sowie Risiko und Kontrollen.

Die Verantwortung für die Implementierung und Aufrechterhaltung eines unternehmensweiten Risikomanagement liegt bei der Geschäftsleitung, die diese Aufgabe i.d.R. dem Management überträgt. Die Kernaufgabe der Internen Revision in Bezug auf das Risikomanagement liegt in der Unterstützung des Überwachungsorgans und des Management durch Erbringung von Prüfungsleistungen. Die Risikomanagementprozesse werden dabei auf Angemessenheit und Wirksamkeit geprüft.

Die folgende Auflistung gibt Beispiele für Aktivitäten, die eine Interne Revision mit Bezug auf das unternehmensweite Risikomanagement nach dem Positionspapier „Die Rolle der Internen Revision im unternehmensweiten Risikomanagement“ typischerweise ausführt, ausführen kann oder nicht ausführen sollte:

• Kernaktivitäten:
  • Prüfung des Risikomanagementprozesses
  • Prüfung der korrekten Risikobeurteilung
  • Beurteilung des Risikomanagementprozesses
  • Beurteilung der Berichterstattung von Schlüsselrisiken
  • Überprüfung des Managements von Schlüsselrisiken
• Legitime Aktivitäten unter Vorbehalt der Einhaltung von Objektivität und Unabhängigkeit:
  • Unterstützung bei der Identifikation und Beurteilung von Risiken
  • Coaching des Managements bei der Risikosteuerung
  • Koordination von Aktivitäten des unternehmensweiten Risikomanagement
  • Konsolidierung der Risikoberichterstattung
  • Pflege und Weiterentwicklung des Risikomanagement-Rahmenwerks
  • Einsatz für die Implementierung eines unternehmensweiten Risikomanagement
  • Entwicklung einer Risikomanagement-Strategie als Genehmigungsvorlage
• Aktivitäten, die von der Internen Revision nicht ausgeführt werden sollten:
  • Festlegung des Risikoappetits
  • Implementierung des Risikomanagementprozesses
  • Management-Beurteilung der Risiken
  • Treffen von Entscheidungen zur Risikosteuerung
  • Implementierung von Risikosteuerungsmaßnahmen im Namen des Management
  • Übernahme von Verantwortung für das Risikomanagement

Die Einbindung der Interne Revision im unternehmensweiten Risikomanagement kann auch auf Beratungsdienstleistungen ausgeweitet werden, solange keine Managementverantwortung übernommen wird und gewisse Schutzmaßnahmen getroffen werden. Bei der Anwendung von Beratungsdienstleistungen sind die entsprechenden Internationalen Standards für die berufliche Praxis der Internen Revision anzuwenden.

Für den vollständigen Text des Positionspapiers „Die Rolle der Internen Revision im unternehmensweiten Risikomanagement“ (The Role of Internal Auditing in Enterprise-wide Risk Management) vgl. die Internationalen Standards für die berufliche Praxis der Internen Revision (www.theiia.org oder www.diir.de).

Literatur:

• The Institute of Internal Auditors (IIA): International Professional Practices Framework (IPPF) 2011, Altamonte Springs, Florida, USA
• Deutsches Institut für Interne Revision (DIIR), Frankfurt am Main, Institut für Interne Revision Österreich (IIA Austria), Wien und Schweizerischer Verband für Interne Revision (IIA Switzerland), Zürich (Hrsg.)
• Internationale Standards und Praktische Ratschläge für die berufliche Praxis der Internen Revision 2011