Mit den DIIR Revisionsstandards greift das Deutsche Institut für Interne Revision e.V. (DIIR) grundsätzliche und aktuelle Themen der Internen Revision auf, bearbeitet diese in seinen Gremien und stellt sie dann den Mitgliedern und interessierten Fachkräften zur Unterstützung ihrer beruflichen Tätigkeit zur Verfügung. Die Einhaltung der nationalen Revisionsstandards wird den Mitgliedern des Deutschen Instituts für Interne Revision e.V. (DIIR) dringend empfohlen, obwohl sie auf internationaler Ebene eher den Charakter einer praktischen Empfehlung haben (vgl. Kregel 2008, S. 20).

Das Deutsche Institut für Interne Revision e.V. (DIIR) hat bislang fünf Revisionsstandards verabschiedet, die dem Internen Revisor als Leitlinie für seine tägliche Praxis und Richtschnur für die zuverlässige Erfüllung seiner Aufgaben dienen sollen (vgl. Lück 2001, S. 145-147):

• DIIR Revisionsstandard Nr. 1: Zusammenarbeit von Interner Revision und Abschlussprüfer
• DIIR Revisionsstandard Nr. 2: Prüfung des Risikomanagement durch die Interne Revision
• DIIR Revisionsstandard Nr. 3: Qualitätsmanagement in der Internen Revision
• DIIR Revisionsstandard Nr. 4: Standard zur Prüfung von Projekten
• DIIR Revisionsstandard Nr. 5: Standard zur Prüfung des Anti-Fraud-Management-Systems durch die Interne Revision

Der DIIR-Revisionsstandard Nr. 2 (die Inhalte des Revisionsstandards werden hier zusammen-fassend dargestellt. Vgl. zu weiteren Einzelheiten den DIIR-Revisionsstandard Nr. 2: Prüfung des Risikomanagement durch die Interne Revision. Zuerst veröffentlicht in: Zeitschrift Interne Revision 2001, S. 152-155 und abrufbar unter www.diir.de). befasst sich mit der Rolle der Internen Revision in Bezug auf das Risikomanagementsystem. Der Standard skizziert das betriebliche Risikomanagementsystem und erläutert dann die Prüfung des Risikomanagementsystems durch die Interne Revision.

Die Definition von Grundsätzen für die Prüfung des Risikomanagementsystems durch die Interne Revision ist das Ziel des DIIR-Revisionsstandards Nr. 2. Der Standard bezieht sich auf Unternehmen jeglicher Größenordnung in den Bereichen Industrie und Handel und kann zusammenfassend wie folgt dargestellt werden:

Nach Meinung des Deutschen Instituts für Interne Revision e.V. (DIIR) kann weder aus dem Gesetz (§ 91 Abs. 2 AktG) noch der zugehörigen Gesetzesbegründung unmittelbar abgeleitet werden, dass die Interne Revision das Risikomanagementsystem grundsätzlich zu prüfen hat. Es bleibt dem Vorstand im Rahmen seiner allgemeinen Verantwortung entsprechend § 76 AktG überlassen, in welcher Weise er absichert, dass das Risikomanagementsystem seine Aufgaben erfüllt.

Das Deutsche Institut für Interne Revision e.V. (DIIR) geht davon aus, dass zumindest in Großunternehmen die notwendige Überwachung des Risikomanagementsystems ohne eine leistungsfähige Interne Revision nicht sichergestellt werden kann und der Internen Revision auf Grund ihrer allgemeinen Aufgabenstellungen sowie ihrer neutralen Position auch die unternehmensinterne Überwachung der Funktionsfähigkeit der Risikomanagementsysteme zu übertragen ist.

Der Umfang der Zusammenarbeit von Interner Revision und Abschlussprüfer (vgl. auch DIIR Revisionsstandard Nr. 1: Zusammenarbeit von Interner Revision und Abschlussprüfer) bei der Prüfung des Risikomanagementsystems wird wesentlich dadurch bestimmt, dass die Beurteilung der Eignung der Maßnahmen nach § 91 Abs. 2 AktG durch den Abschlussprüfer auch eine Prüfung voraussetzt, ob das eingerichtete Interne Überwachungssystem – also die organisatorischen Sicherungsmaßnahmen, die integrierten Kontrollmaßnahmen und die Prüfungstätigkeit der Internen Revision – ausreicht, um die Funktionsfähigkeit des Systems zu gewährleisten.

Der Abschlussprüfer muss schon im Interesse der Wirtschaftlichkeit der Prüfungsdurchführung auf die Ergebnisse der Prüfungstätigkeit der Internen Revision zurückgreifen. Ebenso sollte die Interne Revision sich bei eigenen Prüfungshandlungen auf die Ergebnisse des Abschlussprüfers stützen. Durch die Abstimmung der Prüfungstätigkeiten kann deren Effizienz gesteigert werden. Dabei ist zu berücksichtigen, dass der Aufsichtsrat in der Regel der Auftraggeber des Abschlussprüfers ist. Der Auftraggeber der Internen Revision ist aber der Vorstand/die Geschäftsleitung.

Ausgangspunkt der Prüfung des Risikomanagementsystems ist die Risikomanagementstrategie. Die Interne Revision hat darüber hinaus festzustellen,

• ob ein fundiertes, von der Unternehmensleitung getragenes und dokumentiertes Risikomanagementsystem existiert,
• ob die tatsächlichen Abläufe dem definierten System entsprechen, ob also der Risikomanagementprozess umfassend und kontinuierlich durchgeführt wird und ob die Ergebnisse in geeigneter Weise dokumentiert und kommuniziert werden, und
• ob die festgelegten Maßnahmen tatsächlich umgesetzt wurden.

Die Risikoidentifikation, die Risikobewertung und die Zweckmäßigkeit der Maßnahmen sind von der Internen Revision inhaltlich zu beurteilen. Der Revisionsstandard Nr. 2 enthält Hinweise zu den folgenden Prüfungsschritten:

• Prüfung der Konzeption und der Organisation des Risikomanagementsystems.
• Prüfung der vollständigen Erfassung und der Identifikation aller Risiken.
• Beurteilung der Risikoanalyse und der Risikobewertung.
• Prüfung der Realisierung und Zweckmäßigkeit der Maßnahmen zur Risikosteuerung und der Einhaltung der integrierten Kontrollen.
• Prüfung der Kommunikation der Risiken.

Der Revisionsstandard Nr. 2 enthält als Anlage eine Übersicht möglicher Risikofelder, die wie folgt systematisiert sind:

• Externe Risiken
• Strategische Risiken
• Operative Risiken
• Personalrisiken
• Datenverarbeitung
• Finanzwirtschaftliche Risiken
• Sonstige Risiken.

Für den vollständigen Text des DIIR Revisionsstandard Nr. 2: Zusammenarbeit von Interner Revision und Abschlussprüfer vgl. die Homepage des Deutschen Instituts für Interne Revision e.V. (DIIR) auf der die Inhalte frei herunterladbar sind (www.diir.de).

Literatur:

• Bungartz, Oliver und Wolfgang Lück: Revisionsstandards des DIIR – Deutsches Institut für Interne Revision e.V. In: Anforderungen an die Interne Revision. Grundsätze, Methoden, Perspektiven. Hrsg. Wolfgang Lück. Berlin 2009, S. 37-64
• Deutsches Institut für Interne Revision e.V. (DIIR) (Hrsg.): DIIR-Revisionsstandard Nr. 2: Prüfung des Risikomanagement durch die Interne Revision. Zuerst veröffentlicht in: Zeitschrift Interne Revision 2001, S. 152-155
• Kregel, Joachim. Revisionsmanagement und die Rolle des Revisors. Lektion 2. In: Schriftlicher Management-Lehrgang in 12 Lektionen „Interne Revision“. Hrsg. Euroforum Verlag. 2. Aufl. Düsseldorf 2008
• Lück, Wolfgang: Stichwort „Interne Revision“. In: Lexikon der Internen Revision. München und Wien 2001, S. 145-147