Risikoorientierte System- und Verfahrensprüfungen in Bereichen des Risikomanagements

• Susanne Rosner-Niemes

Im Rahmen der Finanzmarktkrise wurden die aufsichtsrechtlichen Anforderungen an das Risikomanagement der Kreditinstitute deutlich verschärft. Damit stellt die Prüfung dieser Prozesse im Bereich des Risikomanagements nicht nur auf fachlicher Ebene eine große Herausforderung für die Interne Revision dar, sondern auch in Bezug auf das Prüfungsvorgehen und die angewandten Prüfungsmethoden. Die Komplexität des Prüffeldes erfordert den Einsatz von umfangreichen System/Verfahrensprüfungen, da mit aussagebezogenen Einzelfallprüfungen allein nicht die Funktionsfähigkeit des Risikomanagements und die Umsetzung der gesetzlichen und aufsichtsrechtlichen Anforderungen beurteilt werden kann.
Aus den Vorgaben von § 25a Abs. 1 KWG ergibt sich die Erfordernis einer ordnungsgemäßen Geschäftsorganisation, welche insbesondere ein angemessenes und wirksames Risikomanagement zu umfassen hat. Bestandteile des Risikomanagements stellen nach dem Wortlaut des Gesetzgebers die Festlegung von Strategien, von Verfahren zur Ermittlung und Sicherstellung der Risikotragfähigkeit, die Einrichtung eines Internen Kontrollsystems (IKS) sowie einer Internen Revision dar. Das interne Kontrollsystem beinhaltet dabei neben klaren aufbau- und ablauforganisatorischen Regelungen mit eindeutiger Abgrenzung der Verantwortungsbereiche zueinander insbesondere die Definition von Prozessen zur Identifizierung, Beurteilung, Steuerung, Überwachung und Kommunikation der Risiken.
Bereits in dem vom Institut der Wirtschaftsprüfer in Deutschland e.V. (IDW) im Jahr 2000 veröffentlichen Prüfungsstandard 340, der die Vorgaben des § 91 Abs. (2) AktG erläutert und im Hinblick auf die Abschlussprüfung konkretisiert, geht das IDW dabei von einer Prüfungsunterstützung durch die Interne Revision aus und definiert die vom Vorstand ergriffenen Maßnahmen nach § 91 Abs. 2 AktG als Prüfungsgegenstand der Internen Revision. Der erst in 2010 veröffentlichte IDW Prüfungsstandard 525 zerlegt das Risikomanagement in die zu prüfenden Bestandteile Strategie und Risikobewusstsein, Risikoerkennung, Risikoanalyse, Risikosteuerung und Risikokommunikation und -überwachung.

Seiten 285 - 301