Risikomanagement

Das IDW hat am 4. November 2013 eine neue Fassung des PS 951 "Die Prüfung des internen Kontrollsystems bei Dienstleistungsunternehmen" verabschiedet. Mit der Neuauflage werden u.a. die Anforderungen des ISAE 3402 umgesetzt und weitere Konkretisierungen vorgenommen.

Die wesentlichen Änderungen sind:

Das Management von Unternehmen ist sich in der näheren Vergangenheit seiner Verantwortung für das Risikomanagement bewusst geworden. Hierzu hat nicht zuletzt auch die öffentliche Diskussion zu diesem Thema beigetragen.

Während es für eine Vielzahl von Unternehmensbereichen inzwischen probate Lösungen gibt und Compliance-Beauftragte in großer Zahl ernannt werden, ist der Bereich der indirekten Steuern vielfach noch ein Gebiet, das durch diese Maßnahmen nicht erfasst wird.

Im Rahmen der Risikoidentifizierung ist das Thema IT ein wesentlicher Bestandteil. Dabei werden IT-Risiken nicht immer nur mit der IT-Abteilung besprochen. Auch Fachbereiche, deren Prozesse elektronisch unterstützt werden, sind von dieser Art von Risiken betroffen und sollten daher eine individuelle Beurteilung vornehmen.

Eine solide Basis und gute Hilfestellung für das Risikomanagement zur Vorbereitung auf die Risikoanalysegespräche mit den Fachbereichen und der IT-Abteilung bietet der IT-Grundschutzkatalog des BSI (Bundesamt für Sicherheit in der Informationstechnik). Der IT-Grundschutzkatalog enthält für verschiedene Themengebiete mögliche Gefährdungen und Beispiele von Maßnahmen, aus denen typische IT-Risiken abgeleitet werden können.

Governance-System in Versicherungsunternehmen gemäß Solvency II:
Berücksichtigung der Risiken und Kontrollen ausgelagerter Funktionen und Dienstleistungen im eigenen Governance-System

Ausgelagerte Funktionen und Dienstleistungen sind gängige Praxis und umfassen beispielsweise Archivierungsprozesse, Inkasso oder die IT. Dabei verlässt sich das auslagernde Unternehmen in der Regel darauf, dass die Prozesse ordnungsgemäß durchgeführt werden. In der Regel werden das Endergebnis bzw. die vereinbarten Service Level Agreements geprüft und auf Basis dessen der Dienstleister beurteilt. Aber die Sicherheit, dass hinter den verschlossenen Türen des Dienstleisters eine ordnungsmäßige Verarbeitung stattfindet, kann ohne weiteren Aufwand nicht erlangt werden.

Die folgenden Punkte sind u.a. an die Solvency-II-Anforderungen angelehnt (können aber branchenübergreifend angewendet werden) und sollen einen kurzen exemplarischen Überblick darüber geben, welche Themen in Verbindung mit dem Thema Outsourcing bedacht werden sollten und welche Möglichkeiten es geben kann, um sich über den Status quo der Risiken und Kontrollen beim Dienstleister zu informieren:

Vertragliche Regelung des Auskunftsrechts

Die Verträge mit den Dienstleistern sollten ein Auskunfts- und Prüfungsrecht beinhalten. Es kann geregelt werden, auf welche Art und Weise das ausgliedernde Unternehmen sich diese Auskunft einholen kann. Eine der effektivsten Regelungen ist die, dass die eigene Revision die relevanten Prozesse beim Dienstleister prüfen darf. Neben dem Auskunftsrecht, sollte u.U. auch ein Weisungsrecht verankert werden, auf dieses in diesem Artikel jedoch nicht weiter eingegangen wird.

Governance-System in Versicherungsunternehmen

Einbindung der Compliance-Funktion in das Interne Kontrollsystem gemäß Solvency II

Die Compliance-Funktion als Bestandteil des Internen Kontrollsystems hat gemäß Artikel 46 der Solvency-II-Richtlinie (2009/38/EG) die Aufgaben:

• den Vorstand in Bezug auf die Einhaltung der Gesetze und Verwaltungsvorschriften, die mit dem Betrieb des Versicherungsgeschäfts in Zusammenhang stehen, zu beraten und
• Änderungen im Rechtsumfeld und die daraus resultierenden Konsequenzen für das Unternehmen zu beurteilen und
• das Compliance-Risiko zu identifizieren und zu beurteilen, welches mit der Verletzung rechtlicher Aspekte in Zusammenhang steht.
  

Elemente eines Governance-Systems

Die Anforderungen an ein Governance-System in Versicherungsunternehmen sind ein wesentlicher Bestandteil von Solvency II. Konkretisiert werden diese Anforderungen in den Artikeln 41 bis 50 der EU-Richtlinie 2009/138/EG vom 25.11.2009, welche auch in die nationale Gesetzgebung einfließen werden. Angelehnt an die Richtlinie sollte ein wirksames Governance-System folgende Elemente umfassen:

Service Organization Control (SOC) Berichte, auch bekannt als SOC 1, SOC 2, und SOC 3 Berichte, sind übergreifende Rahmenwerke (frameworks), die das amerikanische Institut für Wirtschaftsprüfer (AICPA) de facto als Standard zur Verfügung stellt, um Dienstleister bzw. Serviceorganisationen nach festgesetzten Regeln zu prüfen/zu auditieren. Zielsetzung ist es, eine transparente, unabhängige und vor allem vergleichbare Prüf-/Auditberichte zu ermöglichen.

Viele Unternehmen standen oder stehen noch der Herausforderung gegenüber, ein unternehmensweites Internes Kontrollsystem (IKS) zu implementieren bzw. ihr vorhandenes weiterzuentwickeln, nicht zuletzt weil der Gesetzgeber einen starken Fokus auf dieses Thema legt (z.B. BilMoG). Ist dieses Vorhaben (i.d.R. im Rahmen eines Projektes) abgeschlossen, trägt jedes Unternehmen nun das Risiko, dass unzählige Kontrollen und Kontrollziele erfasst wurden, das IKS an sich jedoch nicht „gelebt“ wird. Dieser Artikel beschäftigt sich mit notwendigen Schritten, die während und nach Beendigung des Projektes zu beachten sind, um zu gewährleisten, dass die erfassten Kontrollziele permanent und umfassend im Blick bleiben und weitestgehend erreicht werden, um somit drohende Risiken, meist die operationellen, dauerhaft zu minimieren.

Die folgende Aufzählung enthält einige dieser Schritte, die im weiteren Verlauf des Artikels (u.a. mit möglichen Lösungsansätzen) noch konkretisiert werden, jedoch erhebt sie keinen Anspruch auf Vollständigkeit. Sie ist angelehnt an die Bausteine "Kontrollumfeld", "Information/Kommunikation" und "Monitoring" des COSO-Frameworks:

1. Die wichtigste Voraussetzung für ein Kontrollsystem und sicherlich die, die am schwierigsten umzusetzen ist, ist die Schaffung eines Kontrollbewusstseins im Unternehmen. Wenn nicht eindeutig und über alle Instanzen hinweg kommuniziert wird, was ein Kontrollsystem ist und welchen Zweck es hat, dann kann es zu einer abneigenden Haltung führen, denn der Begriff "Kontrolle" wirkt ohne nähere Erläuterungen, insbesondere in den operativen Bereichen, abschreckend.

Rezension: "Compliance – Praxisleitfaden für Unternehmen" von Dr. Klaus Moosmayer, 2. Auflage (2012)

Die zunehmenden Anforderungen in Bezug auf Compliance veranlassen immer mehr Unternehmen, sich diesem Thema zu widmen und entsprechende Compliance-Programme in ihren Häusern zu implementieren. Dabei ist es besonders hilfreich, vor allem für die Verantwortlichen, eine kompakte, aber dennoch umfangreiche Literatur in den Händen zu halten, die wichtige Elemente des Themas Compliance beschreibt und zusätzlich mit Hilfe von Beispielsfällen und wichtige Hinweisen verdeutlicht.

Nach der Klärung einiger Rechtsgrundlagen und Haftungsfragen für Unternehmen beschreibt der Autor die Wichtigkeit der Erstellung eines Compliance-Risikoportfolios und liefert auch Beispiele für typische Compliance-Risiken.

Die anschließenden Kapitel basieren auf den drei Grundfunktion einer funktionierenden Compliance:

• Maßnahmen zur Prävention
• Maßnahmen zur Aufdeckung von Fehlverhalten
• Maßnahmen zur Ahndung (Reaktion)