COSO ERM: Risiken im Einklang mit Ihrer Strategie
Risikoappetit, Frühwarnindikatoren, Maßnahmen und Berichte an die Leitung auf einer Plattform, entlang der fünf Komponenten von COSO ERM.
Was COSO ERM ist und was man von Ihnen erwartet
COSO ERM ist das Rahmenwerk für unternehmensweites Risikomanagement des Committee of Sponsoring Organizations of the Treadway Commission. Die Fassung von 2017, Integrating with Strategy and Performance, folgt einem einfachen Gedanken: Risiken werden gesteuert, während die Strategie festgelegt und die Leistung gemessen wird.
COSO ERM ist kein Gesetz und nicht zertifizierbar. Vorstände, Prüfungsausschüsse und Aufsichtsbehörden nutzen es aber als Maßstab, um zu prüfen, ob ein Unternehmen weiß, welche Risiken es eingehen will und wie es sie überwacht. Es gliedert sich in fünf Komponenten und zwanzig Prinzipien.
- Herausgeber
- COSO, Committee of Sponsoring Organizations of the Treadway Commission
- Fassung
- 2017, Integrating with Strategy and Performance
- Aufbau
- 5 Komponenten und 20 Prinzipien
- Zertifizierbar
- Nein, es ist ein Referenzrahmen
- Passt zu
- COSO Internal Control 2013 und ISO 31000
1
Risikoappetit
Die Leitung legt fest, wie viel Risiko sie für die Strategie eingehen will.
2
Identifikation
Jeder Bereich erkennt und bewertet die Risiken für seine Ziele.
3
Steuerung
Risiken werden priorisiert und jeweils akzeptiert, reduziert, geteilt oder vermieden.
4
Überwachung
Frühwarnindikatoren und regelmäßige Berichte an Leitung und Prüfungsausschuss.
Die fünf Komponenten von COSO ERM
1
Governance und Kultur
Aufsicht durch die Leitung, klare Verantwortlichkeiten und die Risikokultur der Organisation.
2
Strategie und Ziele
Der Risikoappetit wird gemeinsam mit Strategie und Geschäftszielen festgelegt.
3
Performance
Risiken für die Ziele erkennen, bewerten, priorisieren und steuern.
4
Überprüfung und Anpassung
Sicherstellen, dass das Risikomanagement auch dann greift, wenn sich das Geschäft ändert.
5
Information und Berichterstattung
Risikoinformationen erreichen rechtzeitig die Menschen, die entscheiden.
COSO ERM umsetzen mit GlobalSuite®
Vom Risikoappetit bis zum Bericht an die Leitung an einem Ort, jedes Risiko mit Ziel und Verantwortlichem verknüpft.
Risiken›COSO ERM›Risikoappetit
Frühwarnindikatoren12 KRIs · 2 außerhalb der Toleranz
KRIIndikatorWert / SchwelleWert
K-01Kunden mit 50 % des Umsatzes66
K-02Forderungen über 90 Tage überfällig48
K-03Kritische Lieferanten ohne Alternative78
K-04Fluktuation bei Schlüsselpersonal35
Risiken›COSO ERM›Risiken nach Ziel
Strategieplan 2026-20284 Ziele · 27 Risiken
CodeRisikoZielStufe
R-03
Verzögerter Eintritt in neue Märkte
Lizenzen und lokale Partner
WachstumHochR-07
Abhängigkeit von einem Lieferanten
Bauteil ohne Alternative
BetriebHochR-11
Cyberangriff auf das Werk
Industrielle Steuerungssysteme
BetriebMittelR-15
Neue EU-Regulierung
Nachhaltigkeitsberichte
ReputationNiedrigRisiken›COSO ERM›Maßnahmen
Maßnahmenpläne9 Maßnahmen · 4 erledigt
MaßnahmeVerantwortlichTerminStatus
Zweiten Lieferanten qualifizierenACA. Castro31. Dez.In Arbeit
Exportkreditversicherung abschließenJMJ. Martín15. Nov.Erledigt
Werksnetz segmentierenINI. Navarro28. Feb.Offen
Nachfolgeplan für SchlüsselpositionenBSB. Soler31. MärzIn Arbeit
Risiken›COSO ERM›Bericht an die Leitung
2
KRIs außerhalb der Toleranz
5
Hohe Risiken
4
Erledigte Maßnahmen
KomponenteStatusGeprüft
Governance und KulturAktuellSep.
Strategie und ZieleAktuellJuli
Überprüfung und AnpassungAusstehendMärz
Risiko und Strategie an einem Ort
Die Ziele des Strategieplans und die Risiken, die sie gefährden, miteinander verknüpft. Ändert sich ein Ziel, sehen Sie sofort, welche Risiken sich mit ihm ändern.
Ihre Methodik, nicht unsere
Skalen für Auswirkung und Wahrscheinlichkeit, Appetitkriterien und Maßnahmentypen frei konfigurierbar. COSO ERM lässt sich mit ISO 31000 kombinieren.
Vom Fachbereich bis zur Leitung
Jeder Verantwortliche pflegt seine Risiken und Indikatoren selbst, und die Leitung erhält das Gesamtbild, ohne dass jemand Tabellen von Hand zusammenführt.
COSO ERM passt zu dem, was Sie schon tun
COSO ERM
Risikoappetit, Frühwarnindikatoren, Maßnahmen und Bericht an die Leitung.
Sie sind hierISO 31000
Die internationale Norm für Risikomanagement, kompatibel mit COSO ERM.
Zur Lösung →Risikomanagement
Das GlobalSuite®-Modul, auf dem Ihr COSO-ERM-Modell aufbaut.
Zur Lösung →Interne Revision
Prüfen Sie die Wirksamkeit Ihres Risikomanagements im Rahmen Ihres Prüfungsplans.
Zur Lösung →
Häufige Fragen zu COSO ERM
Was unterscheidet COSO ERM von COSO Internal Control?
COSO Internal Control (2013) konzentriert sich auf die Kontrollen, die Informationen und Abläufe verlässlich machen. COSO ERM (2017) geht weiter: Es beschreibt, wie ein Unternehmen die Risiken für seine Strategie erkennt und steuert. Beide ergänzen sich, viele Organisationen nutzen beide.
Kann man sich nach COSO ERM zertifizieren lassen?
Nein. COSO ERM ist ein Referenzrahmen, keine zertifizierbare Norm. Üblich ist, den Reifegrad des Risikomanagements an den Komponenten und Prinzipien zu messen, meist durch die interne Revision.
Wie unterscheidet es sich von ISO 31000?
Beide verfolgen dasselbe Ziel. ISO 31000 ist eine kürzere, allgemeinere internationale Norm; COSO ERM ist detaillierter und vor allem in Corporate Governance und Revision verbreitet. Sie lassen sich problemlos in einer Methodik kombinieren.
Was ist Risikoappetit?
Das Maß an Risiko, das eine Organisation eingehen will, um ihre Ziele zu erreichen. Die Leitung legt ihn fest. Daraus werden Schwellenwerte und Frühwarnindikatoren, die Ihnen rechtzeitig zeigen, wenn Sie ihn überschreiten.
Wo fängt man an?
Bei den strategischen Zielen und dem Risikoappetit. Sind diese klar, erfasst jeder Bereich seine Risiken, alle werden auf derselben Skala bewertet und Sie wählen die Indikatoren, die Sie verfolgen. Mehr dazu in unserem Artikel Was ist das COSO-Modell?
Risiko und Strategie,
an einem Ort.
Wir zeigen Ihnen Ihren Risikoappetit und Ihre Indikatoren in GlobalSuite®.