Was ist das COSO-Modell?
COSO (Committee of Sponsoring Organizations of the Treadway Commission) ist eine Organisation privater Verbände mit Sitz in den USA. Sie stellt Organisationen ein gemeinsames Orientierungsmodell zu grundlegenden Themen bereit:
- Unternehmensführung und Governance,
- Unternehmensethik,
- interne Kontrolle,
- Enterprise Risk Management,
- Betrugsbekämpfung und
- Finanzberichterstattung.
Entwicklung des COSO-Modells
1992: Veröffentlichung von Internal Control – Integrated Framework (COSO-Bericht oder COSO I), einem integrierten Rahmenwerk, mit dem Unternehmen ihre internen Kontrollsysteme bewerten und verbessern können.
2004: Veröffentlichung des Modells COSO ERM (Enterprise Risk Management – Integrated Framework) oder COSO II, mit dem Unternehmen ihre interne Kontrolle durch einen umfassenderen Risikomanagementprozess verbessern können.
2013: Veröffentlichung von COSO III, einer Aktualisierung des Rahmenwerks für interne Kontrolle von 1992.
2017: Veröffentlichung von COSO ERM 2017 (Enterprise Risk Management – Integrating with Strategy and Performance). Es erweitert das Risikomanagement-Rahmenwerk, damit es die Risiken von Organisationen umfassender abdeckt, und verbindet es direkt mit Strategie und Leistung.
Komponenten und Grundsätze der internen Kontrolle (COSO 2013)
Das Rahmenwerk für interne Kontrolle von 2013 (Internal Control – Integrated Framework) ist die Referenz für die interne Kontrolle über die Finanzberichterstattung, zum Beispiel beim SOX-Gesetz. Es gliedert die interne Kontrolle in fünf Komponenten und siebzehn Grundsätze. Damit das System als wirksam gilt, müssen alle fünf Komponenten vorhanden sein, funktionieren und zusammenwirken. Die Grundsätze erklären, was jede Komponente in der Praxis bedeutet.
- 1Integrität und ethische Werte
- 2Unabhängige Aufsicht durch das Aufsichtsgremium
- 3Struktur, Befugnisse und Verantwortung
- 4Fachliche Kompetenz
- 5Rechenschaftspflicht
- 6Klare und konkrete Ziele
- 7Identifikation und Analyse von Risiken
- 8Betrugsrisiko
- 9Wesentliche Veränderungen
- 10Kontrollaktivitäten, die Risiken senken
- 11Allgemeine IT-Kontrollen
- 12Richtlinien und Verfahren
- 13Relevante, hochwertige Informationen
- 14Interne Kommunikation
- 15Externe Kommunikation
- 16Laufende oder unabhängige Beurteilungen
- 17Beurteilung und Meldung von Mängeln
Wenn Sie ein Rahmenwerk für das Risikomanagement der gesamten Organisation suchen, das über die interne Kontrolle hinausgeht, ist COSO ERM 2017 die Referenz. Darum geht es im nächsten Abschnitt.
Die fünf Komponenten und zwanzig Grundsätze von COSO ERM 2017
COSO ERM 2017 fasst seine zwanzig Grundsätze in fünf Komponenten zusammen. Die Grundsätze sind die praktische Checkliste, um zu prüfen, was die Organisation bereits hat und was ihr fehlt.
- 1Risikoaufsicht durch das Aufsichtsgremium
- 2Betriebsstrukturen
- 3Gewünschte Kultur
- 4Bekenntnis zu den Grundwerten
- 5Talente gewinnen, entwickeln und halten
- 6Analyse des Geschäftskontexts
- 7Festlegung des Risikoappetits
- 8Bewertung alternativer Strategien
- 9Formulierung von Geschäftszielen
- 10Risikoidentifikation
- 11Bewertung der Schwere
- 12Priorisierung von Risiken
- 13Risikoreaktionen
- 14Portfoliosicht auf Risiken
- 15Bewertung wesentlicher Veränderungen
- 16Überprüfung von Risiko und Leistung
- 17Verbesserung des Risikomanagements
- 18Nutzung von Information und Technologie
- 19Kommunikation von Risikoinformationen
- 20Berichte zu Risiko, Kultur und Leistung
Komponenten des COSO-ERM-Modells
Die fünf Komponenten von COSO ERM 2017 greifen ineinander, um das Risikomanagement mit Strategie und Leistung zu verbinden:
Was ist die ERM-Methodik für Unternehmensrisiken?
Enterprise Risk Management (ERM, unternehmensweites Risikomanagement) ist ein planbasierter Ansatz der Unternehmensführung, der darauf zielt, alle Risiken oder Ereignisse zu identifizieren, zu bewerten und sich auf sie vorzubereiten, die die Abläufe und Ziele einer Organisation positiv oder negativ beeinflussen können.
Ziel von ERM ist es, die für das Unternehmen relevanten Risiken (finanzielle, strategische und operative) zu bewerten, zu priorisieren und fundiert zu entscheiden, wie mit ihnen umzugehen ist. Die daraus entstehenden Risikomanagementpläne schätzen die Auswirkung verschiedener Bedrohungen ab und beschreiben mögliche Reaktionen, falls eine davon eintritt.
Ein wirksamer ERM-Prozess sollte ein wichtiges strategisches Werkzeug für die Unternehmensführung sein. Die Erkenntnisse über Risiken, die aus dem ERM-Prozess hervorgehen, sollten maßgeblich in den Strategieplan der Organisation einfließen.
Da Risiken ständig entstehen und sich verändern, ist ERM ein Prozess, der aktiv gehalten und laufend aktualisiert und verbessert werden muss.
Die Struktur des Rahmenwerks gilt unabhängig von der Größe der Organisation und davon, wie sie ihre Risiken einteilt. Sie soll Geschäftsleitung und Aufsichtsgremien helfen, vor allem folgende Aspekte angemessen zu steuern:
- Identifikation aller Risiken, die Strategie und Geschäftsbetrieb betreffen können, und ihrer Wechselwirkungen.
- Tragbares Risikoniveau.
- Wie Risiken gesteuert werden (Kultur, Governance und Richtlinien).
- Wie die Informationen beschafft werden, die nötig sind, um Risiken zu steuern.
- Wie Risiken kontrolliert werden.
- Wie die verschiedenen Risiken gemessen und bewertet werden.
- Welche Reaktion auf Risiken erfolgt.
- Welche Tests für Reaktionen auf ungünstige Szenarien am besten geeignet sind.
Eines der wichtigsten Modelle für ein wirksames Enterprise Risk Management ist heute das COSO-ERM-Modell 2017.
Vorteile für Organisationen
COSO ERM im Jahr 2026: hin zu einem strategischeren ERM
Das Referenzrahmenwerk bleibt COSO ERM 2017, aber COSO hat weitere ergänzende Leitfäden veröffentlicht, die zeigen, in welche Richtung sich die Praxis des Risikomanagements entwickelt:
- Vom Leitfaden zur Umsetzung (2026): Im Mai 2026 veröffentlichte COSO From Guidance to Action: Exploring Practical Enterprise Risk Management, ein Dokument, das die strategische Relevanz und die tatsächliche Wirkung von ERM-Programmen stärken soll. Ein aufschlussreiches Ergebnis der globalen Umfrage: Obwohl 98 % der Fachleute meinen, ERM sollte eine strategischere Rolle spielen, geben nur 7 % an, es vollständig in ihre Strategieentscheidungen integriert zu haben. Die Herausforderung ist also nicht mehr, was ERM ist, sondern wie es im Alltag funktioniert.
- Alternative Daten (2024): Der Leitfaden Alternative Data: The COSO Perspective behandelt, wie nicht traditionelle Datenquellen (Social-Media-Analysen, IoT-Sensoren, Web Scraping oder ESG-Indikatoren) in das ERM einbezogen werden können, ohne untragbare Risiken für Datenqualität, Datenschutz oder Verzerrungen zu schaffen.
- KI-Governance: Künstliche Intelligenz ist die neue Risikokategorie, die das ERM aufnehmen muss (Modellrisiko, Data Governance, Verzerrungen und Shadow AI). Der grundsatzbasierte Ansatz von COSO passt zu ergänzenden Rahmenwerken wie dem NIST AI RMF.
Die Botschaft für Organisationen ist klar: Der Wert von COSO ERM liegt nicht darin, es zu dokumentieren, sondern darin, es als Entscheidungswerkzeug zu nutzen, das Risiko, Strategie und Leistung verbindet.
Wie GlobalSuite Solutions Sie unterstützt
GlobalSuite Solutions bietet die vollständig von unserem Team entwickelte Software GlobalSuite®, mit der Sie ein Risikomanagementsystem auf Basis der festgelegten Ziele einführen, steuern und pflegen. Sie ermöglicht außerdem die Bewertung und Verfolgung der festgelegten Risikobehandlung und hilft Ihnen, COSO ERM vom theoretischen Rahmen in den Arbeitsalltag zu bringen.
Möchten Sie sehen, wie das in Ihrer Organisation funktionieren würde? Fordern Sie eine Demo an, und wir zeigen es Ihnen.
