Compliance als Teil eines integrierten Risikomanagements ... / 4.2.3 Exkurs: Das COSO-Modell

COSO IC und COSO ERM

Im COSO-Regelwerk finden ethisch fundiertes Verhalten, ein wirksames Internes Kontrollsystem und gute Unternehmensführung als Garanten für ein verlässliches Finanz-Reporting Niederschlag. Das Committee of Sponsoring Organizations of the Treadway Commission, kurz COSO, wurde 1985 in den Vereinigten Staaten als Plattform für die "National Commission on Fraudulent Financial Reporting" gegründet. 1992 veröffentlichte COSO sein erstes Rahmenwerk, das COSO IC "Internal Control – Integrated Framework".^[1] Seit seiner Veröffentlichung ist COSO IC mit seinen fünf Komponenten Kontrollumfeld, Risikobeurteilung, Kontrollaktivitäten, Information und Kommunikation und Überwachung, auf die im Folgenden noch näher eingegangen wird, insbesondere im Bereich der finanziellen Berichterstattung ein verbreitetes Instrument, um Interne Kontrollsysteme einzuführen und auf Angemessenheit und Wirksamkeit zu prüfen.

Das IC-Modell beinhaltet die Dokumentation, Analyse und Gestaltung des IKS mit klarem Fokus auf die Finanzberichterstattung. Als Ergänzung hierzu wurde 2004 das COSO Enterprise Risk Management (ERM) Framework veröffentlicht, das zum COSO-IC-Modell die Elemente Zielsetzung, Ereignisidentifikation und Risikobewältigung hinzufügt und den Schwerpunkt stärker im Bereich des allgemeinen, unternehmensweiten Risikomanagements setzt. Es ist nicht als Ersatz des internen Kontrollmodells vorgesehen und geeignet, sondern baut auf diesem auf und unterstützt die Unternehmen in der weiteren Ausgestaltung ihrer Internen Kontrollsysteme und der Entwicklung hin zu einem umfassenderen Risikomanagementsystem.

Das neue COSO-Modell 2013

Im Frühjahr 2013 hat COSO das Rahmenwerk überarbeitet und eine neue Version herausgebracht, die mit Wirkung zum Dezember 2014 die bisherige Version von 1992 vollständig ablöst.

Dabei hat weder gegenüber der bisherigen Version eine fundamentale Neuausrichtung des Internen Kontrollsystems stattgefunden, noch wurden an dessen bestehender Definition mit den fünf Komponenten Kontrollumfeld, Risikobeurteilung, Kontrollaktivitäten, Information und Kommunikation sowie Überwachung größere Änderungen vorgenommen. Vielmehr ist das Update 2013 des COSO IC eine gelungene Modernisierung eines bewährten Konzepts für die Gestaltung und Umsetzung des internen Kontrollwesens, die den unterschiedlichsten Aspekten einer zunehmend komplexen und globalisierten Wirtschaft sowie der damit einhergehenden Notwendigkeit für grenz- und kulturübergreifende, gemeinschaftliche Standards Rechnung trägt.

COSO in China

Grundsätzlich kombiniert der C-SOX nun die wesentlichen Prinzipien genau der beiden oben beschriebenen COSO-Veröffentlichungen COSO IC und COSO ERM.

Insbesondere werden im Basic Standard die fünf im COSO-Modell beschriebenen Kontrollkomponenten aufgegriffen und erläutert:

• Kontrollumfeld: das Bewusstsein und die Kultur innerhalb eines Unternehmens, vor allem in der Unternehmensleitung, die u.a. Aspekte wie Integrität, ethische Werte, die Regelung von Aufgaben, Kompetenzen und Verantwortung, Personalpolitik sowie Philosophie und Führungsstil betreffen; Indiz für ein ausgeprägtes Bewusstsein können die Verankerung von Werten im Leitbild sein oder festgeschriebene Verhaltensleitlinien, wie z.B. ein Code of Ethics oder ein Code of Conduct, wie es ihn heutzutage in den meisten Unternehmen gibt.
• Risikobeurteilung: die Bewertung von internen und externen Faktoren, die die Leistung eines Unternehmens beeinflussen.
• Kontrollaktivitäten: die Richtlinien und Vorgehensweisen, die sicherstellen, dass die Aufgaben des Risikomanagements identifiziert und ausgeführt werden sowie zeitlich angemessen sind.
• Information und Kommunikation: der Prozess, der dazu dient, relevante Informationen zu identifizieren und in einem angemessenen zeitlichen Rahmen weiterzugegeben.
• Überwachung: der Prozess, der überprüft, ob die interne Kontrolle angemessen konzipiert, effektiv sowie anwendbar ist und entsprechend ausgeführt wird – im Grunde also eine Wirksamkeitskontrolle als wichtige Systemkomponente.

Im Januar 2014 wurde das brandneue COSO-Rahmenwerk durch Unterzeichnung eines entsprechenden Abkommens zwischen dem Chinesischen Finanzministerium und dem Committee of Sponsoring Organizations of the Treadway Commission von den chinesischen Regulierungsbehörden übernommen, die damit den Weg für eine Implementierung des neuen Regelwerks für immer mehr Firmen in China geebnet haben.

Laut Robert B. Hirth, derzeit Chairman von COSO, sollen bis Ende 2014 bereits alle chinesischen Firmen, die auch in den Vereinigten Staaten gelistet sind, das neue Regelwerk eingeführt haben.^[2] In den nächsten Monaten wird sich also erweisen, inwieweit die neu gefassten Prinzipien, die allesamt versuchen, die als notwendig erkannte einheitliche Terminologie zu verwenden sowie klare Anweisungen und Hilfestellungen zu geben, der praktischen Konfrontation mit gänzlich unterschiedlichen Managementstilen und geschäftlichen Gepflogenheiten gewachsen sind.

[1] Zur Vertiefung empfiehlt s...