COSO

An der mdw wird das Modell des Committee of Sponsoring Organisations of the Treadway Commission (COSO) verwendet.

Das COSO-ERM besteht somit aus mehreren in wechselseitiger Beziehung zueinanderstehender Komponenten, die für dessen Funktionsfähigkeit unerlässlich sind.

Kontrollumfeld: Die Komponente "Kontrollumfeld" beschreibt die Kultur einer Organisation und bildet die Basis, wie Risiken durch die Mitarbeiter_innen betrachtet und behandelt werden. Es beeinflusst die Festlegung der Strategie, Ziele und Verantwortlichkeiten, die Strukturierung der Geschäftsprozesse sowie die Identifikation, Beurteilung und Steuerung von Risiken.

Zielsetzung: Diese ist die Voraussetzung für die Risikoidentifikation, -beurteilung und Maßnahmen. Die Ziele existieren in den vier Kategorien ("Strategisch", "Betrieblich", "Berichterstattung" und "Regeleinhaltung").

Risikoidentifikation: Ereignisse mit einer potenziell negativen Auswirkung auf das Unternehmen werden als Risiken definiert; jene mit potenziell positiver Auswirkung als Chancen. Es sind dabei interne und externe Faktoren zu berücksichtigen (mehr dazu im Handbuch "Risikomanagement" sowie in der Risikoleitlinie).

Risikobeurteilung: Diese ermöglicht dem Unternehmen die Einschätzung der Auswirkungen potentieller Ereignisse auf die Zielerreichung. Dabei werden Risiken mittels der Eintrittswahrscheinlichkeit und des Schadensausmaßes bewertet. Sie umfasst qualitative und quantitative Methoden (mehr dazu im Handbuch "Risikomanagement" sowie in der Risikoleitlinie).

Maßnahmen (Risikosteuerung): Dies sind Vermeidung, Reduktion, Teilung und Akzeptanz der Risiken (mehr dazu im Handbuch "Risikomanagement" sowie in der Risikoleitlinie).

Kontrollaktivitäten: Dies sind Grundsätze und Verfahren, die sicherstellen sollen, dass Risikosteuerungsmaßnahmen korrekt ausgeführt werden.

Information und Kommunikation: Hier geht es sowohl um die internen Verläufe sowie um externes Berichtswesen.

Überwachung: Im Rahmen von systemischen, regelmäßigen Vorkehrungen soll die Effektivität des IKS gewährleistet und überprüft werden.