Wie wird ein Risk Control Self-Assessment (RCSA) durchgeführt?

Ein Risk Control Self-Assessment (RCSA), auf Deutsch Risiko- und Kontroll-Self-Assessment, ist ein internes Verfahren, mit dem eine Organisation ihre Risiken und die Wirksamkeit ihrer Kontrollen selbst bewertet. Ziel ist, wesentliche Risiken früh zu erkennen und angemessen zu steuern. Das RCSA unterstützt das Erreichen der Geschäftsziele und die Einhaltung gesetzlicher und regulatorischer Vorgaben. Weil Beschäftigte und Führungskräfte ihre eigenen Tätigkeitsfelder durchleuchten, fördert es Eigenverantwortung und Risikobewusstsein. Wie Kontrollen darüber hinaus unabhängig geprüft werden, beschreibt der Beitrag zur Evaluierung von Risikomanagement-Kontrollen.

Ablauf

Beim RCSA schätzen die Verantwortlichen der einzelnen Geschäftsbereiche ihre Risiken selbst ein. Üblich sind diese Schritte:

• Risiken identifizieren: Gesammelt werden alle Risiken, die die Geschäftsziele beeinträchtigen können, etwa finanzielle, operationelle, rechtliche und reputationsbezogene Risiken.
• Bewerten und priorisieren: Die Risiken werden nach Eintrittswahrscheinlichkeit und Auswirkungen bewertet. Risiken mit hoher Wahrscheinlichkeit und gravierenden Folgen erhalten die höchste Priorität.
• Kontrollen bestimmen: Für die vorrangigen Risiken werden die bestehenden Kontrollen erfasst und auf ihre Wirksamkeit geprüft.
• Lückenanalyse und Maßnahmenplanung: Zeigen sich Lücken oder fehlen Maßnahmen, werden Pläne zur Risikominderung entwickelt.
• Umsetzung und Überwachung: Die Maßnahmen werden umgesetzt, ihre Wirksamkeit laufend überwacht und bei Bedarf angepasst.
• Berichterstattung: Berichte geben Geschäftsleitung und anderen Stakeholdern einen Überblick über Risikolage und Wirksamkeit der Kontrollen.

Durchgeführt wird ein RCSA meist von einem Team aus verschiedenen Unternehmensbereichen, typischerweise in Brainstorming-Sitzungen, Interviews und Workshops, siehe Risiko-Workshops. Die Ergebnisse werden dokumentiert, priorisiert und in einem RCSA-Bericht zusammengefasst. Viele Organisationen wiederholen das RCSA mindestens einmal jährlich, je nach Dynamik des Umfelds, Änderungen im Betriebsablauf und regulatorischen Anforderungen auch häufiger. Eine Zertifizierung des IIA zur Selbstbeurteilung interner Kontrollen war die Certification in Control Self-Assessment (CCSA), für die keine Prüfungen mehr angeboten werden.

Beispiele

In einem Finanzinstitut kann ein RCSA das Risiko von Kreditverlusten bewerten, indem es die Qualität der vorhandenen Kreditkontrollen prüft und Verbesserungen vorschlägt. In einem Produktionsunternehmen hilft es, das Risiko von Produktionsausfällen zu verringern, indem es die Zuverlässigkeit von Maschinen und Arbeitsabläufen bewertet. Eine strukturierte Übersicht der Risiken und zugeordneten Kontrollen liefert die Risiko- und Kontroll-Matrix.

Offene Risikokultur

Eine Schwierigkeit beim RCSA ist eine Unternehmenskultur, in der offen und ehrlich über Risiken gesprochen wird. Nur dann werden Risiken nicht verschwiegen, sondern angesprochen und bewältigt. Voraussetzung sind außerdem ein Verständnis des Risikomanagementrahmens der Organisation und klare Kommunikationswege zwischen Beschäftigten und Führungskräften. Schwierig ist oft auch, das RCSA nicht als einmalige Übung, sondern als festen Teil des laufenden Risikomanagements zu verankern.

Abgrenzung zum Risikoaudit

Beim RCSA bewerten die Beschäftigten Kontrollen und Risiken ihres Bereichs selbst. Ein Risikoaudit oder externe Prüfungen werden dagegen von unabhängigen Prüfern oder Dritten durchgeführt. Besonders verbreitet ist das RCSA im Finanzsektor, wo es fester Bestandteil der Risikomanagementpraxis ist.

Ziel

Mit dem RCSA gewinnt ein Unternehmen ein umfassendes Verständnis seiner Risiken und kann früh Maßnahmen zur Risikominderung einleiten. Das stärkt seine Widerstandsfähigkeit gegenüber internen und externen Bedrohungen.

Häufige Fragen zu Risk Control Self-Assessment (RCSA)

Was ist ein Risk Control Self-Assessment (RCSA) und wem nützt es?

Ein Verfahren, mit dem Unternehmen Risiken selbst erkennen, bewerten und Maßnahmen zu ihrer Kontrolle festlegen. Es gibt Führungskräften und Risikomanagement einen tieferen Einblick in die Risiken ihres Bereichs und ermöglicht vorausschauende Maßnahmen.

Welche Schritte sind für ein RCSA notwendig?

Zuerst wird der Umfang des Assessments festgelegt. Danach werden Risiken identifiziert und nach Eintrittswahrscheinlichkeit und Auswirkungen bewertet. Anschließend werden die bestehenden Kontrollen geprüft und Lücken erkannt. Zum Schluss werden Maßnahmen zur Risikominderung festgelegt, geplant und überwacht.

Wie wird ein RCSA zuverlässig?

Durch regelmäßige und systematische Durchführung, eine klare Dokumentation von Prozess und Ergebnissen und die Einbeziehung aller relevanten Stakeholder. Schulungen und Sensibilisierung fördern das Verständnis für Risikomanagement im Unternehmen.

Welche Schwierigkeiten können auftreten?

Widerstand gegen Veränderungen, fehlendes Verständnis für Risikomanagement und Probleme bei der genauen Identifizierung und Bewertung von Risiken. Schulungen und eine offene Kommunikationskultur helfen, diese Hürden zu überwinden.

Wie wirkt ein RCSA auf die Unternehmenskultur?

Es schafft Risikobewusstsein und ermutigt alle Beschäftigten, sich an der Risikosteuerung zu beteiligen. Das gemeinsame Verständnis von Zielen und Bedrohungen stärkt Verantwortungsbewusstsein und Zusammenhalt.

Wie oft wird ein RCSA durchgeführt?

Viele Organisationen führen es mindestens einmal jährlich durch. Die Häufigkeit hängt von der Dynamik des Umfelds, wesentlichen Änderungen im Betriebsablauf und regulatorischen Anforderungen ab.

Wie werden die Ergebnisse ausgewertet?

Die gesammelten Angaben werden analysiert, die wesentlichen Risiken nach Eintrittswahrscheinlichkeit und Auswirkungen bewertet und Maßnahmenpläne entwickelt. Ergebnisse und Pläne werden mit den Verantwortlichen geteilt, damit sie umgesetzt werden.