Nehmen Sie an der Umfrage teil

Wie ausgereift sind Ihr Risikomanagement und Ihre internen Kontrollverfahren? Beantworten Sie diese 12 Fragen auf der Grundlage des britischen Corporate Governance Code (Bestimmung 29), um dies herauszufinden.

Abschnitt 1: Aufsicht des Verwaltungsrats und Risikobereitschaft

1. Definition der Risikobereitschaft: Inwieweit hat der Vorstand die Risikobereitschaft des Unternehmens formell definiert, dokumentiert und kommuniziert, um sicherzustellen, dass sie mit den strategischen Zielen übereinstimmt und regelmäßig überprüft wird?(Erforderlich)

1. Die Risikobereitschaft ist undefiniert, inkonsistent oder rein implizit. Keine formale Verbindung zur Strategie.

2. Ein Grundverständnis ist vorhanden, möglicherweise informell diskutiert oder minimal dokumentiert, aber nicht formell genehmigt, kommuniziert oder klar mit der Strategie verbunden.

3. Die Risikobereitschaft wird formell definiert, dokumentiert (z. B. in einer Erklärung), vom Vorstand genehmigt und an die Geschäftsleitung weitergegeben. In regelmäßigen Abständen (z.B. jährlich) überprüft.

4. Der Appetit ist klar definiert mit qualitativen/quantitativen Elementen, gut kommuniziert, aktiv in der strategischen Planung berücksichtigt und regelmäßig überprüft, mit Nachweis von Aktualisierungen.

5. Der Appetit ist dynamisch, in den Entscheidungsfindungsrahmen eingebettet (Kapitalallokation, Fusionen und Übernahmen usw.), nutzt Toleranzen/Grenzen, wird anhand von Szenarien getestet, aktiv überwacht und prägt die Unternehmenskultur.

Kreuzen Sie Ihre Antwort an(1 = geringer Reifegrad, 5 = hoher Reifegrad), indem Sie den detaillierten Bewertungsleitfaden unter jeder Frage verwenden.

Abschnitt 1: Aufsicht des Verwaltungsrats und Risikobereitschaft

2. Bestimmung der Hauptrisiken: Wie systematisch und vorausschauend ist das Verfahren des Vorstands zur Ermittlung und Bewertung der Hauptrisiken des Unternehmens (einschließlich neu auftretender Risiken)?(Erforderlich)

1. Die Risikoermittlung ist ad hoc, reaktiv und konzentriert sich nur auf vergangene Ereignisse oder offensichtliche betriebliche Probleme. Keine formelle Überprüfung durch den Vorstand.

2. Eine informelle oder inkonsistente Risikoermittlung findet statt, vielleicht auf Abteilungsebene. Der Vorstand erhält begrenzte, möglicherweise veraltete Risikoinformationen.

3. Es gibt ein formelles, dokumentiertes Verfahren (z. B. jährliche Workshops/Umfragen) zur Ermittlung der Hauptrisiken in den wichtigsten Kategorien. Der Vorstand prüft und genehmigt die Liste.

4. Systematischer Prozess, der mehrere Inputs (intern/extern) verwendet, Wahrscheinlichkeit/Auswirkungen berücksichtigt, neu auftretende Risiken ausdrücklich einbezieht und häufiger als jährlich überprüft/aktualisiert wird.

5. Kontinuierliches Scannen des Umfelds, Horizon Scanning, Szenarioanalyse und Stresstests werden eingesetzt. Bewertung der Risikogeschwindigkeit und der Interdependenzen. Vollständig in den Strategiezyklus integriert. Einsatz von Datenanalysen.

Kreuzen Sie Ihre Antwort an(1 = geringer Reifegrad, 5 = hoher Reifegrad), indem Sie den detaillierten Bewertungsleitfaden unter jeder Frage verwenden.

Abschnitt 1: Aufsicht des Verwaltungsrats und Risikobereitschaft

3. Engagement des Vorstands: Wie aktiv und häufig beteiligt sich der Verwaltungsrat (und die entsprechenden Ausschüsse wie Audit/Risiko) an Diskussionen und fordert die Geschäftsleitung in Bezug auf Risikoexponierung, Strategien zur Risikominderung und Wirksamkeit der Kontrollen heraus?(Erforderlich)

1. Der Verwaltungsrat nimmt die Risikoberichte passiv entgegen und diskutiert oder hinterfragt sie kaum. Risiken sind selten ein wesentlicher Tagesordnungspunkt.

2. Der Vorstand erörtert gelegentlich größere Risiken, in der Regel auf Veranlassung der Geschäftsführung oder aufgrund von Ereignissen. Begrenztes Hinterfragen oder Hinterfragen von Annahmen.

3. Risiken sind ein regelmäßiger Tagesordnungspunkt. Der Verwaltungsrat erhält strukturierte Berichte, stellt klärende Fragen und erörtert die wichtigsten Abhilfemaßnahmen. Der Schwerpunkt liegt auf den bekannten Hauptrisiken.

4. Der Vorstand prüft aktiv die Berichte des Managements, stellt Annahmen konstruktiv in Frage, fordert Nachweise für die Wirksamkeit der Risikominderung und erörtert die Auswirkungen auf die Risikobereitschaft.

5. Vertiefung spezifischer Risiken, strategische Diskussionen zur Integration von Risiko und Ertrag, unabhängige Überprüfung, Überprüfung von Effektivitätstrends und -metriken, Gewährleistung der Übereinstimmung mit Kultur und Anreizen.

Kreuzen Sie Ihre Antwort an(1 = geringer Reifegrad, 5 = hoher Reifegrad), indem Sie den detaillierten Bewertungsleitfaden unter jeder Frage verwenden.

Abschnitt 2: Rahmen für das Risikomanagement

4. Formalität des Rahmens: Wie formalisiert und umfassend ist der Risikomanagementrahmen des Unternehmens (Strategien, Verfahren, Rollen, Verantwortlichkeiten)?(Erforderlich)

1. Es gibt keinen formellen Rahmen. Das Risikomanagement ist informell, undokumentiert und beruht auf individuellem Wissen.

2. Für einige Risikobereiche gibt es grundlegende, fragmentierte Strategien oder Verfahren. Rollen und Verantwortlichkeiten sind teilweise definiert, können sich aber überschneiden oder Lücken aufweisen.

3. Es gibt einen dokumentierten Rahmen (z. B. Politik, Schlüsselverfahren) für die wichtigsten Risikokategorien. Die Rollen (z. B. Risikofunktion, Verantwortliche) sind definiert. Allgemeines Verständnis bei den zuständigen Mitarbeitern.

4. Umfassender Rahmen, der sich an einer Norm orientiert (z. B. ISO 31000, COSO ERM), regelmäßig aktualisiert und gut kommuniziert wird. Enthält klare Methoden (Bewertung, Berichterstattung).

5. Vollständig integrierter Rahmen, der aktiv genutzt wird und in die Prozesse eingebettet ist, durch Technologie unterstützt und kontinuierlich verbessert wird und eine starke risikobewusste Kultur fördert.

Kreuzen Sie Ihre Antwort an(1 = geringer Reifegrad, 5 = hoher Reifegrad), indem Sie den detaillierten Bewertungsleitfaden unter jeder Frage verwenden.

Abschnitt 2: Rahmen für das Risikomanagement

5. Integration in die Strategie: Inwieweit ist das Risikomanagement in die strategischen Planungs-, Entscheidungs- und Leistungsmanagementprozesse integriert?(Erforderlich)

1. Das Risikomanagement ist eine separate Compliance-Übung mit wenig oder gar keinem Einfluss auf die Strategie oder wichtige Geschäftsentscheidungen.

2. Risiken werden bei der strategischen Planung nur oberflächlich oder uneinheitlich berücksichtigt. Bei Großprojekten werden oft erst spät grundlegende Risikobewertungen vorgenommen.

3. Formale Anforderung, die Hauptrisiken während des strategischen Planungszyklus zu berücksichtigen. Risikobewertungen fließen in einige operative Entscheidungen ein.

4. Die Risikobereitschaft und die wichtigsten Risikopositionen fließen aktiv in die Analyse strategischer Optionen, in Investitionsentscheidungen und in die Festlegung von Zielen ein. Risikokennzahlen sind Teil der Leistungsüberprüfungen.

5. Das Risikomanagement ist vollständig integriert ("risikobewusste Entscheidungsfindung"). In der Strategie werden Risiko und Ertrag ausdrücklich gegeneinander abgewogen. Risikoerwägungen bestimmen die Ressourcenallokation und Innovationsentscheidungen.

Kreuzen Sie Ihre Antwort an(1 = geringer Reifegrad, 5 = hoher Reifegrad), indem Sie den detaillierten Bewertungsleitfaden unter jeder Frage verwenden.

Abschnitt 3: Interner Kontrollrahmen

6. Kontrollumfeld: Wie gut sind die internen Kontrollrichtlinien und -verfahren des Unternehmens in den wesentlichen finanziellen, operativen und Compliance-Bereichen etabliert und kommuniziert?(Erforderlich)

1. Die Kontrollen sind ad hoc, undokumentiert oder hängen ausschließlich von Einzelpersonen ab. Wenig Bewusstsein oder Kommunikation.

2. Einige wichtige Finanzkontrollen sind dokumentiert, aber die Kontrollen der Arbeitsabläufe und der Einhaltung der Vorschriften sind lückenhaft oder informell. Die Kommunikation ist uneinheitlich.

3. Dokumentierte Richtlinien/Verfahren für wichtige finanzielle, operative und Compliance-Kontrollen sind vorhanden. Sie sind den zuständigen Mitarbeitern zugänglich. Regelmäßige Schulungen finden statt.

4. Umfassender Kontrollrahmen (z. B. auf der Grundlage von COSO), klar dokumentiert (Beschreibungen, Flussdiagramme), regelmäßig aktualisiert, effektive Kommunikation über mehrere Kanäle. Die Verantwortung für die Kontrollen ist klar.

5. Das Kontrollumfeld legt großen Wert auf Integrität/Ethik ("tone at the top"). Die Kontrollen sind in die Prozesse integriert, werden kontinuierlich verbessert und durch Schulungen und Leistungsmanagement gestärkt.

Kreuzen Sie Ihre Antwort an(1 = geringer Reifegrad, 5 = hoher Reifegrad), indem Sie den detaillierten Bewertungsleitfaden unter jeder Frage verwenden.

Abschnitt 3: Interner Kontrollrahmen

7. Überwachung der Kontrollen: Wie wirksam werden die internen Kontrollen auf ihre laufende Wirksamkeit hin überwacht, einschließlich regelmäßiger Tests und Ermittlung von Mängeln?(Erforderlich)

1. Keine formale Überwachung. Probleme werden nur beim Auftreten von Fehlern oder von externen Parteien festgestellt.

2. Einige grundlegende Überwachungen oder Checklisten werden uneinheitlich für Schlüsselkontrollen verwendet. Die Tests sind unregelmäßig oder nicht streng genug.

3. Regelmäßige Überwachung durch das Management und/oder periodische Tests der Schlüsselkontrollen durch die Innenrevision. Mängel werden erkannt und verfolgt, aber die Behebung erfolgt möglicherweise nur langsam.

4. Risikobasiertes Überwachungsprogramm, das finanzielle, operative und Compliance-Kontrollen abdeckt. Mischung aus laufender Überwachung und unabhängigen Tests. Rechtzeitige Berichterstattung und Verfolgung von Abhilfemaßnahmen.

5. Kontinuierliche Überwachung der Kontrollen (CCM) unter Einsatz von Technologie, wo dies möglich ist. Datenanalytik für Tests/Überwachungen. Proaktive Identifizierung und Ursachenanalyse von Mängeln. Metriken zur Bewertung des allgemeinen Zustands der Kontrollen.

Kreuzen Sie Ihre Antwort an(1 = geringer Reifegrad, 5 = hoher Reifegrad), indem Sie den detaillierten Bewertungsleitfaden unter jeder Frage verwenden.

Abschnitt 4: Jährliche Überprüfung und Zusicherung

8. Verfahren zur Überprüfung der Effektivität: Wie rigoros und umfassend ist das *jährliche* Überprüfungsverfahren des Vorstands zur Bewertung der Wirksamkeit des Risikomanagements und der internen Kontrollsysteme?(Erforderlich)

1. Die Überprüfung ist eine Tick-Box-Übung, bei der lediglich Behauptungen des Managements ohne Beweise oder Diskussionen akzeptiert werden.

2. Es findet eine grundlegende Überprüfung statt, die sich vielleicht nur auf die Finanzkontrollen konzentriert oder auf einer begrenzten Berichterstattung des Managements basiert. Es fehlt an klarem Umfang oder Tiefe.

3. Formaler jährlicher Überprüfungsprozess dokumentiert. Prüft Managementberichte und Zusammenfassungen der Innenrevision, die sich auf die wichtigsten Systeme im Berichtszeitraum beziehen. Der Vorstand diskutiert.

4. Strenger Prozess mit definierten Kriterien für die Wirksamkeit. Berücksichtigt mehrere Zuverlässigkeitsquellen, bewertet die Konzeption und die operative Wirksamkeit, deckt finanzielle, operative und Compliance-Kontrollen ab und identifiziert verbesserungswürdige Bereiche.

5. Evidenzbasierte Überprüfung, die die Wirksamkeit der Kontrollen ausdrücklich mit den Hauptrisiken verknüpft, Trends und zukunftsorientierte Faktoren berücksichtigt, die Anbieter von Sicherheiten in Frage stellt und Informationen für zukünftige Strategien/Investitionen liefert.

Kreuzen Sie Ihre Antwort an(1 = geringer Reifegrad, 5 = hoher Reifegrad), indem Sie den detaillierten Bewertungsleitfaden unter jeder Frage verwenden.

Abschnitt 4: Jährliche Überprüfung und Zusicherung

9. Quellen der Gewissheit: Inwieweit nutzt der Vorstand die verschiedenen Zuverlässigkeitsquellen (z. B. Bestätigungen der Geschäftsführung, interne Revision, externe Revision, Compliance-Prüfungen), um seine jährliche Wirksamkeitsüberprüfung zu untermauern?(Erforderlich)

1. Verlässt sich fast ausschließlich auf die Selbsteinschätzung des Managements und wird kaum oder gar nicht von unabhängiger Seite validiert.

2. Verwendet in erster Linie Managementinformationen, mit einigen begrenzten Beiträgen von internen oder externen Prüfern, die sich auf bestimmte Bereiche konzentrieren (z. B. Finanzen).

3. Berücksichtigt Berichte des Managements, der Innenrevision (wesentliche Feststellungen) und der externen Rechnungsprüfung (in Bezug auf die Finanzkontrolle). Versteht den Umfang der einzelnen Aufgaben.

4. Sucht aktiv nach Sicherheiten aus verschiedenen Bereichen (Management, Risiko-/Compliance-Funktionen, Innenrevision) und integriert diese. Versteht Grenzen und Überschneidungen. Es kann ein Assurance Mapping verwendet werden.

5. Koordiniert die Assurance-Aktivitäten strategisch (kombiniertes Assurance-Modell). Das Board bewertet kritisch die Qualität und den Umfang der einzelnen Assurance-Quellen. Er fasst die Ergebnisse zusammen, um eine ganzheitliche Sicht der Wirksamkeit zu erhalten.

Kreuzen Sie Ihre Antwort an(1 = geringer Reifegrad, 5 = hoher Reifegrad), indem Sie den detaillierten Bewertungsleitfaden unter jeder Frage verwenden.

Abschnitt 4: Jährliche Überprüfung und Zusicherung

10. Ausrichtung der Innenrevision: Wie gut stimmen Umfang und Schwerpunkt der Innenrevisionsfunktion mit den vom Vorstand ermittelten Hauptrisiken überein?(Erforderlich)

1. Keine interne Auditfunktion oder ihr Plan hat nur einen minimalen Bezug zu den Hauptrisiken (z. B. reine Compliance-/Finanzkontrollen).

2. Der Plan für die Innenrevision berücksichtigt die Hauptrisiken, aber die Abdeckung ist begrenzt oder die Ressourcen konzentrieren sich hauptsächlich auf andere Bereiche (z. B. auf alte Prüfungsbereiche).

3. Der Plan für die Innenrevision wird unter Berücksichtigung der Hauptrisiken erstellt; den Schlüsselrisiken wird im Laufe des Jahres eine gewisse Aufmerksamkeit geschenkt.

4. Der risikobasierte interne Prüfungsplan setzt klare Prioritäten bei den Hauptrisiken (aktuelle und neue). Die Audittätigkeiten bieten direkte Gewähr für die Abschwächung dieser Risiken.

5. Dynamischer Prüfungsplan, der auf der Grundlage des sich ändernden Risikoprofils ständig aktualisiert wird. Die Innenrevision liefert strategische Erkenntnisse über die Wirksamkeit des Risikomanagements und antizipiert künftige Herausforderungen.

Kreuzen Sie Ihre Antwort an(1 = geringer Reifegrad, 5 = hoher Reifegrad), indem Sie den detaillierten Bewertungsleitfaden unter jeder Frage verwenden.

Abschnitt 5: Berichterstattung und Technologie

11. Offenlegung im Jahresbericht: Wie klar, umfassend und transparent ist die Offenlegung des Unternehmens im Jahresbericht in Bezug auf seine Hauptrisiken, das Risikomanagement, die Überwachung der internen Kontrollen und die Überprüfung der Effektivität durch den Vorstand?(Erforderlich)

1. Die Angaben fehlen, sind minimal, allgemein gehalten ("Standard") oder entsprechen nicht den grundlegenden Anforderungen des Kodex.

2. Die Offenlegungen decken die erforderlichen Elemente nur oberflächlich ab. Die Risikobeschreibungen sind vage; die Bestätigung der Überprüfung enthält keine Einzelheiten über den Prozess.

3. Erfüllt die Anforderungen des Kodex. Auflistung der Hauptrisiken mit kurzen Beschreibungen der Abhilfemaßnahmen. Bestätigt, dass eine Überprüfung stattgefunden hat und die wichtigsten Kontrollbereiche abdeckt (Finanzen, Operations, Comp).

4. Klare, unternehmensspezifische Offenlegungen. Erläutert, wie die Hauptrisiken gemanagt/gemildert werden, beschreibt den Überprüfungsprozess und gibt die Schlussfolgerung des Vorstands zur Wirksamkeit (und etwaige wesentliche Mängel) an.

5. Äußerst transparente, aufschlussreiche Offenlegungen. Bietet Kontext zu Risikotrends/-veränderungen, erläutert den Prüfungsumfang/-ansatz, erklärt die Verknüpfung mit der Rentabilitätserklärung, verwendet möglicherweise Grafiken/Metriken.

Kreuzen Sie Ihre Antwort an(1 = geringer Reifegrad, 5 = hoher Reifegrad), indem Sie den detaillierten Bewertungsleitfaden unter jeder Frage verwenden.

Abschnitt 5: Berichterstattung und Technologie

12. Unterstützung durch Technologie: Inwieweit nutzt das Unternehmen Technologien (z. B. GRC-Software wie Corporater) zur Unterstützung und Rationalisierung des Risikomanagements, der Überwachung von Kontrollen, der Qualitätssicherung und der Berichterstattung an den Vorstand?(Erforderlich)

1. Die Prozesse beruhen vollständig auf manuellen Methoden, eigenständigen Tabellenkalkulationen, E-Mails und Word-Dokumenten. Die Daten sind fragmentiert und schwer zu aggregieren.

2. Einige grundlegende Instrumente, die in Silos verwendet werden (z. B. eine Risikoregistertabelle, ein separater Issue Tracker). Begrenzte Automatisierung oder Integration.

3. Punktlösungen für spezifische Aufgaben (z. B. Risikobewertungstool, Basisdokumentationsspeicher für Kontrollen). Eine gewisse Automatisierung der Berichterstattung ist vorhanden.

4. Spezielle GRC-Software oder -Module für die Kernprozesse (Risiko, Kontrolle, Audit). Bietet einen Workflow, ein zentrales Repository und verbesserte Berichtsfunktionen.

5. Integrierte GRC-Plattform (wie Corporater), die strategisch über mehrere Verteidigungslinien hinweg eingesetzt wird. Ermöglicht kontinuierliche Überwachung, Datenanalyse, automatisierte Arbeitsabläufe, dynamische Berichterstattung und bietet eine einzige Quelle der Wahrheit.

Kreuzen Sie Ihre Antwort an(1 = geringer Reifegrad, 5 = hoher Reifegrad), indem Sie den detaillierten Bewertungsleitfaden unter jeder Frage verwenden.

Geben Sie unten Ihre Daten ein, um die Ergebnisse der Umfrage zum Risikomanagement und zur internen Kontrolle in Übereinstimmung mit dem UK Corporate Governance Code zu erhalten.

Vorname(erforderlich)

Nachname(erforderlich)

E-Mail(Erforderlich)

Organisation(erforderlich)

Bestätigung

Fragen Sie sich, wie Ihr Ansatz im Vergleich zu anderen abschneidet? Sprechen Sie mit einem Spezialisten von Corporater, um Ihre Ergebnisse vertraulich zu besprechen und zu erfahren, wie Ihr Programm im Vergleich zu anderen abschneidet. Außerdem erhalten Sie ein kostenloses Exemplar der Liste der empfohlenen internen Kontrollen für die britische CGC-Vorschrift 29.

Rückstellung 29 Fälligkeitsbewertung

Nehmen Sie an der Umfrage teil

Wie ausgereift sind Ihr Risikomanagement und Ihre internen Kontrollverfahren? Beantworten Sie diese 12 Fragen auf der Grundlage des britischen Corporate Governance Code (Bestimmung 29), um dies herauszufinden.

Abschnitt 1: Aufsicht des Verwaltungsrats und Risikobereitschaft

Abschnitt 1: Aufsicht des Verwaltungsrats und Risikobereitschaft

Abschnitt 1: Aufsicht des Verwaltungsrats und Risikobereitschaft

Abschnitt 2: Rahmen für das Risikomanagement

Abschnitt 2: Rahmen für das Risikomanagement

Abschnitt 3: Interner Kontrollrahmen

Abschnitt 3: Interner Kontrollrahmen

Abschnitt 4: Jährliche Überprüfung und Zusicherung

Abschnitt 4: Jährliche Überprüfung und Zusicherung

Abschnitt 4: Jährliche Überprüfung und Zusicherung

Abschnitt 5: Berichterstattung und Technologie

Abschnitt 5: Berichterstattung und Technologie