Definition
International anerkanntes Rahmenwerk für interne Kontrollsysteme und Enterprise Risk Management. COSO Internal Control (2013): fünf Komponenten (Kontrollumfeld, Risikobewertung, Kontrollaktivitäten, Information und Kommunikation, Überwachung) mit 17 Prinzipien. COSO ERM (2017): erweitert auf strategisches Risikomanagement mit Ausrichtung auf Wertschaffung. De-facto-Standard für SOX-konforme Kontrollsysteme und Grundlage vieler IKS-Architekturen.
In der Praxis
COSO wird im deutschen Mittelstand gern als „US-Börsenthema" abgetan — ein Fehler, denn das Framework ist die weltweit am häufigsten verwendete Architektur für interne Kontrollen, und seine Logik steckt inzwischen in jeder IKS-Diskussion, auch hierzulande. Zwei Dinge werden dabei regelmäßig verwechselt: COSO Internal Control von 2013 mit seinen fünf Komponenten und 17 Prinzipien ist das Kontroll-Framework; COSO ERM von 2017 ist das Risikomanagement-Framework mit Ausrichtung auf Strategie und Wertschaffung. Wer beides in einen Topf wirft, versteht weder das eine noch das andere. Der unterschätzteste Baustein ist das Kontrollumfeld — der „Tone at the Top": Wenn die Geschäftsführung Kontrollen als lästige Formalie behandelt, erodiert jede noch so saubere Kontrollmatrix. In der Praxis nutze ich COSO als Ordnungsrahmen, um gewachsene Mittelstands-IKS zu strukturieren: Kontrollumfeld, Risikobewertung, Kontrollaktivitäten, Information und Kommunikation, Überwachung — gegen diese fünf Komponenten gehalten, zeigt sich schnell, wo das System Löcher hat. Das Mapping auf die Anforderungen aus § 91 AktG beziehungsweise der Sorgfaltslogik des § 43 GmbHG ist dann nur noch Fleißarbeit.
Verwandte Begriffe
Häufige Fragen zu COSO-Framework
Was ist der Unterschied zwischen COSO Internal Control und COSO ERM?
COSO Internal Control — Integrated Framework in der Fassung 2013 ist das Kontroll-Framework: Es beschreibt über fünf Komponenten und 17 Prinzipien, wie ein Unternehmen seine Abläufe kontrolliert, Vermögenswerte schützt und verlässliche Berichterstattung sicherstellt. COSO ERM in der Fassung 2017 ist das Risikomanagement-Framework: Es verzahnt Risikomanagement mit Strategie, Zielsetzung und Performance und fragt, wie viel Risiko ein Unternehmen zur Wertschaffung eingehen will. Vereinfacht gesagt: Internal Control kontrolliert die Prozesse, ERM steuert die Risiken — beide greifen ineinander, weil die Risikobewertung zugleich eine Komponente des Kontrollsystems ist. Wer ein IKS aufbauen will, startet mit Internal Control; wer das unternehmensweite Risikobild in die Strategie einbinden will, mit ERM.
Ist COSO für deutsche Unternehmen verbindlich?
Nein — COSO ist ein freiwilliges Framework ohne Gesetzescharakter, und kein deutsches Gesetz schreibt es vor. Verbindlich ist allenfalls die Anforderung, deren Umsetzung COSO strukturiert: § 91 Abs. 3 AktG verpflichtet börsennotierte Gesellschaften auf ein angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem, und COSO ist der international anerkannte Referenzrahmen dafür. Für nicht börsennotierte Unternehmen und die GmbH gilt § 43 GmbHG mit der Sorgfalt des ordentlichen Geschäftsmannes — auch hier ist COSO ein bewährtes Strukturierungsmittel, keine Pflicht. Praktisch relevant wird das Framework über Abschlussprüfer, Banken und internationale Kunden, die COSO-basierte Kontrollarchitekturen als Nachweis akzeptieren. Wer es nutzt, spricht die Sprache der Prüfer (Referenzrahmen: COSO Internal Control, 2013).
Wie nutzen wir die fünf COSO-Komponenten, um unser gewachsenes IKS zu strukturieren?
Gehen Sie die fünf Komponenten als Checkliste durch und mappen Sie Ihre bestehenden Regelungen darauf. Kontrollumfeld: Sind Verantwortlichkeiten, Kompetenzen und der Umgang mit Regelverstößen geklärt — und lebt die Geschäftsführung das vor? Risikobewertung: Existiert eine dokumentierte, regelmäßig aktualisierte Risikoinventur über die Buchhaltung hinaus? Kontrollaktivitäten: Sind die Kontrollen — Freigaben, Funktionstrennungen, Berechtigungen — dokumentiert und den Risiken zugeordnet? Information und Kommunikation: Wissen die Betroffenen, welche Kontrollen sie ausführen und warum? Überwachung: Prüft jemand unabhängig, ob die Kontrollen funktionieren — etwa über interne Audits und die Managementbewertung? Die Lücken, die dieses Mapping zeigt, sind Ihr Arbeitsprogramm. So wird aus einem organisch gewachsenen Regelwerk ein designbares System (Komponenten-Modell: COSO Internal Control, 2013).