 Periodisch abwechselnde CSA’s und planmäßige Revisionsprüfungen - Durchführung einer Revisionsprüfung in dem einen Jahr und Durchführung eines CSA’s in dem anderen Jahr.

 Einsatz des CSA als ein vorbeugendes Revisionswerkzeug. CSA kann als ein Beratungsauftrag gesehen werden, außerhalb der regulären Prüfung Empfehlungen für die Implementierung von Kontrollen umzusetzen.

 Eine Abteilung, die nicht Revisionsprüfungen unterliegt, kann CSA Workshops einsetzen, um den Mitarbeitern die Ziele, Risiken und Kontrollen näher zu bringen.  Versand eines jährlichen Fragenkatalogs an das Management, um Kontrollen abzufragen, die durch Externe (outside regulators) gefordert werden.

 Einsatz eines Self Assessment Workshops, um das Kontrollumfeld im Unternehmen zu beurteilen.

 Einsatz von Fragenkatalogen und im Anschluss eins-zu-eins Interviews mit den Bereichen, um die Bereichsrisiken zu identifizieren.

1.2 Auswahl des richtigen Control Self Assessment Ansatzes

Wie kann ein Unternehmen und dessen Revisionsabteilung den richtigen Ansatz auswählen oder sogar nur einen Einzigen? Der CSA-Ansatz mit moderierten Workshops, mit der Internen Revision in der Rolle als Moderator, wird von den meisten Unternehmen favorisiert. Das IIA empfiehlt diesen Ansatz, wenn die Unternehmenskultur, vielmehr die Workshopteilnehmer, unterstützend und ehrlich sind. Ansonsten können andere Faktoren für die Auswahl eines Ansatzes herangezogen werden:

 Die Art der Branche, wie beispielsweise sehr streng regulierte Finanz-, verarbeitende oder karikative Organisationen-/Einrichtungen.

 Die Fachkenntnis und Erfahrung der Internen Revision - was funktioniert am besten, um den CSA einzuführen (und mit zunehmender Erfahrung die Methoden zu erweitern)?  Die Einstellung und Unterstützung der Unternehmensleitung, im speziellen der operativen Bereiche, ob der Workshopansatz bevorzugt wird, da deren Mitarbeiter im Workshop mitarbeiten würden.

 Kosten - anonymisierte Umfragen sind teuer und bedürfen eines Trainings.  Das Fachwissen der Revisionsmitarbeiter, besonders hinsichtlich Moderation. Glauben diese an CSA Workshops und sind vertraut mit der Leitung von Workshops?  Die Ressourcen der Revisionsabteilung - können diese den CSA-workshop durchführen und zugleich die Prüfungsplanung einhalten.

 Die Einstellung des Prüfungsausschusses (audit committee). Glaubt dieser, dass der Ansatz erfolgreich sein wird?

Eine andere wichtige Einflussgröße bei der Auswahl ist die Reputation der Internen Revision im Unternehmen. Wenn die Interne Revision ausschließlich Ordnungsmäßigkeitsprüfungen

Seite 2 von 12

oder Finanzprüfungen durchführt und als sehr konservativ angesehen wird, dann ist wohl als Start eines CSA eine kurze Umfrage als Bestes anzusehen. Existieren hingegen bereits Revisionen in operationellen Geschäftsbereichen, die Fokussierung auf Geschäftsziele besteht und darüber hinaus einige Revisionsmitarbeiter starke Moderatorenfähigkeiten besitzen, dann kann mit dem CSA in operationellen Bereichen begonnen werden.

Ein weiterer Faktor ist die Einführung und Vermarktung des CSA’s gegenüber dem Management. Wenn die Revisionsabteilung CSA einführt und bis jetzt typischerweise Revisionen der Geschäftsprozesse durchgeführt hat, dann kann der CSA-Ansatz, basierend auf Prozessen, Vorteile mit sich bringen. Beispielsweise sind der Revision die Prozesse bekannt und sie wird sich dabei sicherer bei der Durchführung fühlen. Die Unternehmensleitung wird dabei den CSA-Ansatz als Erweiterung der bisherigen Tätigkeit sehen anstelle einer radikalen Abkehr zum dem gewohnten.

Dies ist erst der Beginn. Das fortgeschrittene CSA-Revisionsteam wird schnell Änderungen der einzelnen CSA Ansätze vornehmen und in die Liste der verfügbaren Werkzeuge und Techniken einstellen und - wenn zweckmäßig - verwenden.

1.3 Workshop Ansatz

Der Workshop ist der gängigste Ansatz für ein CSA. Ein Workshop ist eine Besprechung, moderiert durch einen Innenrevisor und darauf ausgelegt, Risiken und Kontrollen für ein bestimmtes Ziel oder Prozess zu beurteilen. Als Daumenregel gilt, ein Workshop besteht aus sechs bis 15 Teilnehmern und zwei Revisoren (ein Moderator und ein Protokollführer) und dauert zwischen zwei und vier Stunden. Selbstverständlich kann und wird davon abgewichen, jedoch ist dies eine grobe Richtlinie.

Der Ausblick auf Control Self Assessment beinhaltet vier wichtige Arten von CSA Workshops:  Ziel orientiert.  Risiko orientiert.  Überwachungs-/Steuerungsorientiert.  Prozess orientiert.

1.3.1 Ziel orientierter CSA Workshop

Der Ziel orientierte CSA Workshop fokussiert auf erreichen eines Ziels. Der Workshop beginnt mit Identifizierung der Kontrollen, die bereits implementiert sind, um ein Ziel zu erreichen, um dann die verbleibenden Risiken (Residualrisiken) zu identifizieren. Die Absicht des Workshops ist dabei aufzudecken, ob die Kontrollen/Überwachung effektiv greifen und das Residualrisiko akzeptabel ist (Residualrisiken sind solche, die keine mäßigen Kontrollen vorsehen).

Seite 3 von 12

Dieser Ansatz unterstellt, dass die ursprüngliche Risikoidentifikation und die Erstellung der Überwachungs-/Kontrolllandschaft bereits durchgeführt wurde und nach der Überprüfung der bestehenden Kontrollen im Workshop, die Residualrisiken, mitgeteilt werden. Dies wäre der Fall, wenn das Unternehmen bereits erfolgreich eine Überwachungs-/Kontrolllandschaft geschaffen hätte, wie z. B. COSO, und Kontrollen durch die Mitarbeiter als ein Teil des täglichen Aufgabengebietes betrachtet werden. Während der COSO-Einführung ^０ muss jeder Unternehmensbereich seine eigene Risikobewertung durchgeführt haben und adäquate Kontrollen festlegen, so dass die identifizierten Risiken reduziert werden. Bei dem zielorientierten Workshop-Ansatz beginnt CSA mit der Identifikation und Beurteilung der vorhandenen Kon-trolllandschaft.

Für einige Unternehmen gilt die Annahme nicht, dass diese bereits eine Risikobeurteilung durchgeführt haben. In der Tat, die Risikobeurteilung ist genau der Punkt, den CSA versucht zu adressieren. Für diejenigen Unternehmen ist der Ziel orientierte Ansatz nicht der Beste. Sie sind besser beraten den Risiko orientierten Ansatz zu wählen.

1.3.2 Risiko orientierter Workshop

Der Risiko orientierte Workshop fokussiert auf Identifizierung der Risiken, um die Ziele zu erreichen. Der Workshop beginnt mit der Identifikation von Barrieren, Hürden, oder Hindernissen (genannt inherent risks), die u. U. dafür verantwortlich sein können, ein Ziel nicht zu erreichen. Dann werden die Kontrollaktivitäten identifiziert um sicherzustellen, dass diese ausreichend sind, um die Schlüsselrisiken zu managen. Zum Schluss werden bedeutende Residualrisiken ausgemacht. Der risikobasierte Workshop begleitet die Arbeitsgruppe durch das komplette Ziel-Risiko-Kontroll-Schema.

Der Risiko basierte Ansatz behandelt als erstes Risiken und dann Kontrollen im Workshop, wohingegen der Ziel orientierte Ansatz als erstes Kontrollen und dann das Residualrisiko betrachtet - also genau umgedreht. Der Risiko orientiere Ansatz könnte eine höhere, globale Workshop-Selbsteinschätzung sein, da die Methoden alle möglichen Risiken identifizieren. Detaillierte Aufdeckung und Diskussion von Risiken, basierend auf einem Risikofragenkatalog, können hier zum Einsatz kommen. Wenn Unternehmen COSO bereits eingeführt haben, dann wurde u. U. diese Art von Risikoidentifikation und Bestimmung der Kontrolllandschaft für die wichtigsten Ziele durchgeführt. Wenn dem so ist und die Risikoidentifikation bereits durchgeführt wurde, dann ist der Kontroll orientierte oder Ziel orientierte Ansatz der wohl geeignetere.

1.3.3 Überwachungsorientierte Ansatz

Der überwachungsorientierte Ansatz fokussiert darauf, wie effektiv die vorhandenen Kontrollen sind und ist dennoch anders als die beiden ersten Ansätzen da der Revisor/Moderator die Schlüsselrisiken und Kontrollen identifiziert, bevor der Workshop für das CSA beginnt,

^０ Stadt Zürich, IKS - Das Interne Kontrollsystem, 2006, S. 3

Seite 4 von 12