Risiken in ausgelagerten Prozessen effektiv managen

Unternehmen sehen sich mit einer ständig ansteigenden Komplexität ihres Umfeldes, Arbeitskräftemangel und Kostendruck konfrontiert. Um diesen Herausforderungen gewachsen zu sein, lagern sie zunehmend Prozesse teilweise oder auch vollständig an externe Dienstleister aus. Dabei wird häufig übersehen, dass auch für ausgelagerte Prozesse § 91 Abs. 3 Aktiengesetz greift. Diese Vorschrift verpflichtet alle börsennotierten Unternehmen, ein angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem zu implementieren. Doch wie kann ein Unternehmen die Angemessenheit und Wirksamkeit eines Kontrollsystems bei einem externen Dienstleister sicherstellen?

Praxisbeispiel versicherungsmathematische Gutachten

Prozesse der versicherungsmathematischen Bewertung werden beispielsweise oft an externe Dienstleister ausgelagert. Hier vertrauen Unternehmen auf die Richtigkeit der versicherungsmathematischen Gutachten, die als Grundlage zur Bilanzierung von Pensionsrückstellungen dienen. Externe versicherungsmathematische Gutachter legen ihre Qualitätssicherungsmaßnahmen in der Regel jedoch nicht offen. Gleichzeitig haben die Auftraggeber selbst häufig keine oder nur ungenügende nachgelagerte Kontrollen eingerichtet, um die Richtigkeit der wesentlichen Bilanzpositionen hinreichend zu bestätigen.

Lösungsansätze

Es gibt im Wesentlichen zwei Möglichkeiten, wie ausgelagerte Prozessrisiken wirksam in bestehende Corporate-Governance-Systeme eingebunden werden können:

A.    Die Risiken in den Dienstleistungsprozessen werden mittels interner Kontrollen durch das die Dienstleistung beauftragende Unternehmen selbst überprüft, was nicht selten einen sehr hohen Aufwand verursacht, da ggf. weder Kompetenz noch Kapazitäten intern verfügbar sind.

B.    Der externe Dienstleister übermittelt mit Bereitstellung der Dienstleistung einen Prüfungsnachweis z. B. nach ISAE 3402 (International Standard on Assurance Engagements) über die Wirksamkeit des dienstleistungsbezogenen Kontrollsystems. Auf diesen Nachweis kann sich das beauftragende Unternehmen beziehen, ihn in sein internes Kontrollsystem einbinden und damit die Corporate-Governance-Anforderungen erfüllen.