Three Lines of Defense: Handlungsrahmen für die Risikobeurteilung
KURZ ZUSAMMENGEFASST
Das Modell der Three Lines of Defense strukturiert die Risikosteuerung eines Unternehmens in drei klar abgegrenzte Ebenen, die eng aufeinander abgestimmt sein müssen. Während die operative Ebene die erste Linie bildet und Risiken direkt vor Ort managt, übernehmen Stabsfunktionen wie Risikomanagement und Compliance die zweite Linie zur Überwachung und Unterstützung. Die dritte Linie stellt durch interne und externe Revision sowie Aufsichtsbehörden die unabhängige Prüfung sicher. Erst die Synchronisation dieser drei Ebenen gewährleistet eine wirksame Governance-Struktur und ein robustes Internes Kontrollsystem (IKS).
Die wichtigsten Punkte:
- Die erste Verteidigungslinie liegt beim operativen Management und führt direkte Kontrollen durch.
- Die zweite Linie umfasst Stabsfunktionen wie Risikomanagement, Compliance und IT-Security.
- Die dritte Linie besteht aus unabhängigen Überwachungsstellen wie der internen Revision und externen Regulatoren.
- Eine klare Zuweisung von Verantwortlichkeiten ist essenziell für die Effektivität des Modells.
- Das Modell ist auch für KMU relevant und nicht nur für grosse Konzerne geeignet.
Prof. Dr. Thomas Rautenstrauch
Prof. Dr. rer. pol. Thomas Rautenstrauch ist Dozent für Controlling und Corporate Finance im Institut für Finance and Law der OST - Ostschweizer Fachhochschule. Er wirkt zudem seit 2007 als Dozent und Prüfungsexperte bei der ExpertSuisse für die Ausbildung zum dipl. Wirtschaftsprüfer und dipl. Steuerexperten sowie seit 2014 als Gastprofessor für Managerial Accounting im EMBA des MCI Management Center Innsbruck. Thomas Rautenstrauch ist Autor von mehreren Fachbüchern und zahlreichen Artikeln in Fachzeitschriften und in der Wirtschaftspresse.
Wie funktioniert das Drei-Linien-Verteidigungsmodell zur Risikobeurteilung in Unternehmen?
Das Modell «Three Lines of Defense»
Unter dem Begriff Three Lines of Defense werden Eskalationsstufen für die risikobezogenen Massnahmen und Aktivitäten subsumiert, über die eine Organisation die Beherrschung und Kontrolle ihrer Risiken sicherzustellen versucht. Dabei werden regelmässig drei Verteidigungslinien in Bezug zum Ort des Risikoeintritts unterschieden, wobei unterschiedliche Verantwortungsbereiche und Funktionen zugeordnet werden können:
1st Line of Defense
Dieser wird der operative Bereich zugeordnet, der dem Risiko am nächsten ist bzw. wo das Risiko auch unmittelbar eintreten kann. Die folgenden Aktivitäten können in dieser ersten Verteidigungslinie beobachtet werden:
- Betreiben von funktionierenden internen Kontrollen
- Durchführen von Risiken- und Kontrollaktivitäten
- Einführen von Weisungen und Abläufen
- Festlegung und Einführung von überwachenden Kontrollen durch Vorgesetzte
2nd Line of Defense
Die zweite Verteidigungslinie betrifft vor allem Stabsfunktionen innerhalb der Organisation, die bei der “Verteidigung” des Risikoeintritts Verantwortung übernehmen sowie bei der Risikobeherrschung aktiv mitwirken können bzw. sollten. Wesentliche Aktivitäten dieser Verteidigungslinie umfassen dabei:
- Ausarbeiten von Weisungen und Richtlinien sowie Definition von Rollen, Verantwortlichkeiten und Zielsetzungen
- Zurverfügungstellung von Risikomanagement-Rahmenkonzepten
- Identifikation von neuen und zukünftigen Handlungsfeldern
- Überwachung und bei Bedarf Anpassung des Risiko-Appetits der Organisation
- Unterstützung des Managements in der Festlegung von Prozessen und Kontrollen, um Risiken und Aktivitäten zu managen
Jetzt Member werden und weiterlesen:
- Unlimitierter Zugriff auf alle 1300 Arbeitshilfen
- Alle kostenpflichtigen Beiträge auf weka.ch frei
- Zugriff auf alle Videos
- Täglich aktualisiert
- Wöchentlich neue Inhalte und Arbeitshilfen
- Exklusive Spezialangebote
- News- & Update-Services
- Seminargutscheine
