Das COSO-Framework ist ein Mittel zum Entwerfen, Implementieren und Bewerten von Kontrollen innerhalb einer Organisation. Die fünf Komponenten des COSO-Rahmenwerks sind Kontrollumfeld, Risikobewertung, Kontrollaktivitäten, Information und Kommunikation sowie Überwachungsaktivitäten. Als Instrument für das Betrugsrisikomanagement können Unternehmen interne Kontrollverfahren entwerfen, implementieren und bewerten.
Das COSO-Framework verstehen
Laut der Association of Certified Fraud Examiners ist eine schwache interne Kontrolle die Ursache für fast 50 % aller Betrugsfälle in Unternehmen.
Um ein starkes und effektives internes Kontrollsystem zu entwickeln, wurde das COSO-Rahmenwerk vom Committee of Sponsoring Organizations of the Treadway Commission (COSO) geschaffen.
Der Ausschuss setzt sich aus Vertretern verschiedener Branchen zusammen, darunter Rechnungswesen, Finanzen und Wirtschaftsprüfung.
Gemeinsam entwickelt der Ausschuss Verfahrensleitlinien, die Unternehmen bei der Risikobewertung unterstützen. Dadurch werden interne Kontrollen verstärkt, um die Wahrscheinlichkeit von Betrug zu verringern.
Was macht die interne Kontrolle aus? Wie ist es definiert?
Das COSO-Rahmenwerk besagt, dass die interne Kontrolle ein „Prozess ist, der vom Vorstand, der Geschäftsleitung und anderen Mitarbeitern einer Einheit durchgeführt wird und darauf abzielt, eine angemessene Sicherheit für das Erreichen von Zielen zu bieten“ in den folgenden Kategorien:
- Operative Effektivität und Effizienz. Dazu gehören Leistungsziele und die Sicherung von Vermögenswerten vor potenziellem Betrug.
- Rechnungslegungspflicht – ob intern oder extern. Transparenz, Pünktlichkeit und Zuverlässigkeit sind unabdingbar.
- Einhaltung von Gesetzen und Vorschriften.
Die fünf Komponenten des COSO-Frameworks
Fünf Komponenten arbeiten zusammen, um ein effektives internes Kontrollsystem bereitzustellen und gleichzeitig die Vision, Ziele oder Ziele des betreffenden Unternehmens zu unterstützen.
Lassen Sie uns einen genaueren Blick auf jedes einzelne werfen.
1 – Kontrollumgebung
Dies umfasst die Standards oder Prozesse, die die interne Kontrolle in einer Organisation vorschreiben.
Typischerweise gibt das obere Management den Ton hinsichtlich der Bedeutung der Einrichtung und Aufrechterhaltung interner Kontrolle an.
Dies schafft ein Umfeld, das talentierte Personen anzieht, entwickelt und dann hält.
Es gibt auch Rechenschaftspflicht für die Leistung und Belohnungen und Anreize werden routinemäßig gegeben, wo dies angemessen ist.
Bis zu einem gewissen Grad erstreckt sich das Kontrollumfeld auch auf ethische Werte und organisatorische Struktur.
2 – Risikobewertung
Jedes Unternehmen geht mit Risiken um, aber nicht alle gehen effektiv mit Risiken um.
Diejenigen mit robuster interner Kontrolle werden jedes Risiko gemäß dem Grad der Bedrohung der Unternehmensziele und etablierten Risikotoleranzen bewerten.
Wichtig ist, dass Unternehmen interne Überlegungen anstellen müssen funktioniert externe Risiken, die die interne Kontrolle schwächen können.
3 – Kontrollaktivitäten
Sobald Risiken identifiziert wurden, müssen Richtlinien und Verfahren entwickelt werden, um sie zu mindern.
Diese sogenannten „Kontrollaktivitäten“ müssen in der gesamten Organisation implementiert werden, um ihr dabei zu helfen, erklärte Ziele zu erreichen, ohne unnötige Risiken einzugehen.
Hier wird die interne Kontrolle durch Autorisierungen, Genehmigungen, Überprüfungen und Leistungsüberprüfungen aufrechterhalten. Wenn möglich, sollten die Aufgaben der Mitarbeiter auch entsprechend der Erfahrung oder dem Qualifikationsniveau getrennt werden.
4 – Information und Kommunikation
Die COSO-Rahmenprinzipien tragen dazu bei sicherzustellen, dass alle internen und externen Kommunikationen den Unternehmensverfahren und weiteren Unternehmenszielen entsprechen.
Informationen dürfen auch nur dann verbreitet werden, wenn dies angemessen ist. Beispielsweise sollte eine neue Richtlinie jedem Mitarbeiter in der Organisation mitgeteilt werden.
Aktienkursrelevante Informationen sollten jedoch bis zur Freigabe an den Markt dem oberen Management vorbehalten bleiben.
5 – Überwachungstätigkeiten
Die Überwachung von Kontrollen ist genauso wichtig – wenn nicht sogar wichtiger – als sie zu etablieren.
Eine regelmäßige Bewertung sollte in alle Geschäftspraktiken integriert werden, um sicherzustellen, dass die Kontrollen aufrechterhalten werden.
Extern ist die Finanzberichterstattung besonders wichtig, um Betrug zu verhindern.
COSO-Framework-Beispiel
Die Entwicklung des COSO-Frameworks ist ein komplexer und detaillierter Prozess, daher konzentrieren wir uns zum Abschluss dieses Artikels auf ein einzelnes Beispiel.
In diesem Fall haben wir uns von einem Implementierungsleitfaden inspirieren lassen, der 2019 von der COSO-Koalition selbst für die Gesundheitsbranche herausgegeben wurde.
Krankenhäuser müssen eine beträchtliche Anzahl von Gesetzen und anderen Richtlinien einhalten.
Zusätzlich zu den Gesetzen, die sich auf die Patientenversorgung beziehen, müssen sie von dem Moment an, in dem der Patient das Gebäude betritt, bis zu dem Moment, in dem er entlassen und abgerechnet wird, konform sein.
Wenn einer dieser internen Prozesse nicht ordnungsgemäß funktioniert, kann das Krankenhaus die erbrachten Leistungen nicht erstatten oder ist teilweise in seiner Leistungsfähigkeit stark eingeschränkt.
Dies hat offensichtliche Auswirkungen auf die finanzielle Leistung und den organisatorischen Erfolg – insbesondere für Gesundheitseinrichtungen, die privat geführt werden und keine staatliche Unterstützung erhalten.
Da jedoch alle Krankenhäuser auf die Einhaltung und Koordination zahlreicher Abteilungen und Interessengruppen angewiesen sind, um eine angemessene Versorgung zu gewährleisten, gibt es keine Institution, die nicht von einem robusten internen Kontrollsystem profitieren würde.
Lassen Sie uns einen Blick darauf werfen, wie das COSO-Framework in einer Gesundheitsorganisation in fünf wichtigen Phasen implementiert werden kann.
Phase 1 – Planung und Umfang
Laut COSO besteht die erste Phase aus drei Komponenten, die spezifisch für Gesundheitskontexte sind:
- Orientierung – Zu Beginn muss die Geschäftsführung die Initiative voll unterstützen und mit starken, konsistenten Botschaften an den Rest der Organisation kommunizieren. Dies wird in großen und komplexen Gesundheitsorganisationen, die mehrere Fusionen und Übernahmen durchlaufen haben, als wichtig angesehen.
- Planung – Da es in Krankenhäusern häufig konkurrierende Prioritäten gibt, sollten die Zeitpläne flexibel und anpassungsfähig sein.
- Scoping – In Gesundheitsorganisationen sollte sich das Scoping des Risikomanagements auf die Qualität der Versorgung, Patienten- und Mitarbeitersicherheit, IT-Kapazität, Compliance und Cybersicherheit konzentrieren.
Phase 2 – Bewertung und Dokumentation
Wie bei den meisten anderen Organisationen hängt die bestehende Kontrollstruktur eines Krankenhauses von Variablen wie Größe, Standort und verschiedenen staatlichen oder föderalen Anforderungen ab. Einige Aspekte, die für das Gesundheitswesen relevanter sind, sind:
- Zentralisierte vs. dezentrale Systemstruktur – Ob die Systemstruktur zentralisiert oder dezentralisiert ist, beeinflusst den Implementierungsansatz. Dies kann die betrachteten Abteilungen, die Anzahl der zu befragenden Mitarbeiter und die Anzahl der zu besuchenden Standorte des Krankenhaussystems umfassen. Einige Gesundheitsorganisationen mit globaler Präsenz finden es möglicherweise auch nützlich, Prozesskarten zu erstellen, um die steuerungsbedingte Variabilität zu veranschaulichen. Dies wiederum ermöglicht es dem Management, Fehlzeiten und Reiseunterbrechungen für wichtige Mitarbeiter zu minimieren.
- Betrugsrisikobewertung – Krankenhäuser sind vor Betrug nicht gefeit. Einige der häufigsten Betrugsfälle stehen im Zusammenhang mit dem Diebstahl von Medikamenten und Verbrauchsmaterialien, der Rechnungsstellung von Patienten für nicht durchgeführte Eingriffe und dem unbefugten Zugriff auf vertrauliche Patientendaten.
- Lückenbewertung – Als Beispiel für fehlende Kontrollen sei der Prozess zur Verbesserung der klinischen Dokumentation (CDI) betrachtet. Einige Krankenhaussysteme führen möglicherweise eine CDI-Überprüfung durch, bevor die Arztrechnung an den Patienten gesendet wird, wobei diese Schwäche zu erheblichen Fehlern bei der Finanzberichterstattung führt.
Phase 3 – Sanierungsplanung und -umsetzung
Sobald alle Lücken bewertet und die Mängel identifiziert und bewertet wurden, kann die Gesundheitsorganisation mit dem Prozess der Behebung und dem Entwurf des Aktionsplans beginnen.
Sanierungspläne in Krankenhäusern sind in der Regel komplex und erfordern möglicherweise die Zusammenarbeit mehrerer Prozesse, Mitarbeiter, Systeme und Drittanbieter.
Diese Pläne erfordern auch, dass das Management zusätzliche Zeit und Aufmerksamkeit für die Sicherstellung ihrer erfolgreichen Umsetzung aufwendet.
Phase 4 – Entwurf, Test und Berichterstattung von Kontrollen
In der vierten Phase wählt die Gesundheitsorganisation Kontrollen zum Testen aus und entwirft dann die Tests für jede Kontrolle. COSO befürwortet in diesen Kontexten zwei Haupttestmethoden:
- Beobachtung – wo das Team die tatsächliche Leistung der Kontrolle beobachtet. Diese Methode eignet sich gut für Echtzeit-Fehlermeldungen, wie z. B. eine Patientenakte, die eine „nicht autorisierte“ Fehlermeldung zurückgibt. Die Beobachtung ist auch nützlich, um das Kontrolldesign für manuelle Prozesse zu validieren, da sie feststellen kann, ob schriftliche Verfahren in der Praxis buchstabengetreu befolgt werden.
- Dokumentationsprüfung – wo die gesamte Population von Aktivitäten oder Transaktionen verstanden wird, die eine Kontrollleistung erfordern. Wenn beispielsweise eine Kontrolle besagt, dass Journaleinträge von qualifiziertem Personal überprüft und genehmigt werden müssen, würden Tests die von der Kontrolle generierten unterstützenden Nachweise untersuchen. Mit anderen Worten, der Nachweis, dass der Journaleintrag tatsächlich vor seiner Eintragung überprüft und genehmigt wurde.
Phase 5 – Optimierung der Wirksamkeit interner Kontrollen
In der letzten Phase optimiert die Gesundheitsorganisation ihr internes Kontrollsystem, indem sie kontinuierlich sicherstellt, dass es an ihrer Vision ausgerichtet ist, Mission, Strategien und Ziele.
Es ist auch wichtig, eine Mischung aus präventiven und aufdeckenden Kontrollen zu wählen, und das Gleiche gilt auch für manuelle und automatisierte Kontrollen.
Ein Beispiel für eine manuelle Kontrolle in einem Krankenhaus ist die Dokumentationsprüfung, die von einem CDI-Spezialisten bei der Interaktion mit Patientenakten oder Bildschirmen für elektronische Patientenakten (EHR) durchgeführt wird.
Diese Kontrolle muss die Vollständigkeit, Genauigkeit und Angemessenheit der Informationen überprüfen, da das Risiko ungenauer Informationen, wie wir eingangs besprochen haben, zu Unzufriedenheit des Patienten, Nichteinhaltung und finanziellen Verlusten führen kann.
Die zentralen Thesen
- Das COSO-Framework ist ein Betrugsrisikomanagement-Tool, mit dem Unternehmen interne Kontrollverfahren entwerfen, implementieren und bewerten.
- Das COSO-Framework leitet die Best Practices für die betriebliche Effektivität, die Finanzberichterstattung und die Einhaltung gesetzlicher oder behördlicher Vorschriften.
- Das COSO-Framework besteht aus fünf Kernkomponenten. In Kombination ermöglichen sie es einem Unternehmen, die interne Kontrolle aufrechtzuerhalten, ohne die Fähigkeit zu opfern, Ziele zu erreichen oder Unternehmenswerte aufrechtzuerhalten.
Verbundene Analyse-Frameworks
Fehlermöglichkeits- und Einflussanalyse



























Andere verwandte Geschäftsrahmen:
- AIDA-Modell
- Ansoff-Matrix
- Business Analysis
- Business Model Canvas
- Frameworks für Geschäftsstrategien
- Blaue Ozean Strategie
- VRIO-Framework
Zusätzliche Ressourcen: