Welche Rolle hat die Interne Revision im Enterprise Risk Management (ERM)?
Das Three-Lines-Model bildet einen zentralen Ordnungsrahmen für Governance, Risikomanagement und Compliance (GRC). Es fordert eine unabhängige und objektive Interne Revision. In der Praxis ist es jedoch keine Seltenheit, dass Revisionsleiter:innen auch das Enterprise Risk Management verantworten.
Geht das? Verliert man die Unabhängigkeit? Auf was ist zu achten?
Ein neues Positionspapier des The Institute of Internal Auditors schafft Klarheit über die Rolle der Internen Revision im ERM. Es zeigt, wie Aufgaben und Verantwortlichkeiten im Risikomanagement sinnvoll verteilt werden können und welchen Beitrag die Interne Revision dabei leistet.
Die zentrale Botschaft: Die Kernaufgabe der Internen Revision bleibt unverändert. Sie besteht darin, dem Aufsichtsorgan eine objektive Beurteilung der Wirksamkeit des Risikomanagements zu geben. Beratungsleistungen im Enterprise Risk Management sind legitim und wertvoll, vorausgesetzt, die Unabhängigkeit der Internen Revision wird durch geeignete Governance-Regelungen und Schutzmaßnahmen gewahrt.
Somit eine hilfreiche Orientierung für eine Konstellation, die in vielen Organisationen gelebte Praxis ist und häufig zu Unsicherheiten führt.
Ein Blick in das Positionspapier lohnt sich, insbesondere für Revisionsleiter:innen sowie Expert:innen aus Governance, Risikomanagement und Compliance.
Statement of Position: The Role of the Internal Audit Function in Enterprise Risk Management, 2026