Eine Liste bewerteter Einzelrisiken reicht in der Regel nicht aus. Erst die Aggregation zeigt, ob mehrere Risiken gemeinsam den Bestand gefährden können. Können Sie im Prüfungstermin nachvollziehbar zeigen, wie diese Gesamtsicht entstanden ist? CRISAM® aggregiert über integrierte Monte-Carlo-Simulationen und liefert Kennzahlen wie Value-at-Risk und Expected Shortfall.
Stand: 23. September 2026
| Risiko | Bereich | Brutto | Netto |
|---|---|---|---|
| Ausfall eines Hauptkunden | Vertrieb | ||
| Preissprung bei Energie und Rohstoff | Einkauf | ||
| Längerer Ausfall der Fertigung | Produktion | ||
| Cybervorfall mit Produktionsstillstand | IT |
IDW PS 340 ist der Prüfungsstandard des Instituts der Wirtschaftsprüfer für die Prüfung des Risikofrüherkennungssystems nach § 317 Absatz 4 des Handelsgesetzbuchs. Er richtet sich an den Abschlussprüfer und beschreibt, woran dieser die Wirksamkeit eines solchen Systems misst. Maßgeblich ist die neue Fassung IDW PS 340 n.F. mit Stand 10. Januar 2022, veröffentlicht in IDW Life 3/2022 und angepasst an die neuen Grundsätze ordnungsmäßiger Abschlussprüfung.
Der Volltext des Standards ist beim Institut der Wirtschaftsprüfer kostenpflichtig erhältlich. Diese Seite gibt deshalb keine Textziffern wieder. Sie beschreibt, was Risikofrüherkennung in der Praxis leisten muss und wie sich das in CRISAM® abbilden lässt.
Identifikation und Bewertung lassen sich meist gut umsetzen. An der Aggregation entscheidet sich, ob das System belastbar ist.
Welche Risiken das Unternehmen überhaupt treffen können, über alle Bereiche hinweg und nicht nur dort, wo zuletzt etwas passiert ist.
Wie groß ist ein Risiko? Bewertet wird qualitativ, wo das ausreicht, und quantitativ, wo es auf Beträge ankommt.
Die Zusammenführung der Einzelrisiken zu einer Gesamtsicht. Erst hier wird sichtbar, ob mehrere Risiken gemeinsam bestandsgefährdend wirken können.
Die Information erreicht die Unternehmensleitung rechtzeitig und in einer Form, die eine Entscheidung ermöglicht.
Laufend wird kontrolliert, ob das System funktioniert und die Bewertungen noch der aktuellen Lage entsprechen.
Bei der Aggregation stoßen Tabellenlösungen an ihre Grenzen. Einzelrisiken lassen sich zwar addieren, das Ergebnis ist aber selten zutreffend: Risiken treten nicht gleichzeitig ein, sie hängen voneinander ab, und ihre Verteilungen sind selten symmetrisch.
Der Standard richtet sich an den Abschlussprüfer. Betroffen ist aber das Unternehmen, dessen System geprüft wird.
Ein einzelnes Risiko gefährdet ein Unternehmen selten. Gefährlich wird die Kombination: mehrere mittlere Risiken, die im selben Jahr eintreten, oder Risiken, die sich gegenseitig verstärken. Eine Aggregation, die Verteilungen und Abhängigkeiten berücksichtigt, macht genau das sichtbar. Eine einfache Summenbildung kann das nicht.
Wenn ein Konjunktureinbruch gleichzeitig den Absatz senkt, die Zahlungsmoral verschlechtert und einen Hauptkunden gefährdet, sind das nicht drei unabhängige Risiken. Wer sie unabhängig rechnet, unterschätzt das Gesamtrisiko.
Gefragt ist nicht nur das Ergebnis, sondern auch die Methodik und ihre Nachvollziehbarkeit: welche Bewertungen eingeflossen sind, aus welcher Periode sie stammen, wer sie freigegeben hat und wie daraus die Gesamtsicht entstanden ist.
Acht Anforderungen entlang der fünf Stufen. Jede davon muss im Prüfungstermin nicht nur vorhanden, sondern auch nachvollziehbar sein.
| Anforderung | Stufe | Worauf es ankommt | So bilden Sie es in CRISAM® ab |
|---|---|---|---|
| Risiken vollständig erfassen | Identifikation | Ein Verfahren, das Risiken über alle Bereiche hinweg systematisch erhebt, nicht nur dort, wo zuletzt etwas eingetreten ist | Risiken lassen sich über intuitive Assistenten strukturiert identifizieren und bewerten. Unternehmensstrukturen werden flexibel aus Risikoperspektive modelliert. |
| Angemessen bewerten | Bewertung | Die Bewertungsmethode muss zur Bedeutung des Risikos passen. Wo es auf Beträge ankommt, reicht eine reine Einstufung in Klassen nicht aus | Je nach Reifegrad stehen qualitative und quantitative Bewertungsmethoden zur Verfügung, auch über mehrere Perioden hinweg. |
| Wirkung der Maßnahmen zeigen | Bewertung | Erkennbar muss sein, wie hoch ein Risiko ohne und mit den vorhandenen Maßnahmen ist | Risiken werden in einer Brutto- und Nettosicht bewertet, um die Wirksamkeit der Maßnahmen transparent darzustellen. Maßnahmen zur Risikominimierung werden workflowgestützt geplant, umgesetzt und überwacht. |
| Risiken aggregieren | Aggregation | Einzelrisiken sind zu einer Gesamtsicht zusammenzuführen, damit erkennbar wird, ob mehrere Risiken gemeinsam bestandsgefährdend wirken können | Über integrierte Monte-Carlo-Simulationen werden Risiken nach moderner Methodik aggregiert. Kennzahlen wie Value-at-Risk oder Expected Shortfall unterstützen die Risikotragfähigkeitsanalyse. |
| Abhängigkeiten berücksichtigen | Aggregation | Risiken, die gemeinsam auftreten oder sich verstärken, dürfen nicht als unabhängig gerechnet werden | Korrelationen zwischen Risiken können bei der Aggregation berücksichtigt werden. |
| Bewertungen aktuell halten | Überwachung | Bewertungen müssen planmäßig überprüft und fortgeschrieben werden, mit erkennbarer Verantwortung | Die planmäßige Aktualisierung der Risikobewertungen durch Risikoverantwortliche erfolgt workflowgestützt, mit automatisierten Erinnerungen und individuell abbildbaren Freigabeprozessen. |
| An die Leitung berichten | Kommunikation | Die Information muss die Unternehmensleitung rechtzeitig und in entscheidungsfähiger Form erreichen | Interaktive Dashboards zeigen Risiken, Workflows, Maßnahmen und Aggregationsergebnisse. Risikoreports und Auswertungen zur Risikotragfähigkeit richten sich an Management und Entscheidungsträger. |
| Nachvollziehbar dokumentieren | Überwachung | Der Abschlussprüfer muss die Methodik und den Weg zum Ergebnis nachvollziehen können, nicht nur das Ergebnis sehen | Über die Historisierungsfunktion werden die Daten revisionssicher gespeichert. Ein individuelles Berechtigungskonzept steuert, welche Risiken und Maßnahmen ein Anwender sehen, bewerten und anlegen darf. |
Vom einzelnen Risiko bis zur Aussage, ob das Unternehmen die Gesamtrisikolage tragen kann.
Der Assistent führt durch die Erfassung. Ob qualitativ oder quantitativ bewertet wird, hängt davon ab, wie das Risiko wirkt, und nicht davon, was schneller erledigt ist.
Wo es auf Beträge ankommt, reicht eine reine Einstufung in Klassen nicht aus. Quantitative Bewertung ist die Voraussetzung für eine belastbare Aggregation.
Korrelationen früh hinterlegenAbhängigkeiten zwischen Risiken werden am Risiko festgehalten und wirken später in der Aggregation.
Verantwortung und TerminJedes Risiko hat einen Verantwortlichen und einen Termin zur Aktualisierung. Beides prüft der Abschlussprüfer.
Gegenübergestellt wird, wie hoch das Risiko ohne Maßnahmen wäre und wie hoch es mit ihnen ist. Die Differenz belegt die Wirkung der Maßnahmen.
| Risiko | Methode | Brutto | Maßnahmen | Netto | Aktualisiert |
|---|---|---|---|---|---|
| Ausfall eines Hauptkunden | quantitativ | 2 wirksam | 04.09.2026 | ||
| Preissprung bei Energie und Rohstoff | quantitativ | 3 wirksam | 04.09.2026 | ||
| Längerer Ausfall der Fertigung | quantitativ | 4 wirksam | 21.08.2026 | ||
| Cybervorfall mit Produktionsstillstand | quantitativ | 6 wirksam | 21.08.2026 | ||
| Abwanderung von Fachkräften | qualitativ | 2 wirksam | überfällig | ||
| Verzug bei einem Großprojekt | qualitativ | 1 wirksam | 12.06.2026 |
Die Monte-Carlo-Simulation berechnet und aggregiert Tausende mögliche Szenarien auf Basis von Verteilungen statt Mittelwerten, auf Wunsch mit Korrelationen. So entsteht eine Bandbreite möglicher Ergebnisse statt einer einzelnen Zahl.
| Risiko | Beitrag | Korreliert mit | Ohne Korrelation | Mit Korrelation |
|---|---|---|---|---|
| Ausfall eines Hauptkunden | Konjunktureinbruch | niedriger | maßgeblich | |
| Konjunktureinbruch | Absatz, Zahlungsausfall | niedriger | maßgeblich | |
| Preissprung bei Energie und Rohstoff | Konjunktureinbruch | vergleichbar | leicht höher | |
| Längerer Ausfall der Fertigung | keine hinterlegt | vergleichbar | vergleichbar | |
| Zahlungsausfall größerer Forderungen | Konjunktureinbruch | niedriger | höher |
Die Gesamtsicht wird der Risikotragfähigkeit gegenübergestellt. Daraus ergibt sich die Antwort auf die Frage des Aufsichtsrats: Kann das Unternehmen die Risikolage tragen?
| Szenario | Annahme | Aggregiertes Risiko | Deckungspotenzial | Ergebnis |
|---|---|---|---|---|
| Erwarteter Fall | Mittelwert der Simulation | gering | ausreichend | |
| Ungünstiger Fall | Konfidenzniveau 95 Prozent | mittel | ausreichend | |
| Sehr ungünstiger Fall | Konfidenzniveau 99 Prozent | hoch | knapp | |
| Extremfall mit Korrelation | Konjunktureinbruch und Kundenausfall | sehr hoch | nicht ausreichend | |
| Extremfall ohne Korrelation | dieselben Risiken, unabhängig gerechnet | hoch | knapp |
| Punkt | Wirkung | Verantwortlich |
|---|---|---|
| Korrelationen für drei Risiken nicht hinterlegt | Gesamtrisiko wird vermutlich unterschätzt | Risikomanagement |
| Deckungspotenzial aus dem Vorjahr | Aussage zur Tragfähigkeit nicht aktuell | Finanzen |
Bewertungen veralten. Der Workflow erinnert die Risikoverantwortlichen, dokumentiert die Freigabe und zeigt, was überfällig ist.
Am Ende steht der Bericht für Vorstand, Aufsichtsrat und Abschlussprüfer. Er zeigt nicht nur die Zahlen, sondern auch, wie sie zustande gekommen sind.
| Unterlage | Inhalt | Stand | Verantwortlich | Status |
|---|---|---|---|---|
| Risikoinventar | 87 Risiken mit Verantwortlichen | 04.09.2026 | Risikomanagement | |
| Bewertungsmethodik | qualitativ und quantitativ, je Kategorie | 18.02.2026 | Risikomanagement | |
| Aggregationsergebnis | Simulation mit Korrelationen | 04.09.2026 | Risikomanagement | |
| Risikotragfähigkeitsanalyse | fünf Szenarien | in Überarbeitung | Finanzen | |
| Nachweis der Aktualisierung | Workflows und Freigaben | laufend | Risikoverantwortliche | |
| Bericht an den Aufsichtsrat | Gesamtlage und Szenarien | geplant 12/2026 | Vorstand |
Verantwortung für das System, Entscheidung über Risikotragfähigkeit und Maßnahmen.
Methodik, Inventar, Aggregation, Bericht an die Leitung.
Bewertung und planmäßige Aktualisierung der eigenen Risiken.
Überwachung, Prüfung des Systems und seiner Nachvollziehbarkeit.
Ein Cybervorfall ist zugleich ein Informationssicherheitsrisiko und ein Unternehmensrisiko. Über die Integration der ESG-, IKS-, Audit- und Compliance-Module werden Zusammenhänge sichtbar, Silos aufgelöst und die Steuerungswirkung erhöht.
Mit dem Modul für integriertes Risikomanagement werden ISO 31000, IDW PS 340 und 981 sowie die ONR 49001 abgedeckt.
Die finanzielle Seite der doppelten Wesentlichkeit nach CSRD wird nach derselben Methodik bewertet und fließt in dieselbe Aggregation.
Die interne Revision leitet ihre Prüfungsprioritäten aus demselben Risikomodell ab, statt aus einer eigenen Liste.
CRISAM® lässt sich schrittweise weiterentwickeln, von einfachen Bewertungsmodellen bis zu quantitativen Analysen. Ein Systemwechsel ist dafür nicht nötig.
Beide behandeln Risikomanagement, aber sie richten sich an unterschiedliche Adressaten. IDW PS 340 ist ein Prüfungsstandard: Er legt fest, woran der Abschlussprüfer ein Risikofrüherkennungssystem misst. ISO 31000:2018 ist eine Leitlinie für die Organisation selbst und lässt sich ausdrücklich nicht für Zertifizierungszwecke verwenden. Wer nach ISO 31000 arbeitet, erfüllt damit nicht automatisch die Erwartungen der Prüfung.
| Kriterium | IDW PS 340 n.F. | ISO 31000:2018 |
|---|---|---|
| Art | Prüfungsstandard des Instituts der Wirtschaftsprüfer | Internationale Leitlinie, zweite Ausgabe, Februar 2018 |
| Adressat | Der Abschlussprüfer | Die Organisation selbst |
| Gegenstand | Die Prüfung des Risikofrüherkennungssystems nach § 317 Absatz 4 des Handelsgesetzbuchs | Grundsätze und Leitlinien für das Risikomanagement |
| Verbindlichkeit | Maßgeblich für die Prüfung, damit mittelbar für das geprüfte Unternehmen | Freiwillig, ausdrücklich nicht für Zertifizierungszwecke verwendbar |
| Schwerpunkt | Die Prüfung des Risikofrüherkennungssystems, von der Identifikation bis zur Überwachung | Umfassender Ansatz von der Identifikation über Analyse, Bewertung und Behandlung bis zu Überwachung und Kommunikation |
| Was am Ende steht | Ein Prüfungsurteil zur Wirksamkeit des Systems | Ein Rahmen, an dem sich die Organisation messen kann |
| Abbildung in CRISAM® | Bewertung, Aggregation per Monte-Carlo-Simulation, Workflows, revisionssichere Historie | Dieselben Stufen, an den Grundsätzen der Leitlinie ausgerichtet |
ISO 31000 gibt der Organisation den Rahmen, IDW PS 340 der Prüfung den Maßstab. Die beiden widersprechen sich nicht, sind aber auch nicht deckungsgleich: Die Aggregation, die für die Prüfung entscheidend ist, hat in der Leitlinie nicht dasselbe Gewicht. Mit dem Modul für integriertes Risikomanagement werden ISO 31000, IDW PS 340 und 981 sowie die ONR 49001 abgedeckt. Eine Übersicht aller Regelwerke finden Sie unter Normen und Standards.
Der erste Schritt hängt davon ab, wo Sie heute stehen.
Sie beginnen mit dem Import. Bestandsdaten lassen sich über eine csv- oder Rest-API-Schnittstelle übernehmen. Danach sind Bewertung, Maßnahme und Verantwortung mit einem Objekt verknüpft statt in einer Tabellenzeile erfasst.
Dann ist die Aggregation der nächste Schritt. Voraussetzung ist, dass die wesentlichen Risiken quantitativ bewertet sind. Danach berechnet die Monte-Carlo-Simulation Tausende mögliche Szenarien auf Basis von Verteilungen, auf Wunsch mit Korrelationen, statt Einzelwerte zu summieren.
Dann steht der Workflow im Mittelpunkt. Die planmäßige Aktualisierung läuft mit automatisierten Erinnerungen und abbildbaren Freigabeprozessen statt über eine jährliche Sammelmail.
Sie benötigen dafür die CRISAM® GRC Plattform und das CRISAM® IRM Modul. In der Demo besprechen wir Ihre Ausgangslage und zeigen, was davon bei Ihnen bereits vorhanden ist.
IDW PS 340 ist der Prüfungsstandard des Instituts der Wirtschaftsprüfer für die Prüfung des Risikofrüherkennungssystems nach § 317 Absatz 4 des Handelsgesetzbuchs. Er richtet sich an den Abschlussprüfer und beschreibt, woran dieser die Wirksamkeit eines solchen Systems misst. Maßgeblich ist die neue Fassung IDW PS 340 n.F. mit Stand 10. Januar 2022, veröffentlicht in IDW Life 3/2022 und angepasst an die neuen Grundsätze ordnungsmäßiger Abschlussprüfung.
Es gilt die neue Fassung IDW PS 340 n.F. mit der Versionsangabe 01.2022. Sie trägt den Titel „Die Prüfung des Risikofrüherkennungssystems“ und wurde in IDW Life 3/2022 veröffentlicht. Anlass der Neufassung waren die neuen Grundsätze ordnungsmäßiger Abschlussprüfung.
Beide behandeln Risikomanagement, aber sie richten sich an unterschiedliche Adressaten. IDW PS 340 ist ein Prüfungsstandard: Er legt fest, woran der Abschlussprüfer ein Risikofrüherkennungssystem misst. ISO 31000:2018 ist eine Leitlinie für die Organisation selbst und lässt sich ausdrücklich nicht für Zertifizierungszwecke verwenden. Wer nach ISO 31000 arbeitet, erfüllt damit nicht automatisch die Erwartungen der Prüfung.
Weil das Ergebnis selten zutrifft. Risiken treten nicht alle gleichzeitig ein, sie hängen voneinander ab, und ihre Verteilungen sind selten symmetrisch. Eine Summe über Einzelwerte bildet keines dieser drei Merkmale ab. Sie kann das Gesamtrisiko ebenso überzeichnen wie unterschätzen, je nachdem, welche Annahme hinter den Einzelwerten steht.
Risikoaggregation bedeutet, die bewerteten Einzelrisiken zu einer Gesamtsicht zusammenzuführen. Erst dort wird sichtbar, ob mehrere Risiken gemeinsam den Bestand des Unternehmens gefährden können. In CRISAM® werden Risiken über integrierte Monte-Carlo-Simulationen nach moderner Methodik aggregiert. Kennzahlen wie Value-at-Risk oder Expected Shortfall unterstützen die Risikotragfähigkeitsanalyse.
Über Korrelationen. Wenn ein Konjunktureinbruch gleichzeitig den Absatz senkt, die Zahlungsmoral verschlechtert und einen Hauptkunden gefährdet, sind das keine drei unabhängigen Risiken. In CRISAM® können Korrelationen zwischen Risiken bei der Aggregation berücksichtigt werden, damit die Gesamtsicht die gemeinsame Wirkung abbildet.
Indem sie planmäßig aktualisiert werden und nicht über eine jährliche Sammelmail. In CRISAM® erfolgt die planmäßige Aktualisierung der Risikobewertungen durch die Risikoverantwortlichen workflowgestützt, mit automatisierten Erinnerungen und individuell abbildbaren Freigabeprozessen. Über die Historisierungsfunktion bleibt nachvollziehbar, welcher Stand wann gegolten hat.
Entscheidend ist, ob Identifikation, Bewertung, Aggregation und Berichterstattung in einem gemeinsamen Modell verknüpft sind. CRISAM® modelliert Unternehmensstrukturen aus Risikoperspektive, bewertet qualitativ und quantitativ in einer Brutto- und Nettosicht, aggregiert per Monte-Carlo-Simulation und dokumentiert Änderungen historisiert. Mit dem Modul für integriertes Risikomanagement werden ISO 31000, IDW PS 340 und 981 sowie die ONR 49001 abgedeckt. Bestandsdaten lassen sich über eine csv- oder Rest-API-Schnittstelle übernehmen.
Die Angaben zum Standard auf dieser Seite stammen aus den folgenden Quellen. Der Volltext des Standards ist kostenpflichtig, deshalb werden keine Textziffern wiedergegeben.
Die Angaben geben den Stand der genannten Quellen zum oben angeführten Prüfstand wieder.
In der Demo gehen wir Ihren Fall durch: Risikoinventar, Brutto- und Nettobewertung, Aggregation per Monte-Carlo-Simulation, Korrelationen und den Bericht an die Unternehmensleitung.
Bleiben wir in Kontakt
Telefon
Newsletter
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen
