Der DIIR-Revisionsstandard Nr. 2 nennt die Grundsätze für die Prüfung des Risikomanagementsystems durch die Interne Revision. Er ist, anders als die Global Internal Audit Standards, nicht verbindlich, sondern stellt lokale Empfehlungen des Instituts im Sinne eines Prüfungsleitfadens dar. Er kann zur Planung und Durchführung von Prüfungen der Wirksamkeit des Risikomanagementsystems auch in kleineren Organisationen angewendet werden.
Auf Vorschlag des gemeinsamen Arbeitskreises „Interne Revision und Risikomanagement“ von DIIR und Risk Management & Rating Association (RMA) wurde in der Version 2.2 jetzt ein neues Kapitel zur Prüfung von unternehmerischen Entscheidungen ergänzt. Bei diesen (zum Beispiel bedeutende Investitionen) fordert der Gesetzgeber, dass das Leitungsorgan auf Basis angemessener Informationen handelt, damit im Falle eines Schadeneintritts die Business Judgement Rule greifen kann und Mitglieder des Leitungsorgans nicht mangels Pflichtverletzung persönlich haften.
Die konkreten Anforderungen an die Fundierung einer Entscheidungsvorlage durch Informationen ergeben sich aus der Tragweite der Entscheidung für das Unternehmen.
Insbesondere ist bei der Entscheidungsvorbereitung aufzuzeigen, welche Chancen und Gefahren (Risiken) mit der beabsichtigten Entscheidung verbunden sind und wie sich der Risikoumfang durch die Entscheidung verändern würde. Die frühzeitige Erkennung möglicher bestandsgefährdender Entwicklungen, die sich aus Kombinationseffekten von Risiken ergeben, ist nur möglich, wenn die mit einer unternehmerischen Entscheidung verbundene Veränderung des Gesamtrisikoumfangs des Unternehmens betrachtet wird. Daher ist die infolge § 93 AktG notwendige entscheidungsorientierte Ausrichtung des Risikomanagements auch Prüfungsgegenstand.
Den DIIR-Revisionsstandard und ein Tool zur Durchführung der Prüfung des Entscheidungsprozesses bei unternehmerischen Entscheidungen im Excel-Format können Interessierte hier kostenlos herunterladen.