Risk Assessment aus forensischer Sicht

Wenn es um Betrug, Betrugsbekämpfung und Krisenmanagement geht, sprechen die Zahlen eine deutliche Sprache. Laut der PwC-Studie „Global Economic Crime and Fraud Survey 2018“¹ gaben weltweit 49% der Unternehmen an, Opfer von Betrug und Wirtschaftskriminalität geworden zu sein. Dabei betrug der durchschnittliche Schaden in West-Europa je Wirtschaftskriminalitätsfall laut der ACFE Studie „Report to the Nations“² rund 180.000 Euro. Darüber hinaus erwarten laut der PwC-CEO-Umfrage 2019³ drei von vier CEOs mindestens eine Krise innerhalb der nächsten drei Jahre.

Können sich Unternehmen auf das Unvorhersehbare vorbereiten?

Um sich als Unternehmen auf das Unvorhersehbare möglichst gut vorzubereiten, ist adäquates Risk Assessment (zu Deutsch Risikoanalyse) ein wesentlicher Bestandteil der Vorbereitungen. Im Hinblick auf Fraud ist Risk Assessment als systematische Analyse zur Bewertung von Risiken anhand von Kriterien wie Eintrittswahrscheinlichkeit und potenzieller Schadenshöhe zu verstehen. Dadurch können negative Auswirkungen minimiert oder sogar im Vorhinein verhindert werden. Welche Faktoren dabei für Unternehmen relevant sind und welche Maßnahmen Sie setzen können, steht im Fokus dieses Artikels.

In einem Risk-Assessment-Prozess können Risiken nach externen und internen Faktoren eingestuft werden. Unternehmen können Opfer von externen Betrügern wie Hackern oder Opfer von internen Personen wie den eigenen Mitarbeitern werden. Die Forensik spricht im Zusammenhang mit Risk Assessment von Betrugsprävention und der Bekämpfung von Wirtschaftskriminalität. Der Sammelbegriff Fraud steht dabei für verschiedene Arten von Wirtschaftskriminalität. Fraud umfasst ein sehr breites Deliktspektrum, dazu zählen ua Computerkriminalität, Diebstahl geistigen Eigentums, Insiderdelikte, Bilanzfälschung, Korruption, Untreue, Geldwäsche und Spesenbetrug. Konkret handelt es sich um Taten, die innerhalb eines Unternehmens entweder im Zusammenhang mit der Überschreitung oder der Vortäuschung von Befugnissen und dem Ausnützen von gewonnenem Know-how oder durch Personen in Führungspositionen, die interne Kontrollmechanismen umgehen können, begangen werden.

Bewusstsein schaffen – Wirtschaftskriminalität verstehen

Bei einem Risk Assessment ist es aus forensischer Sicht notwendig, sich zunächst mit den Hinter­gründen von Fraud-Vorfällen auseinanderzusetzen. Um mehr über die Hintergründe und die Motive zu erfahren, hat sich als Erklärungsansatz das sogenannte „Fraud Triangle“ oder auch „Betrugs­dreieck“ durchgesetzt. Donald Ray Cressey, ein US-amerikanischer Soziologe und Kriminologe, hat hierfür drei generische Merkmale, die in Verbindung mit Wirtschaftskriminalität zum Tragen kommen, identifiziert. In diesem Modell gilt folgende Annahme: Für eine fraudulente Handlung ist die erste Voraussetzung, dass eine Person eine Motivation (bspw Schulden) hat, die sie zu einer dolosen Handlung verleitet. Zusätzlich muss die Gelegenheit zur Begehung der Tat gegeben sein (bspw nicht ausreichende Kontrollen). Das dritte Merkmal befasst sich mit der inneren Rechtfertigung (bspw „ich tue das nur einmal“) wodurch individuelle Hemmschwellen gesenkt werden können.

Das nachfolgende Beispiel dient zur Visualisierung der Anwendungsmöglichkeiten des Betrugsdrei­ecks anhand eines fiktiven Falls. Ein langjähriger Mitarbeiter der Buchhaltung, der Spielschulden hat, wird bei einer Beförderung übergangen. Seiner Meinung nach steht ihm jedoch die Beförderung und die daraus resultierende Gehaltserhöhung zu. Durch diese persönliche Einstellung beginnt der Buchhalter seine innere Rechtfertigung für dolose Handlungen aufzubauen. Als langjährigem Mitarbeiter in der Buchhaltung sind ihm Lücken im internen Kontrollsystem („IKS“) bekannt, und er beginnt gefälschte Reisekostenabrechnungen zu verbuchen, die ihm auf sein privates Konto über­wiesen werden. Durch die Lücken im IKS bekommt er die Gelegenheit, dolose Handlungen durch­zuführen und das Unternehmen zu schädigen. Als Motivation für sein Vorgehen dient die Begleichung seiner Spielschulden, da er sonst keine andere Möglichkeit hat, diese zu bezahlen.

Weitere Ursachen von wirtschaftskriminellem Verhalten können zum Beispiel mangelndes Unrechtsbewusstsein, Erfolgsdruck, Zeitdruck, fehlende Trainings, finanzieller Druck, fehlende Leit- bzw Vorbilder im Management, keine, zu wenige oder mangelhafte Kontrollen, fehlende Sanktionierung von Fehlverhalten und mangelhafte oder gar fehlende Leitlinien sein.

Ein adäquates Risk Assessment kann in Unternehmen besonders den Faktor „Gelegenheit“ des Betrugsdreiecks adressieren. Durch die Auseinandersetzung mit potenziellen Schwachstellen, die es ermöglichen, dem Unternehmen Schaden zuzufügen, können dolose Handlungen bereits im Vorhinein verhindert bzw deren Auftreten minimiert werden. Auf die Faktoren „Motivation“ und „Rechtfertigung“ können Unternehmen schwerer Einfluss nehmen, da sie die persönliche Einstellung von Mitarbeitern betreffen und dem Unternehmen in den meisten Fällen nicht bekannt sind.

Fraud kann viele verschiedene Formen annehmen und wird nicht immer sofort erkannt. Ein gutes Risk Assessment kann jedoch Unternehmen dabei helfen, Risiken frühzeitig zu erkennen, diese richtig einzustufen und ihnen entgegenzuwirken.

Konkrete Analysen im Risk Assessment

Welche konkreten Risikofelder spielen im Risk Assessment eine Rolle? Je nach Unternehmen gibt es verschiedene Bereiche, die je nach Risiko Auswirkungen auf den Risk-Assessment-Prozess haben. Die nachfolgende Beschreibung gibt Ihnen eine Übersicht, wie ein gesamtheitlicher Risk-Assessment-Prozess durchgeführt werden kann. Der Risk-Assessment-Prozess (siehe Abbildung 2) ist iterativ und sollte in auf das Unternehmen abgestimmten Intervallen wiederholt bzw aktualisiert werden, da sich unternehmensspezifische Risiken schnell ändern können.

In der ersten Phase müssen potenzielle Risiken für Fraud identifiziert werden. Diese sind je nach Unternehmen in unterschiedlichen Gebieten zu finden. Die nachfolgende Auflistung zeigt Ihnen exemplarisch einige Beispiele, die aus unserer Erfahrung wichtige Bereiche im Identifikationsprozess des Risk Assessment sind:

• Freigabegrenzen: Welche Freigabegrenzen sind im Unternehmen implementiert? Können diese Grenzen „ausgehebelt“ bzw auf eine andere Art und Weise umgangen werden?

• Interne Kontrollsysteme: Welche internen Kontrollsysteme kommen im Unternehmen zum Einsatz? Reichen die bereits implementierten Kontrollsysteme aus, oder müssen diese an neue Geschäftsprozesse angepasst werden? Wie hoch ist das Gesamtrisiko für das Worst-Case-Szenario, wenn ein internes Kontrollsystem versagt?

• Provisionen: Gibt es Anreizsysteme für Mitarbeiter im Unternehmen? Von welchen Faktoren sind diese abhängig und wie sind die Faktoren gegen Manipulation gesichert?

• Cyber-Risiken und Social Engineering: Wie gut ist das Unternehmen gegen Angriffe aus dem Cyberbereich geschützt? Gibt es Maßnahmen gegen einen sogenannten Fake President Fraud⁴ und wie effektiv sind diese umgesetzt?

Nach der Identifikation der potenziellen Risiken werden in einer zweiten Phase die Wahrscheinlichkeiten eingestuft. Als Empfehlung kann hier ein dreistufiger Ansatz angewendet werden. Risiken können ihrer Eintrittswahrscheinlichkeit nach als unwahrscheinlich, wahrscheinlich und sehr wahrscheinlich einstuft werden. Bei dieser Einstufung können Erfahrungswerte aus bisherigen Risk Assessments einfließen. Zudem können bereits implementierte Maßnahmen in der Einstufung berücksichtigt werden, womit die Eintrittswahrscheinlichkeit reduziert werden kann.

In der dritten Phase des Risk-Assessment-Prozesses werden die identifizierten Bedrohungen nach deren Vertretbarkeit eingestuft. Ein vertretbares Risiko ist, wenn das Risiko keinen wesentlichen monetären Schaden oder andere Schäden⁵ im Unternehmen im Eintrittsfall verursacht. Eine mögliche Skala der Einstufung wäre, Risiken und deren Schadenspotenzial nach geringfügig – mäßig – wesentlich einzustufen. Es obliegt jedem Unternehmen, diese Einstufung an die eigenen Prozesse und Gegebenheiten anzupassen. Die nachfolgende Grafik stellt exemplarisch eine Risk-Assessment-Matrix inklusive beispielhafter Risikofelder dar. Hier werden Risiken in die drei zuvor beschriebenen Kategorien der Eintrittswahrscheinlichkeit und Vertretbarkeit eingeteilt und dargestellt.

Die aus dem Risk Assessment gewonnenen Erkenntnisse sollten in konkrete Maßnahmen umgesetzt werden. Dabei ist es ratsam, zunächst aus jenen Risiken, die eine hohe Eintrittswahrscheinlichkeit haben und zudem eine hohe Auswirkung haben können, Verbesserungsmaßnahmen abzuleiten. Der Risk-Assessment-Prozess ist ein iterativer Prozess, der in regelmäßigen Abständen gesamtheitlich durchgeführt werden sollte. Interne Kontrollsysteme sind langjährigen Mitarbeitern gut bekannt und können von diesen somit leichter umgangen werden. Eine kontinuierliche Auseinandersetzung mit bestehenden Kontrollen und Prozessen im Rahmen des Risk Assessment kann die Risiken im Bereich Fraud somit minimieren.

Seien Sie den anderen einen Schritt voraus

Laut der Global Economic Crime and Fraud Survey 2018⁶ gehen viele Unternehmen immer noch mit einem reaktiven, defensiven Ansatz gegen Betrug vor:

• Nur 54% der Unternehmen gaben an, dass sie in den letzten zwei Jahren eine allgemeine Betrugs- oder Wirtschaftskriminalitätsrisikobewertung durchgeführt haben.

• Weniger als die Hälfte gab an, eine Risikobewertung hinsichtlich Cyberkriminalität durchgeführt zu haben.

• Weniger als ein Drittel sagte, dass ihr Unternehmen Risikobewertungen in den kritischen Bereichen Antikorruption, Anti-Geldwäsche oder Sanktionen und Exportkontrollen durchführt.

• Jede/r zehnte Befragte führte in den letzten zwei Jahren überhaupt keine Risikobewertungen durch.

Je besser ein Unternehmen für den Umgang mit solchen Ereignissen gewappnet ist, desto geringer ist die Wahrscheinlichkeit, dass dieses Unternehmen Opfer einer weitreichenden Krise wird. Spezielle Business-Impact-Analysen bieten die Chance, potenzielle Risiken bzw Bedrohungen zu analysieren, professionell zu bewerten und erforderliche Maßnahmen abzuleiten. Durch Tests, Simulationen und Trainings sollten bereits bestehende Risk-Assessment-Systeme evaluiert und beurteilt werden. Auf Wirtschaftskriminalität spezialisierte forensische Expertinnen und Experten können dabei helfen, Notfallpläne zu erarbeiten, Abläufe zu trainieren und diese im Unternehmen zu kommunizieren.

Autoren

Patrick Göschl MA MA

Patrick Göschl, MA MA ist Senior Manager im Bereich Forensics bei PwC und verfügt über umfangreiche Erfahrung in der Durchführung von forensischen Sonderuntersuchungen sowie in der Implementierung ...

Mag. Louise-Marie Petrovic

Louise-Marie Petrovic ist eine auf Straf- und Kriminalwissenschaften spezialisierte Juristin, zertifizierter Compliance Officer und zertifizierte Risikomanagerin. Aktuell ist sie beim Bundesamt zur...

Daniel Petsch BA

Daniel Petsch, BA ist bei PwC Österreich als Senior Associate im Bereich Forensic Services tätig. Er führte mehrere forensische Sonderuntersuchungen und Compliance Reviews im internationalen Umfeld...