Kapitalmarktorientierte Unternehmen sind zu einem Risikomanagement-Bericht im Lagebericht verpflichtet. Die Empfehlung des DCGK ist, die wesentlichen Merkmale des gesamten internen Kontrollsystems und des Risikomanagementsystems zu beschreiben. Deshalb lassen Unternehmen häufig neben dem Bericht auch die Systeme selbst durch den Wirtschaftsprüfer prüfen.