Risk, Governance & Compliance

Trügerische Sicherheit im Compliance Management?

Welche Ziele verfolgt ein Compliance Management System?zum Download

Ist das Compliance Management System tatsächlich sicher?

Welche Art der Wirksamkeitsprüfung des Compliance Management Systems (nicht zu verwechseln mit "Compliance-Audits" wird durchgeführt?

Diese und andere Fragen stellt eine aktuelle Studie, die Klaus-Dieter Krause, Partner der compliance-net GmbH, interpretiert und in einen Kontext rückt.

Das Dokument steht zum Download zur Verfügung und beinhaltet eine Reihe von Quellenangaben und weiterführende Links.

Update: Zu einer Standortbestimmung einzelner Compliance-Bereiche, lesen Sie hier weiter.

Einsatz von IT-Lösungen in Risikomanagement-Systemen

Aufgrund neuer aufsichtsrechtlicher Anforderungen und damit einhergehend einer steigenden Komplexität ist eine ordnungsgemäße und effektive Durchführung von Prozessen in einem Risikomanagement‑System ohne technische Unterstützung schwer umsetzbar. Während kleinere Unternehmen mit Hilfe von Microsoft Excel ihre Risiken noch erfassen können, gelangen große Unternehmen und vor allem Konzerne ohne professionelle IT-Lösungen schnell an die Grenzen des Möglichen. Die größte Gefahr besteht darin, dass durch Standardlösungen (wie MS Excel) und hohem manuellem Aufwand Risiken zwar in irgendeiner Weise dokumentiert werden, aber durch die geringen Auswertungs- und Kontrollmöglichkeiten wichtige Schritte in einem Risikomanagement‑System nur begrenzt durchgeführt werden können und die anvisierte Transparenz nicht in erforderlichem Maße vorliegt. In solchen Fällen ist es nicht unüblich, dass unzählige Dokumentationen angefertigt werden, das Risikomanagement aber als solches nur bedingt gelebt wird.

Datenanalyse, JET Testing

Datenanalysen können bei der Prüfung der Einhaltung von Vorschriften (Compliance) helfen.

IT Systeme reflektieren einen großen Teil der Unternehmensprozesse und spiegeln daher auch wider, wenn es zu Abweichungen oder Verstößen kommt. Hierzu kommt beispielsweise das sogenannte "Journal Entry Testing (JET Testing) zum Einsatz, bei dem der Buchungsstoff nach bestimmten Kriterien untersucht wird. Im Rahmen der Jahresabschlussprüfung kommt dieses Verfahren zunehmend zum Einsatz, aber auch Unternehmen nutzen diese Art der Datenanalyse, um flexible Einblicke in die Datenbestände zu bekommen.

Data Quality Analysis ist ebenfalls mittels Datenanalysen durchführbar. Dubletten in den Stammdaten, Inkonsistenzen im Materialbestand oder schnelle Abgleiche von Daten zwischen mehreren Systemen. Auch Analysen der Benutzerdaten oder Protokollauswertungen sind praktische Beispiele.

Tax-Compliance durch e-Bilanz Cockpit

Rüdiger Hoffmann

E-Bilanz direkt in SAP®: Das  LiNKiT eBilanz Cockpit für SAP®

E-Bilanz ist 2013 eines der wichtigen Themen in den Finanzabteilungen der Unternehmen. Zur Umsetzung der gesetzlichen Anforderungen müssen sie sich zwischen unterschiedlichen Lösungsansätzen entscheiden: Die Bandbreite der rund 50 angebotenen „E-Bilanz“ Produkte (siehe: https://www.elster.de/elster_soft_nw.php) reicht von reinen Übermittlungswerkzeugen, die lediglich anderweitig erstellte Steuerbilanzdaten an die Finanzbehörde versenden bis hin zu vollständig in die ERP-Systeme integrierten Lösungen, die Unternehmen von der Datengenerierung über die Erstellung der Steuerbilanzen bis zur Übermittlung unterstützen.

Office Compliance – Auch EXCEL-Sheets unter Kontrolle bekommen mit aOPM

FlyerIn vielen Organisationen werden Daten zur Unternehmenssteuerung häufig in Tabellenkalkulationsprogrammen, wie z.B. Microsoft Excel, aufbereitet und dokumentiert. Die Flexibilität des Werkzeugs ist zugleich sein größtes Risiko. "Spreadsheet Risks" sind eine große Fehlerquelle in Unternehmen. Eine Dokumentation und wirksame "Spreadsheet Controls" sind oft kaum umsetzbar. Eine Vielzahl von Office-Dateien ist kaum bekannt und damit nur schwer kontrollierbar. Was für alle Unternehmen gleichermaßen zutrifft, ist im Finanzdienstleistungssektor Bestandteil der Regulierung. Eine der größten Herausforderungen für die Institute ist die gezielte Umsetzung der Mindestanforderungen an das Risikomanagement für Banken (MaRisk BA).

Denn: Die verbindliche Vorgabe der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) fordert für die Ausgestaltung des Risikomanagements zur Einhaltung von Compliance-Richtlinien in Kreditinstituten, die Einrichtung angemessener institutsinterner Leistungs-, Steuerungs- und Kontrollprozesse. Zudem wird die Sicherstellung der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit von Daten verlangt. Finanzdienstleister stehen daher nach wie vor vor der Aufgabe, sich einen Überblick über die wesentlichen Excel-Dateien in ihrem Hause zu verschaffen und diese, ebenso wie die dazugehörigen Prozesse, auch entsprechend zu dokumentieren.

TAX Compliance / VAT Control

VAT Control FrameworkDas Management von Unternehmen ist sich in der näheren Vergangenheit seiner Verantwortung für das Risikomanagement bewusst geworden. Hierzu hat nicht zuletzt auch die öffentliche Diskussion zu diesem Thema beigetragen.

Während es für eine Vielzahl von Unternehmensbereichen inzwischen probate Lösungen gibt und Compliance-Beauftragte in großer Zahl ernannt werden, ist der Bereich der indirekten Steuern vielfach noch ein Gebiet, das durch diese Maßnahmen nicht erfasst wird.

IT-Grundschutzkatalog des BSI: Eine Basis für das Risikomanagement zur Erhebung von IT-Risiken in der IT und in den Fachbereichen

Im Rahmen der Risikoidentifizierung ist das Thema IT ein wesentlicher Bestandteil. Dabei werden IT-Risiken nicht immer nur mit der IT-Abteilung besprochen. Auch Fachbereiche, deren Prozesse elektronisch unterstützt werden, sind von dieser Art von Risiken betroffen und sollten daher eine individuelle Beurteilung vornehmen.

Eine solide Basis und gute Hilfestellung für das Risikomanagement zur Vorbereitung auf die Risikoanalysegespräche mit den Fachbereichen und der IT-Abteilung bietet der IT-Grundschutzkatalog des BSI (Bundesamt für Sicherheit in der Informationstechnik). Der IT-Grundschutzkatalog enthält für verschiedene Themengebiete mögliche Gefährdungen und Beispiele von Maßnahmen, aus denen typische IT-Risiken abgeleitet werden können.

Outsourcing: Berücksichtigung der Risiken und Kontrollen ausgelagerter Funktionen und Dienstleistungen im eigenen Governance-System

Governance-System in Versicherungsunternehmen gemäß Solvency II:
Berücksichtigung der Risiken und Kontrollen ausgelagerter Funktionen und Dienstleistungen im eigenen Governance-System

Ausgelagerte Funktionen und Dienstleistungen sind gängige Praxis und umfassen beispielsweise Archivierungsprozesse, Inkasso oder die IT. Dabei verlässt sich das auslagernde Unternehmen in der Regel darauf, dass die Prozesse ordnungsgemäß durchgeführt werden. In der Regel werden das Endergebnis bzw. die vereinbarten Service Level Agreements geprüft und auf Basis dessen der Dienstleister beurteilt. Aber die Sicherheit, dass hinter den verschlossenen Türen des Dienstleisters eine ordnungsmäßige Verarbeitung stattfindet, kann ohne weiteren Aufwand nicht erlangt werden.

Die folgenden Punkte sind u.a. an die Solvency-II-Anforderungen angelehnt (können aber branchenübergreifend angewendet werden) und sollen einen kurzen exemplarischen Überblick darüber geben, welche Themen in Verbindung mit dem Thema Outsourcing bedacht werden sollten und welche Möglichkeiten es geben kann, um sich über den Status quo der Risiken und Kontrollen beim Dienstleister zu informieren:

Vertragliche Regelung des Auskunftsrechts

Die Verträge mit den Dienstleistern sollten ein Auskunfts- und Prüfungsrecht beinhalten. Es kann geregelt werden, auf welche Art und Weise das ausgliedernde Unternehmen sich diese Auskunft einholen kann. Eine der effektivsten Regelungen ist die, dass die eigene Revision die relevanten Prozesse beim Dienstleister prüfen darf. Neben dem Auskunftsrecht, sollte u.U. auch ein Weisungsrecht verankert werden, auf dieses in diesem Artikel jedoch nicht weiter eingegangen wird.

Einbindung der Compliance-Funktion in das Interne Kontrollsystem gemäß Solvency II

Governance-System in Versicherungsunternehmen

Einbindung der Compliance-Funktion in das Interne Kontrollsystem gemäß Solvency II

Die Compliance-Funktion als Bestandteil des Internen Kontrollsystems hat gemäß Artikel 46 der Solvency-II-Richtlinie (2009/38/EG) die Aufgaben:

  • den Vorstand in Bezug auf die Einhaltung der Gesetze und Verwaltungsvorschriften, die mit dem Betrieb des Versicherungsgeschäfts in Zusammenhang stehen, zu beraten und
  • Änderungen im Rechtsumfeld und die daraus resultierenden Konsequenzen für das Unternehmen zu beurteilen und
  • das Compliance-Risiko zu identifizieren und zu beurteilen, welches mit der Verletzung rechtlicher Aspekte in Zusammenhang steht.

Seiten