Risk, Governance & Compliance

Einleitung

Bereits Anfang des Jahres 2010 hat der Hauptfachausschuss des IDW einen neuen Prüfungsstandard im Entwurf veröffentlicht, den IDW EPS 980. Dieser behandelt die Grundsätze ordnungsmäßiger Prüfung von Compliance Management Systemen und gewinnt zunehmend an Bedeutung, da vor allem das Nichteinhalten vorgegebener Regeln für ein Unternehmen zu gravierendem finanziellem Schäden sowie für Unternehmensorgane zu persönlichen Haftungs- und strafrechtlichen Risiken führen kann. Viele Unternehmen haben deshalb damit begonnen, sogenannte Compliance-Management-Systeme (CMS) einzuführen und diese durch Wirtschaftsprüfer prüfen zu lassen. Nun hat auch das Amerikanische Institut der Wirtschaftsprüfer (AICPA) einen aktualisierten Standard zur Prüfung von Compliance-Management-Systemen veröffentlicht, den SAS 117 – „Compliance Audits“. Dieser Standard löst alle bisherigen Standards und Veröffentlichungen des AICPAs zu diesem Thema ab. Das steigende Interesse an Compliance Management Themen und deren Prüfung wirft zusätzlich die Frage auf, inwieweit der EPS 980 mit dem amerikanischem Standard SAS 117 des AICPA vergleichbar ist und welche Auswirkungen er möglicherweise auch auf deutsche Unternehmen haben kann.

Da der Begriff "Compliance" oder "Compliance Management System", kurz CMS, nicht durch gesetzliche Auslegungen allgemeinverbindlich formuliert ist, kann jede Organisation, jedes Unternehmen oder auch jeder, der sich mit dieser Thematik beschäftigt, diesen Begriffe so auslegen, wie er dies "benötigt". Eben dieser Umstand führt dazu, dass immer mehr Aufsichtsbehörden und Berufsverbände versuchen, hier dem Gesetzgeber "unter die Arme zu greifen", in dem sie entsprechende Maßgaben formulieren und verbindlich erlassen.

So wurde zum Beispiel von der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) am 7.06.2010 ein Rundschreiben mit dem Titel „Mindestanforderungen an Compliance und die weiteren Verhaltens-, Organisations- und Transparenzpflichten nach §§ 31 ff. WpHG (MaComp)" herausgegeben. Einen ausführlichen Beitrag dazu finden Sie hier.

Im Rundschreiben 5/2010 vom 30. Juni 2010 hat das BaFin die Mindestanforderungen an das Risikomanagement für Investmentgesellschaften (InvMaRisk) veröffentlicht.

Nicht nur durch die MaComp (Mindestanforderungen an Compliance und die weiteren Ver­haltens-, Organisations- und Transparenzpflichten nach §§ 31 ff. WpHG), veröffentlicht im Rundschreiben 4/2010 vom 7. Juni 2010, stellen eine Verschärfung der Anforderungen an die Compliance bei Banken dar.

Nachdem das BaFin in seinem Rundschreiben 15/2009(BA) vom 14.08.2009 die Mindestan­forderungen an das Risikomanagement [MaRisk (BA)] von Banken (konkretisiert die Maßnahmen im Zusammenhang mit § 25 a KWG) und im Rundschreiben 03/2009 (VA) vom 22. Januar 2009 die aufsichtsrechtlichen Mindestanforderungen an das Risikomanagement [MaRisk (VA)] von Versicherungen (konkretisiert die Maßnahmen im Zusammenhang mit dem 2008 in Kraft getretenen § 64a VAG) veröffentlichte, wurden jetzt die InvMaRisk ver­abschiedet, welche die Forderungen des § 9a InvG in zwölf Punkten konkretisieren. Legt man die drei hier benannten Standards nebeneinander und vergleicht diese, so lassen sich überschneidende Bereiche sehr schnell identifizieren.

Die Finanzkrise hat deutlich gemacht, wie die Reputation von Kreditinstituten im allgemeinen Ansehen sinken kann und welche Belastungen für die betroffenen Institute durch den Vorwurf von Korruption, Bestechung oder andere Skandale entstehen können. Infolge der Finanzkrise wurden weltweit die Anforderungen an Compliance bei Wertpapierdienstleistungsinstituten erhöht. In Deutschland sind die Institute bereits seit dem 01. Januar 2010 gesetzlich verpflichtet, Beratungsgespräche zu Finanzinstrumenten im Privatkundengeschäft zu protokollieren.

In diesem Teil unserer Serie zum IDW PS 980 finden Sie eine Übersicht der  Links zu den relevanten CMS-Rahmenkonzepten, die dem IDW PS 980 zugrunde liegen:

Natürlich sorgt eine Organisation mit IKS-Kontrollen vor, Fehler in der Umsatzsteuerbehandlung zu vermeiden. Bei der heutigen Komplexität von Organisation, Prozess und System sind jedoch Schwächen, die zu einem materiellen Nachteil für das Unternehmen führen, nie ganz auszuschließen.

Mit dem Einsatz von SAP Tax Audit wird dieses Restrisiko minimiert und kann so Ihrem Unternehmen erhebliche Steuervorteile bringen. Nicht geltend gemachte oder zu viel abgeführte Umsatzsteuer werden erkennbar. Mängel in Abläufen und Prozessen, die solche Fehler ermöglichen oder begünstigen, werden sichtbar und können bereinigt werden.

Konkret: Im Fall X wurde mit Hilfe von SAP Tax Audit eine signifikante Steuererstattung identifiziert. Vorweg wurde den beteiligten Mitarbeitern des Unternehmens (Rechnungswesen, Einkauf/Verkauf, Steuern, SAP Betreuung) eine kurze Einführung in das Tool gegeben.

Es ist heutzutage durchaus üblich, dass Unternehmen Teile ihres operativen Geschäftsbetriebs auf entsprechende Dienstleistungsunternehmen auslagern. Im Rahmen der Abschlussprüfung stellt dies den Wirtschaftsprüfer vor die Problematik, dass er möglicherweise nicht (mehr) alle für die Erstellung und Prüfung des Jahresabschlusses beitragenden Geschäftsprozesse bzw. die Internen Kontrollen in diesen Geschäftsprozessen kennt und/oder prüfen kann. Darüber hinaus setzen rechtliche oder vertragliche Rahmenbedingungen den grundsätzlichen Prüfungsmöglichkeiten oftmals Grenzen. Eine ausführlichere Darstellung finden Sie hier.

Eine Lösung dieses Dilemmas ist es, das dienstleistende Unternehmen vertraglich zu verpflichten, die Effektivität der Internen Kontrollen durch einen unabhängigen Prüfer prüfen zu lassen und das Ergebnis dieser Prüfung an das auslagernde Unternehmen bzw. dessen Abschlussprüfer zu kommunizieren. Solche Prüfungen werden in Deutschland z.B. durch den Prüfungsstandard 951 des Instituts der Deutschen Wirtschaftsprüfer (IDW) berufsrechtlich normiert. Für Gesellschaften, die in den USA gelistet sind, sind regelmäßig Prüfungen nach dem sogenannten Standard SAS 70 gefordert. Der SAS 70 (Statement on Auditing Standards No. 70, Service Organisations (AU section 324)) wurde bereits 1992 veröffentlicht und erhielt durch den Sarbanes Oxley Act im Jahr 2002 eine erheblich größere Bedeutung.

Der schwierigste Schritt bei der praktischen Umsetzung eines Compliance-Management-Systems (CMS) besteht in den meisten Fällen in der Überführung der theoretischen Grund­lagenarbeit („WAS“ und „WARUM“) in einen pragmatischen Regelbetrieb („WIE“).

Der im Nachfolgenden beschriebene Ansatz ist praktisch von jedem Unternehmen, gleichgültig aus welcher Branche, nutzbar. Er lässt so viel individuellen Gestaltungs­spielraum, dass Ihr Unter­nehmen in die Lage versetzt wird, die mit dem Begriff „Compliance“ verbundenen, unternehmensspezifischen Zielsetzungen umzusetzen. Vom Grundsatz her erfolgt die Implementierung eines CMS über ein Projekt, das letztendlich in den Regel­betrieb übergeben wird.

Es gibt keine gesetzliche Vorschrift, die die Struktur eines CMS grundsätzlich vorschreibt. Aus diesem Grund ist es wichtig, einen unternehmensspezifischen An­satz zu wählen, der im Unternehmen gelebt wird, nachdem er vom Projekt in den Regelbetrieb übergeben wurde.

Der kleine, aber feine Unterschied zwischen einem großen und kleinen „W“

Während die Abkürzung  „GWG“ branchenübergreifend bekannt und geläufig ist, als Synonym für die Abkürzung des Begriffs „Geringwertige Wirtschaftsgüter“, definiert in EStG §4 Abs. 3 Satz 3, §6 Abs. 2 und Erläuterung zum Formblatt EÜR 2008 Zeile 32, wird unter dem Synonym „GwG“, meist nur in Fachkreisen, das „Gesetz über das Aufspüren von Gewinnen aus schweren Straf­taten“, oder auch kurz Geldwäschegesetz (GwG) genannt, verstanden.

Sollten Sie sich noch nicht mit dem GwG beschäftigt haben, weil Sie vielleicht denken, dass dies auf Sie nicht zutrifft, da Ihr Unternehmen z. B. nicht zu den Finanzdienstleistern oder Rechtsanwaltskanzleien gehört, könnte dies durchaus negative Folgen für Ihr Unter­nehmen haben.

Ein Compliance-Management-System („CMS“) ist in seiner Form und Ausprägung im Gesetz nicht näher bestimmt. Um die Bewertung bzw. Beurteilung eines solchen Systems zu beurteilen, braucht es aber einen Maßstab, der ganz nebenbei beim Aufbau und der Konzeption eines solchen Systems natürlich hilfreich sein kann.

Der Begriff des Compliance-Management-Systems soll im Folgenden wie folgt verstanden werden: „Ein Compliance-Management-System umfasst die seitens der verantwortlichen Leitung getroffenen Maßnahmen, die die Einhaltung von bestimmten Regeln sicherstellen sollen. Es umfasst auch solche Maßnahmen, die wesentliche Verstöße aufdecken und verhindern.“

Die einzuhaltenden Regeln können interne (z.B. Verfahrensanweisungen) oder externe Regeln (z.B. Gesetze) sein. Ein Compliance-Management-System kann sich auf bestimmte Regeln fokussieren und muss nicht allumfassend sein. Darüber hinaus kann es auf bestimmte Organisationseinheiten oder Teilbereiche einer Organisation bezogen sein.

Im Prüfungsstandard 980 des IdW „Grundsätze ordnungsmäßiger Prüfung von Compliance-Management-Systemen“ sind die notwendigen Elemente eines solchen Systems, die selbstverständlich zueinander in Wechselwirkung stehen, dargestellt und definieren nicht nur aus prüferischer Sicht die Beurteilungsgrundlage, sondern geben damit natürlich auch eine nützliche Hilfestellung bei der Gestaltung und Implementierung solcher Systeme.