Risk, Governance & Compliance

Es ist heutzutage durchaus üblich, dass Unternehmen Teile ihres operativen Geschäftsbetriebs auf entsprechende Dienstleistungsunternehmen auslagern. Im Rahmen der Abschlussprüfung stellt dies den Wirtschaftsprüfer vor die Problematik, dass er möglicherweise nicht (mehr) alle für die Erstellung und Prüfung des Jahresabschlusses beitragenden Geschäftsprozesse bzw. die Internen Kontrollen in diesen Geschäftsprozessen kennt und/oder prüfen kann. Darüber hinaus setzen rechtliche oder vertragliche Rahmenbedingungen den grundsätzlichen Prüfungsmöglichkeiten oftmals Grenzen. Eine ausführlichere Darstellung finden Sie hier.

Eine Lösung dieses Dilemmas ist es, das dienstleistende Unternehmen vertraglich zu verpflichten, die Effektivität der Internen Kontrollen durch einen unabhängigen Prüfer prüfen zu lassen und das Ergebnis dieser Prüfung an das auslagernde Unternehmen bzw. dessen Abschlussprüfer zu kommunizieren. Solche Prüfungen werden in Deutschland z.B. durch den Prüfungsstandard 951 des Instituts der Deutschen Wirtschaftsprüfer (IDW) berufsrechtlich normiert. Für Gesellschaften, die in den USA gelistet sind, sind regelmäßig Prüfungen nach dem sogenannten Standard SAS 70 gefordert. Der SAS 70 (Statement on Auditing Standards No. 70, Service Organisations (AU section 324)) wurde bereits 1992 veröffentlicht und erhielt durch den Sarbanes Oxley Act im Jahr 2002 eine erheblich größere Bedeutung.

Der schwierigste Schritt bei der praktischen Umsetzung eines Compliance-Management-Systems (CMS) besteht in den meisten Fällen in der Überführung der theoretischen Grund­lagenarbeit („WAS“ und „WARUM“) in einen pragmatischen Regelbetrieb („WIE“).

Der im Nachfolgenden beschriebene Ansatz ist praktisch von jedem Unternehmen, gleichgültig aus welcher Branche, nutzbar. Er lässt so viel individuellen Gestaltungs­spielraum, dass Ihr Unter­nehmen in die Lage versetzt wird, die mit dem Begriff „Compliance“ verbundenen, unternehmensspezifischen Zielsetzungen umzusetzen. Vom Grundsatz her erfolgt die Implementierung eines CMS über ein Projekt, das letztendlich in den Regel­betrieb übergeben wird.

Es gibt keine gesetzliche Vorschrift, die die Struktur eines CMS grundsätzlich vorschreibt. Aus diesem Grund ist es wichtig, einen unternehmensspezifischen An­satz zu wählen, der im Unternehmen gelebt wird, nachdem er vom Projekt in den Regelbetrieb übergeben wurde.

Der kleine, aber feine Unterschied zwischen einem großen und kleinen „W“

Während die Abkürzung  „GWG“ branchenübergreifend bekannt und geläufig ist, als Synonym für die Abkürzung des Begriffs „Geringwertige Wirtschaftsgüter“, definiert in EStG §4 Abs. 3 Satz 3, §6 Abs. 2 und Erläuterung zum Formblatt EÜR 2008 Zeile 32, wird unter dem Synonym „GwG“, meist nur in Fachkreisen, das „Gesetz über das Aufspüren von Gewinnen aus schweren Straf­taten“, oder auch kurz Geldwäschegesetz (GwG) genannt, verstanden.

Sollten Sie sich noch nicht mit dem GwG beschäftigt haben, weil Sie vielleicht denken, dass dies auf Sie nicht zutrifft, da Ihr Unternehmen z. B. nicht zu den Finanzdienstleistern oder Rechtsanwaltskanzleien gehört, könnte dies durchaus negative Folgen für Ihr Unter­nehmen haben.

Ein Compliance-Management-System („CMS“) ist in seiner Form und Ausprägung im Gesetz nicht näher bestimmt. Um die Bewertung bzw. Beurteilung eines solchen Systems zu beurteilen, braucht es aber einen Maßstab, der ganz nebenbei beim Aufbau und der Konzeption eines solchen Systems natürlich hilfreich sein kann.

Der Begriff des Compliance-Management-Systems soll im Folgenden wie folgt verstanden werden: „Ein Compliance-Management-System umfasst die seitens der verantwortlichen Leitung getroffenen Maßnahmen, die die Einhaltung von bestimmten Regeln sicherstellen sollen. Es umfasst auch solche Maßnahmen, die wesentliche Verstöße aufdecken und verhindern.“

Die einzuhaltenden Regeln können interne (z.B. Verfahrensanweisungen) oder externe Regeln (z.B. Gesetze) sein. Ein Compliance-Management-System kann sich auf bestimmte Regeln fokussieren und muss nicht allumfassend sein. Darüber hinaus kann es auf bestimmte Organisationseinheiten oder Teilbereiche einer Organisation bezogen sein.

Im Prüfungsstandard 980 des IdW „Grundsätze ordnungsmäßiger Prüfung von Compliance-Management-Systemen“ sind die notwendigen Elemente eines solchen Systems, die selbstverständlich zueinander in Wechselwirkung stehen, dargestellt und definieren nicht nur aus prüferischer Sicht die Beurteilungsgrundlage, sondern geben damit natürlich auch eine nützliche Hilfestellung bei der Gestaltung und Implementierung solcher Systeme.

Unter dem Begriff „Compliance“ wird allgemein die Einhaltung von Regeln (z.B. Gesetze, vertragliche Verpflichtungen, interne Regeln und Richtlinien) verstanden. Ein Compliance-Management-System (CMS) umfasst daher alle Grundsätze und Maßnahmen, die ein regelkonformes Verhalten aller Beteiligten sicherstellen und Verstöße gegen festgelegte Regeln verhindern sollen. Es umfasst auch die Maßnahmen, die wesentliche Regelverstöße aufdecken.

In diesem Zusammenhang hat das Institut der Wirtschaftsprüfer (IdW)  am 11.03.2010 einen Entwurf zum Prüfungsstandard 980 (EPS 980) verabschiedet, welcher die „Grundsätze ordnungsgemäßer Prüfung von Compliance-Management-Systemen“ behandelt. Der gestiegene Bedarf nach diesem Prüfungsstandard resultiert aus den zunehmenden Haftungsrisiken für die Aufsichtsräte und Vorstände. Diese sind durch verschiedene Gesetze persönlich haftbar für Verstöße ihrer Unternehmung, falls ihnen eine Vernachlässigung ihrer Aufsichtspflichten nachgewiesen werden kann (z.B. § 91 (2) AktG, § 43 GmbHG). Diese möchten sich durch eine Zertifizierung ihres CMS durch den Wirtschaftsprüfers oder Zertifizierungsstelle bestätigen lassen, allen Aufsichts- und Organisationspflichten nachgekommen zu sein.

Inhalte:

• Linienfunktion schaffen
• Rechtliche Aspekte
• Zusammenfassung
• Quickcheck - Liste
• Literaturhinweise

Risikomanagement "leicht gemacht"? (Teil 1/2) finden Sie hier.

Linienfunktion schaffen 

Um eine Aufgabe einer Linienfunktion zuordnen zu können, ist es sinnvoll, einen entsprechenden Prozess zu gestalten. In der Literatur wird dieser hinreichend als Risikomanagementprozess bezeichnet.

Dieser Artikel wird in vier Teilen präsentiert und wird Ihnen einen schnellen, vereinfachten und vor allem verständlichen Einblick in eine durchaus sehr komplexe und überaus umfangreiche Thematik geben.

Teil 1    BCM – Ein Einblick

Teil 2    BCM – Nur ein weiterer Begriff im Unternehmen

Teil 3    BCM – Vorschlag zum Vorgehen für die Implementierung

Teil 4    BCM – Die Kontrolle behalten

BCM - Die Kontrolle behalten

Der Krisenstab

Im Rahmen des BCM ist eine Institution zu etablieren, welche in einem für das Unternehmen festgestellten Krisenfall die Koordination der im Vorfeld als situationsabhängig definierten, festgelegten und vom Vorstand bzw. der Geschäftsführung des betroffenen Unternehmens freigegebenen Maßnahmen zur Durchführung veranlasst, die Umsetzung kontrolliert und ggf. situationsabhängig über weitere Maßnahmen entscheidet, als auch die Krisensituation für beendet erklärt.

Inhalte:

• Die Vision
• Elf sinnvolle Schritte zu einem wirkungsvollen Risikomanagement
• Hilfsmittel zur Identifikation von Risiken
• Bewerten und Messen von Risiken
• Strategie zur Risikosteuerung

Risikomanagement "leicht gemacht"? (Teil 2/2) finden Sie hier.