Compliance
9. November 2022 Stefan van Duyvendijk
Das Sarbanes-Oxley-Gesetz von 2002, gemeinhin als SOX bekannt, ist ein Bundesgesetz, das im Zuge der großen Bilanzskandale der frühen 2000er Jahre, darunter Enron und WorldCom, geschaffen wurde. Es verpflichtet börsennotierte Unternehmen in den USA, Kontrollen einzurichten, um die Aktionäre vor betrügerischen Finanzberichten zu schützen. Obwohl das Gesetz für die Unternehmen mühsam sein kann, ist es ein wichtiges Instrument im Kampf gegen Unternehmensbetrug.
Was sind SOX-Kontrollen?
Die SOX-Kontrollen ergeben sich in erster Linie aus Abschnitt 404 des Gesetzes, der vorschreibt, dass Unternehmen interne Kontrollen einführen, um eine korrekte Finanzberichterstattung zu gewährleisten. Diese Kontrollen tragen zur Verhinderung und Aufdeckung von Fehlern und zur Sicherung von Aktivitäten innerhalb eines Finanzberichterstattungszyklus bei und erschweren es den Unternehmen, Fehlverhalten zu verbergen.
SOX schreibt keine Liste von spezifischen internen Kontrollen vor. Stattdessen wird von den Unternehmen verlangt, ihre eigenen Kontrollen zu definieren, die den SOX-Compliance-Zielen entsprechen.
Interne Prüfer müssen regelmäßig Compliance-Audits durchführen, um zu überprüfen, ob das Unternehmen über angemessene Kontrollen verfügt und ob diese Kontrollen korrekt funktionieren.
Externe Wirtschaftsprüfer müssen im Rahmen einer jährlichen Prüfung der Einhaltung des SOX-Gesetzes Kontrollen, Richtlinien und Verfahren überprüfen. Vor dem Sarbanes-Oxley Act war der Berufsstand der Wirtschaftsprüfer weitgehend selbstreguliert. Da jedoch die Bilanzskandale, die dem SOX vorausgingen, Fragen zur Leistung und Unabhängigkeit der externen Prüfer aufwarfen, wurde mit dem SOX auch das Public Company Accounting Oversight Board (PCAOB ) geschaffen, das die Aufsicht über die Wirtschaftsprüfungsgesellschaften, die börsennotierte Unternehmen prüfen, übernimmt.
Wie viele SOX-Kontrollen gibt es?
Die Anzahl der internen Kontrollen in einem Unternehmen variiert von Organisation zu Organisation, da unterschiedliche Risiken und Umgebungen einzigartige interne Kontrollen erfordern.
Die folgenden verschiedenen Kontrollarten können jedoch eingesetzt werden, um das Risiko für die Organisation zu mindern und eine zuverlässige Finanzberichterstattung zu gewährleisten.
Vorbeugende vs. aufdeckende Kontrollen
Vorbeugende Kontrollen versuchen zu verhindern, dass ein unerwünschtes Ergebnis eintritt. Zu den präventiven Kontrollmethoden gehören zum Beispiel die Verwendung von Passwörtern, Genehmigungssystemen und die Durchsetzung von Richtlinien und Verfahren. Aufdeckungskontrollen zielen darauf ab, Fehler oder Unregelmäßigkeiten zu finden, die bereits aufgetreten sind. Zu den üblichen Aufdeckungskontrolltechniken gehört beispielsweise der Abgleich von Ausgaben mit Budgets, Prognosen und Ergebnissen früherer Perioden.
Harte vs. weiche Kontrollen
Harte Kontrollen sind Systeme, die Organisationen zum Risikomanagement einrichten. Dazu gehören organisatorische Strukturen und die Trennung von Aufgaben. Weiche Kontrollen sind die Grundsätze und Werte, die das Verhalten einer Organisation leiten, einschließlich des Tons an der Spitze, des ethischen Klimas, des Vertrauens und der Kompetenz.
Manuelle vs. automatische Kontrollen
Manuelle Kontrollen setzen voraus, dass eine Person die Finanzdaten eingibt, sei es manuell oder IT-gestützt. Unternehmen verwenden in der Regel systemgenerierte Berichte, um diese Kontrollen zu testen. Automatisierte Kontrollen erfordern keine menschliche Interaktion, da das Computersystem sie selbständig durchführen kann.
Schlüssel- vs. Sekundärkontrollen
Die internen SOX-Kontrollen werden grob in zwei Kategorien eingeteilt: Primärkontrollen und Sekundärkontrollen.
Primärkontrollen (auch als SOX-Schlüsselkontrollen bekannt) müssen effektiv funktionieren, um das Risiko auf ein akzeptables Niveau zu reduzieren. Im Gegensatz dazu tragen sekundäre Kontrollen zum reibungslosen Ablauf des Prozesses bei, sind aber nicht unbedingt erforderlich.
Die Kontrollen erstrecken sich auf eine Vielzahl von Tätigkeiten, von der Erstellung des Jahresabschlusses bis zur Offenlegung und Rechnungsprüfung. Um zu wissen, welche Kontrollen Sie durchführen müssen, müssen Sie wissen, welche Risiken vorhanden sind.
Das COSO-Rahmenwerk
Das Rahmenwerk des Committee of Sponsoring Organizations (COSO) wird von börsennotierten Unternehmen und SOX-Auditoren verwendet, um die Einrichtung interner Kontrollen zu unterstützen und zu formalisieren, wie Unternehmen wichtige Geschäftsprozesse durchführen.
Es bietet Organisationen eine Struktur für die Gestaltung, Umsetzung, Bewertung und Überwachung interner Kontrollen. Das Rahmenwerk ist weithin anerkannt und wurde vom PCAOB als Standard für die Prüfung interner Kontrollen übernommen.
Das COSO-Rahmenwerk besteht aus fünf Komponenten:
- Kontrollumfeld. Das Kontrollumfeld bildet die Grundlage für alle internen Kontrollen und umfasst die Kultur, die Werte und die Betriebsverfahren der Organisation. Das Kontrollumfeld gibt an der Spitze den Ton an und beeinflusst das ethische Klima innerhalb der Organisation.
- Risikobewertung und -management. Bei der Risikobewertung geht es um die Ermittlung, Messung und Verwaltung von Risiken in einem Unternehmen. Es ist wichtig, die verschiedenen Arten von Risiken zu verstehen, die sich auf ein Unternehmen auswirken können, damit Sie geeignete Kontrollen einrichten können. Der erste Schritt besteht darin, die finanziellen und nichtfinanziellen Risiken zu ermitteln, die das Unternehmen beeinträchtigen könnten. Der zweite Schritt besteht darin, den Schweregrad und die Wahrscheinlichkeit der einzelnen Risiken zu messen. Auf diese Weise lassen sich die Risiken in eine Rangfolge bringen und es wird ermittelt, welche Risiken die größte Aufmerksamkeit erfordern. Der dritte Schritt ist die Entwicklung eines Plans zur Bewältigung der Risiken, einschließlich der Einführung von Kontrollen zur Risikominderung und der Sicherstellung der Wirksamkeit dieser Kontrollen.
- Kontrolltätigkeiten. Eine der wichtigsten Komponenten des COSO-Rahmens sind die Kontrolltätigkeiten. Kontrolltätigkeiten sind die Maßnahmen, die Organisationen ergreifen, um sicherzustellen, dass die Finanzdaten korrekt und zuverlässig sind. Sie tragen dazu bei, das Vermögen einer Organisation zu schützen, Risiken zu verringern und die Effizienz zu verbessern.
- Information und Kommunikation. Information und Kommunikation sind wesentliche Bestandteile des internen Kontrollumfelds. Sie tragen dazu bei, dass die Mitarbeiter die Richtlinien und Verfahren des Unternehmens kennen, dass sie die Risiken verstehen, denen das Unternehmen ausgesetzt ist, und dass sie alle Bedenken, die sie haben, melden können. Organisationen sollten über eine schriftliche Informations- und Kommunikationspolitik verfügen.
- Überwachung. Organisationen müssen über ein System zur Überwachung der Wirksamkeit ihrer internen Kontrollen verfügen. Dazu gehört die Überprüfung der Leistung der Kontrollen und die Ermittlung von Bereichen, die verbessert werden müssen.
Beispiele für SOX-Kontrollen
Im Folgenden sind einige Beispiele für häufig durchgeführte SOX-Kontrolltätigkeiten aufgeführt:
- Aufgabentrennung. Aufteilung der Aufgaben auf mehrere Personen ("Segregation"), so dass eine Person nicht die vollständige Kontrolle über eine finanzielle Transaktion hat. Dadurch wird die Wahrscheinlichkeit von Fehlern oder unangemessenem Verhalten verringert. So sollte z. B. jemand, der den Jahresabschluss erstellt, nicht auch für die Erfassung von Transaktionen zuständig sein.
- Genehmigungen und Genehmigungen. Autorisierte Transaktionen wurden von einer Person mit der entsprechenden Berechtigungsstufe genehmigt, und diese Genehmigungen bestätigen, dass die Transaktion mit den Richtlinien übereinstimmt. Beispielsweise kann ein Unternehmen verlangen, dass alle journal entries vom Verantwortlichen des Unternehmens genehmigt werden.
- Überprüfungen und Abgleiche. Regelmäßige Überprüfung und Abstimmung der Finanzunterlagen, vorzugsweise durch eine andere Person als diejenige, die sie erstellt hat, um zu bestätigen, dass die Transaktionen korrekt verarbeitet wurden.
- Sicherung von Vermögenswerten. Physische Sicherung von Ausrüstung, Inventar, Bargeld und anderem Eigentum, regelmäßige Zählung und Vergleich der Zählungen mit den Kontrollunterlagen.
- Schulung und Überwachung. Die Mitarbeiter brauchen Wissen, um ihre Arbeit gut zu machen, Anleitung und Aufsicht, um zu wissen, was von ihnen erwartet wird, und Kanäle für die Meldung von Fehlverhalten.
Wie hilft SOX, Betrug zu verhindern?
Die Einhaltung der SOX-Bestimmungen trägt dazu bei, Betrug in öffentlichen Unternehmen zu verhindern, da die Organisationen verschiedene Kontrollen zum Schutz von Finanzinformationen einführen müssen. Diese Kontrollen helfen bei der Aufdeckung von Fehlern und Unregelmäßigkeiten und machen es den Unternehmen schwer, Betrug und Fehlverhalten zu verbergen.
Das Gesetz verlangt auch, dass CEOs und CFOs die Richtigkeit der Jahresabschlüsse des Unternehmens bescheinigen, was dazu beiträgt, dass die Informationen nicht gefälscht oder manipuliert werden. Darüber hinaus verbietet SOX den Insiderhandel und schränkt die Kreditvergabe an Führungskräfte ein, was dazu beitragen kann, dass diese ihre Position nicht zur persönlichen Bereicherung nutzen. Insgesamt trägt SOX dazu bei, ein transparenteres und rechenschaftspflichtigeres Unternehmensumfeld zu schaffen, wodurch Betrug erschwert wird.
Was ist der Unterschied zwischen SOX- und Nicht-SOX-Kontrollen?
SOX-Kontrollen sind speziell darauf ausgerichtet, Betrug und Fehler bei der Erstellung von Finanzberichten zu verhindern. Unternehmen können Nicht-SOX-Kontrollen einführen, um sich vor anderen Arten von Betrug oder Fehlverhalten zu schützen, die betriebliche Effizienz zu verbessern oder die Einhaltung gesetzlicher Vorschriften zu gewährleisten.
SOX- und Nicht-SOX-Kontrollen spielen zwar beide eine Rolle bei der Verhinderung von Betrug, unterscheiden sich aber in ihrem Schwerpunkt und Umfang. SOX-Kontrollen sind enger gefasst und zielen speziell auf die Finanzberichterstattung ab. Nicht-SOX-Kontrollen sind umfassender und decken eine Vielzahl von Bereichen wie finanzielle und betriebliche Sicherheit, Datenintegrität und Compliance ab. Außerdem sind SOX-Kontrollen gesetzlich vorgeschrieben, während Nicht-SOX-Kontrollen dies nicht sind.
Insgesamt spielen sowohl SOX- als auch Nicht-SOX-Kontrollen eine Rolle bei der Verhinderung von Betrug und dem Schutz der Unternehmen vor Fehlverhalten. Die SOX-Kontrollen sind jedoch spezifischer ausgerichtet und gesetzlich vorgeschrieben, was sie zu einem wichtigen Bestandteil jeder Betrugsbekämpfungsstrategie macht.
