Internes Kontrollsystem: Struktur und Vorteile

Bilanzskandale sind häufig das Ergebnis von Versäumnissen der internen Kontrolle, die zu erheblichen finanziellen und Reputationsschäden führen können.

Im Jahr 2020 ergab beispielsweise eine Untersuchung, dass Deutsch Zahlungstechnologieanbieter Wirecard hatte seine Konten um bis zu 1,9 Milliarden Euro gefälscht: Der Betrug führte zum Zusammenbruch des Unternehmens und zur Verhaftung seines Vorstandsvorsitzenden. Im Jahr 2023 klagte das britische Amt für schwere Betrugsfälle vier Personen wegen der Zusammenbruch der Bäckereikette Patisserie Valerie: Der Vorfall beinhaltete die falsche Angabe von Geldern in Höhe von bis zu 28 Millionen Pfund und die Verheimlichung von Schulden in Höhe von 10 Millionen Pfund, was zum Verlust von fast 1000 Arbeitsplätzen führte.

Interne Kontrollsysteme sind nicht nur ein Bollwerk gegen Betrug und buchhalterische Fehler, sondern tragen auch dazu bei, die kontinuierliche Integrität, Zuverlässigkeit und Reputation eines Unternehmens auf einem überfüllten, wettbewerbsintensiven globalen Markt zu gewährleisten. Die Implementierung effektiver interner Kontrollen kann eine Herausforderung sein. Daher ist es wichtig, dass CFOs und ihre Buchhaltungsteams verstehen, wie sie ein System entwickeln können, das dem Profil ihres Unternehmens entspricht.

Was ist ein internes Kontrollsystem?

Das interne Kontrollsystem (ICS) bezieht sich auf die Kontrollen und Abwägungen, die ein Unternehmen einführt, um die Einhaltung sowohl interner politischer als auch externer regulatorischer Anforderungen, einschließlich der Finanzberichterstattung, sicherzustellen. Das ICS soll ein Unternehmen vor Risiken schützen, Vermögenswerte schützen und die betriebliche Effektivität unterstützen.

Ein ICS besteht in der Regel aus individuellen Kontrollen, zu denen Richtlinien und Verfahren sowie die praktischen Maßnahmen gehören, die Mitarbeiter im Rahmen ihrer Aufgaben und Verantwortlichkeiten ergreifen müssen. Der Detaillierungsgrad eines ICS kann sich auf seine Komplexität und damit auf die administrative Herausforderung auswirken, Kontrollen wirksam anzuwenden. Angesichts dieser Komplexität versuchen viele Unternehmen automatisieren Sie so viel von ihren ICS wie möglich um Geschwindigkeit und Genauigkeit in den Compliance-Prozess zu integrieren.

Wann und warum benötigt ein Unternehmen ein ICS?

Ein ICS ist integraler Bestandteil der Risikomanagementstrategie eines Unternehmens und unverzichtbar, um neuen kriminellen Bedrohungen und regulatorischen Änderungen zu begegnen. Im Zuge der jüngsten Bilanzskandale haben viele Jurisdiktionen die Einführung eines ICS für börsennotierte Unternehmen zur gesetzlichen Anforderung gemacht. Unternehmen, die sich nicht daran halten, müssen mit strengen Strafen rechnen.

Bei einem ICS geht es nicht nur darum, Bußgelder zu vermeiden. Effektiv angewendet, kann das ICS einem Unternehmen helfen, Risiken zu identifizieren und zu bewerten und deren Auswirkungen zu mindern oder sogar zu eliminieren. Vor diesem Hintergrund trägt ein ICS zum reibungslosen Ablauf des Geschäftsbetriebs bei, stärkt den Ruf der Marke und stärkt das Vertrauen der Öffentlichkeit in Produkte und Dienstleistungen.

Anforderungen an ein internes Kontrollsystem

Jedes ICS sollte auf die Risiken und Geschäftsanforderungen eines bestimmten Unternehmens zugeschnitten sein, aber eine Reihe grundlegender Anforderungen erfüllen. Unternehmen sollten ihr ICS unter Berücksichtigung der folgenden Faktoren entwickeln:

ICS-Komponenten

Das Ausschuss der Trägerorganisationen (COSO) hat einen Modellrahmen für die Anwendung von Unternehmenskontrollen in Unternehmensumgebungen vorgelegt. Das Framework basiert auf den folgenden Komponenten der internen Kontrolle:

Kontrollumgebung: Interne Kontrollen müssen Unternehmen dabei helfen, die rechtlichen Regeln und Vorschriften einzuhalten — und sollten daher unter Berücksichtigung dieser rechtlichen Anforderungen entwickelt werden. Unternehmen mit globaler Präsenz müssen möglicherweise mehrere Steuerungsumgebungen als Teil ihres ICS berücksichtigen.

Risikobeurteilung: Das Ausmaß des Risikos, dem ein Unternehmen ausgesetzt ist, bestimmt die Kontrollen, die es anwenden muss. Dementsprechend sollte das Buchhaltungsteam bei der Entwicklung und Implementierung eines ICS eine detaillierte Risikobewertung durchführen, um sicherzustellen, dass die Kontrollen mit den Compliance- und Geschäftszielen in Einklang stehen.

Kontrollaktivitäten: Unternehmen sollten über die praktischen Maßnahmen nachdenken, aus denen sich die Kontrollen zusammensetzen, die sie zur Bekämpfung von Risiken entwickeln. Kontrollen können in Form von Richtlinien oder Verfahren oder als Einzelaufgaben angewendet werden. Alle diese Aufgaben dienen der Überprüfung oder Überprüfung von Finanzdaten und -informationen sowie der Erreichung von Compliance-Zielen.

Information und Kommunikation: ICS sind in der Regel abteilungsübergreifend und erfordern möglicherweise auch Beiträge von Vorstandsmitgliedern oder externen Dritten. Vor diesem Hintergrund sollten Unternehmen effektive Kommunikations- und Informationsaustauschsysteme implementieren, um den Zugriff auf wichtige Dokumente und Ressourcen zu erleichtern und sicherzustellen, dass die Teammitglieder schnell reagieren können, um Verzögerungen zu kontrollieren.

Überwachung: Unternehmen müssen die Wirksamkeit ihrer Kontrollen kontinuierlich überwachen und regelmäßig überprüfen und testen. CFOs sollten über Horizontscanning nachdenken, um potenzielle Risiken zu identifizieren, die sich aus der Einführung neuer Technologien oder aufgrund regulatorischer Änderungen ergeben.

ICS-Struktur

Die Struktur eines ICS wird zu seiner Wirksamkeit beitragen. Unternehmen sollten bei der Entwicklung und Implementierung ihres eigenen Systems Folgendes berücksichtigen:

Rahmen: Unternehmen können ihre ICS nach dem COSO-Modell entwickeln und sich dabei auf die 5 wichtigsten Kontrollkomponenten (oben aufgeführt) konzentrieren. Dieser Rahmen sollte als Ausgangspunkt und nicht als einschränkender Faktor betrachtet werden, und CFOs sollten versuchen, ihn im Hinblick auf die einzigartigen geschäftlichen Herausforderungen, mit denen ihr Unternehmen konfrontiert ist, umzusetzen.

Grundlagen: Der Vorstand sollte über die grundlegenden Ziele seines ICS nachdenken. Das bedeutet, dass Kontrollen implementiert werden, die sowohl den regulatorischen als auch den ethischen Standards entsprechen, die das Unternehmen erwartet — und zwar auf eine Weise, die den Geschäftsanforderungen wie Budget-, Qualifikations- und Ressourcenbeschränkungen gerecht wird.

Transparenz: Interne Kontrollen sollten so transparent wie möglich sein — in dem Sinne, dass die Mitarbeiter verstehen können, warum sie angewendet werden, wie sie in den breiteren Rahmen passen und wie sie funktionieren. Das bedeutet, dass Unternehmen ihre Kommunikationsinfrastruktur in ihr ICS integrieren und sich auf Funktionen für Sichtbarkeit und Informationsaustausch wie Instant Messaging und sicheren Dokumentenzugriff konzentrieren sollten.

Vier-Augen-Prinzip: Das Vier-Augen-Prinzip ist ein weit verbreiteter Risikomanagementmechanismus. Es ist die Anforderung, dass eine bestimmte Aktivität von zwei Personen überprüft wird — im Wesentlichen doppelt überprüft. In einem ICS beinhaltet das Vier-Augen-Prinzip in der Regel die Zuordnung von zwei Prüfern zu einer Kontrolle und kann durch eine Softwareverifikation unterstützt werden.

Aufgabentrennung: Die Integrität eines ICS hängt häufig von der Trennung bestimmter Aufgaben ab, um Interessenkonflikte, Betrug und andere potenzielle Ausfälle zu verhindern. Beispielsweise sollten Unternehmen eine Kontrolle einführen, die sicherstellt, dass ein Mitarbeiter, der für den Empfang von Kundenzahlungen verantwortlich ist, nicht auch für die Ausstellung von Rechnungen verantwortlich ist. Ebenso sollten die Verantwortlichkeiten für die Buchhaltung aufgeteilt werden, um sicherzustellen, dass verschiedene Teammitglieder für einzelne Prozesse wie Audits und Buchhaltung verantwortlich sind.

Mindestinformationen: Interne Kontrollen stützen sich auf ein Mindestmaß an genauen und aktuellen Informationen, um eine effektive Entscheidungsfindung zu ermöglichen. Vor diesem Hintergrund sollten Unternehmen sorgfältig darüber nachdenken, wie sie die relevanten Daten für ihre Kontrollen erfassen, wobei Genauigkeit und Effizienz im Vordergrund stehen sollten. In ähnlicher Weise sollte das ICS den Interessenträgern einen gegenseitigen Überblick über die Anwendung der Kontrollen bieten — nicht nur, um die Rechenschaftspflicht zu fördern, sondern auch, um frühzeitig Hinweise auf mögliche Hindernisse und Verzögerungen zu geben.

Planung und Umsetzung

Obwohl die Details und die Struktur jedes ICS unterschiedlich sind, sollte der Planungs- und Implementierungsprozess die folgenden wichtigen Schritte umfassen:

• Überprüfung der Kontrolle: In Abstimmung mit dem Buchhaltungsteam sollten CFOs die bestehenden Kontrollen überprüfen, um Compliance-Lücken oder Möglichkeiten zur Integration neuer Technologie-Tools zu identifizieren.
• Entwicklung: Nach der Überprüfung müssen CFOs neue Kontrollen entwickeln, um den Risiken, denen sie ausgesetzt sind, zu begegnen. Der Prozess sollte der Notwendigkeit Rechnung tragen, Kontrollen so nahtlos wie möglich in bestehende Arbeitsabläufe zu integrieren.
• Richtlinie und Verfahren: Das ICS sollte durch eine ausführliche Dokumentation, einschließlich schriftlicher Richtlinien und Verfahren, sowie durch Anweisungen zur Anwendung spezifischer Kontrollen unterstützt werden.
• Schulung der Mitarbeiter: Der Erfolg des ICS hängt von der Fähigkeit der Mitarbeiter ab, es effektiv zu nutzen. Dementsprechend sollten die Mitarbeiter in der Anwendung von Kontrollen sowie in Bezug auf ihre Rolle und Bedeutung innerhalb des breiteren Rahmens geschult werden.
• Kontrolltests: Das ICS muss vor dem Einsatz getestet werden, um sicherzustellen, dass es seine Compliance-Ziele erreicht, und dann in regelmäßigen Abständen, um die kontinuierliche Wirksamkeit sicherzustellen.
• Laufende Überwachung: CFOs sollten die Wirksamkeit ihrer ICS sorgfältig überwachen und den Überblick über bevorstehende regulatorische Änderungen und neu auftretende Risiken behalten, die Anpassungen oder neue Kontrollen erforderlich machen könnten.

Die Implementierung eines neuen ICS kann mit einem gewissen administrativen Aufwand verbunden sein und sogar die Bereitstellung von Produkten und Dienstleistungen stören. Unternehmen sollten potenzielle Störungen während des Entwicklungsprozesses berücksichtigen und, wenn möglich, Strategien zur Eindämmung entwickeln.

Interne Audits des ICS

Interne Audits stellen die kontinuierliche Wirksamkeit eines ICS sicher. Ein internes Auditteam wird einen einzigartigen Einblick in die Compliance-Ziele des Unternehmens und in umfassendere Faktoren haben, die die Anwendung von Kontrollen unterstützen oder behindern könnten. Zu diesem Zweck lohnt es sich, einen regelmäßigen ICS-Auditplan und ein Team einzurichten, das interne Audits durchführt und dem Vorstand über den aktuellen Stand der Kontrollen berichtet.

ICS und Finanzberichterstattung

Eine der Hauptfunktionen eines ICS besteht darin, die Richtigkeit und Vollständigkeit von Finanzberichten sicherzustellen — eine Praxis, die als interne Kontrolle der Finanzberichterstattung (ICFR) bekannt ist. Einige Jurisdiktionen haben Vorschriften eingeführt, die Personen innerhalb eines Unternehmens die rechtliche Verantwortung für ICFR übertragen. In den USA beispielsweise SOX-Gesetz macht Unternehmensleiter für ICFR verantwortlich, während in Europa die EU Richtlinie über die Nachhaltigkeitsberichterstattung von Unternehmen (CSRD) und das Vereinigte Königreich wurde aktualisiert Kodex zur Unternehmensführung übertragen ähnliche Exekutivaufgaben.

Dementsprechend sollten sowohl der Vorstand als auch die Mitarbeiter der Geschäftsleitung mit den Einzelheiten ihres ICS vertraut sein und an folgenden Prozessen beteiligt sein:

• Etablierung wirksamer Kontrollen der Finanzberichterstattung.
• Bewertung der Funktionalität interner Kontrollen der Finanzberichterstattung anhand geeigneter Kriterien wie COSO.
• Erstellung von Nachweisen und Unterlagen, die interne und externe Prüfer zur Bewertung und Überprüfung von Kontrollen verwenden können.
• Vorlage einer schriftlichen Bewertung der Funktionsfähigkeit der Kontrollen am Ende des Geschäftsjahres.

ICS-Effizienz mit FloQast

Integrieren Sie effektive, effiziente und präzise Steuerungen in den Mittelpunkt Ihres Unternehmens. FloQast-Software für das Compliance-Management unterstützt Unternehmen jeder Größe bei der Implementierung ihrer ICS mit automatisierten Kontrollen, die in die täglichen Buchhaltungsabläufe integriert sind, um Kosten und administrativen Aufwand zu reduzieren und die betriebliche Flexibilität zu erhöhen.

Erfahren Sie mehr über FloQast Compliance Management: nehmen Sie noch heute Kontakt auf.