internes Kontrollsystem: Aufbau und Nutzen

Bilanzskandale sind häufig das Ergebnis von Versäumnissen bei der internen Kontrolle, die zu erheblichen finanziellen und rufschädigenden Schäden führen können. 

Im Jahr 2020 wurde beispielsweise bei einer Untersuchung festgestellt, dass der deutsche Anbieter von Zahlungstechnologien Wirecard seine Konten um bis zu 1,9 Milliarden Euro gefälscht hatte: Der Betrug führte zum Zusammenbruch des Unternehmens und zur Verhaftung seines CEO. Im Jahr 2023 erhob das britische Amt für schwere Betrugsdelikte Anklage gegen vier Personen wegen des Zusammenbruchs der Bäckereikette Patisserie Valerie: Bei dem Vorfall ging es um die Fehlbuchung(en) von Geldern in Höhe von bis zu 28 Millionen Pfund und die Verschleierung von Schulden in Höhe von 10 Millionen Pfund, was zum Verlust von fast 1000 Arbeitsplätzen führte. 

Interne Kontrollsysteme sind nicht nur ein Bollwerk gegen Betrug und Fehler in der Rechnungslegung, sondern tragen auch dazu bei, die Integrität, die Zuverlässigkeit und den Ruf eines Unternehmens in einem überfüllten, wettbewerbsintensiven globalen Markt zu sichern. Die Implementierung einer effektiven Abschlussprüfung kann eine Herausforderung sein. Deshalb ist es wichtig, dass CFOs und ihre Buchhaltungsteams wissen, wie sie ein System entwickeln, das dem Profil ihres Unternehmens entspricht 

Was ist ein internes Kontrollsystem?

internes Kontrollsystem IKS) bezeichnet die Kontrollen und Gegenkontrollen, die ein Unternehmen einrichtet, um die Einhaltung interner Richtlinien und externer Vorschriften, einschließlich der Finanz-Reporting, zu gewährleisten. Das IKS soll ein Unternehmen vor Risiken schützen, Vermögenswerte sichern und die betriebliche Effizienz unterstützen. 

Ein IKS besteht in der Regel aus einzelnen Kontrollen, die Richtlinien und Verfahren sowie die praktischen Maßnahmen umfassen, die die Mitarbeiter im Rahmen ihrer Aufgaben und Zuständigkeiten durchführen müssen. Der Detaillierungsgrad eines IKS kann sich auf seine Komplexität auswirken und damit auch auf die administrative Herausforderung, die Kontrollen effektiv anzuwenden. Angesichts dieser Komplexität sind viele Unternehmen bestrebt, ihr IKS so weit wie möglich zu automatisieren, um den Compliance-Prozess zu beschleunigen und präziser zu gestalten. 

Wann und warum braucht ein Unternehmen ein IKS?

Ein IKS ist ein wesentlicher Bestandteil der Risikomanagementstrategie eines Unternehmens und unerlässlich, um auf neue kriminelle Bedrohungen und regulatorische Änderungen reagieren zu können. Im Zuge der jüngsten Bilanzskandale haben viele Rechtsordnungen das Vorhandensein eines IKS für börsennotierte Unternehmen gesetzlich vorgeschrieben - und diejenigen, die es nicht einhalten, müssen mit strengen Strafen rechnen.  

Bei einem IKS geht es nicht nur um die Vermeidung von Bußgeldern. Effektiv angewandt, kann das IKS einem Unternehmen helfen, Risiken zu erkennen, zu bewerten und deren Auswirkungen zu mindern oder sogar zu beseitigen. In diesem Sinne trägt ein IKS zum reibungslosen Ablauf des Geschäftsbetriebs bei, stärkt den Ruf der Marke und das Vertrauen der Öffentlichkeit in Produkte und Dienstleistungen. 

Anforderungen an ein internes Kontrollsystem

Jedes IKS sollte auf die Risiken und Geschäftsbedürfnisse eines bestimmten Unternehmens zugeschnitten sein, aber eine Reihe von grundlegenden Anforderungen erfüllen. Unternehmen sollten ihr IKS unter Berücksichtigung der folgenden Faktoren entwickeln: 

IKS

Das Committee of Sponsoring Organizations (COSO ) hat einen Modellrahmen für die Anwendung von Unternehmenskontrollen im Unternehmensumfeld vorgelegt. Das Rahmenwerk basiert auf den folgenden Komponenten der internen Kontrolle:

Kontrollumfeld: Die Abschlussprüfung muss Unternehmen dabei helfen, die gesetzlichen Bestimmungen und Vorschriften einzuhalten, und sollte daher unter Berücksichtigung dieser gesetzlichen Anforderungen entwickelt werden. Unternehmen mit einer globalen Präsenz müssen möglicherweise mehrere Kontrollumgebungen als Teil ihres IKS berücksichtigen. 

Risikobewertung: Die Höhe des Risikos, mit dem ein Unternehmen konfrontiert ist, bestimmt die Kontrollen, die es durchführen muss. Dementsprechend sollte das Rechnungslegungsteam bei der Entwicklung und Umsetzung eines IKS eine detaillierte Risikobewertung durchführen, um sicherzustellen, dass die Kontrollen auf die Einhaltung der Vorschriften und die Unternehmensziele abgestimmt sind. 

Kontrolltätigkeiten: Die Unternehmen sollten sich Gedanken über die praktischen Maßnahmen machen, aus denen die Kontrollen bestehen, die sie zur Bewältigung der Risiken entwickeln. Kontrollen können in Form von Richtlinien, Verfahren oder einzelnen Aufgaben durchgeführt werden, die allesamt dazu dienen, Finanzdaten und -informationen zu überprüfen oder zu verifizieren und die Einhaltung von Vorschriften zu erleichtern. 

Information und Kommunikation: IKS sind in der Regel abteilungsübergreifend und können auch Beiträge von Vorstandsmitgliedern oder externen Dritten erfordern. Vor diesem Hintergrund sollten Unternehmen wirksame Kommunikations- und Informationsaustauschsysteme einrichten, um den Zugang zu wichtigen Dokumenten und Ressourcen zu erleichtern und sicherzustellen, dass Teammitglieder schnell auf Verzögerungen bei der Kontrolle reagieren können.

Überwachung: Die Unternehmen müssen die Wirksamkeit ihrer Kontrollen laufend überwachen und sie regelmäßig überprüfen und testen. CFOs sollten über einen Horizont-Scan nachdenken, um potenzielle Risiken zu erkennen, die sich aus der Einführung neuer Technologien oder aus regulatorischen Änderungen ergeben. 

IKS

Die Struktur eines IKS ist mitentscheidend für dessen Wirksamkeit. Unternehmen sollten bei der Entwicklung und Umsetzung ihres eigenen Systems Folgendes beachten: 

Rahmenwerk: Unternehmen können ihr IKS auf der Grundlage des COSO-Modells entwickeln und sich dabei auf die fünf (oben aufgeführten) Schlüsselkomponenten der Kontrolle konzentrieren. Dieses Rahmenwerk sollte als Ausgangspunkt und nicht als einschränkender Faktor betrachtet werden, und CFOs sollten versuchen, es im Hinblick auf die einzigartigen geschäftlichen Herausforderungen ihrer Organisation umzusetzen. 

Grundsätzliches: Der Vorstand sollte sich Gedanken über die grundlegenden Ziele seines IKS machen. Dies bedeutet, dass Kontrollen implementiert werden müssen, die sowohl den regulatorischen als auch den ethischen Standards entsprechen, die das Unternehmen erwartet - und zwar in einer Art und Weise, die den geschäftlichen Anforderungen wie Budget-, Kompetenz- und Ressourcenbeschränkungen gerecht wird. 

Transparenz: Die Abschlussprüfung sollte so transparent wie möglich sein - in dem Sinne, dass die Mitarbeiter verstehen können, warum sie angewendet werden, wie sie sich in den größeren Rahmen einfügen und wie sie funktionieren. Das bedeutet, dass Unternehmen ihre Kommunikationsinfrastruktur in ihr IKS integrieren sollten, wobei der Schwerpunkt auf Sichtbarkeit und Funktionen für den Informationsaustausch wie Instant Messaging und sicheren Dokumentenzugang liegen sollte.

Vier-Augen-Prinzip: Das Vier-Augen-Prinzip ist ein weit verbreiteter Mechanismus des Risikomanagements und besagt, dass eine bestimmte Aktivität von zwei Personen überprüft werden muss - im Grunde eine Doppelkontrolle. In einem IKS beinhaltet das Vier-Augen-Prinzip typischerweise die Zuweisung von zwei Prüfern zu einer Kontrolle und kann durch eine Softwareverifizierung unterstützt werden. 

Aufgabentrennung: Die Integrität eines IKS hängt oft von der Trennung bestimmter Aufgaben ab, um Interessenkonflikte, Betrug und andere potenzielle Fehler zu verhindern. So sollten Unternehmen beispielsweise eine Kontrolle einführen, die sicherstellt, dass ein Mitarbeiter, der für den Empfang von Kundenzahlungen zuständig ist, nicht auch für die Ausstellung von Rechnungen verantwortlich ist. Ebenso sollten die Zuständigkeiten in der Buchhaltung aufgeteilt werden, um sicherzustellen, dass verschiedene Teammitglieder für einzelne Prozesse, wie z. B. Prüfungen und Buchführung, verantwortlich sind. 

Ein Minimum an Informationen: Die Abschlussprüfung ist auf ein Mindestmaß an genauen, zeitnahen Informationen angewiesen, um eine wirksame Entscheidungsfindung zu ermöglichen. Vor diesem Hintergrund sollten die Unternehmen sorgfältig darüber nachdenken, wie sie die relevanten Daten für ihre Kontrollen erfassen, wobei der Schwerpunkt auf Genauigkeit und Effizienz liegen sollte. In ähnlicher Weise sollte das IKS den Beteiligten eine gegenseitige Einsicht in die Anwendung der Kontrollen ermöglichen - nicht nur, um die Rechenschaftspflicht zu fördern, sondern auch, um frühzeitig Hinweise auf mögliche Hindernisse und Verzögerungen zu geben. 

Planung und Durchführung

Während die Details und die Struktur jedes IKS unterschiedlich sind, sollte der Planungs- und Implementierungsprozess die folgenden Schlüsselschritte beinhalten:

• Überprüfung der Kontrollen: In Abstimmung mit dem Buchhaltungsteam sollten die CFOs eine Überprüfung der bestehenden Kontrollen durchführen, um Lücken bei der Einhaltung der Vorschriften oder Möglichkeiten zur Integration neuer technologischer Instrumente zu ermitteln.
• Entwicklung: Im Anschluss an die Überprüfung müssen die CFOs neue Kontrollen entwickeln, um den Risiken zu begegnen, denen sie ausgesetzt sind. Dabei sollte berücksichtigt werden, dass die Kontrollen so nahtlos wie möglich in die bestehenden Arbeitsabläufe integriert werden müssen.
• Politik und Verfahren: Das IKS sollte durch eine detaillierte Dokumentation unterstützt werden, einschließlich schriftlicher Richtlinien und Verfahren sowie Anweisungen zur Durchführung bestimmter Kontrollen.
• Schulung der Mitarbeiter: Der Erfolg des IKShängt von der Fähigkeit der Mitarbeiter ab, es wirksam einzusetzen. Dementsprechend sollten die Mitarbeiter darin geschult werden, wie die Kontrollen anzuwenden sind und welche Rolle und Bedeutung sie im Gesamtrahmen haben.
• Kontrolltests: Das IKS muss vor der Einführung getestet werden, um sicherzustellen, dass es die Zielvorgaben erfüllt, und anschließend in regelmäßigen Abständen, um die kontinuierliche Wirksamkeit zu gewährleisten.
• Laufende Überwachung: CFOs sollten die Effektivität ihres IKS sorgfältig überwachen und den Blick auf kommende regulatorische Änderungen und aufkommende Risiken richten, die Anpassungen oder neue Kontrollen erforderlich machen könnten.

Die Einführung eines neuen IKS kann ein gewisses Maß an administrativen Reibungen mit sich bringen und sogar die Bereitstellung von Produkten und Dienstleistungen stören. Unternehmen sollten mögliche Störungen während des Entwicklungsprozesses berücksichtigen und, wenn möglich, Strategien zur Abschwächung entwickeln. 

Interne Audits des IKS

Interne Audits gewährleisten die kontinuierliche Wirksamkeit eines IKS. Ein internes Auditteam hat einen einzigartigen Einblick in die Compliance-Ziele des Unternehmens und in weitere Faktoren, die die Anwendung von Kontrollen unterstützen oder behindern könnten. Zu diesem Zweck lohnt es sich, einen regelmäßigen IKS und ein Team zu implementieren, das interne Audits durchführt und dem Vorstand über den aktuellen Stand der Kontrollen berichtet. 

IKS und Finanz-Reporting 

Eine der Hauptfunktionen eines IKS ist es, die Richtigkeit und Vollständigkeit der Finanzberichte sicherzustellen - eine Praxis, die als interne Kontrolle der Finanz-Reporting (ICFR) bekannt ist. Einige Rechtsordnungen haben Vorschriften erlassen, die Personen innerhalb eines Unternehmens die rechtliche Verantwortung für ICFR zuweisen. In den USA beispielsweise macht das SOX-Gesetz die Führungskräfte eines Unternehmens für den ICFR verantwortlich, während in Europa die EU-Richtlinie zur Nachhaltigkeitsberichterstattung (CSRD) und der aktualisierte Corporate Governance Code des Vereinigten Königreichs ähnliche Verantwortlichkeiten für Führungskräfte vorsehen. 

Dementsprechend sollten sowohl der Vorstand als auch die leitenden Angestellten mit den Einzelheiten ihres IKS vertraut sein und in den Prozess der Erstellung eingebunden werden:

• Einrichtung einer wirksamen Kontrolle der Finanz-Reporting.
• Bewertung der Funktionsfähigkeit interner Finanz-Reporting anhand geeigneter Kriterien, z. B. COSO.
• Erstellung von Nachweisen und Unterlagen, die interne und externe Prüfer zur Bewertung und Überprüfung von Kontrollen verwenden können.
• Vorlage einer schriftlichen Bewertung der Funktionsfähigkeit der Kontrollen am Ende des Haushaltsjahres.

IKS mit FloQast

Bauen Sie effektive, effiziente und genaue Kontrollen in das Herzstück Ihres Unternehmens ein. FloQast compliance management Software hilft Unternehmen jeder Größe bei der Implementierung ihres IKS, wobei automatisierte Kontrollen in die täglichen Buchhaltungsabläufe integriert werden, um Kosten und administrative Reibungsverluste zu reduzieren und die betriebliche Flexibilität zu erhöhen.  

Erfahren Sie mehr über FloQast Compliance Management: Nehmen Sie noch heute Kontakt auf.