Markus Brinkmann - Tax Compliance

13

Die Kontrollaktivitäten, welche mittels Richtlinien und Verfahrensanweisungen im Unternehmen zu etablieren sind, sollen dafür sorgen, dass die Vorgaben der Unternehmensleitung und des Managements umgesetzt werden. Von besonderer Bedeutung ist dabei, dass die Kontrollaktivitäten auf allen Ebenen und in allen Funktionsbereichen des Unternehmens durchgeführt werden. Kontrollaktivitäten können einen präventiven oder einen aufdeckenden Charakter aufweisen und sowohl aus manuellen als auch aus automatisierten bzw. systemgesteuerten Maßnahmen bestehen. Beispiele für Kontrollaktivitäten sind Berechtigungskonzepte, Genehmigungsverfahren, Abstimmungsarbeiten oder die Analyse von Erfolgskennzahlen. Zudem stellt die Funktionstrennung ein Grundprinzip bei der Etablierung von Kontrollaktivitäten innerhalb eines IKS dar.[15]

14

Die Komponente Information und Kommunikationbeinhaltet die Einholung, die Bereitstellung und das Teilen von Informationen. Die zeitgerechte Kommunikation relevanter Information an die zuständigen Personen ist erforderlich, damit die jeweiligen Verantwortlichkeiten innerhalb des IKS sachgerecht ausgeübt werden können. Daher ist es wichtig, dass die Informationsflüsse in sämtliche Richtungen innerhalb der Organisation funktionsfähig sind. Dabei können die für die Wirksamkeit des IKS benötigten Informationen sowohl aus internen als auch aus externen Quellen stammen.[16] Die Komponente Information und Kommunikation umfasst zudem die Erstellung von internen Berichten im Hinblick auf die Zielkategorien operativer Betrieb, Berichterstattung und Compliance sowie die Kommunikation mit externen Stakeholdern, wie beispielsweise Kunden, Lieferanten, Gesellschafter bzw. Aktionäre oder auch Gesetzgeber und Aufsichtsbehörden, über das IKS betreffende Sachverhalte.[17]

15

Die Aufgabe der fünften Komponente Überwachungist es, die Qualität (Wirksamkeit und Wirtschaftlichkeit) des IKS zu überprüfen und zu bewerten. Dabei können die Überwachungstätigkeiten als laufende, in die Arbeitsprozesse der verschiedenen Ebenen und Funktionen der Unternehmung integrierte Maßnahmen, als separate, prozessunabhängige Überprüfungen oder als eine Kombination aus beiden Varianten erfolgen. Der Turnus der prozessunabhängigen Kontrollen sollte insbesondere von der Risikosituation des Unternehmens sowie der Effektivität der laufenden, prozessintegrierten Überwachungsmaßnahmen abhängen. Die Ergebnisse der Überwachungstätigkeiten sollten hinsichtlich Schwachstellen des IKS untersucht werden, die – sofern vorhanden – an das Management und die Unternehmensleitung kommuniziert werden müssen. Liegen Hinweise auf Schwächen des IKS vor, sind korrigierende Maßnahmen zu ergreifen.[18]

16

Um ein wirksames und wirtschaftliches IKS zu erhalten, ist gem. COSO I die Existenz und Funktionsfähigkeit sämtlicher fünf Komponenten erforderlich. Dabei ist jede Komponente grundsätzlich unabhängig; aufgrund der Vielzahl an Verflechtungen sollten sie jedoch als ganzheitliches, integriertes System zusammenwirken.[19] Die formale Ausgestaltung der Komponenten kann jedoch individuell in Abhängigkeit von Größe und Komplexität des Unternehmens oder der Art der Geschäftstätigkeit sehr unterschiedlich ausfallen.[20]

17

Der durch den Hauptfachausschuss (HFA) des IDW in der Fassung vom 13.3.2013 verabschiedete IDW PS 261 zeigt primär die Berufsauffassung auf, nach der Wirtschaftsprüfer im Rahmen von Abschlussprüfungen Risiken wesentlicher falscher Angaben in der Rechnungslegung feststellen und beurteilen sowie angemessen darauf reagieren können.[21] In diesem Zusammenhang erläutert der Standard den Begriff und die Aufgaben des internen Kontrollsystems und legt zudem dar, wie ein internes Kontrollsystem ausgestaltet sein sollte.

18

Wie bereits vorstehend unter B.II.1. dargestellt, definiert der IDW PS 261 n.F. das interne Kontrollsystem als die vom Management im Unternehmen eingeführten Grundsätze, Verfahren und Maßnahmen (Regelungen), die auf die organisatorische Umsetzung der Entscheidungen des Managements zur Sicherung der Wirksamkeit und Wirtschaftlichkeit der Geschäftstätigkeit, zur Ordnungsmäßigkeit und Verlässlichkeit der internen und externen Rechnungslegung sowie zur Einhaltung der für das Unternehmen maßgeblichen rechtlichen Vorschriften gerichtet sind.[22]

19

Das IKS setzt sich dabei aus dem internen Steuerungs- und dem internen Überwachungssystem zusammen. Während mit internem Steuerungssystem die Regelungen zur Steuerung der Unternehmensaktivitäten bezeichnet werden, ist Aufgabe des internen Überwachungssystems die Überwachung der Einhaltung dieser Regelungen. Dabei umfasst das interne Überwachungssystem sowohl prozessintegrierte Überwachungsmaßnahmen, wie z.B. organisatorische Sicherungsmaßnahmen oder Kontrollen, als auch prozessunabhängige Überwachungsmaßnahmen.[23]

20

Unter organisatorischen Sicherungsmaßnahmen sind laufende, automatische Verfahren zu verstehen, die primär der Vermeidung bzw. Verhinderung von Fehlern dienen sollen. Zu diesem Zweck sind diese Maßnahmen in der Aufbau- und Ablauforganisation von Unternehmen zu etablieren. Beispiele für organisatorische Sicherungsmaßnahmen sind das Prinzip der Funktionstrennung, Zugriffsbeschränkungen bzw. ein Berechtigungskonzept im unternehmensweiten IT-System oder Zahlungsrichtlinien.[24]

21

Kontrollen sind Maßnahmen, die in den Arbeitsablauf integriert werden sollten und die Wahrscheinlichkeit für das Auftreten von Fehlern reduzieren bzw. aufgetretene Fehler aufdecken sollen. Bei Kontrollen kann es sich um manuelle Maßnahmen, wie beispielsweise der Überprüfung der Vollständigkeit und Richtigkeit von erhaltenen oder weitergegebenen Daten, Soll/Ist-Vergleichen oder um im IT-System programmierte, automatische Plausibilitätsprüfungen handeln.[25]

22

Prozessunabhängige Überwachungsmaßnahmen müssen durch prozessunabhängige Akteure, wie beispielsweise die Interne Revision, die Unternehmensleitung (sog. High-level controls) oder von der Unternehmensleitung beauftragte Dritte (z.B. Wirtschaftsprüfer), durchgeführt werden und dienen der Überprüfung und Beurteilung der eingerichteten Strukturen und Maßnahmen des IKS.[26]

23

Hinsichtlich des Aufbaus des IKS greift der IDW PS 261 n.F. auf die fünf Komponenten des COSO I-Modells Kontrollumfeld, Risikobeurteilungen, Kontrollaktivitäten, Information und Kommunikationsowie Überwachungzurück.[27]

24

Das Kontrollumfeldist der Rahmen für die Grundsätze, Verfahren und Maßnahmen des IKS und wird maßgeblich durch die Grundeinstellungen, das Problembewusstsein und das Verhalten des Managements geprägt. Dadurch, dass das Kontrollumfeld das Kontrollbewusstsein der Mitarbeiter von Unternehmen stark beeinflusst, stellt ein günstiges Kontrollumfeld die notwendige, jedoch nicht hinreichende Voraussetzung für die Wirksamkeit des internen Kontrollsystems dar.[28]

25

Da Unternehmen beispielsweise finanziellen, rechtlichen, leistungswirtschaftlichen oder strategischen Risiken ausgesetzt sind, die das Erreichen der Unternehmensziele gefährden können, sind Risikobeurteilungendurchzuführen. Dabei stellt die Identifizierung und Analyse der unternehmensspezifischen Risiken die Grundlage für den Umgang der Unternehmensleitung mit den Risiken dar.[29]