Markus Brinkmann - Tax Compliance

66

Gem. § 317 Abs. 4 HGB hat der Abschlussprüfer im Rahmen der Abschlussprüfung börsennotierter Aktiengesellschaften zu beurteilen, ob der Vorstand die nach § 91 Abs. 2 AktG erforderlichen Maßnahmen zur Risikofrüherkennung in einer geeigneten Form getroffen hat und ob das einzurichtende Überwachungssystem seine Aufgaben erfüllen kann. Daher hat das Institut der Wirtschaftsprüfer im IDW PS 340[91] die Grundsätze für die Prüfung eines Risikofrüherkennungssystems geregelt und zudem die Mindestanforderungen an ein RFS dargestellt.

67

Wie in Rn. 62 ff.bereits aufgezählt, sollte ein angemessenes Risikofrüherkennungssystem als Mindestmaßnahmen die Festlegung der Risikofelder, die zu bestandsgefährdenden Entwicklungen führen können, die Risikoerkennung und Risikoanalyse, die Risikokommunikation, die Zuordnung von Verantwortlichkeiten und Aufgaben, die Einrichtung eines Überwachungssystemssowie die Dokumentation der getroffenen Maßnahmenumfassen. Unter der Maßnahme Festlegung der Risikofelderwird die Untersuchung sämtlicher betrieblicher Prozesse und Funktionsbereiche hinsichtlich Risiken, die nach Art und Umfang alleine oder im Zusammenwirken mit anderen Risiken den Bestand des Unternehmens gefährden können, verstanden. Als Ergebnis der Analyse sind die Unternehmensbereiche (betriebliche Funktionen oder Prozesse) abzugrenzen, aus denen bestandsgefährdende Risiken in besonderem Maße resultieren können, sowie eine Definition der bestandsgefährdenden Risiken bzw. Risikoarten vorzunehmen.[92]

68

Die Maßnahmen Risikoerkennung und Risikoanalysebasieren auf der Schaffung und Fortentwicklung eines angemessenen Risikobewusstseins aller Mitarbeiter. Dabei ist im Rahmen der Risikoerkennung die Identifizierung sowohl im Vorhinein definierter Risiken als auch nicht definierter Risiken und Auffälligkeiten erforderlich. Die sich an die Risikoerkennung anschließende Risikoanalyse umfasst die Einschätzung der Risiken hinsichtlich Eintrittswahrscheinlichkeit und quantitativer Auswirkung. Dabei ist die quantitative Auswirkung sowohl für das isolierte Risiko als auch in Zusammenwirkung mit anderen Risiken zu betrachten.[93]

69

Die Risikokommunikationumfasst die Berichterstattung über die nicht bewältigten Risiken. Um eine Fokussierung auf die bedeutenden, bestandsgefährdenden Risiken zu ermöglichen, sollten Schwellenwerte definiert werden, deren Überschreitung eine Berichtspflicht an den Vorstand bzw. die Geschäftsführung auslöst. Für die Risikokommunikation sollten Berichtsstrukturen, institutionalisierte Kommunikationswege (mit Festlegung der Berichtsempfänger) sowie die Periodizität der Kommunikation festgelegt werden. Die Festlegung von Regeln zur Ad-hoc-Berichterstattung sollte für den Fall von Eilbedürftigkeit sicherstellen, dass von den standardmäßigen Berichtsstrukturen abgewichen werden kann.[94]

70

Die Zuordnung von Verantwortlichkeiten und Aufgabenbeinhaltet die Festlegung, wer im jeweiligen Unternehmensbereich für die Erfassung und Bewältigung bedeutsamer Risiken oder – im Falle der Nichtbewältigung – für die Weiterleitung von Informationen über bedeutsame Risiken zuständig ist. Ein Informationsaustausch über die erfassten Risiken ist dabei zwischen den jeweiligen Unternehmensbereichen erforderlich, um die Möglichkeit der Aggregation von Einzelrisiken, der wechselseitigen Verstärkung von Risiken zu einem bestandsgefährdenden Risiko oder der Kompensation von Risiken analysieren zu können. Zweckmäßigerweise sollte die Verantwortung für den Informationsaustausch den jeweils für die Unternehmensbereiche zuständigen Berichtsempfängern übertragen werden.[95]

71

Die Einrichtung eines Überwachungssystemsist erforderlich, um die Einhaltung der implementierten Maßnahmen zur Erfassung und Kommunikation bestandsgefährdender Risiken und deren Veränderung zu gewährleisten. Dabei sollten entsprechende Maßnahmen in die Abläufe integrierte Kontrollen, wie beispielsweise die Überwachung der Einhaltung der Meldegrenzen, die EDV-gestützte Kontrolle der Termintreue oder die Genehmigung und Kontrolle der Risikoberichterstattung, umfassen. Zudem sollten die Maßnahmen des RFS auch Gegenstand der Tätigkeit der Internen Revision sein. Dabei können z.B. die vollständige Erfassung aller Risikofelder des Unternehmens oder die kontinuierliche Anwendung der Maßnahmen der Prüfung durch die Interne Revision unterliegen.[96]

72

Die Dokumentation der getroffenen Maßnahmensoll primär der Sicherstellung der dauerhaften, personenunabhängigen Funktionsfähigkeit des Risikofrüherkennungssystems dienen. Daneben stellt die Dokumentation für den Vorstand einen Nachweis der Erfüllung seiner Pflichten nach § 91 Abs. 2 AktG dar. Als Dokumentation bietet sich insbesondere die Erstellung eines Risikohandbuches an, welches die organisatorischen Regelungen und Maßnahmen zur Einrichtung des Systems beinhalten sollte. Konkrete Themen des Risikohandbuches können insbesondere die Definition der Risikofelder, die zu bestandsgefährdenden Entwicklungen führen können, die Grundsätze für die Risikoerkennung, Risikoanalyse und Risikokommunikation, die Festlegung von Verantwortlichkeiten und Aufgaben für Risikoerkennung, Risikoanalyse und Risikokommunikation oder die Regelungen zur Berichterstattung über erkannte und nicht bewältigte Risiken an die zuständigen Stellen sowie zur Risikoverfolgung darstellen.[97]

73

Die vorstehenden Ausführungen verdeutlichen, dass das Risikofrüherkennungssystem Elemente des Risikomanagementsystems aufweist. Der Fokus – insbesondere bei der Risikoerkennung und der Risikoanalyse – liegt dabei jedoch auf der Früherkennung bestandsgefährdender Risiken und Entwicklungen. Da das allgemeine Risikomanagement die Erfassung und Analyse sämtlicher Unternehmensrisiken umfasst, stellt das Risikofrüherkennungssystem somit einen speziellen Ausschnitt bzw. Teilaspekt des Risikomanagementsystems dar.

74

Bevor auf die Konzeption eines CMS anhand Darstellung der derzeit in Deutschland anerkannten Best-Practice-Rahmenwerke eingegangen wird, erfolgt zunächst eine kurze Einführung der Begriffe Compliance Management und Compliance Management System. Unter Compliance Management wird u.a. die Sicherstellung und Förderung der Einhaltung von Gesetzen und Unternehmens- bzw. Konzernrichtlinien durch geeignete Maßnahmen verstanden.[98] Des Weiteren werden Prozesse, welche die durch die Organisation anzuwendenden Regeln, wie z.B. Gesetze, Richtlinien oder Verträge, identifizieren und den Compliance-Status beurteilen sollen, vom Begriff Compliance Management umfasst. Gegenstand des Compliance Managements ist dabei u.a. die Bewertung der Risiken und Kosten von Non-Compliance und deren Vergleich mit den zum Erreichen von Compliance notwendigen Kosten sowie die auf dieser Basis vorzunehmende Priorisierung und Durchführung notwendiger, korrigierender Maßnahmen.[99]

75

Aufbauend auf dem Verständnis des Begriffs Compliance Management definiert der Prüfungsstandard 980 des IDW[100] ein Compliance Management System als die auf der Grundlage der von den gesetzlichen Vertretern festgelegten Ziele eingeführten Grundsätze und Maßnahmen eines Unternehmens, die auf die Sicherstellung eines regelkonformen Verhaltens der gesetzlichen Vertreter und der Mitarbeiter des Unternehmens sowie ggf. von Dritten abzielen. Ziel eines Compliance Management Systems ist folglich die Einhaltung bestimmter Regeln und die Verhinderung wesentlicher Regelverstöße. Dabei kann ein CMS auf abgegrenzte Teilbereiche, wie z.B. Geschäftsbereiche, Unternehmensprozesse (wie z.B. Einkauf oder Vertrieb) oder bestimmte Rechtsgebiete (wie z.B. Steuern oder Kartellrecht), ausgerichtet werden.[101] Der ISO-Standard 19600[102] definiert das CMS als Gesamtheit interagierender Elemente einer Organisation, um Richtlinien, Ziele und Prozesse zu etablieren, welche das Erreichen der festgelegten Ziele gewährleisten sollen. Dabei ist eine Ausrichtung des CMS auf eine oder mehrere Bereiche bzw. Funktionen der Organisation möglich. Zudem sind Organisationsstrukturen, Rollen und Verantwortlichkeiten Regelungsbereiche des CMS.[103] Einer kurzen und prägnanten Definition folgend werden im CMS organisatorische Vorkehrungen gesehen, mittels derer die Begehung von Gesetzesverstößen durch Mitarbeiter der Gesellschaft verhindert werden sollen.[104]