Vorwort und Dank
Abbildungsverzeichnis
Tabellenverzeichnis
Abkürzungsverzeichnis
1 Problemstellung und Aufbau der Arbeit
1.1 Effiziente Unternehmensüberwachung - Verpflichtung oder Chance
1.2 Zielsetzung und Aufbau der Arbeit
2 Grundlagen und regulatorisches Umfeld
2.1 Grundbegriffe Interner Kontrolle
2.1.1 Kontrolle und Internes Kontrollsystem
2.1.2 Internes Kontrollsystem im Kontext
2.2 Regulatorisches Umfeld
2.2.1 Internationale regulatorische Entwicklung
2.2.2 Entwicklung auf Ebene der Europäischen Union
2.2.3 Regulatorische Entwicklung in Deutschland
3 Wirksamkeit Interner Kontrollsysteme - Bedeutung für die Unternehmensführung
3.1 Elemente der Unternehmensüberwachung
3.1.1 Internes Kontrollsystem versus Internes Überwachungssystem
3.1.2 Unternehmensführung als Bestimmungsfaktor der Wirksamkeit
3.1.3 Effizienter Ressourceneinsatz durch Assurance-Konzepte
3.2 Akteure der Internen Kontrolle
3.2.1 Aufgaben und Pflichten
3.2.2 Möglichkeiten und Grenzen der Zusammenarbeit
3.2.3 Wirkungsgrad des Internen Kontrollsystems
4 Wirksamkeit Interner Kontrollsysteme - Bedeutung für die Rechnungslegung
4.1 Rechungslegung und Internes Kontrollsystem
4.1.1 Aufgaben der internen und externen Rechnungslegung
4.1.2 Interne Kontrolle als Basis verlässlicher Rechnungslegung
4.2 Bewertung der Rechnungslegung aus Sicht der Internen Kontrolle
4.2.1 Anforderungen ausgehend vom Jahresabschluss
4.2.2 Anforderungen ausgehend von Funktionsbereichen
5 Konzeption und Bewertung Interner Kontrollsysteme
5.1 Aufbau des Internen Kontrollsystems
5.1.1 Komponenten Interner Kontrollsysteme
5.1.2 Ausgestaltung Interner Kontrollen
5.1.3 Wirkungungsweise Interner Kontrollen
5.2 Überwachung und Beurteilung der Wirksamkeit
5.2.1 Notwendigkeit laufender Überwachung
5.2.2 Bewertung der Qualität Interner Kontrollen
6 Interne Kontrollen am Beispiel des Bosch Werkes Blaichach
6.1 Das Unternehmen Bosch
6.1.1 Führung und Überwachung der Bosch-Gruppe
6.1.2 Aufbau und Ausgestaltung des Internen Kontrollsystems
6.2 Sicherung der Wirksamkeit Interner Kontrollen im Werk Blaichach
6.2.1 Interne Kontrollen des Werkes Blaichach
6.2.2 Maßnahmen zur Sicherung der Wirksamkeit
6.2.3 Erste Einschätzung und Bewertung der Ergebnisse
7 Von der Verpflichtung zum Management Interner Kontrollen
Anhang
Literatur- und Quellenverzeichnis
Die Anfertigung dieser Diplomarbeit als Abschluss meines Studiums der Betriebs-wirtschaft, schließt den Kreis meiner während des Studiums erworbenen theoretischen Grundlagen und der praktischen Erfahrungen im Werk Blaichach der Robert Bosch GmbH.
Danken möchte ich an dieser Stelle Herrn Prof. Dr. Sven Henning, der als mein wissen-schaftlicher Betreuer an der Fachhochschule Kempten mit seinen wertvollen Anregungen und seiner beratenden Unterstützung zum Gelingen dieser Arbeit beigetragen hat.
Mein Dank gilt auch Herrn Dipl.-Wirtsch.-Ing. Erik Simmer, der mir als praktischer Betreuer meiner Arbeit bei der Robert Bosch GmbH mit Rat stets zur Seite stand. Seiner Initiative verdanke ich den praktischen Zugang zum Thema dieser Diplomarbeit.
Bei meinen Kommilitonen und meiner Familie, die mich durchs Studium und während dieser Arbeit begleitet haben, möchte ich mich ebenfalls bedanken. Insbesondere bei Markus Aßner und meinem Bruder Marcus Fischer, die mit ihrer konstruktiven Kritik beim Korrekturlesen einen beachtlichen Beitrag zum Abschluss dieser Arbeit geleistet haben.
Kempten, den 8. November 2007 Ulrike Meßbacher
Abbildung 1: Externe versus interne Sichtweise des Internen Kontrollsystems
Abbildung 2: Internes Kontrollsystem im Risikomanagement-Regelkreis
Abbildung 3: Kontrolle im Regelkreis-Model der Unternehmensführung
Abbildung 4: Hauptkomponenten der Unternehmensüberwachung
Abbildung 5: Hauptkomponenten der Unternehmensüberwachung mit integriertem Internen Kontrollsystem
Abbildung 6: Sicherheitsgrad und Kosten des Internen Kontrollsystems
Abbildung 7: Risikoabdeckung in einem unkoordinierten und in einem koordinierten Assurance-Konzept
Abbildung 8: Überwachungsinstrumente der Unternehmenshierarchiestufen
Abbildung 9: Internes Kontrollsystem als Basis verlässlicher Rechnungslegung
Abbildung 10: Zuordnung von Jahresabschusspositionen zu den Prozessen bzw. Funktionsbereichen
Abbildung 11: Mögliche Funktionsbereiche in einem Unternehmen
Abbildung 12: Komponenten des Internen Kontrollsystems nach COSO
Abbildung 13: Lebenszyklus der Qualität Interner Kontrollen im Zeitverlauf
Abbildung 14: Umsatzstruktur der Bosch-Gruppe
Abbildung 15: Gesellschafter der Robert Bosch GmbH
Abbildung 16: Erhöhung des Qualitätsniveaus der Internen Kontrolle BhP zwischen März und Oktober 2007
Tabelle 1: Auszug aus dem Aktionsplan der EU-Kommission im Bereich Corporate Governance
Tabelle 2: Mögliche Redundanzen bei der Aufgabenerfüllung verschiedener Kontrollinstrumente
Tabelle 3: Beispiele für Regelungen im Bereich Anlagevermögen
Tabelle 4: Traditionelles Verständnis der Internen Kontrolle versus Verständnis nach dem COSO-Framework
Tabelle 5: Kategorisierung der Internen Kontrolle anhand ihrer Objekte
Tabelle 6: Beispiele für Verfahren der Internen Kontrolle
Tabelle 7: Beispiele für Formen der Internen Kontrolle
Tabelle 8: Wirkungsweisen der Internen Kontrollen
Tabelle 9: Bewertungskriterien für die Nachvollziehbarkeit ausgeführter Kontrollhandlungen
Tabelle 10: Beispiel einer Bewertungsskala des Internen Kontrollsystems
Tabelle 11: Zentrale Maßnahmen zur Erreichung der übergeordneten Kontrollziele
Tabelle 12: Ziele für die Internen Kontrollen BhP
Tabelle 13: Maßnahmen zur Optimierung der Qualität der Internen Kontrollen BhP
Abbildung in dieser Leseprobe nicht enthalten
Sowohl in den USA als auch in Europa wächst das Verlangen nach Stabilität und Sicherheit der Unternehmen durch adäquate Überwachung des unternehmerischen Handelns.[1] Die Gründe hierfür liegen nicht zuletzt in den zahlreichen Unternehmenskrisen und Finanzskandalen der jüngeren Vergangenheit.[2] Das Vertrauen der Kapitalmarkt-teilnehmer in die Verlässlichkeit von veröffentlichten und testierten Jahresabschlüssen wurde durch die aufgedeckten massiven Verfälschungen der Ergebnislage, wie beispiels-weise bei Worldcom und Parmalat,[3] nachhaltig erschüttert.
Die Folge waren weitreichende Forderungen an die Ausgestaltung der Überwachungs- und Kontrollsysteme in den Unternehmen.[4] Durch zahlreiche Regulierungsinitiativen seitens der Gesetzgeber sehen sich die Unternehmen mit stark gestiegenen Anforderungen konfron-tiert,[5] deren Erfüllung umfangreiche Maßnahmen erfordert und im Ergebnis zu teilweise erheblichen Mehrbelastungen führt.[6] Auch das von fortschreitender Globalisierung, wach-sender Komplexität und Dynamik geprägte unternehmerische Umfeld macht es für die Unternehmen immer schwieriger, das dadurch erhöhte Risikopotenzial zu bewältigen und die wesentlichen Geschäftsprozesse adäquat zu überwachen.[7]
Für die Unternehmensführung und die Rechnungslegung gewinnt ein wirksames und verlässliches Internes Kontrollsystem aufgrund dieser Entwicklungen zunehmend an Bedeutung. Immer mehr Unternehmen sehen die Auseinandersetzung mit internen Prozessen und Kontrollen zwar auch als Chance, die Effizienz der internen Organisation zu verbessern. Die gesetzliche Verpflichtung der Geschäftsführung zur Ausgestaltung und Dokumentation der Internen Kontrolle wird in der deutschen Praxis jedoch oftmals noch verkannt[8] und das Kosten-Nutzen-Verhältnis der Anpassung der Internen Kontrolle an die immer strengeren Auflagen von den Unternehmen insgesamt in Frage gestellt.[9] Fraglich ist auch, wie effektive Interne Kontrollen zu gestalten sind. Den Unternehmen stehen als Beurteilungsmaßstab nur verhältnismäßig allgemeine und grobe Bewertungsrichtlinien zur Verfügung, die im Bezug auf Maßnahmen zur Verbesserung der Wirksamkeit von Internen Kontrollsystemen kaum Unterstützung in Form konkreter Handlungsanweisungen bieten.[10]
Vor diesem Hintergrund befasst sich die vorliegende Arbeit mit der gestiegenen Bedeutung von wirksamen Internen Kontrollsystemen. Dabei sollen vor allem die, aus dieser Ent-wicklung resultierenden Folgen für die Unternehmensführung sowie der Nutzen beleuchtet werden, den das Unternehmen daraus und aus einer dadurch verbesserten Verlässlichkeit der Rechnungslegung ziehen kann. Am Beispiel der Internen Kontrollen des Werkes Blaichach der Robert Bosch GmbH wird dann die praktische Umsetzung und dauerhafte Sicherung wirksamer Interner Kontrollen veranschaulicht.
Nach einigen einleitenden Bemerkungen zur Problematik von wirksamen Internen Kontroll-systemen, schafft das zweite Kapitel ein grundlegendes Verständnis für die Interne Kontrolle[11] und ihre Stellung im Unternehmen. Dazu soll ausgehend vom Begriff der Kontrolle die Entwicklung des Internal Control Konzepts und seine Übertragung in die deutsche Praxis aufgezeigt werden. Eine kurze Gegenüberstellung verdeutlicht die stark differierende unternehmensexterne und -interne Sichtweise des Internen Kontrollsystems, wobei insbesondere die letztere für den Verlauf der Arbeit von Bedeutung ist.
Ein weiterer Teil des zweiten Kapitels befasst sich mit dem regulatorischen Ordnungs-rahmen, der den Unternehmen durch Aktivitäten der Gesetzgeber und anderer Institutionen vorgegeben ist und der starken Einfluss auf die Bedeutung des Internen Kontrollsystems in den Unternehmen nimmt. Im Hinblick auf den Umfang dieser Arbeit, werden dabei nur die, für das Interne Kontrollsystem wesentlichsten, internationalen und nationalen Bestimmun-gen aufgezeigt und deren Relevanz für seine zunehmende Bedeutung erläutert.
Das dritte Kapitel vertieft die Betrachtungen des Internen Kontrollsystems im Kontext der Unternehmensführung und -überwachung. Es stellt die Elemente der Unternehmensüber-wachung und die Akteure im Internen Kontrollsystem vor. Im Fokus steht vor allem die Aufgabe der Unternehmensführung, ein wirksames Internes Kontrollsystem einzurichten und zu erhalten, ihr Einfluss auf seine Wirksamkeit und der Nutzen, den ein solches für ihre Aufgabenerfüllung hat. Da die Fragen der Koordination und Kooperation zwischen den Überwachungsfunktionen des Unternehmens einerseits und den Akteuren der Internen Kontrolle andererseits, unabdingbare Voraussetzungen für den wirtschaftlichen Einsatz der Ressourcen darstellen, finden diese ebenfalls besondere Beachtung.
Im vierten Kapitel ist, ausgehend von den Aufgaben der Rechungslegung, die enge Verbindung zwischen einem wirksamen Internen Kontrollsystem im Unternehmen und einer verlässlichen Rechnungslegung, sowie deren Relevanz für das Unternehmen, erläutert. Anhand zweier Beispiele erfolgt die Darstellung der strukturellen Zusammenhänge. Es wird gezeigt, wie durch die Betrachtungen von Unternehmensprozessen, den entsprechenden Internen Kontrollen und den von ihnen beeinflussten Jahresabschlusspositionen, gleich-zeitig Aussagen zur Verlässlichkeit der Rechnungslegung und zu etwaigen Optimierungs-potentialen im Internen Kontrollsystems des Unternehmen gewonnen werden können.
Das fünfte Kapitel stellt basierend auf dem international anerkannten COSO-Rahmenwerk, ein Konzept zum Aufbau eines wirksamen Internen Kontrollsystems vor. Es werden sowohl seine grundsätzlichen Bestandteile als auch die konkrete Ausgestaltung von Internen Kontrollen beschrieben. Die Wirkungsweisen der Internen Kontrolle, insbesondere die zu vermeidende dysfunktionale Wirkung, sind dabei ebenfalls erläutert. Als Grundlage einer dauerhaften Sicherung wirksamer Interner Kontrollen im Unternehmen, geht der letzte Abschnitt dieses Kapitels auf die Notwendigkeit einer laufender Überwachung und regelmäßiger Überprüfung der Qualität des Internen Kontrollsystems ausführlicher ein.
Das sechste Kapitel beschäftigt sich damit, die praktische Anwendung der vorgestellten Konzeption und die Sicherung dauerhaft wirksamer Interner Kontrollen an einem Unter-nehmensbeispiel zu verdeutlichen. Nachdem die für die Interne Kontrolle wesentlichen Eckdaten der Bosch-Gruppe dargelegt sind, liegt der Schwerpunkt des Kapitels auf der Beschreibung von Maßnahmen, die im Werk Blaichach der Robert Bosch GmbH zur Sicherung der dauerhaften Wirksamkeit der Internen Kontrollen dieser Unternehmens-einheit, zwischen März und Oktober 2007 geplant und umgesetzt wurden.
Kapitel sieben greift die aktuelle Situation zur Corporate Governance in Deutschland noch einmal auf, die anschaulich den Nutzen wirksamer Interner Kontrollsysteme demonstriert. Am Beispiel des Total Quality Managements werden schließlich zukünftige Weiterent-wicklungsmöglichkeiten der Internen Kontrollen in Aussicht gestellt.
Die Ausführungen richten sich an deutsche Unternehmen, insbesondere an kapitalmarkt-orientierte Gesellschaften, aber auch an jene die nur der Publizitätspflicht und der externen Prüfung unterliegen. Wegen seiner starken Ausstrahlungswirkung und der essentiellen Notwendigkeit effektiver Unternehmensüberwachung ist das Thema allerdings auch für andere Unternehmen von großer Relevanz. Daher werden in dieser Arbeit vorwiegend allgemeingültige Aussagen getroffen. Sofern auf spezifische, von der Rechtsform ab-hängige Regelungen eingegangen wird, ist dies explizit verdeutlicht. Die Bezeichnung „Unternehmen“ umfasst demnach sämtliche Rechtsformen der Unternehmung, daraus ergibt sich auch für das oberste Führungsgremium die allgemeine Bezeichnung „Unterneh-mensführung“, ungeachtet der tatsächlichen gesellschaftsformabhängigen Bezeichnung.
Im ersten Teil dieses Kapitels wird ein Grundverständnis für die Interne Kontrolle und ihre gestiegene Bedeutung im Kontext der Unternehmensführung und -überwachung geschaf-fen. Der zweite Teil befasst sich dann mit dem regulatorischen Umfeld, welches ebenfalls starken Einfluss auf die zunehmende Relevanz Interner Kontrollsysteme hat.
Der Begriff „Kontrolle“ entstammt dem französischen „contre-rôle“, was wörtlich übersetzt Gegenprobe bedeutet.[12] Dies beschreibt den Vergleich eines bestimmten Ist-Zustandes auf seine Übereinstimmung mit dem entsprechenden Soll-Zustand und wurde in der deutsch-sprachigen betriebswirtschaftlichen Literatur mehrheitlich in diesem Sinne verstanden.[13]
Erst unter dem Einfluss des angelsächsischen Begriffs „Control“, der soviel bedeutet wie lenken, steuern, regeln und daher weiter gefasst ist als das deutsche Wort „Kontrolle“, wurden auch die Abweichungsanalyse und die entsprechenden Korrekturmaßnahmen in den Kontrollbegriff integriert.[14] Allerdings wird „Control", im Gegensatz zu dem noch immer eher engen und formalen, auf Überwachung abstellenden deutschen Kontrollbegriff, in der amerikanischen Literatur nicht nur auf korrigierende Maßnahmen beschränkt. Es erstreckt sich vielmehr auf alle veranlassenden Aktivitäten zur Zielrealisierung.[15]
So schrieben Mautz und White1979:[16]
„ The purpose of control is to get things done as well as to avoid errors in doing so.“
Für Anthony war bereits 1965 "control":[17]
„the process by which managers assure that resources are obtained and used effectivly and effeciently in the accomplishment of the organization’s objectives.“
Und nach Anthony und Dearden umfasste 1976 "control" in einem Unternehmen:[18]
„all devices that insure that it goes where its leaders want it to go.“
In diesem Sinne ist "Control", auch „management control“ genannt, also eine wesentliche Führungsfunktion und besser mit dem Begriff "Steuerung" als mit dem Begriff "Kontrolle" zu übersetzen.[19] Ebenso wie das im englischen Sprachraum mit Control synonym verwendete Controlling[20] als zentrale Managementfunktion zu sehen ist und als Instrument der Unter-nehmensführung, mit seinen Grundfunktionen Planung, Kontrolle, Informationsversorgung und Steuerung, diese bei der Wahrnehmung ihrer Aufgabe unterstützt.[21] Dieses manage-mentorientierte Kontroll-Verständnis wurde auch der ursprünglichen Konzeption der Internal Control zugrunde gelegt, wie sie nachfolgend beschrieben ist.
Begriff des Internen Kontrollsystems
Der Begriff des Internen Kontrollsystems (IKS) geht zurück auf das, in der amerikanischen Wirtschaftsprüferpraxis, als Reaktion auf die Betrugs- und Unterschlagungsfälle der 30er Jahre des vergangenen Jahrhunderts, entwickelte Internal Control Konzept.[22] Eine Studien-kommission des American Institute of Accountants (AIA)[23] prägte 1949 den Begriff und definierte Internal Control wie folgt:
"Internal Control comprises the plan of organization and all the coordinate methods and measures adopted within a business to safeguard its assets, check the accuracy and reliability of its accounting data, promote operational efficiency, and encourage adherence to prescribed managerial policies."
Damit waren vier verschiedene Zielbereiche der Internal Control formuliert:
- Die Sicherung des Vermögens
- Maßnahmen zur Sicherstellung der Verlässlichkeit und Genauigkeit der Zahlen des Rechnungswesens
- Förderung der betrieblichen Effizienz
- Unterstützung der Einhaltung der vorgegebenen Geschäftspolitik
Diese wurden anfänglich drei Aufgabengebieten der Internal Control zugeordnet: Internal Check zur Sicherung des betriebliche Vermögens, Internal Accounting control zur Sicherung eines ordnungsgemäßen Rechnungswesens und Internal Administrative control, welche die Maßnahmen zur Sicherung der Effizienz betrieblicher Abläufe sowie zur Be-folgung der vorgegebenen Geschäftspolitik beinhalten. Obwohl in Deutschland diese grundsätzlichen Inhalte bereits länger bekannt waren,[24] begann die Diskussion um das Interne Kontrollsystem erst in den fünfziger und sechziger Jahren.[25] Der Gedanke des Internal Control übte starken Einfluss auf die deutsche Begriffsbildung der Internen Kontrolle aus, wurde jedoch in der Praxis mit der unzureichenden Übersetzung des Internen Kontrollsystems belegt. Besser beschrieben wird Internal Control durch die beiden Teilbereiche des Internen Kontrollsystems, wie sie heute vom Institut der Wirtschaftsprüfer in Deutschland e. V. (IDW) definiert werden:[26]
das Interne Steuerungssystem und das Interne Überwachungssystem.
Der IDW versteht darunter allgemein:[27]
„die vom Management im Unternehmen eingeführten Grundsätze, Verfahren und Maßnahmen (Regelungen), die auf die organisatorische Umsetzung von Entscheidungen des Managements gerichtet sind.“
Und er ordnet dem Internen Kontrollsystem die folgenden Zielbereiche zu:
- Sicherung der Wirksamkeit und Wirtschaftlichkeit der Geschäftstätigkeit (hierzu gehört auch der Schutz des Vermögens, einschließlich der Verhinderung und Aufdeckung von Vermögensschädigungen)
- Ordnungsmäßigkeit und Verlässlichkeit der internen und externen Rechnungslegung
- Einhaltung der für das Unternehmen maßgeblichen rechtlichen Vorschriften
In Literatur und Praxis lassen sich, vermutlich auch aufgrund der unzulänglichen Über-setzung von Internal Control, weitere variierende Detailauffassungen finden.[28] Zusammen-fassend bleibt jedoch festzustellen, dass die heute allgemeingültigen Ausführungen zum Internen Kontrollsystem des IDW, wie sie auch dieser Arbeit als definitorische Basis zugrunde gelegt sind, sich im Wesentlichen mit dem dargestellten Verständnis von Internal Control im angloamerikanischen Raum decken.[29]
Dies ergibt sich sowohl aus den genannten Definitionen, als auch aus den Anforderungen, die durch die unterschiedlichen Zielbereichen an das Interne Kontrollsystem gestellt werden. Das Interne Kontrollsystem geht somit weit über ein herkömmliches Kontrollinstrument hinaus. Es beinhaltet Regelungen zur Steuerung des Unternehmens und Regelungen zur Überwachung der Einhaltung dieser Regelungen und ist deshalb ein wichtiges Instrument zur Führung und Überwachung des Unternehmens.
Unterschiedliche Ziele - unterschiedliche Sichtweisen
Das Konzept der Internal Control kann allerdings, je nach Perspektive, sehr unterschiedlich interpretiert werden.[30] So liegen beispielsweise der unternehmensexternen Sichtweise des Wirtschaftsprüfers andere Interessen und somit andere Anforderungen an die Ziele des Internen Kontrollsystems zugrunde als dies aus unternehmensinterner Sicht der Fall ist. Aber auch interne Anforderungen an ein Internes Kontrollsystem können je nach Art der Unternehmung stark variieren.[31] Entsprechend der zugrunde gelegten Zielsetzung werden verschiedene Bereiche des Unternehmens in unterschiedlichem Ausmaß vom Internen Kontrollsystem abgedeckt oder es ist sogar nur auf die Prozesse des Rechnungswesens beschränkt.[32]
Aus Sicht der Wirtschaftsprüfung ist die Rechnungslegung von besonderer Bedeutung.[33] Deshalb erfuhr Internal Control 1958 eine wesentliche Differenzierung durch das AICPA.[34] Die ursprünglichen drei Bereiche wurden, in den Bereich »Internal Accounting Control«, welcher das Rechnungswesen und die beiden damit verbundenen Anforderungen - Sicherung des Vermögens und Verlässlichkeit der Zahlen des Rechnungswesens - umfasst, und in den der »Internal Administrative Control«, unterteilt. Dieser ordnet die Aufgaben - Förderung der betrieblichen Effizienz und Unterstützung der Einhaltung der vorgegebenen Geschäftspolitik - den betrieblichen Prozessen zu.[35] Die letzteren sind nur zum Teil Gegenstand der Abschlussprüfung.[36] Ebenso wie auch die Teile des Internen Kontrollsystems, die sich auf die Einhaltung gesetzlicher Vorschriften richten, nur in sofern für die Abschlussprüfung von Bedeutung sind, als sich daraus Rückwirkungen auf den Jahresabschluss und den Lagebericht des geprüften Unternehmens ergeben können.[37]
Für den Wirtschaftsprüfer ist ein Internes Kontrollsystem deshalb dann ausreichend und wirksam, wenn es mit hinreichender Sicherheit verhindert, dass sich Unternehmensrisiken wesentlich auf die Ordnungsmäßigkeit der Unternehmensberichterstattung auswirken.[38] Er prüft ein vorhandenes System, um Feststellungen zu dessen Effektivität im Hinblick auf die Verlässlichkeit der Daten des Rechungswesens treffen zu können.
Damit ist die Perspektive des Wirtschaftsprüfers, trotz Berücksichtigung beider Teilbereiche des Internen Kontrollsystems, stark beschränkt auf den überwachungstheoretischen Aspekt, die Kontrolle des Rechnungswesens und die Verlässlichkeit der Rechnungslegung.
Für die Unternehmensführung bzw. ihre Organe dagegen steht eine möglichst effiziente Systemgestaltung und die Verlässlichkeit der Daten aller Unternehmensbereiche im Vor-dergrund.[39] Deshalb darf sich das Interne Kontrollsystem aus ihrer Sicht nicht auf den Bereich des Rechnungswesens begrenzen.[40]
Um die Wirksamkeit und Wirtschaftlichkeit der Geschäftstätigkeit sicherzustellen, müssen alle wesentlichen Geschäftsprozesse in die Betrachtung einbezogen werden. Dies ergibt sich unter anderem aus der allgemeinen Definition des IDW. Denn „die organisatorische Umsetzung von Entscheidungen der Unternehmensleitung“ betrifft nicht nur den Bereich der Rechnungslegung, sondern alle Entscheidungsfelder des Unternehmens.[41]
Aus dieser Sicht ist ein Internes Kontrollsystem erst dann angemessen und wirksam, wenn es mit hinreichender Sicherheit, die Umsetzung der Entscheidungen des Managements gewährleistet und verhindern kann, dass sich Risiken auf das Unternehmensvermögen und die Wirksamkeit und Wirtschaftlichkeit der Geschäftsprozesse auswirken.
Abbildung 1 stellt diese stark differierenden Sichtweisen noch einmal gegenüber.
Abbildung in dieser Leseprobe nicht enthalten
Abbildung 1: Externe versus interne Sichtweise des Internen Kontrollsystems
In diesem Zusammenhang sei erneut auf die Begriffsbestimmung "Control" im Sinne von Steuerung und das darauf beruhende Internal Control Konzept hingewiesen. Diese managementorientierte Sicht des Internen Kontrollsystems, wie sie im weiteren Verlauf dieser Arbeit eingenommen wird, geht insofern über die zugrunde gelegte Definition des IDW hinaus, als hier, das Interne Kontrollsystem eine Informationsbeschaffungsfunktion wahrzunehmen hat.[42] Es muss nicht nur für die Rechnungslegung, sondern für alle Unter-nehmensbereiche sicherstellen, dass das Management verlässliche Informationen zur Entscheidungsfindung erhält und damit eine gezielte Unternehmenssteuerung ermöglichen.
Wie die bisherigen Ausführungen zum Internen Kontrollsystem zeigen, ist es nicht leicht, eine klare Abgrenzung des Begriffes vorzunehmen. Auch das Committee of the Sponsoring Organizations of the Treadway Commission (COSO)[43] hat festgestellt:
- „ Internal control serves many important purposes “ und
- „ Internal control means different things to different people “.[44]
Wie noch gezeigt wird, ist deshalb je nach Unternehmenssituation eine Spezifizierung der verschieden Kontrollziele und damit eine individuelle Ausgestaltung des Internen Kontroll-systems im Unternehmen notwendig. Im nachfolgenden Abschnitt wird nun die Bedeutung des Internen Kontrollsystems im unternehmerischen Umfeld gezeigt und der Stellenwert verdeutlicht, den es dadurch für die Unternehmen hat.
In Folge der eingangs erwähnten Bilanzskandale sind, aufgrund der zahlreichen Initiativen zur Stärkung der Corporate Governance, die regulatorischen Anforderungen an die Unter-nehmen stark angestiegen.[45] Ebenfalls zugenommen haben die organisatorischen Vorkehr-ungen zur Einhaltung der für das Unternehmen maßgeblichen, rechtlichen Vorschriften.[46] In Literatur und Praxis wird dies verstärkt unter dem Begriff Corporate Compliance erörtert.[47]
Neben der Erfüllung verschiedener Regularien, setzen auch die Anforderungen der Wirtschafts- und Finanzmärkte die Verlässlichkeit von Steuerungs- und Überwachungs-systemen im Unternehmen voraus. So wurde die bedeutender gewordene Integration von Risikomanagement und Internem Kontrollsystem - d.h. die aktive Steuerung und Be-wältigung der Risiken - beispielsweise vom COSO mit dem „Enterprise Risk Management Framework“[48] berücksichtigt.[49] Inzwischen werden ganzheitliche Assurance-Konzepte diskutiert, die eine Abstimmung der unterschiedlichen Kontroll- und Prüfungsfunktionen im Unternehmen fordern, mit dem Ziel, Ressourcen bestmöglich einzusetzen und die Unter-nehmensüberwachung zu optimieren.[50] Die zunehmende Bedeutung Interner Kontroll-systeme ist auch im Kontext dieser Veränderungen zu sehen. Deshalb werden im Folgenden diese Begriffe kurz definiert und die Themen zueinander in Beziehung gesetzt.
Corporate Governance
Unter guter Corporate Governance wird der faktische und rechtliche Ordnungsrahmen für eine verantwortungsvolle Unternehmensführung und -kontrolle verstanden. Ihr Ziel ist es, unter Beachtung aller rechtlichen Regelungen und hoher Verhaltensmaßstäbe für die Leitung und Überwachung des Unternehmens, dessen Wettbewerbsfähigkeit zu sichern und den Unternehmenswert nachhaltig zu steigern.[51]
Im Mittelpunkt der internen Corporate Governance stehen das Beziehungsgeflecht und das Zusammenwirken der Leitungs- und Kontrollorgane (z.B. Vorstand, Aufsichtsrat und Interne Revision). Die externe Corporate Governance zielt ab auf die faktischen und rechtlichen Verknüpfungen des Unternehmens mit seinem Umfeld, z.B. das Verhältnis zu Aktionären (Shareholder), den Kapitalmärkten und anderen Interessengruppen (Stakeholder). Transparenz und Offenlegung bilden die Klammer zwischen interner und externer Corporate Governance.[52]
Die Öffentlichkeit erwartet, dass die Gesellschaftsorgane funktionierende Corporate-Governance-Prozesse einrichten und eine verlässliche Finanzberichterstattung garantieren. Damit aber die Regelungen für eine gute Corporate Governance im Unternehmen wirksam greifen, muss außerdem ein adäquates System existieren, mit dem die Einhaltung der Regeln überwacht und durchgesetzt werden kann.[53] Deshalb wird die Einrichtung und Erhaltung eines unternehmensweiten Internen Kontrollsystem von externen Interessens-gruppen zunehmend als wesentlicher Bestandteil guter Corporate Governance gesehen.[54]
Corporate Compliance
Ebenso gilt Corporate Compliance als bedeutendes Element guter Corporate Governance. Compliance umschreibt die Erfüllung und Übereinstimmung mit den für das Unternehmen relevanten Regeln, Gesetzen, Vorschriften und Normen.[55] Der Compliance-Ansatz betont die Notwendigkeit von organisatorischen Umsetzungsmaßnahmen. Daher kann Corporate Compliance definiert werden, als ein System unternehmensweiter organisatorischer Maßnahmen, welches ein möglichst rechtskonformes und verantwortungsvolles Handeln des Unternehmens sowie seiner Organe und Mitarbeiter gewährleisten soll.[56]
Dabei ist es wichtig, nicht nur die nötigen Prozesse zu implementieren, sondern die Erfüllung und Befolgung der Vorschriften und Gesetze auch zu dokumentieren.[57] Erst die genaue Dokumentation der organisatorischen Vorkehrungen und Kontrollen unterstützt die Geschäftsleitung dabei, das Risiko der finanziellen Schädigung durch Haftungsfälle und Reputationsverlust zu verringern.[58] Ein wirksames Internes Kontrollsystem kann Com-pliance im Unternehmen sichern. Es stellt das Instrumentarium für die organisatorischen Maßnahmen bereit, die nötig sind, um den, sich aus den zahlreichen Gesetzesänderungen ergebenden Anforderungen gerecht zu werden.
Risikomanagement
Die Grundsätze guter Corporate Governance verpflichten die Unternehmensführung neben den gesetzlichen Regelungen auch zur Einrichtung und Erhaltung eines angemessenen und wirksamen Risikomanagements.[59] Das Risiko einer wirtschaftlichen Aktivität liegt in der Gefahr der Abweichung des tatsächlichen vom prognostizierten Ergebnis. Der erweiterte Risikobegriff bezieht die positive Abweichung mit ein, sie wird als Chance bzw. Risiko im weiteren Sinne bezeichnet.[60] Denn auch nicht genutzte Chancen stellen für ein im Wettbewerb stehendes Unternehmen ein beträchtliches Risiko dar.
Risikomanagement ist ein kontinuierlicher Prozess zur systematischen Erkennung, Erfassung, Analyse und Bewertung möglicher bestehender und zukünftiger Risiken, die dann aufbereitet den Entscheidungsträgern des Unternehmens verfügbar gemacht werden. Damit wird der Unternehmensführung ein Instrument bereitgestellt, welches ihr ermöglicht, wirksam mit den Unsicherheiten des wirtschaftlichen Handels umzugehen. Das Ziel des Risikomanagements ist die Gewährleistung von hinreichender Sicherheit beim Erreichen der Unternehmensziele.[61]
Aus Sicht der Wirtschaftsprüfung wird das unternehmensbezogene Risikomanagement als Teil des Internen Kontrollsystems gesehen. Der Prüfer hat festzustellen, ob im Rahmen des Risikomanagements ein Überwachungssystem eingerichtet wurde, welches geeignet ist, Entwicklungen die den Fortbestand des Unternehmens gefährden können, frühzeitig zu erkennen.[62] Aus unternehmerischer Sicht greift das zu kurz. Risikomanagement-Konzepte, die bestrebt sind, möglichst viele Risiken aus potentiellen Ereignissen, die das Unter-nehmen beeinträchtigen können, zu bewältigen, betrachten das Interne Kontrollsystem als einen integralen Bestandteil des Risikomanagements. Entsprechend ausgestaltet trägt es dazu bei, ein umfassendes Risikomanagementsystem im Unternehmen einzurichten.[63]
Eine klare Abgrenzung des Internen Kontrollsystems ist abhängig von seiner zugrunde gelegten Zielsetzung und entsprechenden Ausgestaltung im Unternehmen. Beide, oft unabhängig voneinander betriebenen Systeme, tragen zur systematischen Sicherstellung der Zielerreichung bei. Die Aufgabe des Risikomanagements besteht darin, Risiken zu erkennen und strategisch zu steuern. Die Risikobeurteilung der wesentlichen Geschäfts-prozesse bildet die Grundlage für ein funktionierendes Internes Kontrollsystem.[64]
Damit dies wirkungsvoll geschehen kann, ist die Schaffung von organisatorischen Rah-menbedingungen unerlässlich. Diese bietet das Interne Kontrollsystem und sichert so die Einhaltung der getroffenen Entscheidungen, indem es systematisch Abweichungen erfasst und relevante Informationen zeitgerecht und vollständig bereitstellt. Begrenzt sich das Interne Kontrollsystem nicht auf die Bereiche des Rechnungswesens, können bei einer Integration von Risikomanagement und Internem Kontrollsystem im Unternehmen zahl-reiche Synergien gewonnen werden. Wie Abbildung 2 veranschaulicht, kann das Interne Kontrollsystem mit seinen Überwachungs-, Steuerungs- und Kommunikationsfunktionen eine entsprechend große Schnittmenge mit Teilbereichen des Risikomanagements bilden, bis hin zu einer vollständigen Integration.[65]
Abbildung in dieser Leseprobe nicht enthalten
Abbildung 2: Internes Kontrollsystem im Risikomanagement-Regelkreis[66]
Die Wirksamkeit Interner Kontrollsysteme ist folglich auch abhängig von den Beziehungen zu anderen Steuerungs- und Überwachungssystemen sowie deren Ausgestaltung im Unternehmen. Daneben wurde gezeigt, dass das Interne Kontrollsystem ein wichtiges Instrument zur Steuerung und Überwachung ist und durch die Erfüllung seiner Aufgaben[67] andere Steuerungs- und Überwachungssysteme effizient unterstützen kann.
Dem Internen Kontrollsystem wurde von Seiten der Gesetzgeber und anderer internatio-naler und nationaler Organisationen große Beachtung zuteil. Hierin ist zum einen ebenfalls ein wesentlicher Grund für die zunehmende Relevanz des Internen Kontrollsystems zu sehen. Zum anderen werden dadurch die Unternehmen, insbesondere solche, die aufgrund ihrer multinationalen Tätigkeit den Regularien verschiedener Nationen gerecht werden müssen, stark gefordert. Deshalb gibt der folgende Abschnitt einen Überblick über die für das Interne Kontrollsystem wesentlichen internationalen und nationalen Bestimmungen.
Bereits im Vorfeld der erwähnten Bilanzskandale hatte es Gesetze gegeben, die auf erhöhte Transparenz und verbesserte Führung und Überwachung von Unternehmen ab-zielten. Allerdings hat sich zum Ende des 20. Jahrhunderts die Struktur der Wirtschaft und mit ihr die Struktur der Unternehmen und Finanzmärkte stark gewandelt. Beispielhaft hier-für können die Internationalisierung und der Übergang zur Informationsgesellschaft genan-nt werden. Diese Entwicklung wirkte sich sowohl auf das Ausmaß der volkswirtschaftlichen Folgen der Bilanzskandale als auch auf den Handlungsbedarf der Regierungen aus.[68]
Entsprechend schnell wurde mit der Umsetzung zahlreicher Gesetzesänderungen und Initiativen zur Stärkung der Corporate Governance auf internationaler und nationaler Ebene reagiert. Dadurch sollte das Vertrauen der Öffentlichkeit und der Kapitalmärkte in die Wirksamkeit der internen und externen Unternehmenskontrolle respektive in die Verlässlichkeit der Finanzberichterstattung wieder hergestellt werden.[69] Die globale Stärkung der Corporate Governance, verbunden mit den regulatorischen Entwicklungen, führte weltweit zu einem erhöhten Stellenwert der Internen Kontrolle.[70]
Auf internationaler Ebene ist besonders der von der Regierung der Vereinigten Staaten verabschiedete Sarbanes-Oxley Act (SOA) hervorzuheben. Das Gesetz wird als einer der Treiber für die stärkere Regulierung der Unternehmensüberwachung angesehen.[71] Zur internationalen Stärkung der Corporate Governance trägt die Initiative der Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (OECD) bei.
Mit der Einführung des Sarbanes-Oxley Act im Juli 2002, insbesondere der Section 404 „Management Assessment of Internal Controls“, ist die wohl bekannteste gesetzliche Vorschrift zur Einrichtung, Dokumentation und vor allem Überprüfung von Internen Kontrollsystemen in Kraft getretenen.[72] Er wird gemeinhin als das US-amerikanische Kapitalmarktgesetz gesehen, das die weitreichensten Auswirkungen seit Erlass des Securities Exchange Act 1934 mit sich bringt.[73]
Durch den Sarbanes-Oxley Act wird die Unternehmensleitung verpflichtet, ein in Bezug auf die Rechnungslegung[74] wirksames Internes Kontrollsystem einzurichten und umfassend dessen Wirksamkeit zu dokumentieren. Abgesehen von der Finanzberichterstattung ist auch eine jährliche Einschätzung und Bewertung der Effektivität des Internen Kontroll-systems durch die Unternehmensleitung zu veröffentlichen, der Wirtschaftsprüfer hat diese Erklärung zu testieren und muss seinerseits eine Stellungnahme zur Wirksamkeit des Internen Kontrollsystems abgeben.[75]
Der Sarbanes-Oxley Act formuliert dazu konkrete Anforderungen und verknüpft deren Einhaltung mit einer persönlichen Haftung der Vorstandsvorsitzenden und der Finanz-vorstände.[76] Der Begriff des Internen Kontrollsystems sowie die konkrete Einrichtung und Dokumentation dagegen werden nicht präzisiert. Hier verweist das Gesetz empfehlend auf das COSO-Framework als ein mögliches Rahmenkonzept.75
Vom Geltungsbereich des Sarbanes-Oxley Act unmittelbar betroffen sind alle Unter-nehmen, einschließlich deren Tochterunternehmen, die mit ihren Wertpapieren an US-amerikanischen Börsen notiert sind.[77] In Deutschland sind das also nur die Unternehmen, die aufgrund der Inanspruchnahme des US-amerikanischen Kapitalmarktes, direkt oder indirekt, der Börsenaufsicht der Securities and Exchange Commission (SEC), unterliegen. Dem Gesetz wird allerdings eine erhebliche extraterritoriale Ausstrahlungswirkung zuge-sprochen.[78]
Es zeigen sich beispielsweise auf Ebene der europäischen und auch der deutschen Gesetzgebung deutliche Annäherungstendenzen an die US-amerikanische Rechtslage. So wirken sich die Regelungen des Sarbanes-Oxley Act über Verordnungen beziehungsweise Richtlinien der Europäischen Union (EU) mittelbar auch auf deutsche Unternehmen aus, die nicht am US-amerikanischen Kapitalmarkt engagiert sind.
Die Reaktion der OECD auf die diversen Unternehmensskandale bestand in einer Überarbeitung ihrer, erstmals 1999 veröffentlichten Grundsätzen der Corporate Governance. Mit der 2002 beschlossenen und 2004 verabschiedeten Neufassung der Grundsätze appellierte die OECD an die Regierungen, für einen effektiven Regulierungs-rahmen zu sorgen und fordert die Unternehmen zu mehr Verantwortungsbewusstsein und Transparenz auf.[79] Sie richtet sich damit hauptsächlich an börsennotierte Unternehmen, weist aber auf den Nutzen hin, den die Anwendung der Grundsätze zur Verbesserung der Unternehmensführung auch für nicht börsennotierte Unternehmen, wie beispielsweise GmbHs, haben kann.[80]
Der Veröffentlichung vorausgegangen war eine umfassende Studie über die Entwicklungen der Corporate Governance in den OECD-Mitgliedsstaaten, wobei auch Nicht-Mitglied-staaten in die Untersuchung einbezogen wurden.[81] Die daraufhin von der OECD revidierten und ausgeweiteten Grundsätze beinhalten im Wesentlichen folgenden Themenbereiche:[82]
- Sicherung der Grundlagen eines effektiven Corporate-Governance-Rahmens
- Stärkung der Aktionärsrechte, Gleichbehandlung von Minderheitsaktionären
- Rolle der Stakeholder bei der Corporate Governance
- Zeitnahe, präzise Offenlegung von Vermögens-, Ertrags- und Finanzlage, Trans-parenz in den Eigentumsverhältnissen und der Struktur der Unternehmensführung
- Schlüsselfunktionen der Kapitaleigner und Pflichten der Aufsichtsorgane
Für deutsche Unternehmen stellen die Grundsätze letztlich nur eine unverbindliche Leitlinie dar. Es haben jedoch annähernd alle Mitgliedstaaten in Anlehnung an die 1999 ver-öffentlichten Grundsätze der OECD eigene nationale Corporate Governance Kodizes geschaffen.
Die Grundlage der EU-Initiativen bildet der, von einer hochrangigen Expertengruppe erstellte und nach ihrem Vorsitzenden benannte „Winter-Report“. Er enthält unter anderem, detaillierte Empfehlungen zu den Bereichen der Unternehmensführung und -kontrolle.[83] Darauf basierend hat die EU-Kommission im Mai 2003 den EU-Aktionsplan zur „Modernisierung des Gesellschaftsrechts und Verbesserung der Corporate Governance“ verabschiedet. Die nachfolgende Tabelle 1 gibt einen kurzen Überblick zu den wichtigsten Maßnahmen des Aktionsplans der Europäischen Union im Bereich der Corporate Governance.
Abbildung in dieser Leseprobe nicht enthalten
Tabelle 1: Auszug aus dem Aktionsplan der EU-Kommission im Bereich Corporate Governance[84]
Einige der im Aktionsplan enthaltenen Maßnahmen wurden als Empfehlungen und damit unverbindliche Rechtsakte der EU-Kommission umgesetzt, andere dagegen werden wie beispielsweise durch die Änderungen der 4., der 7. und der 8. EU-Richtlinien[85] mittelbar in geltendes Recht transformiert.[86] Die folgenden Ausführungen beschränken sich auf diese Änderungen, da sie die größte Relevanz hinsichtlich der Rechnungslegung und der Internen Kontrolle aufweisen. Sie verdeutlichen auch die Berücksichtigung von Elementen des Sarbanes-Oxley Act in der europäischen Gesetzgebung.[87]
Die 4. und 7. EU-Richtlinie, beide auch Bilanzrichtlinien genannt, koordinieren die einzel-staatlichen Vorschriften über die Gliederung, den Inhalt des Jahresabschlusses und des Lageberichts sowie die Bewertungsmethoden und die Offenlegung dieser Unterlagen.[88] Die, im Hinblick auf das Interne Kontrollsystem, wesentlichsten Erweiterungen ergeben sich vor allem durch die Einfügung von Art. 46a.
Darin wird von allen Unternehmen, deren Wertpapiere zum Handel an einem geregelten Markt zugelassen sind, eine auf den Rechnungslegungsprozess bezogene Beschreibung der wichtigsten Merkmale des Internen Kontroll- und Risikomanagementsystems gefordert.[89] Damit sind neben börsennotierten, auch solche Unternehmen erfasst, die lediglich Schuldverschreibungen emittieren.[90]
[...]
[1] Dies zeigt sich besonders durch die zahlreichen Gesetze und Initiativen zur Stärkung der Unternehmensüberwachung. Vgl. hierzu Abschnitt 2.2, S. 13 f.
[2] Die Welle der Unternehmenszusammenbrüche, zwischen 2000 und 2003, wurde in USA angeführt von Unternehmen wie Enron und Worldcom, in Europa waren es Parmalat, Royal Ahold, Vivendi, sowie in Deutschland Flowtex und Comroad. Vgl. dazu BDI, PwC (2005), S. 10, international EZB (2005), S. 94.
[3] Worldcom gab 2002 bekannt, in den Jahren 2001 und 2002 3,8 Mrd. US$ als Anlagevermögen statt als laufenden Aufwand ausgewiesen zu haben, es zeigte sich, dass die manipulierte Bildung von Rückstellungen darüber hinaus zu einem über-höhten Gewinnausweis von 3,3 Mrd. US$ geführt hat. Parmalat hatte über Jahre hinweg einen Fehlbetrag von mehr als 10 Mrd. EUR verschwiegen. Vgl. hierzu Menzies et al. (2004), S. 8 ff. und Anhang 1
[4] vgl. KPMG (2005), S. 13, dazu auch COSO (2004), S. 5
[5] vgl. IBL (2005), S. 1
[6] vgl. BDI, PwC (2005), S. 8
[7] vgl. Hahn et al. (2000), S. 2620; Servatius (2006), S. 69
[8] vgl. Schoberth et al. (2006), S. 2571
[9] vgl. KPMG (2005), S. 3. Vgl. ausführlich zu den Umsetzungskosten des SOA, DAI (2006), S. 68 ff.
[10] vgl. DAI (2006), S. 50 für den SOA; selbst COSO (dazu Fn. 43) bietet hierzu wenig, vgl. Schoberth et al. (2006), S. 2571. Außerdem sind Empfehlungen nicht standardisiert in ein Unternehmen übertragbar, dazu Abschnitt 3.1.2, S. 27
[11] Als Synonym für Internes Kontrollsystem ist auch der Begriff Interne Kontrolle geläufig. In dieser Arbeit werden ebenfalls beide Begriffe synonym verwendet, wobei tendenziell der Begriff Internes Kontrollsystem auf den Aspekt organisatorischer Maßnahmen zur Internen Kontrolle (Steuerungsaspekt) abstellt. Der Begriff der Internen Kontrolle hingegen, ist mehrheitlich auf die Kontrolle selbst und den Aspekt der Überwachung gerichtet.
[12] vgl. hierzu und zu Folgendem Euler (1992), S. 12, hierzu auch Peemöller (2002), S. 27
[13] vgl. Horváth in Coenenberg; Wysocki (1985), Sp. 837
[14] vgl. Peemöller (2002), S. 33 und S. 42, so bereits Peinel (1988), S. 14
[15] vgl. Horváth in Coenenberg; Wysocki (1985), Sp. 837 und Horváth (2003), S. 212
[16] Mautz / White zitiert nach Horváth in Coenenberg; Wysocki (1985), Sp. 837
[17] Anthony (1965) zitiert nach Horváth (2003), S. 212
[18] Anthony / Dearden (1976) zitiert nach Horváth in Coenenberg; Wysocki (1985), Sp. 837
[19] vgl. hierzu und zu Folgendem Horváth in Coenenberg; Wysocki (1985), Sp. 837
[20] vgl. hierzu Horváth (2003), S. 213
[21] vgl. Peemöller (2002), S. 33 und S. 39
[22] vgl. hierzu und zu Folgendem Horváth in Coenenberg; Wysocki (1985), Sp. 834 f.
[23] AIA ist die Vorgängerorganisation des heutigen American Institute of Certified Public Accountants (AICPA), die Vereinigung der amerikanischen Wirtschaftsprüfer.
[24] vgl. Horváth in Coenenberg; Wysocki (1985), Sp. 836
[25] vgl. Winter (2001), S. 4. Das Institut der Wirtschaftsprüfer in Deutschland e. V. (IDW) geht auf den neuen Begriff Internes Kontrollsystem erstmals in seinem Fachgutachten 1/1967 ein. Im FG 1/1977 wird dann der Prüfung des IKS wesentliche Bedeutung zugesprochen, ohne dies jedoch genau zu definieren. Im FG 1/1988 schließlich wird explizit die Pflicht des Wirtschaftsprüfers zur Durchführung einer Funktions- und Systemprüfung festgeschrieben. Vgl. hierzu IVW (2002) S. 11
[26] vgl. Schoberth et al. (2006), S. 2572, hierzu auch IDW PS 261, Tz. 20
[27] vgl. IDW-PS 261, Tz. 19. Der IDW PS 261 „Feststellung und Beurteilung von Fehlerrisiken und Reaktionen des Abschluss-prüfers auf die beurteilten Fehlerrisiken“ wurde am 06.09.2006 verabschiedet. Er ersetzt den IDW PS 260 „Das interne Kontrollsystem im Rahmen der Abschlussprüfung“ bzw. passt diesen an veränderte internationale Anforderung an.
[28] Beispielsweise übersetzt Lück, „Internal Control“ nur mit „Internes Überwachungssystem“, subsumiert darunter jedoch die gleichen Teilbereiche wie der IDW im PS 261. Vgl. Winter (2001), S. 28
[29] vgl. Menzies et al. (2004), S. 74, dies zeigt sich auch in der Anpassung der IDW-PS 261 an den ISA 315 bzw. ISA 330.
[30] vgl. Horváth (2003), S. 212
[31] Die unternehmensinternen Anforderungen an ein Internes Kontrollsystem sind insbesondere abhängig von der individuellen Situation und Risikostrategie des Unternehmens. Vgl. dazu Abschnitt 3.1.2, S. 27
[32] So auch, hinsichtlich der Ausgestaltung des Internen Kontrollsystems, Servatius (2006), S. 72
[33] vgl. IDW-PS 261, Tz. 22
[34] vgl. hierzu Begriffsbestimmung der AIA (Vorgängerorganisation der AICPA), Abschnitt 2.1.1, S. 5
[35] vgl. Horváth in Coenenberg; Wysocki (1985), Sp. 835. Dies wurden 1973 in den Professional Standards der AICPA definiert und in das Statement of Auditing Standards (SAS) No. 1 übernommen. Vgl. dazu Winter (2001), S. 12
[36] vgl. IDW-PS 261, Tz. 21
[37] vgl. IDW-PS 261, Tz. 23
[38] vgl. IDW-PS 260 Tz. 30 (alte Fassung des IDW-PS 261 vom 02.07.2001); Menzies et al. (2004), S. 110
[39] vgl. Horváth (1985), Sp. 839
[40] vgl. hierzu Servatius (2006), S. 74, sowie Schmalenbach-Arbeitskreis (2004), S. 2401
[41] vgl. Schoberth et al. (2006), S. 2572
[42] vgl. Horváth (2003), S. 214 f.
[43] COSO ist eine Initiative privatwirtschaftlicher amerikanischer Wirtschaftsinstitute. 1993 wurde von ihr das inzwischen inter-national allgemein anerkannte Rahmenwerk zur Gestaltung der Internen Kontrolle „Internal Control - Integrated Framework“, kurz auch COSO I genannt, veröffentlicht. Vgl. Menzies et al. (2004), S. 75 ff., zum COSO-Framework Abschnitt 5.1.1, S. 52
[44] vgl. COSO (1994), S.1, zum Problem der Abgrenzung auch Horváth (2003), S. 214 und Menzies et al. (2004), S. 76
[45] Zu diesem Anstieg trugen auch der Strukturwandel an den Finanzmärkten, die zunehmende gesamtwirtschaftliche Bedeut-ung der Corporate Governance und der Wandel durch fortschreitende Globalisierung, bei. Vgl. EZB (2005), S. 93 ff.
[46] Nicht zuletzt wegen einer Erweiterung der möglichen persönlichen Inanspruchnahme von Mitgliedern der Geschäftsleitung bei Verstoß gegen die Regeln der ordentlichen Geschäftsführung. Vgl. hierzu Rodewald; Unger (2006), S.113
[47] vgl. Bürkle (2005), so auch Rodewald (2006) und Menzies et al. (2006)
[48] Das ERM-Framework von 2004 wird auch als COSO II bezeichnet, da es eine Weiterentwicklung des Rahmenwerks von 1993 zur Internal Control darstellt. Es verbessert die Konzepte, die sich auf ein unternehmensweites Risikomanagement beziehen. Vgl. Menzies et al. (2004), S. 118, zum ERM-Framework, COSO (2004).
[49] vgl. Schoberth et al. (2006), S. 2572
[50] Zur Diskussion in Literatur und Praxis vgl. u. a. Flammer (2006), S. 28 ff. und PwC Disclose (2006), S. 26 ff.
[51] vgl. BDI, PwC (2005), S. 13, DCGK (2006), S. 1
[52] vgl. BDI, PwC (2005), S. 5, EZB (2005), S. 96 f.
[53] vgl. EZB (2005), S. 97
[54] vgl. PwC (2006), S. 3
[55] vgl. Flammer (2006), S. 29. Menzies et al. (2006), S. 2 beziehen die Erfüllung von Anforderungen der Stakeholder mit ein.
[56] vgl. Bürkle (2005), S. 565 f.
[57] vgl. Flammer (2006), S. 29
[58] vgl. Rodewald; Unger (2006), S. 115
[59] vgl. DCGK (2006), S. 6
[60] vgl. Hahn et al. (2000), S. 2621
[61] vgl. COSO (2004), S. 1 f.; Peemöller (2002), S. 57 ff.
[62] vgl. dazu Schoberth et al. (2006), S.2571 und IDW-PS 261, Tz. 24
[63] vgl. dazu das ERM-Framework COSO (2004), S. 6., so auch PwC (2006), S. 5 und PwC Disclose (2006), S. 28
[64] vgl. Flammer (2006), S. 32
[65] vgl. Servatius (2006), S.72, für ein auf die Rechnungslegung bezogenes Internes Kontrollsystem
[66] In Anlehnung an Servatius (2006), S. 71 f.
[67] vgl. dazu Absatz 2.1.1, S. 6, Zielbereiche des Internen Kontrollsystems gemäß Definition des IDW.
[68] vgl. hierzu und auch zu Folgendem EZB (2005), S. 93 ff.
[69] vgl. BDI, PwC (2005), S. 7
[70] vgl. Meyer; Widmer (2005), S. 781
[71] vgl. Menzies et al. (2004), S. 7
[72] vgl. Schoberth et al. (2006), S 2572. Die Section 404 ist auch der umstrittenste Teil des Sarbanes-Oxley Act und wird in den USA von Unternehmen als Überregulierung empfunden, vgl. hierzu DAI (2006), S. 43
[73] vgl. Schmalenbach-Arbeitskreis (2004), S. 2399, ebenso Menzies et al. (2004), S. 13. Das 1934 in Kraft getretene Gesetz beinhaltet Vorschriften zur Rechenschaftslegung und Finanzberichterstattung börsennotierter Unternehmen, die als Reaktion auf die Weltwirtschaftskrise und den dadurch ausgelösten Zusammenbruch der New Yorker Börse 1923 erlassen wurden. Vgl. hierzu Hofmann (1998), S. 31
[74] Die Regelungen des SOA zur Internen Kontrollen beziehen sich, wie auch der IDW PS 261, nur auf Bereiche die im Zusam-menhang mit der Rechnungslegung stehen. Vgl. Abschnitt 2.1.2, S. 5 f.
[75] vgl. Schoberth et al. (2006), S 2572 f.
[76] vgl. Menzies et al. (2004), S. 18 f. Die für deutsche Verhältnisse außergewöhnlich hohe Strafandrohung der Section 906 wird als markanteste Regelung des Sarbanes-Oxley Act angesehen. Vgl. hierzu Schmalenbach-Arbeitskreis (2004), S. 2400
[77] Aus deutscher Sicht sind das vor allem die Unternehmen, deren Aktien an der New York Stock Exchange oder der NASDAQ notiert sind (im Februar 2006 waren es 18) und deutsche Tochtergesellschaften von US-amerikanischen und sonstigen SEC-registrierten Unternehmen. Vgl. DAI (2006), S. 12 und S. 16
[78] vgl. Schmalenbach-Arbeitskreis (2004), S. 2406 f. So auch DAI (2006), S. 12 und Menzies et al. (2004), S. 6
[79] vgl. OECD (2004b), S. 1
[80] vgl. OECD (2004a), S. 11
[81] vgl. OECD (2004a), S. 3 f.
[82] vgl. OECD (2004a), S. 12 ff.
[83] vgl. EU (2003b), S. 1 f., BDI; PwC (2005), S. 35
[84] vgl. EU (2003a), S. 12 ff., in Anlehnung an Menzies et al. (2004), S. 29
[85] Die Richtlinien 2006/43/EG und 2006/46/EG des Europäischen Parlaments und des Rates vom 17. 5. bzw. 14. 6. 2006 für die Änderungen der 4., 7. und 8. EU-Richtlinien sind jeweils 20 Tage nach ihrer Veröffentlichung im Amtsblatt (9. 6. 2006 und 16.8. 2006) in Kraft getreten und bis spätestens 2008 durch die Gesetzgebung in nationales Recht zu transformieren.
[86] Zum Hervorgehen der Änderungen der 4. und 7. EU-Richtlinie aus dem Aktionsplan der EU, vgl. Niemeier (2006), S. 175
[87] Zur Berücksichtigung von Elementen der SOA Section 404 in den Änderungen der 4., der 7. und der 8. EU-Richtlinien, vgl. dazu ausführlich Schoberth et al. (2006)
[88] vgl. BDI; PwC (2005), S. 36
[89] vgl. Schoberth et al. (2006), S. 2573
[90] vgl. BDI; PwC (2005), S. 38
