CIA-Arbeitsgruppe Rhein-Main - Deutschen Institut für Interne
Werbung
CIA-Arbeitsgruppe Rhein-Main Protokoll der Sitzung vom 08. März 2004 Ort: Hanau, in den Räumlichkeiten der Heraeus Holding GmbH Zeit: 18:00 – 21:00 Uhr Teilnehmer: Klaus Günther (Süwag Energie) Gunter Blawert (Aventis) Ralf Kluge (Helaba) Michael Roth (Helaba) Inge Stroh (HeidelbergCement) Manfred Platzer (HeidelbergCement) Armin Burkart (HeidelbergCement) Eberhard Stein (Aramark) Jens Blechschmidt (Umicor) Genadi Genadiev (KPMG) Inken Lasar (Nutrinova) Gerhard Kröcker (Heraeus) Volker Beier (Heraeus) Gäste: 1. Begrüßung Herr Kröcker begrüßt die Teilnehmer der CIA-Arbeitsgruppe Rhein-Main in den Räumlichkeiten der Heraeus Holding GmbH in Hanau. Da einige neue Kollegen bzw. Gäste anwesend sind, stellen sich die Teilnehmer kurz vor. 2. Aktuelle halbe Stunde Es wird die Frage diskutiert, wie man sicher stellt, dass die Revision immer alle Prüfobjekte kennt und bei der Prüfungsplanung berücksichtigt, insbesondere bei Veränderungen in der Organisation. Als mögliche Lösungsansätze wurden genannt: Zerlegung des audit universe in prüfbare Einheiten (auditable entities). Hierbei ist eine laufende Pflege notwendig. Über einen aufbauorganisatorischen Ansatz lässt sich das audit universe gut darstellen. Ein prozessorientierter Prüfansatz wird jedoch erschwert. Das Risikomanagement kann ergänzend herangezogen werden. Ausrollen des COSO1-Schemas auf alle Einheiten. Zur Frage nach Erfahrungen mit Prozessprüfungen gab es folgende Kommentare: In kleinen Einheiten kann eine Prozessprüfung umfangreicher und leichter durchgeführt werden als in großen Einheiten. Gute Erfahrungen wurden mit kombinierten Prüferteams gemacht, z.B. Fach-Revisor + IT-Revisor oder Revisor + Controller + Betriebsingenieur. Oftmals muss man sich auf Teilprozesse konzentrieren, da ein Gesamtprozess zu komplex ist. 1 The Committee of Sponsoring Organizations of the Treadway Commission Ob es für das Audit Information System (AIS) von SAP ein Prüfprogramm gibt, war den Teilnehmern nicht bekannt. 3. Hauptthema: Sarbanes-Oxley-Act (SOX) Es wird ein kurzes Resümee über die letzte Veranstaltung zur Einführung in den SarbanesOxley-Act gegeben. Es wird berichtet, dass bei einem konkreten Projekt von einem externen Berater 60 Wochen für die Umsetzung von SOX angesetzt wurden. Mehrere Teilnehmer bestätigen den hohen Zeitaufwand für die Einführung von SOX. Es wird vermutet, dass SOX eine „Dauerpfründe“ für die Berater wird. Einige internationale Firmen, die an der SEC gelistet sind, haben bereits mit SOX-Projekten begonnen, auch wenn die Einführungstermine auf den 15. November 2004 bzw. 15. Juli 2005 verschoben wurden. Die Terminverschiebung der Einführungsverpflichtung könnte auf eine geringe bzw. geringer werdende Bedeutung von SOX hinweisen. Die betroffenen Firmen sind vielleicht noch nicht in der Lage, die Anforderungen zu erfüllen. Im Einzelnen wurden die nachfolgenden Fragen erörtert: 1. Was ist wirklich neu durch SOX? Neu ist im wesentlichen die ausführlicheren Dokumentationspflichten hinsichtlich der Internen Kontrollen in den Prozessen, die über die Dokumentationspflichten z.B. nach GoB hinausgehen. Dies bedingt eine stärkere Formalisierung der Internen Kontrollen insbes. durch die Herausgabe des „Internal Control Report“. Ebenfalls neu ist auch die intensivere Haftung der Vorstände durch die eidesstattliche Versicherung über das Vorhandensein und die Wirksamkeit der Internen Kontrollen. Dadurch ist eine gesteigerte Verantwortungsübernahme zu erwarten. 2. Was ist die Zwecksetzung? Die Zielsetzung ist, ähnlich wie beim KonTraG, die Erhöhung des Anlegervertrauens in die Finanzberichterstattung der Unternehmen. Es kommt jedoch drauf an, wer sich die Finanzberichte betrachtet. Kleinanleger werden eventuell ein sichereres Gefühl bekommen. Institutionelle Anleger hingegen werden wahrscheinlich kein größeres Vertrauen in die Finanzberichterstattung bekommen, da sie wesentlich näher an der Materie sind. Ebenso könnte es eine weitere Sensibilisierung der Unternehmen geben. Eine 100%ige Sicherheit wird mit SOX jedoch nicht erreicht. Die Revision wird eine weitere Argumentationshilfe erhalten. Auf die Arbeit der Revision wird SOX keine gravierenden Auswirkungen haben. Es wurde diskutiert, ob die Revision zum Erfüllungsgehilfen des externen Wirtschaftsprüfers abgestuft wird. Dies wird verneint. Vielmehr könnte es seitens der CEOs und CFOs Druck auf die Revision geben, da hier nachgefragt wird, ob die Erklärung zu den Interne Kontrollen unterzeichnet werden kann. Die Haftung nach Sec. 906 SOX beträgt max. 20 Jahre Gefängnis und/oder 5 Mio. USD. Die Frage, ob man sich durch eine Versicherung dieser Haftung entziehen kann, konnte nicht beantwortet werden. 3. Was wird in Deutschland passieren? Wie sieht die Situation für deutsche Unternehmen aus? Für alle deutschen Unternehmen, die an der SEC gelistet sind (auch nur mit Anleihen), müssen Compliance-Erklärungen nach SOX abgegeben werden. Nicht an der SEC notierte deutsche Unternehmen werden nicht bzw. kaum beeinflusst. 4. Erleidet SOX das gleiche Schicksal wie das Risikomanagement? Durch die Terminverschiebung für die Compliance zeigt sich die „Geringwertigkeit“ von SOX. Ob sich SOX zu einem „Papiertiger“ entwickelt, ist derzeit schwer abzuschätzen. 5. Was ist der Mehrwert von SOX? Was ist positiv? Es wird von einem gestiegenen Bewusstsein für Interne Kontrollen in den Unternehmen berichtet. Ein Vorteil ist die Umsetzung von informellen Strukturen in einen formalisierten Prozess. Dadurch können Schwächen systematisch identifiziert werden. Es kommt zu aha-Effekten. Die Teilnehmer gehen von einer Stärkung der Revision aus. 6. Was ist von der Institution „Whistleblower“ in Deutschland zu erwarten? Es wird berichtet, dass es bereits positive Erfahrungen mit „whistleblower“-Policies gibt. Es gibt Hotlines, die anonyme Anrufe entgegennehmen. In den USA gibt es häufig extern vergebene Hotlines. Teilweise läuft die Hotline auch direkt bei der Revision auf. In Zukunft wird es verstärkt, unabhängig von SOX, solche Instrumente geben. 7. Was wird in Konzernen SOX-pflichtig? Die tatsächliche Ausgestaltung für Konzerne ist noch nicht fixiert. Hier sind insbesondere folgende Fragen von Bedeutung: Was sind die wesentlichen Prozesse? Bezieht sich SOX auf den gesamten Konsolidierungskreis? Werden nur die Gesellschaften SOX-pflichtig, die bestimmte Ergebnis-/ Umsatzbeiträge liefern? 4. Themenvorschläge für die nächsten Veranstaltungen Das SAP Audit Information System (AIS) GDPdU Outsourcing von wesentlichen Tätigkeiten Optische Archivierung Projektprüfung (Kostenexplosion) / Pflichtenheft für Projekte 5. Die nächste Veranstaltung Die nächste Veranstaltung der Arbeitsgruppe Rhein-Main findet am Montag, den 19. April 2004 um 18:00 Uhr in Neu Isenburg statt. Gastgeber ist Herr Stein von der Firma Aramark. Das Thema für die kommende Sitzung ist „Das Interne Kontrollsystem bei kleinen Konzerngesellschaften“. Die Themen SAP – AIS und GDPdU / Optische Archivierung wurden für die Veranstaltungen im Juni/Juli vorgeschlagen. gez. Gerhard Kröcker
