CIA-Arbeitsgruppe Rhein-Main - Deutschen Institut für Interne

CIA-Arbeitsgruppe Rhein-Main
Protokoll der Sitzung vom 08. März 2004
Ort:
Hanau, in den Räumlichkeiten der Heraeus Holding GmbH
Zeit:
18:00 – 21:00 Uhr
Teilnehmer:
Klaus Günther (Süwag Energie)
Gunter Blawert (Aventis)
Ralf Kluge (Helaba)
Michael Roth (Helaba)
Inge Stroh (HeidelbergCement)
Manfred Platzer (HeidelbergCement)
Armin Burkart (HeidelbergCement)
Eberhard Stein (Aramark)
Jens Blechschmidt (Umicor)
Genadi Genadiev (KPMG)
Inken Lasar (Nutrinova)
Gerhard Kröcker (Heraeus)
Volker Beier (Heraeus)
Gäste:
1. Begrüßung
Herr Kröcker begrüßt die Teilnehmer der CIA-Arbeitsgruppe Rhein-Main in den
Räumlichkeiten der Heraeus Holding GmbH in Hanau. Da einige neue Kollegen bzw. Gäste
anwesend sind, stellen sich die Teilnehmer kurz vor.
2. Aktuelle halbe Stunde
Es wird die Frage diskutiert, wie man sicher stellt, dass die Revision immer alle Prüfobjekte
kennt und bei der Prüfungsplanung berücksichtigt, insbesondere bei Veränderungen in der
Organisation.
Als mögliche Lösungsansätze wurden genannt:
 Zerlegung des audit universe in prüfbare Einheiten (auditable entities). Hierbei ist
eine laufende Pflege notwendig.
 Über einen aufbauorganisatorischen Ansatz lässt sich das audit universe gut
darstellen. Ein prozessorientierter Prüfansatz wird jedoch erschwert.
 Das Risikomanagement kann ergänzend herangezogen werden.
 Ausrollen des COSO1-Schemas auf alle Einheiten.
Zur Frage nach Erfahrungen mit Prozessprüfungen gab es folgende Kommentare:
 In kleinen Einheiten kann eine Prozessprüfung umfangreicher und leichter
durchgeführt werden als in großen Einheiten.
 Gute Erfahrungen wurden mit kombinierten Prüferteams gemacht, z.B. Fach-Revisor
+ IT-Revisor oder Revisor + Controller + Betriebsingenieur.
 Oftmals muss man sich auf Teilprozesse konzentrieren, da ein Gesamtprozess zu
komplex ist.
1
The Committee of Sponsoring Organizations of the Treadway Commission
Ob es für das Audit Information System (AIS) von SAP ein Prüfprogramm gibt, war den
Teilnehmern nicht bekannt.
3. Hauptthema: Sarbanes-Oxley-Act (SOX)
Es wird ein kurzes Resümee über die letzte Veranstaltung zur Einführung in den SarbanesOxley-Act gegeben.
Es wird berichtet, dass bei einem konkreten Projekt von einem externen Berater 60 Wochen
für die Umsetzung von SOX angesetzt wurden. Mehrere Teilnehmer bestätigen den hohen
Zeitaufwand für die Einführung von SOX.
Es wird vermutet, dass SOX eine „Dauerpfründe“ für die Berater wird.
Einige internationale Firmen, die an der SEC gelistet sind, haben bereits mit SOX-Projekten
begonnen, auch wenn die Einführungstermine auf den 15. November 2004 bzw. 15. Juli
2005 verschoben wurden.
Die Terminverschiebung der Einführungsverpflichtung könnte auf eine geringe bzw. geringer
werdende Bedeutung von SOX hinweisen. Die betroffenen Firmen sind vielleicht noch nicht
in der Lage, die Anforderungen zu erfüllen.
Im Einzelnen wurden die nachfolgenden Fragen erörtert:
1. Was ist wirklich neu durch SOX?
Neu ist im wesentlichen die ausführlicheren Dokumentationspflichten hinsichtlich der
Internen Kontrollen in den Prozessen, die über die Dokumentationspflichten z.B. nach GoB
hinausgehen. Dies bedingt eine stärkere Formalisierung der Internen Kontrollen insbes.
durch die Herausgabe des „Internal Control Report“.
Ebenfalls neu ist auch die intensivere Haftung der Vorstände durch die eidesstattliche
Versicherung über das Vorhandensein und die Wirksamkeit der Internen Kontrollen. Dadurch
ist eine gesteigerte Verantwortungsübernahme zu erwarten.
2. Was ist die Zwecksetzung?
Die Zielsetzung ist, ähnlich wie beim KonTraG, die Erhöhung des Anlegervertrauens in die
Finanzberichterstattung der Unternehmen.
Es kommt jedoch drauf an, wer sich die Finanzberichte betrachtet. Kleinanleger werden
eventuell ein sichereres Gefühl bekommen. Institutionelle Anleger hingegen werden
wahrscheinlich kein größeres Vertrauen in die Finanzberichterstattung bekommen, da sie
wesentlich näher an der Materie sind.
Ebenso könnte es eine weitere Sensibilisierung der Unternehmen geben. Eine 100%ige
Sicherheit wird mit SOX jedoch nicht erreicht.
Die Revision wird eine weitere Argumentationshilfe erhalten. Auf die Arbeit der Revision wird
SOX keine gravierenden Auswirkungen haben.
Es wurde diskutiert, ob die Revision zum Erfüllungsgehilfen des externen Wirtschaftsprüfers
abgestuft wird. Dies wird verneint. Vielmehr könnte es seitens der CEOs und CFOs Druck
auf die Revision geben, da hier nachgefragt wird, ob die Erklärung zu den Interne Kontrollen
unterzeichnet werden kann.
Die Haftung nach Sec. 906 SOX beträgt max. 20 Jahre Gefängnis und/oder 5 Mio. USD. Die
Frage, ob man sich durch eine Versicherung dieser Haftung entziehen kann, konnte nicht
beantwortet werden.
3. Was wird in Deutschland passieren? Wie sieht die Situation für deutsche Unternehmen
aus?
Für alle deutschen Unternehmen, die an der SEC gelistet sind (auch nur mit Anleihen),
müssen Compliance-Erklärungen nach SOX abgegeben werden.
Nicht an der SEC notierte deutsche Unternehmen werden nicht bzw. kaum beeinflusst.
4. Erleidet SOX das gleiche Schicksal wie das Risikomanagement?
Durch die Terminverschiebung für die Compliance zeigt sich die „Geringwertigkeit“ von SOX.
Ob sich SOX zu einem „Papiertiger“ entwickelt, ist derzeit schwer abzuschätzen.
5. Was ist der Mehrwert von SOX? Was ist positiv?
Es wird von einem gestiegenen Bewusstsein für Interne Kontrollen in den Unternehmen
berichtet.
Ein Vorteil ist die Umsetzung von informellen Strukturen in einen formalisierten Prozess.
Dadurch können Schwächen systematisch identifiziert werden. Es kommt zu aha-Effekten.
Die Teilnehmer gehen von einer Stärkung der Revision aus.
6. Was ist von der Institution „Whistleblower“ in Deutschland zu erwarten?
Es wird berichtet, dass es bereits positive Erfahrungen mit „whistleblower“-Policies gibt. Es
gibt Hotlines, die anonyme Anrufe entgegennehmen. In den USA gibt es häufig extern
vergebene Hotlines. Teilweise läuft die Hotline auch direkt bei der Revision auf. In Zukunft
wird es verstärkt, unabhängig von SOX, solche Instrumente geben.
7. Was wird in Konzernen SOX-pflichtig?
Die tatsächliche Ausgestaltung für Konzerne ist noch nicht fixiert. Hier sind insbesondere
folgende Fragen von Bedeutung:
 Was sind die wesentlichen Prozesse?
 Bezieht sich SOX auf den gesamten Konsolidierungskreis?
 Werden nur die Gesellschaften SOX-pflichtig, die bestimmte Ergebnis-/
Umsatzbeiträge liefern?
4. Themenvorschläge für die nächsten Veranstaltungen





Das SAP Audit Information System (AIS)
GDPdU
Outsourcing von wesentlichen Tätigkeiten
Optische Archivierung
Projektprüfung (Kostenexplosion) / Pflichtenheft für Projekte
5. Die nächste Veranstaltung
Die nächste Veranstaltung der Arbeitsgruppe Rhein-Main findet am Montag, den 19. April
2004 um 18:00 Uhr in Neu Isenburg statt. Gastgeber ist Herr Stein von der Firma Aramark.
Das Thema für die kommende Sitzung ist „Das Interne Kontrollsystem bei kleinen
Konzerngesellschaften“.
Die Themen SAP – AIS und GDPdU / Optische Archivierung wurden für die Veranstaltungen
im Juni/Juli vorgeschlagen.
gez. Gerhard Kröcker