Einführung eines Internen Kontrollsystems im Mittelstand

Ein Internes Kontrollsystem (IKS) ist ein wichtiges Kontroll- und Überwachungsinstrument für die Geschäftsführung einer mittelständischen Unternehmung, um den Unternehmenserfolg bei steigenden Anforderungen hinsichtlich Compliance und Rendite, als auch Internationalisierung der Märkte, zu sichern. Der folgende Artikel umreißt die Anforderungen und Bestandteile eines IKS und zeigt abschließend auf, wie ein IKS in einer mittelständischen Unternehmung in 8 Schritten eingeführt werden kann.

Anforderungen

Die Notwendigkeit eines IKS ergibt sich aus den dem Handelsgesetzbuch und den Grundsätzen zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD) und lässt sich zudem aus den folgenden Gesetzen ableiten:

• Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG)
• Aktiengesetz (AktG) §76; §91 Abs 2; §93 Abs 2, §107 Abs 3 (Aufsichtsratspflichten), §171 Abs. 1 Satz 2 (Abschlussprüfer Aussage über IKS)
• Bilanzrechtsmodernisierungsgesetz (BilMoG) – im Lagebericht die wesentlichen Merkmale eines IKS im Hinblick auf den Rechnungslegungsprozess zu beschreiben
• GmbHG § 43 Abs. 1 (Fürsorgepflicht)

Eine Kodifizierung zur Ausgestaltung eines IKS besteht im Mittelstand (Industrie- und Dienstleistungen) nicht. Für börsennotierte Unternehmen oder solche die einen Börsengang planen, ist ein dokumentiertes IKS unerlässlich. Für viele mittelständische Unternehmen, die Dienstleistungen für andere Unternehmen anbieten, ist es von Vorteil bzw. notwendig ein dokumentiertes und von einer Wirtschaftsprüfungsgesellschaft geprüftes IKS zu besitzen.

Ziele & Bestandteile

Ziele

Ein IKS dient der Umsetzung der folgenden 4 Ziele:

• Sicherung des materiellen und immateriellen Unternehmensvermögens
• Gewährleistung der Ordnungsmäßigkeit und Zuverlässigkeit der Rechnungslegung
• Wirtschaftlichkeit von Geschäftsprozessen und Organisationsstrukturen
• Einhaltung von internen Richtlinien und externen Vorschriften

Indirekt kann ein dokumentiertes IKS ggfs. auch helfen, die Kosten für den Abschlussprüfer zu senken, da dieser durch das Prüfen von Kontrollen aufwendige substantielle Prüfungshandlungen reduzieren kann. Des Weiteren erhöht es die Transparenz über Geschäftsprozesse, Vorgaben und Kontrollen.

Bestandteile

Ein IKS besteht im Wesentlichen aus dem Internen Steuerungssystem und dem Internen Überwachungssystem. Letzteres besteht aus den folgenden zwei Komponenten:

1.Prozessintegrierten Überwachungsmaßnahmen

• Organisatorischen Sicherungsmaßnahmen zur Vermeidung von Fehlern (z.B. Richtlinien und Formulare, Funktionstrennung und IT gestützte Berechtigungskonzepte usw.)
• Kontrollen – manuelle, automatische, präventive und aufdeckende (z.B. IT-integrierte Kontrollen; Durchsicht und Genehmigungen, Kontenabstimmungen usw.)

2.Prozessunabhängigen Überwachungsmaßnahmen

• Interne Revision
• andere

Des Weiteren teilt sich ein IKS nach dem COSO Ansatz in folgende fünf Komponenten auf:

1. Kontrollumfeld – herrschende Unternehmenskultur, Führungsstil, Ethische Werte, Rollen und Verantwortlichkeiten, Performancemanagement usw.
2. Ziele & Risiken – Abteilungs- und Prozessziele sowie korrespondierende Risiken, die die Erreichung der Ziele negativ beeinflussen können
3. Kontrollaktivitäten – Aktivitäten zur Verringerung oder Vermeidung der identifizierten Risiken
4. Information & Kommunikation – Aufbereitung und Kommunikation von relevanten Informationen an zuständige Mitarbeiter
5. Überwachung – prozessintegrierte Aktivitäten zur Überprüfung der Wirksamkeit des IKS

Oben genannte Komponenten können für die Bereiche Finanzberichterstattung, operative Prozesse und Compliance angewendet werden und sind im Unternehmen, in Tochtergesellschaften, Geschäftsbereichen oder auch Prozessen abbildbar.

Exkurs: Typische Ziele des Einkaufs & der Kreditorenbuchhaltung

• Lieferantenverträge sind valide, vollständig und genehmigt
• Einkäufe folgenden den vorgegebenen Richtlinien und sind genehmigt
• Lieferantenstammdaten, Preise und Steuerangaben sind korrekt im Einkaufssystem abgebildet
• Einkäufe von Waren und Dienstleistungen (inkl. Waren- und Rechnungseingang) sind vollständig, richtig und valide im Einkaufssystem abgebildet
• Zahlungen sind valide, autorisiert und korrekt im Einkaufssystem abgebildet
• Haupt- und Nebenbuch sind abgestimmt und identisch
• Rückstellungen für erbrachte Waren und Leistungen, die noch nicht in Rechnung gestellt wurden, sind vollständig und richtig
• Stammdatenänderungen sind valide und richtig
• Funktionstrennungen existieren und sind eingehalten

In 8 Schritten zu einem IKS

Im Folgenden wird auf die Einführung eines IKS in 8 Schritten ausgehend von der Bilanz und Gewinn- und Verlustrechnung (GuV) eingegangen:

1. Risikoorientierte Analyse der Bilanz und Ermittlung der wesentlichen Prozesse

Als erstes werden die Geschäftsprozesse ermittelt, die die größte Auswirkung auf die Bilanz und GuV haben. Dies können z.B. Vertriebs- und Einkaufsprozesse für die Bilanzpositionen Forderungen und Verbindlichkeiten aus Lieferungen und Leistungen sein. Eine wesentliche Rolle spielen hier auch die IT bezogenen Prozesse.

2. Aufnahme des Kontrollumfelds

Anschließend werden die vorhandenen Elemente des o.g. Kontrollumfelds der Unternehmung aufgenommen. Ggfs. vorhandene Lücken sind zu ermitteln und zu schließen.

3. Ermittlung der Prozessziele- und Risiken

Daraufhin werden für die ausgewählten Prozesse die wesentlichen finanziellen, operativen und Compliance Ziele sowie entsprechende Risiken ermittelt und dokumentiert. Es empfiehlt sich die Schritte 3-5 je Prozess zu durchlaufen.

4. Aufnahme der existierenden Prozesskontrollen

Im nächsten Schritt werden für den jeweiligen Prozess die vorhandenen Richtlinien und Arbeitsanweisungen sowie die vorhandenen Kontrollen ermittelt und in einer Risiko-Kontrollmatrix erfasst.

5. Ermittlung und Schließung der vorhandenen Lücken

Nach Fertigstellung der Risiko-Kontrollmatrix werden vorhandene Kontrolllücken geschlossen bzw. existierende Kontrollen ggfs. optimiert.

6. Visualisierung der Prozesse

Es empfiehlt sich die ermittelten Ist-Prozess und die Prozesskontrollen in einem funktionsübergreifenden Flussdiagramm zu dokumentieren. Dies erhöht die Transparenz des Prozesses und schafft so ein einheitliches Verständnis über den Prozessablauf und vorhandene Verantwortlichkeiten und Kontrollen.

7. Überführung in den Regelbetrieb und regelmäßige Überprüfung

Abschließend wir das IKS dem Regelbetrieb überführt. Hierfür sind Rollen und Verantwortlichkeiten klar zu definieren. Je nach Größe der Unternehmung ist das IKS regelmäßig auf seine Funktionsfähigkeit (Effektivität) hin zu überprüfen. Dies erfolgt in mittelständischen Unternehmen in der Regel durch die Interne Revision.

8. Ausrollen auf die Tochtergesellschaften

Je nach Organisation der Unternehmung sollte das in den Schritten 1-6 definierte IKS sukzessive auf die wesentlichen Tochtergesellschaften und Beteiligungen erweitert werden.

Schlussbemerkung

Aus Sicht des Autors kann die Einführung eines dokumentierten IKS, angepasst an die Größe der Unternehmung, einen wesentlichen Beitrag dazu leisten, den Unternehmenserfolg zu sichern, Transparenz innerhalb des Unternehmens zu erhöhen und ist eine wesentliche Grundlage zum Aufbau eines effektiven Compliance-Management-Systems.

Text: Marc W. Theuerkauf – Internal Audit Services