Grundsätze der Prüfung des Internen Kontrollsystems (IDW EPS 982) zur Konsultation gestellt

Der Hauptausschuss des IDW (Institut der Wirtschaftsprüfer) hat einen Entwurf des IDW-Standards „Grundsätze ordnungsmäßiger Prüfung des internen Kontrollsystems der Unternehmensberichterstattung“, IDW EPS 982, Stand 14.06.2016) bis Ende 2016 zur Konsultation gestellt. Der vollständige Text ist im Internet abrufbar. Dieser Entwurf gleicht in vielen Punkten dem IDW-Standard IDW EPS 983 (Konsultationsentwurf) zur Prüfung des Internen Revisionssystems, das sich auf abgeschlossene Vorfälle bezieht und keine Zukunftskontrolle beinhaltet.

Mit diesem Prüfungsstandard IDW EPS 982 wird die freiwillige Prüfung der Angemessenheit und/oder der Wirksamkeit des internen Kontrollsystems geprüft. Es handelt sich um die Prüfung eines Kontrollsystems, also um die „Kontrolle der Kontrolle“.

§ 107 Abs. 3 Satz 2 AktG sehe vor, dass der Aufsichtsrat aus seiner Mitte einen Prüfungsausschuss bestellen könne, der sich neben der Überwachung der Abschlussprüfung befasse mit der Überwachung des Rechnungslegungsprozesses, der Wirksamkeit des internen Kontrollsystems, des Risikomanagementsystems und des internen Revisionssystems, so Seite 2 des Entwurfes.

In der Gesetzesbegründung zum BilMoG werde ausgeführt, dass die in § 107 Abs. 3 Satz 2 AktG – der zunächst lediglich die innere Ordnung des Aufsichtsrats betreffe – genannten Bereiche als eine Konkretisierung der allgemeinen Überwachungsaufgabe des Aufsichtsrats aus § 111 Abs. 1 AktG anzusehen sei, so Seite 2 des Entwurfes.

Während die Befassung durch den Aufsichtsrat und den Prüfungsausschuss voraussetze, dass die entsprechenden Systeme vorhanden seien, sei die Einrichtung, Ausgestaltung und Überwachung der Systeme eine im Organisationsermessen des Vorstands stehende unternehmerische Entscheidung, durch die der Vorstand vor dem Hintergrund der unternehmensindividuellen Gegebenheiten seinen allgemeinen Organisations- und Sorgfaltspflichten nachkomme.

Der Sorgfaltsmaßstab werde durch § 93 Abs. 1 Satz 2 AktG konkretisiert, wonach eine Pflichtverletzung nicht vorliege, wenn das Vorstandsmitglied bei einer unternehmerischen Entscheidung vernünftigerweise annehmen durfte, auf der Grundlage angemessener Information zum Wohle der Gesellschaft zu handeln. Hierbei handele es sich um die sog. Business Judgement Rule, die den Vorstandsmitgliedern einen Ermessensspielraum bei ihren unternehmerischen Entscheidungen belasse

Die durch den Aufsichtsrat bzw. den Prüfungsausschuss zu überwachenden Corporate Governance Systeme internes Kontrollsystem (IKS), Risikomanagementsystem (RMS), internes Revisionssystem (IRS) und Compliance Management System (CMS) seien weder im Gesetz noch in der Literatur eindeutig definiert. Zur Systematik des Zusammenspiels dieser Corporate Governance Systeme lehne sich dieser IDW Prüfungsstandard an das COSO-Rahmenwerk zum unternehmensweiten Risikomanagement an, so Seite 3 des Entwurfes.

Ein Fehler in den Aussagen der IKS-Beschreibung könne z. B. vorliegen, wenn die IKS-Beschreibung des Unternehmens nicht auf sämtliche Grundelemente eingehe, einen Mangel in dem in der IKS-Beschreibung dargestellten internen Kontrollsystem nicht erkennen lasse oder unangemessene Verallgemeinerungen bzw. unausgewogene und verzerrende Darstellungen enthalte, so Seite 28 des Entwurfes.

Anhaltspunkte für wesentliche Mängel des in der IKS-Beschreibung dargestellten internen Kontrollsystems könnten sich nach dem Entwurf u. a. aus den folgenden Umständen ergeben: Es werden keine geeigneten IKS-Grundsätze verwendet. Die Konzeption des internen Kontrollsystems weist Lücken auf, die dazu führen können, dass nicht alle relevanten wesentlichen Risiken berücksichtigt werden. Es gibt Nachweise dafür, dass die implementierten Regelungen nicht geeignet oder unwirksam sind. Die Regelungen des internen Kontrollsystems werden nicht regelmäßig auf Anpassungsbedarf an geänderte Rahmenbedingungen überprüft und ggf. angepasst. Im internen Kontrollsystem werden keine ausreichenden Ressourcen eingesetzt. Das interne Kontrollsystem wird im Unternehmen nicht ausreichend kommuniziert und überwacht. Das interne Kontrollsystem wird nicht konsequent durchgesetzt, z. B. werden bei identifizierten Mängeln keine angemessenen Maßnahmen zur Beseitigung und künftigen Verhinderung der Mängel ergriffen, Seite 39 des Entwurfes.

Unternehmen i.S. dieses IDW-Prüfungsstandards können neben Unternehmen im rechtlichen Sinne auch Gesellschaften bürgerlichen Rechts, rechtsfähige oder nicht rechtsfähige Vereine, Stiftungen, Gebietskörperschaften, Kommunen, Körperschaften, Eigenbetriebe oder sonstige Anstalten öffentlichen Rechts, Gemeinschaften, natürliche Personen oder sonstige wirtschaftlich abgegrenzte Geschäftstätigkeiten (z. B. Standorte, selbstständige Teilbetriebe, Sparten) oder Gruppen dieser Einheiten sein, so Seite 28 des Entwurfes.