Um die Vorgehensweise zur Implementierung eines integrativen Modells, das auch die schon bestehenden Systeme im Unternehmen nicht außer Acht lässt, besser verstehen zu können, wurden zuerst Ziele für ein solches integratives System definiert, die mithilfe der im Unternehmen bestehenden bzw. erweiterten Managementmethoden, -instrumente und -systeme umgesetzt werden sollen. Die wichtigsten anerkannten Aufbaumodelle, an die das Implementierungsmodell Anlehnung findet, werden skizziert.
Es existieren eine Reihe rechtlicher Bestimmungen, die für die Ausgestaltung und Implementierung eines Risikomanagement- und Internen Kontrollsystems wichtig sind. In diesem Kapitel soll näher darauf eingegangen werden, wie die gesetzlichen Bestimmungen sich auf die Art der Ausgestaltung der IRMS-Ziele und in Folge auf die Implementierung auswirken.
Eingangs werden deshalb die gesetzlichen Mindestanforderungen geklärt, dann die gängigen Umsetzungsmodelle erläutert, die dem IRMS-Modell zugrunde liegen, sowie schließlich etwaige Steuerungselemente, die für die Implementierung und die Lebbarkeit des Risikomanagementsystems notwendig sind, gezeigt.
| 3.1 | Gesetzliche Bestimmungen |
| 3.1.1 | Abschlussprüfer- und Änderungsrichtlinie |
Der EU-Gesetzgeber hat mit der Änderungsrichtlinie (EU-Richtlinie 2006/46/EG) und der Abschlussprüferrichtlinie (EU- Richtlinie 2006/43/EG in Ergänzung durch die EU-Richtlinie 2008/30/EG) zahlreiche Vorschriften zum Thema Steuerung, Risiko und Normenkonformität (Compliance) erlassen. Diese betreffen vor allem
die Forderung nach der Einrichtung eines Systems zur Steuerung der Risiken im Unternehmen,
spezielle Offenlegungsvorschriften vor allem für große kapitalmarktorientierte Unternehmen hinsichtlich dieses Systems und
die Anforderungen an die Prüfungsorgane, die diese Systeme zu prüfen haben.
Dabei finden spezielle Vorschriften für die Befolgung eines Unternehmensführungskodex und die Offenlegung von diversen Unternehmensführungspraktiken Erwähnung. Die Verwaltungs-, Leitungs- und Aufsichtsorgane sind dabei (meist kollektiv) verantwortlich für die Richtigkeit und Vollständigkeit der Angaben, die im Lagebericht zu veröffentlichen sind (vgl. dazu EU-Richtlinie 2006/46 EG, Artikel 46 a und 50 b/c). Der (konsolidierte) Lagebericht hat unter anderem auch die wesentlichen Merkmale eines Internen Kontrollsystems und Risikomanagementsystems zu beinhalten (vgl. dazu EU-Richtlinie 2006/46/EG, Artikel 36 Absatz 2).
| 3.1.2 | Umsetzung der Richtlinie im deutschsprachigen Raum |
In Deutschland finden diese EU-rechtlichen Vorgaben Umsetzung im Berufsaufsichtsreformgesetz (BARefG) und dem Bilanzrechtsmodernisierungsgesetz (BilMoG). In Österreich vor allem im Unternehmensrechtsänderungsgesetz (URÄG).
Zahlreiche Bestimmungen des Aktiengesetzes, des GmbH-Gesetzes und des Genossenschaftsgesetzes sind in Umsetzung der Richtlinien in beiden Ländern geändert bzw. ergänzt worden.
Erste gesetzliche Verankerungen im Hinblick auf Risikomanagement im Unternehmen wurden bereits Ende der 90er-Jahre in Deutschland durchgeführt. Das 1998 erschienene KonTraG änderte das Aktiengesetz von 1965 mit Geltung vor allem für alle börsennotierten Gesellschaften. Dabei wurden folgende, für das Thema Risikomanagement sowie den Aufbau von Risikomanagementsystemen relevanten Aspekte aufgenommen (Wolf/Runzheimer 2001):
Artikel 1 "Änderung des Aktiengesetzes" Absatz 9 Ziffer c): „Der Vorstand hat geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden.“
Artikel 2 "Änderung des Handelsgesetzbuches" Absatz 3 und Absatz 5: „… dabei ist auch auf Risiken der künftigen Entwicklung einzugehen.“
Artikel 2 Absatz 6 Nummer (2) betreffend den Lagebericht und Konzernbericht: „Dabei ist auch zu prüfen, ob die Risiken der künftigen Entwicklung zutreffend dargestellt sind.“
Artikel 2 Absatz 6 Nummer (4) betreffend den Lagebericht und Konzernbericht: „… ob der Vorstand die ihm … obliegenden Maßnahmen in einer geeigneten Form getroffen hat und ob das danach einzurichtende Überwachungssystem seine Aufgaben erfüllen kann.“
Artikel 2 Absatz 9 Nummer (4) betreffend den Prüfungsbericht: „Es ist darauf einzugehen, ob Maßnahmen erforderlich sind, um das interne Überwachungssystem zu verbessern.“
Artikel 2 Absatz 10 Nummer (2) und (3) betreffend den Bestätigungsvermerk: „Auf Risiken, die den Fortbestand des Unternehmens gefährden, ist gesondert einzugehen“ bzw.: „Dabei ist auch darauf einzugehen, ob die Risiken der künftigen Entwicklung zutreffend dargestellt sind.“
Des Weiteren definiert das BilMoG in Deutschland Offenlegungspflichten zur Corporate Governance im Rahmen der Finanzberichterstattung. Es hat eine Beschreibung der wesentlichen Merkmale des Internen Kontrollsystems und des Risikomanagementsystems im Hinblick auf den (Konzern-)Rechnungslegungsprozess im (Konzern-)Lagebericht zu erscheinen, außerdem eine Erklärung zur Unternehmensführung.
Laut dem deutschen Aktiengesetz § 7 Absatz 3 ist insbesondere ein Prüfungsausschuss aus der Mitte des Aufsichtsrats zu bestellen, dem die Überwachung des Rechnungslegungsprozesses, der Wirksamkeit des Internen Kontrollsystems, des Risikomanagementsystems und des internen Revisionssystems sowie der Abschlussprüfung obliegt.
In Österreich schreiben das Aktiengesetz, das GmbH-Gesetz und das Genossenschaftsgesetz vor, dass der Vorstand bzw. die Geschäftsführung dafür zu sorgen hat, dass ein Internes Kontrollsystem geführt wird, das den Anforderungen des Unternehmens entspricht (vgl. dazu § 82 AktG, § 22 GmbH-G und § 22 GenG).
Es gibt in beiden Ländern keine Vorgaben des Gesetzgebers hinsichtlich der Ausgestaltungsform oder Organisation eines solchen Systems. Es gibt außerdem keine Definition dessen, was angemessen ist bzw. „den Anforderungen des Unternehmens entspricht“.
Die Gesetzgebung beider Länder regelt jedoch für Unternehmen im öffentlichen Interesse, welches Organ dieses Interne Kontrollsystem zu prüfen hat. Für diese sogenannten Gesellschaften im öffentlichen Interesse ist ein Prüfungsausschuss im Aufsichtsrat zu bilden. Dieser hat die Wirksamkeit des Internen Kontrollsystems und gegebenenfalls des Risikomanagementsystems zu prüfen. Dem Prüfungsausschuss muss zumindest ein Finanzexperte angehören. Diese Person muss über Kenntnisse und praktische Erfahrung im Finanz- und Rechnungswesen sowie in der Berichterstattung verfügen.
Gesellschaften im öffentlichen Interesse haben zumindest eines der beiden folgenden Merkmale:
Sie sind „kapitalmarktorientiert“: Das sind Unternehmen, deren Aktien zum Handel auf einem geregelten Markt im Sinn des § 1 Absatz 2 BörseG zugelassen sind. Nach deutschem Recht besteht die Kapitalmarktorientierung eines Unternehmens darin, einen organisierten Markt im Sinne des § 2 Absatz 5 WpHG durch von ihm ausgegebene Wertpapiere in Anspruch zu nehmen oder die Zulassung solcher Wertpapiere zum Handel an einem organisierten Markt beantragt zu haben.
Sie sind „große Kapitalgesellschaften“: Das sind Unternehmen, die zwei von drei der im § 221 Absatz 2 UGB (Österreich) und im § 267 HGB (Deutschland) geregelten folgenden Größenmerkmale überschreiten:
Die Bilanzsumme ist größer als 19,25 Millionen Euro.
Die Umsatzerlöse sind größer als 38,5 Millionen Euro.
Die durchschnittliche Anzahl von Arbeitnehmern beträgt mehr als 250.
Kapitalmarktorientierte Kapitalgesellschaften haben in Deutschland und Österreich die wesentlichen Merkmale des Internen Kontroll- und Risikomanagementsystems im Hinblick auf die Rechnungslegung bzw. den Rechnungslegungsprozess im Lagebericht zu beschreiben. Der zu installierende Prüfungsausschuss hat des Weiteren den Rechnungslegungsprozess und die Abschlussprüfung zu überwachen. Außerdem muss für kapitalmarktorientierte Unternehmen ein Corporate-Governance-Bericht erstellt werden. Die Regel Nummer 70 des österreichischen Corporate Governance Kodex (Österreichischer Arbeitskreis für Corporate Governance Kodizes, 2010) besagt, dass im Konzernlagebericht die wesentlichen eingesetzten Risikomanagementinstrumente in Bezug auf nicht finanzielle Risiken zu beschreiben sind. Dies ist zwar „nur“ eine sogenannte Comply-or-Explain-Regelung, verpflichtet jedoch als solche die Unternehmung zumindest zur Veröffentlichung einer Erklärung, warum die Regel nicht eingehalten wurde, sofern dies so ist.
Eine Gestaltungsbindung oder zumindest einen Vorschlag, wie ein Risikomanagementsystem auszusehen hat, sowie Mindestanforderungen oder Vorschriften zu diversen Begriffsdefinitionen findet man in den aktuellen Gesetzen nicht. In den Protokollen zum Gesetzesentwurf für das Unternehmensrechtsänderungsgesetz in Österreich findet einmal das amerikanische COSO-Modell Erwähnung, auf das noch näher eingegangen werden soll. Hier wird außerdem explizit erwähnt, dass das Interne Kontrollsystem als Bestandteil des Risikomanagementsystems gesehen werden soll (Nowotny 2012).
Die Änderungen des Aktiengesetzes und die Nennung von lediglich Überschriften bewirken zwar eine Detaillierung und Verbesserung der Prüfung des...
