Neue Pflichten für Aufsichtsräte?

Transkript

1 Neue Pflichten für? Awareness-Studie zu 107 Abs. 3 AktG In Kooperation mit:

2

3 Inhalt Vorwort 4 Überwachungsaufgaben für Aufsichtsorgane nach dem BilMoG Anforderungen an Prüfungsausschüsse und Struktur der Überwachungsaufgaben Umsetzung der Überwachungsaufgaben Die praktische Relevanz aus der Sicht von n, Vorständen und Geschäftsführern Wesentliche Ergebnisse im Überblick Design der Studie Status quo der Überwachungstätigkeit von n und Prüfungsausschüssen Einschätzung der allgemeinen Anforderungen des 107 Abs. 3 AktG Geplante Maßnahmen im Zusammenhang mit dem BilMoG Ansprechpartner 43

4 Vorwort Mit dem am 29. Mai 2009 in Kraft getretenen Bilanzrechtsmodernisierungsgesetz (BilMoG) hat der deutsche Gesetzgeber im Zuge der Umsetzung der modernisierten 8. EU-Richtlinie (sogenannte Abschlussprüferrichtlinie) aus dem Jahr 2006 auch die Vorschriften zur Corporate Governance fortentwickelt. Während der im Jahr 2002 erstmals bekannt gemachte Deutsche Corporate Governance Kodex zunächst nur auf börsennotierte Aktiengesellschaften zielte, macht das BilMoG eindrucksvoll deutlich, dass sich zunehmend auch nicht kapitalmarktorientierte Gesellschaften mit besonderen Herausforderungen bei der Erfüllung der Pflichten zur Unternehmensführung und -überwachung konfrontiert sehen. 107 Abs. 3 AktG Hohe Bedeutung für und Prüfungsausschüsse deutscher Unternehmen! 4 Ernst & Young Neue Pflichten für?

5 Der mit dem BilMoG neu gestaltete 107 Abs. 3 Satz 2 AktG enthält erstmals eine gesetzliche Kodifizierung von Prüfungsausschüssen (Audit Committees) und konkretisiert gleichfalls die Überwachungspflichten von n. Demnach hat sich der Prüfungsausschuss mit der Überwachung des Rechnungslegungsprozesses, der Wirksamkeit des internen Kontrollsystems, des Risikomanagementsystems und des internen Revisionssystems sowie mit der Überwachung der Abschlussprüfung zu befassen. Ernst & Young hat diese Neuregelung zum Anlass genommen, in Zusammenarbeit mit dem Institut für Rechnungslegung und Wirtschaftsprüfung der Westfälischen Wilhelms-Universität Münster (Prof. Dr. Hans-Jürgen Kirsch) eine Studie zur Neufassung des 107 Abs. 3 Satz 2 AktG und zu deren Bedeutung in der Überwachungspraxis durchzuführen. Die Ergebnisse zeigen, dass ein Großteil der in dieser Studie befragten, Vorstände und Geschäftsführer den neuen 107 Abs. 3 Satz 2 AktG als eine Verschärfung der Pflichten für den Aufsichtsrat wahrnimmt. Vor allem aber besteht aufgrund der knappen Ausführungen im Gesetz und in den Gesetzesmaterialien eine hohe Unsicherheit über die konkrete Ausgestaltung der Überwachungsaufgabe. Insofern besteht für dringender Handlungsbedarf, um das Risiko eigener Sorgfaltspflichtverletzungen und damit einer persönlichen Haftung auszuschließen. Aufsichtsratsmitglieder müssen sich daran messen lassen, ob sie den in 107 Abs. 3 Satz 2 AktG normierten Pflichten nachgekommen sind. Daher gewinnt der Nachweis der pflichtgemäßen Erfüllung dieser Überwachungsaufgaben erheblich an Bedeutung. Bloßes Vertrauen etwa in die Angemessenheit und Wirksamkeit eines internen Kontrollsystems oder in die Arbeit der Internen Revision oder des Abschlussprüfers wird jedenfalls nicht ausreichen, um die gesetzlichen Anforderungen pflichtgemäß zu erfüllen. Aus der vorliegenden Studie lassen sich vor diesem Hintergrund die folgenden Kernergebnisse ableiten: und Prüfungsausschüsse rücken die Überwachungsaufgaben stärker in den Fokus. Auch wenn viele, Vorstände und Geschäftsführer zwar von grundsätzlich funktionierenden Kontroll-, Risikomanagement- und Revisionssystemen und Rechnungslegungsprozessen ausgehen, erscheint die Nachweisführung derzeit dennoch verbesserungsfähig. Dies ist vor allem der Fall, da erwartet wird, dass mit dem BilMoG noch nicht das Ende der regulatorischen Anforderungen für markiert ist, sondern diese Anforderung künftig eher noch weiter zunehmen werden. Die Beschäftigung mit der Ausgestaltung der Überwachungssysteme wird aber auch als Chance zur Transparenzund Effizienzsteigerung durch Standardisierung und Automatisierung erkannt. Stuttgart/Münster, im März 2010 Prof. Dr. Peter Wollmert Geschäftsführer Managing Partner Assurance Ernst & Young GmbH Wirtschaftsprüfungsgesellschaft Prof. Dr. Hans-Jürgen Kirsch Direktor des Instituts für Rechnungslegung und Wirtschaftsprüfung der Westfälischen Wilhelms-Universität Münster Ernst & Young Neue Pflichten für? 5

6 Überwachungsaufgaben für Aufsichtsorgane nach dem BilMoG

7 Anforderungen an Prüfungsausschüsse und Zielsetzung des Gesetzgebers Qualitätsverbesserung In den Gesetzesmaterialien zum BilMoG bezieht sich der deutsche Gesetzgeber bei den Motiven zur Neufassung des 107 Abs. 3 Satz 2 AktG im Wesentlichen auf die Umsetzung der modernisierten Abschlussprüferrichtlinie vom 16. August Die EU-Kommission stellt in der Begründung zu Art. 41 der Abschlussprüferrichtlinie die zentrale Bedeutung eines wirksamen internen Kontrollsystems für die Qualität der Rechnungslegung bzw. der Finanzberichterstattung in den Mittelpunkt. Ein derartiges System könne finanzielle und betriebliche Risiken sowie das Risiko von Gesetzesverstößen auf ein Mindestmaß reduzieren. Dies setze geeignete Konzepte und Verfahren voraus, die eine prompte Weiterleitung verlässlicher Informationen und die Einhaltung der geltenden Rechts- und Verwaltungsvorschriften gewährleisten und die ordnungsgemäße Verwendung des Unternehmensvermögens sicherstellen. Hieraus ergibt sich die Bedeutung der Überwachung der Wirksamkeit der entsprechenden Systeme. Über die Empfehlung, diese Überwachungsaufgaben einem Prüfungsausschuss zu übertragen, soll gleichzeitig die Qualität der Aufsichtsarbeit gesteigert werden, da sich die Mitglieder des Prüfungsausschusses intensiver mit den ihnen übertragenen Aufgaben auseinandersetzen. Sachlicher Anwendungsbereich Prüfungsausschuss und Aufsichtsrat In wortlautgetreuer Umsetzung des Mindestkatalogs des Art. 41 Abs. 2 der Abschlussprüferrichtlinie nennt 107 Abs. 3 Satz 2 AktG folgende Aufgaben, die ganz oder teilweise an einen Prüfungsausschuss delegiert werden können: Überwachung des Rechnungslegungsprozesses, Überwachung der Wirksamkeit des internen Kontrollsystems, des Risikomanagementsystems und des internen Revisionssystems, Überwachung der Abschlussprüfung, hier insbesondere der Unabhängigkeit des Abschlussprüfers und der vom Abschlussprüfer zusätzlich erbrachten Leistungen. Falls der Aufsichtsrat keinen Prüfungsausschuss einrichtet, sind diese Pflichten vom Aufsichtsrat selbst zu erfüllen. Persönlicher Anwendungsbereich AG, GmbH, Kapitalmarktorientierung, Mitbestimmung, Gesellschaftsvertrag 107 Abs. 3 AktG gilt unmittelbar für alle Aktiengesellschaften und Kommanditgesellschaften auf Aktien (unabhängig davon, ob sie kapitalmarktorientiert sind oder nicht). Für Gesellschaften mit beschränkter Haftung enthält 52 Abs. 1 GmbHG zwar keinen expliziten Verweis auf 107 Abs. 3 AktG, doch sind bei mitbestimmten n die aktienrechtlichen Vorschriften durchweg anzuwenden ( 1 Abs. 1 Nr. 3 DrittelbG, 25 Abs. 1 Nr. 2 MitbestG, 3 Abs. 2 Montan- MitbestG und MontanMitbestErgG). Des Weiteren sind alle kapitalmarktorientierten Kapitalgesellschaften, die über keinen dem Aktienrecht entsprechenden Aufsichtsrat verfügen, verpflichtet, einen Prüfungsausschuss einzurichten, dem der Pflichtenkatalog des 107 Abs. 3 AktG obliegt ( 324 HGB). Da es sich darüber hinaus bei den Vorschriften des 107 Abs. 3 Satz 2 AktG lediglich um eine Konkretisierung der allgemeinen Überwachungspflichten des Aufsichtsrats handelt, kann auch ein freiwillig kraft Gesellschaftsvertrag eingerichteter Aufsichtsrat einer nicht kapitalmarktorientierten GmbH von den Pflichten des 107 Abs. 3 Satz 2 AktG erfasst sein. Ernst & Young Neue Pflichten für? 7

8 Anforderungen an Prüfungsausschüsse und Im Ergebnis erstreckt sich also der Anwendungsbereich des 107 Abs. 3 Satz 2 AktG vor allem auf AGs und KGaAs sowie auf alle GmbHs, die einen aufgrund mitbestimmungsrechtlicher Vorschriften eingerichteten Aufsichtsrat haben (unabhängig davon, ob sie kapitalmarktorientiert sind oder nicht), sowie auf alle kapitalmarktorientierten GmbHs und alle GmbHs, die einen nur aufgrund gesellschaftsvertraglicher Bestimmungen eingerichteten Aufsichtsrat haben. Ebenfalls erfasst sind Genossenschaften ohne Aufsichtsrat ( 53 Abs. 3 GenG), Personenhandelsgesellschaften i. S. d. 264a HGB sowie Kreditinstitute ( 340k Abs. 5 Satz 1 HGB) und Versicherungsinstitute ( 341k Abs. 4 Satz 1 HGB) in der Rechtsform der Personengesellschaften, falls sie kapitalmarktorientiert i. S. d. 264d HGB sind. Zeitlicher Anwendungsbereich: seit 29. Mai 2009 Die Vorschrift des 107 Abs. 3 Satz 2 AktG trat ohne zeitliche Übergangsregelung am 29. Mai 2009 in Kraft ( 12 Abs. 4 EGAktG), sodass die Rechtsfolgen von Verstößen gegen die Pflichten des 107 Abs. 3 Satz 2 AktG insbesondere das persönliche Haftungsrisiko von n seit dem Inkrafttreten des BilMoG eintreten. Wahlrecht zur Einrichtung eines Prüfungsausschusses Der Aufsichtsrat konnte auf Grundlage von 107 Abs. 3 Satz 1 AktG bereits bisher Ausschüsse bestellen, die sich mit bestimmten Sachgebieten befassten. Beispiele hierfür sind etwa ein Präsidialausschuss, ein Vermittlungsausschuss, ein Risikoausschuss, ein Finanz- und Investitionsausschuss, ein Nominierungsausschuss oder ein Prüfungsausschuss. Mit 107 Abs. 3 Satz 2 AktG werden nun erstmals im Aktienrecht explizit Überwachungsaufgaben benannt, zu deren Behandlung der Aufsichtsrat einen Ausschuss, namentlich einen Prüfungsausschuss, bilden kann. Es besteht allerdings außerhalb des Anwendungsbereichs des 324 HGB grundsätzlich keine Pflicht, einen Prüfungsausschuss einzurichten. Die Entscheidung über die Bildung eines Prüfungsausschusses obliegt allein dem Aufsichtsrat im Rahmen seiner Organisationsautonomie. Sie kann nicht durch Satzung bzw. Gesellschaftsvertrag bestimmt werden. Im Übrigen wird die Einrichtung von Prüfungsausschüssen allen börsennotierten Gesellschaften nach Ziff Satz 1 DCGK bereits seit dem Jahr 2002 empfohlen und ist bei größeren Börsengesellschaften schon weitverbreitete Praxis. Dies belegt auch unsere Studie. 8 Ernst & Young Neue Pflichten für?

9 Besetzung des Prüfungsausschusses Unabhängigkeit, Know-how Für die Zusammensetzung eines Prüfungsausschusses galt bereits bislang die Empfehlung des DCGK, dass der Ausschussvorsitzende über besondere Kenntnisse und Erfahrungen in der Anwendung von Rechnungslegungsgrundsätzen und internen Kontrollverfahren verfügen soll. Der Prüfungsausschussvorsitzende sollte nicht der Aufsichtsratsvorsitzende sein, zudem sollte er unabhängig und kein ehemaliges Vorstandsmitglied der Gesellschaft sein, dessen Bestellung vor weniger als zwei Jahren endete. Nach dem BilMoG muss dem Prüfungsausschuss einer kapitalmarktorientierten Gesellschaft künftig mindestens ein unabhängiger Finanzexperte angehören ( 107 Abs. 4 i. V. m. 100 Abs. 5 AktG); wird kein Prüfungsausschuss eingerichtet, muss ein Mitglied des Aufsichtsrats diese persönlichen Qualifikationsmerkmale erfüllen. Als Finanzexperten gelten Personen, die über beruflich erworbenen Sachverstand in der Rechnungslegung oder der Abschlussprüfung verfügen. Hierfür kommen etwa Personen mit spezieller beruflicher Ausbildung, Finanzvorstände, fachkundige Angestellte aus den Bereichen Rechnungslegung und Controlling oder Analysten sowie langjährige Mitglieder in Prüfungsausschüssen oder Betriebsräte, die sich diese Fähigkeiten durch Weiterbildung im Zuge ihrer Tätigkeit erworben haben, sowie Angehörige steuerberatender oder wirtschaftsprüfender Berufe in Betracht. Hinsichtlich der Unabhängigkeit ist bereits über 105 Abs. 1 AktG eine Trennung von Vorstand und Aufsichtsrat gewährleistet. Allerdings können z. B. unmittelbare oder mittelbare geschäftliche, finanzielle oder persönliche Beziehungen zur Geschäftsführung eine Befangenheit begründen, die der Wahrnehmung der Überwachungsfunktion entgegenstehent. Im Übrigen verweist die Regierungsbegründung zum BilMoG auf Ziff Satz 2 DCGK. Dort ist definiert, dass ein Aufsichtsratsmitglied dann unabhängig ist, wenn es zu der Gesellschaft oder deren Vorstand in keiner geschäftlichen oder persönlichen Beziehung steht, die einen Interessenkonflikt begründet. Der Aufsichtsrat hat unter Berücksichtigung dieser Anforderungen festzulegen und zu dokumentieren, wie er das Merkmal der Unabhängigkeit ausfüllt. Gemäß 12 Abs. 4 EGAktG muss der Prüfungsausschuss bzw. Aufsichtsrat nicht schon mit dem Inkrafttreten des BilMoG über einen unabhängigen Finanzexperten verfügen; diese Vorgabe greift vielmehr erst im Zuge der nächsten turnusmäßigen Bestellung eines Aufsichtsratsmitglieds. Verstöße gegen die Pflicht, einen unabhängigen Finanzexperten in den Aufsichtsrat zu entsenden, führen zur Anfechtbarkeit der Beschlüsse des (nicht ordnungsgemäß zusammengesetzten) Aufsichtsrats. Prüfungsausschuss im Verhältnis zum Aufsichtsratsplenum Delegation der Umsetzung, jedoch nicht der Verantwortung Die Entscheidung darüber, ob und inwieweit bestimmte Überwachungsaufgaben einem Prüfungsausschuss übertragen werden, obliegt dem Aufsichtsrat. Die Gesetzesbegründung zu 107 Abs. 3 Satz 2 AktG macht deutlich, dass dies auch für die Aufgaben gilt, die typischerweise ein Prüfungsausschuss innehat. Überdies wird klargestellt, dass der Aufsichtsrat nicht verpflichtet ist, das angesprochene Aufgabenspektrum in vollem Umfang auf den Prüfungsausschuss zu übertragen. Denkbar wäre etwa auch die Übertragung von speziellen Teilaufgabenbereichen. Die übrigen Aufgaben hat er dann selbst wahrzunehmen. Der Aufsichtsrat bleibt jedoch in vollem Umfang für die Überwachungsaufgaben verantwortlich, auch wenn er sie auf den Prüfungsausschuss übertragen hat. Ernst & Young Neue Pflichten für? 9

10 Struktur der Überwachungsaufgaben Neben der Überwachung des Rechnungslegungsprozesses und der Abschlussprüfung hat der Aufsichtsrat gem. 107 Abs. 3 Satz 2 AktG die Aufgabe, die Wirksamkeit des internen Kontrollsystems, des Risikomanagementsystems und des internen Revisionssystems zu überwachen. Keine gesetzliche Anordnung, jedoch häufig faktische Notwendigkeit zur Einrichtung eines internen Kontrollsystems, eines Risikomanagementsystems und eines internen Revisionssystems Die gesetzliche Normierung dieser Überwachungsaufgaben begründet keine Pflicht zur Einrichtung solcher Systeme. Dies liegt vielmehr im pflichtgemäßen Ermessen des Vorstands bzw. der Geschäftsführung, insb. in Abhängigkeit von der Größe und Struktur des Unternehmens. Gleichwohl ist mit der Überwachung der Wirksamkeit bestehender Systeme für den Aufsichtsrat immer die Pflicht verbunden zu prüfen, ob Ergänzungen, Erweiterungen oder Verbesserungen der bestehenden Systeme erforderlich sind. Fehlen sie gänzlich, so ist zu beurteilen, ob ihre Einrichtung notwendig ist. Insofern ist Teil der Überwachung auch die Beratung der Unternehmensleitung, insbesondere wenn es um die in die Zukunft gerichtete Kontrolle der Unternehmensleitung geht. Wenn der Gesetzgeber in 107 Abs. 3 Satz 2 AktG von Überwachung spricht, so geht dies auf den Begriff monitoring im englischsprachigen Originaltext der Abschlussprüferrichtlinie zurück. Ein ongoing monitoring ist integraler Bestandteil sowohl des internen Kontrollsystems und des Risikomanagementsystems als auch des internen Revisionssystems. Bestandteile eines solchen ongoing monitoring können protokollierte und mit Maßnahmenplänen hinterlegte regelmäßige Lenkungskreisgespräche und Risikoreportings sein. Es liegt in der Verantwortung der Unternehmensleitung, ein funktionsfähiges Monitoring der Systeme einzurichten, da im Ergebnis nur so deren Wirksamkeit sichergestellt werden kann. Hierbei kann sich die Unternehmensleitung nicht auf die Überwachungstätigkeit des Aufsichtsrats oder auf vom Abschlussprüfer im Rahmen der Prüfung durchgeführte Kontrolltests stützen. In Abgrenzung zur Unternehmensleitung ist die Überwachung durch den Aufsichtsrat eine außerhalb des internen Kontrollsystems und des Risikomanagementsystems durchgeführte Beurteilung. Dies beinhaltet sowohl das kritische Hinterfragen der Ausgestaltung und Funktionsfähigkeit des jeweiligen Systems als auch die Kontrolle, ob festgestellte Mängel von der Unternehmensleitung angemessen beseitigt wurden. 10 Ernst & Young Neue Pflichten für?

11 Keine verbindliche Definition von Kontroll-, Risikomanagement- und Revisionssystem Rückgriff auf allgemein anerkannte Verfahren oder Aufstellung eines eigenständigen Rahmenwerks Das BilMoG enthält keine grundlegende inhaltliche Definition von internem Kontrollsystem, Risikomanagementsystem und internem Revisionssystem. Gleichwohl benötigt der Aufsichtsrat zur Ausübung seiner Überwachungstätigkeit eine Vorstellung, welche Anforderungen an solche Systeme zu stellen sind. Dementsprechend ist trotz fehlender gesetzlicher Definition ein klares Begriffsverständnis erforderlich. Dabei geht es weniger um die Abgrenzung zwischen internem Kontrollsystem, Risikomanagementsystem und internem Revisionssystem, sondern vielmehr um die Frage, was insgesamt von diesen Systemen erfasst sein muss. Entscheidend ist dabei ein umfassendes Begriffsverständnis, das sich nicht auf den Rechnungslegungsprozess beschränken darf, sondern unternehmens- und für Konzerne konzernweit zu verstehen ist. Zur Auslegung dessen, was unter einem internen Kontrollsystem bzw. einem Risikomanagementsystem zu verstehen ist bzw. wie solche Systeme ausgestaltet sein sollten, kann auf international anerkannte Definitionen und Verfahren (z. B. das internationale COSO-Framework, die Turnbull Guidance in England, das Rahmenwerk der AMF in Frankreich, Basel II oder die Regelungen zum Sarbanes-Oxley Act in den USA) zurückgegriffen werden. Gleichwohl enthält keines dieser Regelungswerke Definitionen, die für die Umsetzung der in 107 Abs. 3 Satz 2 AktG niedergelegten Aufgaben verbindlich sind, sodass auch ein eigenständiges unternehmensindividuelles Rahmenwerk entwickelt werden kann. Definitorische Anhaltspunkte im deutschen Regelungsumfeld IDW PS 261/340, 91 Abs. 2 AktG Der Berufsstand der Wirtschaftsprüfer versteht unter einem internen Kontrollsystem gemäß dem Prüfungsstandard 261 (IDW PS 261) Grundsätze, Verfahren und Maßnahmen, die auf die organisatorische Umsetzung der folgenden Managemententscheidungen gerichtet sind: Sicherung der Wirksamkeit und Wirtschaftlichkeit der Geschäftstätigkeit einschließlich des Vermögensschutzes und von Maßnahmen zur Verhinderung und Aufdeckung von Vermögensschädigungen, Ordnungsmäßigkeit und Verlässlichkeit der internen und externen Rechnungslegung, Einhaltung der für das Unternehmen maßgeblichen rechtlichen Vorschriften. Das interne Revisionssystem ist gemäß der Definition des IDW PS 261 Teil des internen Kontrollsystems, wird jedoch in 107 Abs. 3 Satz 2 AktG separat bezeichnet. Inhaltlich umfasst das interne Revisionssystem prozessunabhängige Überwachungsmaßnahmen, die innerhalb eines Unternehmens Strukturen und Aktivitäten prüft und beurteilt. Diese Überwachungsmaßnahmen sollen dabei weder in den Routinearbeitsablauf integriert sein noch das Ergebnis des überwachten Prozesses determinieren. Der vom Gesetzgeber in 107 Abs. 3 Satz 2 AktG verwendete Begriff internes Revisionssystem bringt zum Ausdruck, dass nicht die Organisationseinheit der Internen Revision gemeint ist, sondern deren Funktion, d. h. die Durchführung von systematischen Überwachungsaktivitäten. Dementsprechend ist es zur Erfüllung der gesetzlichen Anforderungen nicht erforderlich, die interne Revision als Abteilung im Unternehmen zu etablieren. Die Aufgaben können auch von anderen Abteilungen oder Personen durchgeführt werden, soweit diese prozessunabhängig sind. Gemäß IDW PS 340 umfasst das Risikomanagementsystem die Gesamtheit aller organisatorischen Regelungen und Maßnahmen zur Risikoerkennung und zum Umgang mit den Risiken unternehmerischer Betätigung. Es hat die Zielsetzung, Risiken zu identifizieren, zu analysieren, zu bewerten und die Einhaltung der auf dieser Basis getroffenen Maßnahmen zu überwachen. Das Risikofrüherkennungssystem des 91 Abs. 2 AktG, das die Früherkennung bestandsgefährdender Entwicklungen beinhaltet, ist diesbezüglich ein wichtiger Bereich allerdings lediglich ein Teilbereich des Risikomanagementsystems. Ernst & Young Neue Pflichten für? 11

12 Umsetzung der Überwachungsaufgaben Überwachung des Rechnungslegungsprozesses Aufbau- und Ablauforganisation statt nur Endergebnis Jahresund Konzernabschluss Der Aufsichtsrat ist verpflichtet, den Rechnungslegungsprozess zu überwachen. Der Gesetzgeber bezieht sich dabei nicht nur auf die Prüfung des Jahres- und Konzernabschlusses, die bereits in 171 Abs. 1 Satz 1 AktG angeordnet ist. Vielmehr zielt er über den Begriff Rechnungslegungsprozess auf die Aufbau- und Ablauforganisation, deren Ergebnis der aufgestellte Jahres- und Konzernabschluss ist. Die Neuregelung geht daher über das bisher vielfach anzutreffende Praxisverständnis der allgemeinen Überwachungspflicht des Aufsichtsrats hinaus. Die Überwachung des Rechnungslegungsprozesses geht auch weiter als die bisherige Empfehlung in Ziffer DCGK, nach der sich Prüfungsausschuss mit Fragen der Rechnungslegung befassen soll. Zur Überwachung des Rechnungslegungsprozesses gehört nicht nur, dass sich der Prüfungsausschuss bzw. der Aufsichtsrat beim Finanzvorstand informiert, wie der Prozess der Rechnungslegung organisiert ist, sondern er muss sich auch ein unabhängiges Bild davon machen, wie der Rechnungslegungsprozess organisiert ist und ob es Defizite in der Erfassung und Verarbeitung relevanter Finanzdaten oder etwa bei den personellen und technischen Ressourcen gibt. 12 Ernst & Young Neue Pflichten für?

13 Zur Überwachung der Wirksamkeit des Rechnungslegungsprozesses muss sich der Aufsichtsrat mit folgenden Fragen auseinandersetzen: Sind der Aufbau und die Abläufe des Rechnungslegungsprozesses im Unternehmen bzw. im Konzern unter Risikound Wesentlichkeitsgesichtspunkten grundsätzlich geeignet, die Ordnungsmäßigkeit des aufzustellenden Jahresund Konzernabschlusses zu erreichen (Prozess- und Kontrolldesign)? Werden die Verarbeitungsvorgänge im Geschäftsjahr, das dem betreffenden Jahres- bzw. Konzernabschluss zugrunde liegt, von den jeweiligen Vorgangsverantwortlichen in der Praxis tatsächlich so umgesetzt, wie es die entsprechenden Prozess- und Kontrollbeschreibungen vorsehen (Prozess- und Kontrolleffektivität)? Wie müssen die Dokumentationen zum Prozess- und Kontrolldesign, zur Prozess- und Kontrolleffektivität sowie die Berichterstattung an den Aufsichtsrat ausgestaltet sein, damit Letzterer seiner Überwachungsaufgabe sachgerecht nachkommen kann (Prozess- und Kontrollnachweis)? Für die konkrete Beantwortung dieser Fragen gibt das Gesetz keine Anhaltspunkte. Ausweislich der Gesetzesmaterialien obliegt die konkrete Ausgestaltung vielmehr dem pflichtgemäßen Ermessen des Aufsichtsrats. Es ist gesetzlich auch nicht vorgesehen, dass ein externer Dritter, z. B. der Abschlussprüfer, in regelmäßigen Abständen bestätigen soll, ob und wie der Aufsichtsrat seiner Überwachungstätigkeit in Bezug auf den Rechnungslegungsprozess nachgekommen ist. Auch die Abschlussprüfung ist nicht auf die Bestätigung dieser Überwachungstätigkeit ausgerichtet. Beispielhafte Elemente eines Prozessund Kontrolldesigns, an denen sich der Aufsichtsrat orientieren kann, sind: Identifikation der wesentlichen Risikofelder und Kontrollbereiche, aus denen Informationen in den Jahresabschluss einschließlich Anhang, Lagebericht und Geschäftsbericht einfließen, systematische Richtlinien und Organisationsanweisungen mit Bezug zur Buchhaltung und Rechnungslegung, Funktionstrennung und vordefinierte Genehmigungsprozesse, Monitoringkontrollen zur Überwachung des konzernweiten Rechnungslegungsprozesses und deren Ergebnisse auf Ebene der Unternehmensleitung und auf Ebene der strategischen Geschäftsfelder, Divisionen, Einheiten und Bereiche (z. B. Anti-Fraud-Maßnahmen, Planung, Bilanzierungsgespräche), präventive und aufdeckende Steuerungs- und Kontrollmaßnahmen im Finanz- und Rechnungswesen und der in den Konzernabschluss einbezogenen Gesellschaften, Divisionen, Einheiten und Bereiche sowie in operativen, leistungswirtschaftlichen Unternehmensprozessen, Maßnahmen, die die ordnungsmäßige EDV-gestützte Verarbeitung von rechnungslegungsbezogenen Sachverhalten und Daten sicherstellen, Einbeziehung von Shared-Service- Centern oder an externe Service- Provider ausgelagerte Prozesse (z. B. Personalbuchhaltung). Für den Nachweis der Prozess- und Kontrolleffektivität ist neben einer schriftlichen Dokumentation zu den Elementen des Ernst & Young Neue Pflichten für? 13

14 Umsetzung der Überwachungsaufgaben Prozess- und Kontrolldesigns die Etablierung einer Teststrategie im Unternehmen sinnvoll. Über eine in regelmäßigen Abständen durchgeführte Stichprobenprüfung, die sich an der Häufigkeit und der Bedeutung bestimmter Kontrollen orientiert, sollte überprüft werden, ob die einzelnen Kontrollelemente tatsächlich vorhanden sind und umgesetzt werden. Der Aufsichtsrat sollte sich über Einsatz und Ergebnis solcher Kontrollen berichten lassen. Überwachung der Wirksamkeit des internen Kontrollsystems und des Risikomanagementsystems über den Rechnungslegungsprozess hinaus Die Überwachung des Rechnungslegungsprozesses dürfte in der Regel mit der Überwachung des allgemeinen internen Kontrollsystems und des Risikomanagementsystems einhergehen. Für die letztgenannten Systeme ist jedoch ebenso wie für das interne Revisionssystem ein umfassendes, unternehmensweites Begriffsverständnis zugrunde zu legen, das über den Rechnungslegungsprozess hinausreicht. Methodisch erfolgen die Strukturierung, die Dokumentation und der Nachweis zum internen Kontrollsystem und zum Risikomanagementsystem analog zum Rechnungslegungsprozess, sodass auf die dortigen Fragestellungen, Elemente und grundsätzlichen Vorgehensweisen verwiesen werden kann. Die Methode muss für die vorliegende Aufgabe jedoch auf nicht rechnungslegungsbezogene Bereiche ausgeweitet werden, die für das Unternehmen aus Risiko- und Wesentlichkeitsgesichtspunkten von Bedeutung sind. Beispiele für typische Risikobereiche sind: Risikofrüherkennung und Branchentrends, Liquiditätssicherung, Kommunikation zum Kapitalmarkt, Unternehmensakquisitionen und Umstrukturierungen in der Gruppe, Datensicherheit, strategischer Einkauf, Forschungs- und Entwicklungsprojekte, Produkt-, Fertigungs- und Servicequalität, Personalmanagement.

15 Überwachung des internen Revisionssystems Zur Überwachung der Wirksamkeit des internen Revisionssystems kann sich der Aufsichtsrat zunächst den Prüfungsplan der Internen Revision vorlegen lassen, um ihn zu analysieren. Wenn die interne Revision nicht als eigenständige Abteilung im Unternehmen etabliert ist, hat der Aufsichtsrat die Strategie zu würdigen, mit der die Unternehmensleitung die prozessunabhängige Überprüfung des internen Kontrollsystems, des Risikomanagementsystems und des Rechnungslegungsprozesses durchzuführen beabsichtigt. Nach Abschluss der Revisionsarbeiten sollte der Aufsichtsrat über die wesentlichen Ergebnisse informiert werden. Wenn die interne Revision als Abteilung im Unternehmen verankert ist, erstreckt sich die Überwachungsaufgabe des Aufsichtsrats auch auf die Beurteilung der personellen und fachlichen Kompetenz sowie die interne Unabhängigkeit. Eine solche Qualitätskontrolle kann durch die Interne Revision selbst anhand von anerkannten Fragebögen oder durch die Einbindung externer Prüfer durchgeführt werden. Ernst & Young Neue Pflichten für? 15

16 Umsetzung der Überwachungsaufgaben Überwachung der Abschlussprüfung und der Unabhängigkeit des Abschlussprüfers Der Umfang der Überwachungspflicht der Abschlussprüfung reicht zeitlich von der Auswahl des Abschlussprüfers bis zur Beendigung des Prüfungsauftrags einschließlich etwaiger Nachtrags- und Sonderprüfungen. Gleichwohl muss sich der Aufsichtsrat während der Abschlussprüfung nicht detailliert mit der Tätigkeit des Abschlussprüfers befassen und beispielsweise regelmäßige Statusberichte einfordern. Zur Sicherstellung der Qualität der Prüfertätigkeit kann sich der Aufsichtsrat z. B. die Bescheinigung des Prüfers über dessen Teilnahme am Verfahren der externen Qualitätskontrolle gem. 57a WPO vorlegen lassen. Dennoch gibt es Beispiele für geeignete Einzelmaßnahmen, die der Aufsichtsrat in diesem Zusammenhang ergreifen kann: Vereinbarung mit dem Abschlussprüfer über wesentliche Prüfungsschwerpunkte vor dem Beginn der tatsächlichen Prüfungsarbeiten, um diese mit der Risikoeinschätzung des Aufsichtsrats abzugleichen und ggf. zu ergänzen, Bericht des Abschlussprüfers über wesentliche sich aus der Prüfung ergebende Anpassungsbuchungen, auch wenn diese im Abschluss verarbeitet wurden, um Implikationen auf Optimierungspotenziale im Rechnungslegungsprozess zu identifizieren. Der Aufsichtsrat hat zudem insbesondere die Unabhängigkeit des Abschlussprüfers zu überwachen. Hierbei ist auf die Einhaltung der internen Rotationsvorschriften ( 319a HGB) ebenso zu achten wie auf die Anforderungen zur Erbringung von Nichtprüfungsleistungen oder auf mögliche Ausschluss- oder Befangenheitsgründe. Der Abschlussprüfer einer kapitalmarktorientierten Gesellschaft ist gem. 171 Abs. 1 Satz 3 AktG künftig verpflichtet, den Aufsichtsrat über zusätzliche Leistungen zu informieren sowie die Risiken seiner Unabhängigkeit zu erörtern. Flankiert wird dies durch die schriftliche Unabhängigkeitserklärung des Abschlussprüfers im Prüfungsbericht ( 321 Abs. 4a HGB). Überwachung im Konzern Abdeckung aller einbezogenen Gesellschaften von Konzernmutterunternehmen haben die Pflichten des 107 Abs. 3 Satz 2 AktG grundsätzlich konzernweit zu erfüllen. Die Überwachung des Rechnungslegungsprozesses bezieht sich nicht nur auf den Rechnungslegungsprozess für das Mutterunternehmen und den Prozess der Konsolidierung, sondern auch auf die Rechnungslegungsprozesse der einbezogenen Tochtergesellschaften. Auch die Überwachung des internen Kontrollsystems, des Risikomanagementsystems und des internen Revisionssystems umfasst die jeweils konzernweit eingerichteten Systeme. Sind bestimmte Konzerngesellschaften oder Teilkonzerne nicht oder nicht angemessen von den Systemen erfasst, so erstreckt sich die Pflicht des Aufsichtsrats auch auf die Prüfung, ob diesbezüglich Ergänzungen, Erweiterungen oder Verbesserungen erforderlich sind. Schließlich ist auch die Überwachung der Abschlussprüfung nicht auf die Prüfung des Jahresabschlusses des Mutterunternehmens begrenzt, sondern umfasst ebenfalls die Prüfung der einbezogenen Gesellschaften. 16 Ernst & Young Neue Pflichten für?

17 Ernst & Young Neue Pflichten für? 17

18 Die praktische Relevanz aus der Sicht von n, Vorständen und Geschäftsführern

19 Wesentliche Ergebnisse im Überblick Insbesondere die Finanzmarktkrise der Jahre 2009 und 2010 hat die Bedeutung von Risikomanagement-, internen Kontroll- und internen Revisionssystemen sowie deren effektiver Überwachung durch die Unternehmensleitung und den Aufsichtsrat verdeutlicht. Inwiefern sich die Überwachung des Rechnungslegungsprozesses, des internen Kontrollsystems, des Risikomanagementsystems sowie der Abschlussprüfung bereits mit dem bisherigen Praxisverständnis der allgemeinen Überwachungspflicht deckt, kann dahingestellt bleiben. Entscheidend ist lediglich, dass sich die Mitglieder eines Aufsichtsrats (spätestens) seit Inkrafttreten des BilMoG daran messen lassen müssen, ob sie den nunmehr gesetzlich explizit formulierten Pflichten nachgekommen sind. Hieraus resultiert auch eine wahrgenommene größere Gefahr der persönlichen Haftung der Aufsichtsratsmitglieder. Um das Risiko eigener Sorgfaltspflichtverletzungen möglichst gering zu halten, wird es im Interesse des Aufsichtsrats liegen, den Vorstand zu veranlassen, stringente Kontrollsysteme und Informationsabläufe zu etablieren. Gleichwohl bedeutet die Neuregelung keine unmittelbare Pflicht zur Einrichtung eines Risikomanagementund internen Kontrollsystems oder einer Internen Revision. Allerdings birgt die Abwesenheit solcher Systeme ein signifikantes Risiko einer Sorgfaltspflichtverletzung. Unter Berücksichtigung der Unternehmensstrategie, des Geschäftsumfangs sowie zentraler Wirtschaftlichkeits- und Effizienzgesichtspunkte werden entsprechende Systeme daher in vielen Unternehmen in einer spezifischen Ausprägung einzurichten oder zielführend weiterzuentwickeln sein. Letzteres gilt umso mehr, als die in der Studie befragten, Vorstände und Geschäftsführer den neuen 107 Abs. 3 Satz 2 AktG überwiegend als Verschärfung für den Aufsichtsrat wahrnehmen. Die vorliegende Befragung hat ergeben, dass die Konkretisierung der Überwachungsaufgaben im Hinblick auf das Risikomanagement- und das interne Kontrollsystem deren Priorität und Umfang in der Arbeit von n und Prüfungsausschüssen erhöhen wird. In vielen Fällen besteht aber aufgrund der knappen Ausführungen in Gesetz und Gesetzesbegründung eine hohe Unsicherheit über die konkrete Ausgestaltung der Überwachungsaufgabe. Dies zeigt sich auch in der Frage, in welcher Art und Weise die Unternehmensleitung die Dokumentation und Nachweisführung zu erstellen hat. Teilweise wird dabei auf anerkannte Verfahrensvorschriften und Modelle wie COSO oder die Vorschriften des US-amerikanischen Sarbanes-Oxley Acts zurückgegriffen. Auch Fragen im Zusammenhang mit der begrifflichen Definition bzw. Abgrenzung von Risikomanagementsystem, internem Kontroll- und Revisionssystem sowie zur Abgrenzung der Verantwortungsbereiche zwischen der Unternehmensleitung und dem Aufsichtsrat haben in der aktuellen Diskussion ein neues Gewicht erhalten. Obwohl die meisten Teilnehmer von einem funktionierenden internen Kontrollsystem und Risikomanagement in ihrem Unternehmen ausgehen und auch der Arbeit von Interner Revision und Abschlussprüfer ihr Vertrauen schenken, wird die Dokumentation und Nachweisführung bestehender Systeme und deren Wirksamkeit als wesentliches und unmittelbares Verbesserungspotenzial angeführt. Wie schätzen Sie die zukünftigen Erfordernisse des Markts und des Gesetzgebers hinsichtlich der Anforderungen an die Bereiche internes Kontrollsystem, Risikomanagementsystem und internes Revisionssystem ein? 69 % 25 % 6 % 73 % 20 % 7 % 71 % 23 % Eher zunehmend Eher abnehmend Eher gleichbleibend Keine Angaben 6 % Ernst & Young Neue Pflichten für? 19

20 Die befragten, Vorstände und Geschäftsführer gehen mehrheitlich davon aus, dass die Anforderungen des Gesetzgebers im Hinblick auf die Ausgestaltung und Überwachung der wesentlichen Überwachungssysteme der Unternehmenstätigkeit künftig eher noch weiter zunehmen, aber in jedem Fall nicht hinter den über das BilMoG erreichten Stand zurückfallen werden. Es wird zum Teil befürchtet, dass dies mittelfristig zu einer verpflichtenden Wirksamkeitsüberprüfung analog um SOX führen wird, auch wenn seitens der Befragten immer wieder betont wird, dass ordnungsmäßige und wirksame Überwachungssysteme für eine verantwortliche Unternehmensführung selbstverständlich sein müssen. Sehen Sie über die regulatorischen Aspekte hinaus auch Potenzial zur Verbesserung von Effizienz und Performance des Risikomanagementsystems? des internen Kontrollsystems? 33 % 47 % 55 % 75 % 81 % 13 % 35 % 6 % 60 % 47 % 12 % 7 % 10 % 13 % 6 % Trotz der als Verschärfung wahrgenommenen Konkretisierung der gesetzlichen Anforderungen erkennen mehr als drei Viertel der in der intensiveren Beschäftigung mit der Ausgestaltung der internen Überwachungssysteme auch ein Potenzial zur Verbesserung der Effizienz und Performance, die durch eine höhere Transparenz, Standardisierung und Automatisierung erzielt werden könnte. des internen Revisionssystems? 47 % 61 % 65 % 75 % 25 % 10 % 13 % 12 % 47 % 6 % 29 % 10 % Dieser Einschätzung stehen die befragten Vorstände und Geschäftsführer aufgrund des Dokumentationsaufwands jedoch eher kritisch gegenüber. Die Erfahrungen in sehr regulierten Bereichen, z. B. im SOX- Umfeld, zeigen andererseits ebenfalls Vorteile einer nachweisbaren und jederzeit transparenten Prozess- und Kontrolldokumentation. So werden komplexe Veränderungen in Unternehmensorganisationen (z. B. Prozesszentralisierungen, Shared- Service-Center, Outsourcing, Produktionsverlagerungen) noch besser und bei geringeren Risiken beherrschbar. des Rechnungslegungsprozesses? 47 % 75 % 13 % 12 % 47 % 6 % 61 % 29 % 10 % Ja Nein Keine Angaben 20 Ernst & Young Neue Pflichten für?

21 Design der Studie Der Studie liegt eine im Zeitraum Oktober 2009 bis Januar 2010 durchgeführte Befragung von Aufsichts- und Verwaltungsräten, Vorständen und Geschäftsführern zugrunde. Kapitalmarktorientierung i. S. d. 264d HGB 81 % 13 % 6 % Themenbereiche und Ziel 60 % 33 % 7 % 71 % 23 % 6 % Für die Erhebung wurden strukturierte Fragebögen entwickelt, die von den Teilnehmern entweder schriftlich oder in einem persönlichen Interview mit Experten von Ernst & Young bearbeitet wurden. Die Fragebögen decken die folgenden Themenbereiche systematisch ab: Börsensegment bei Kapitalmarktorientierung Ja Nein Keine Angaben Status quo der Überwachungstätigkeit von n und Prüfungsausschüssen, Einschätzung der allgemeinen Anforderungen des 107 Abs. 3 AktG, DAX/MDAX Andere nationale Notierung NYSE/SEC-Listing Sonstige (z. B. Freiverkehr, Anleihenmarkt) 6 % 6 % 53 % geplante Maßnahmen im Zusammenhang mit dem BilMoG. 35 % Die Ergebnisse dieser Befragung geben Aufschluss über den Kenntnisstand der Adressaten zu den vom Gesetzgeber intendierten Überwachungsaufgaben, deren Einschätzung zu aktuellen Handlungsbedarfen und über die weitere Entwicklung der Corporate Governance, des Risikomanagements und des internen Kontrollsystems sowie die Anforderungen an die Aufsichtsratsarbeit und die Unternehmensleitung. An der Erhebung haben sich mit 71 % hauptsächlich und Vorstände bzw. Geschäftsführer von Unternehmen beteiligt, die i. S. d. 264d HGB kapitalmarktorientiert sind und von denen die meisten (88 %) in Deutschland im DAX, M-DAX, S-DAX oder Prime Standard notiert sind. Es haben sich jedoch auch und Vorstände oder Geschäftsführer beteiligt, die aus der Erfahrung bei anderen, auch nicht kapitalmarktorientierten Unternehmen berichten, da sie z. B. mehrere Aufsichtsratsmandate haben. Bei den Teilnehmern aus nicht kapitalmarktnotierten Unternehmen handelte es sich vornehmlich um große Kapitalgesellschaften bzw. Personenhandelsgesellschaften, die den Neuregelungen des 107 Abs. 3 AktG aufgrund anderer Vorschriften, z. B. 25 MitBestG, unterliegen. In Bezug auf die Größe der beteiligten Unternehmen oder Konzerne reicht die Bandbreite von gehobenen mittelständischen Unternehmen bis hin zu internationalen Großkonzernen aus unterschiedlichen Branchen. Bei der Interpretation der Studienergebnisse zu einzelnen Fragen ist zu beachten, dass ihre Aussagen nicht auf dasselbe Unternehmen stützen wie Vorstände und Geschäftsführer, da nicht in allen Fällen sowohl der Aufsichtsrat als auch die Unternehmensleitung ein und desselben Unternehmens befragt wurden. Dementsprechend ergeben sich für zum Teil andere Ergebnisse als für Vorstände und Geschäftsführer. Ernst & Young Neue Pflichten für? 21

22 Status quo der Überwachungstätigkeit von n und Prüfungsausschüssen Etablierung eines Prüfungsausschusses Die Mehrzahl der betrachteten Unternehmen haben die bereits in der Vergangenheit bestehenden Empfehlungen des Deutschen Corporate Governance Kodex (DCGK) umgesetzt und verfügen über einen Prüfungsausschuss. Von den Neuregelungen des BilMoG in Bezug auf die verpflichtende Einrichtung von Prüfungsausschüssen ist daher nur ein geringer Teil der befragten Unternehmen direkt betroffen. Teilweise ist aufgrund der Neuregelungen des BilMoG geplant, einen eigenständigen Prüfungsausschuss einzurichten. Ist in Ihrem Unternehmen bereits ein Prüfungsausschuss eingerichtet? 75 % 13 % 12 % 60 % 33 % 7 % 67 % 23 % 10 % Ja Nein Keine Angaben Die befragten äußern grundsätzlich ihre Zufriedenheit mit der Einrichtung eines solchen Prüfungsausschusses, da sich dieser Ausschuss mit sehr spezifischen Fragestellungen zum Risikomanagement, zur Rechnungslegung und zum internen Kontrollsystem beschäftigt, für die eine entsprechende Fachkenntnis erforderlich ist. Insbesondere die effizientere Behandlung von rechnungslegungsbezogenen Themen durch ein kleineres Gremium wurde als wesentlicher Vorteil hervorgehoben. Gleichwohl zeige die Erfahrung, dass sich auch die übrigen Aufsichtsratsmitglieder mit den Ergebnissen des Prüfungsausschusses auseinandersetzen und sich im Ergebnis als voll verantwortlich für die Überwachungstätigkeit fühlen. 22 Ernst & Young Neue Pflichten für?

23 Arbeitsinhalte des Prüfungsausschusses bzw. Aufsichtsrats Hat sich der Aufsichtsrat/Prüfungsausschuss bisher bereits regelmäßig mit Fragen zur Wirksamkeit des Rechnungslegungsprozesses, des internen Kontrollsystems, des Risikomanagementsystems sowie des internen Revisionssystems beschäftigt? Wie hoch ist der anteilige Aufwand im Zusammenhang mit Fragestellungen zu den Bereichen internes Kontrollsystem, Risikomanagementsystem und internes Revisionssystem im Verhältnis zum Gesamtzeitaufwand Ihrer Aufsichtsratstätigkeit? 12 % 75 % 25 % Ja Nein 38 % 25 % 25 % bis 10 % 10 % 30 % 30 % 50 % Keine Angaben In 75 % der befragten Unternehmen beschäftigt sich der Aufsichtsrat bereits regelmäßig mit dem Rechnungslegungsprozess, dem internen Kontrollsystem, dem Risikomanagementsystem sowie dem internen Revisionssystem. Die Hälfte dieser wiederum beschäftigen sich dabei zu knapp einem Drittel und weniger ihrer Zeit mit dem internen Kontrollsystem, dem Risikomanagementsystem und dem internen Revisionssystem. Lediglich 25 % der geben an, dass die Systembetrachtung zur internen Kontrolle, Risikomanagement und Revision insgesamt zwischen 30 % und 50 % ihrer Arbeit ausmache, wobei hier wiederum die Beschäftigung mit dem Risikomanagementsystem den Schwerpunkt im Vergleich zu den Bereichen internes Kontroll- und Revisionssystem bei den befragten n bildet. Welcher Anteil entfiel dabei auf die Beschäftigung mit dem Risikomanagementsystem? 12 % 12 % 44 % 32 % internen Kontrollsystem? 6 % 50 % 6 % 6 % 32 % internen Revisionssystem? 18 % 44 % 6 % 32 % bis 10 % 10 % 25 % 25 % 40 % 40 % 60 % über 60 % Keine Angaben Ernst & Young Neue Pflichten für? 23

24 Status Quo der Überwachungstätigkeit von Ausichtsräten und Prüfungsausschüssen Arbeitsinhalte des Prüfungsausschusses bzw. Aufsichtsrats In Einzelfällen wird zudem explizit darauf hingewiesen, dass die Beschäftigung mit diesen Bereichen bisher lediglich einen geringen Teil der Arbeit betrifft. In Bezug auf die Frage, in welcher Form und in welchem Turnus sich der Aufsichtsrat mit diesen Fragestellungen beschäftigt, ergibt sich ein heterogenes Bild, wobei sich jedoch folgende Kernaussagen ableiten lassen: Zumeist werden in regelmäßigen Abständen (quartalsweise oder halbjährlich) wesentliche Risiken im Prüfungsausschuss besprochen. Zudem gibt es eine anlassbezogene Diskussion. Zu diesen Risiken erfolgen schriftliche Berichte oder Präsentationen der Unternehmensleitung mit einem entsprechenden Maßnahmenplan, teilweise auch von Fachabteilungen und der Internen Revision. Wenn ein Prüfungsausschuss besteht, berät der gesamte Aufsichtsrat einmal jährlich über die Arbeit und die Ergebnisse zu den Risikofeldern. Die Fokussierung auf die Ordnungsmäßigkeit des Jahres- und Konzernabschlusses und dessen Prüfung, d. h. das Endergebnis des Rechnungslegungsprozesses, sowie aufgrund der gesetzlichen Verpflichtung seit Einführung des 91 Abs. 2 AktG im Rahmen des KonTraG auf das Risikofrüherkennungssystem stellt somit heute einen wesentlichen Teil der Tätigkeit des Prüfungsausschusses dar. Dies lässt erkennen, dass sich die heutige Arbeit der Prüfungsausschüsse ganz wesentlich auf die bisherigen gesetzlichen Erfordernisse, nämlich die Beschäftigung mit dem Jahresund Konzernabschluss und dem Risikofrüherkennungssystem, bezieht. Eine weiter gehende Überwachung des internen Kontrollsystems durch den Aufsichtsrat oder Prüfungsausschuss ist in der Regel nur bei SEC-börsennotierten Unternehmen, die den Regelungen des Sarbanes-Oxley Act bereits in der Vergangenheit unterlagen, ein wesentlicher Bereich der Tätigkeit. 24 Ernst & Young Neue Pflichten für?

25 Implementierungsstand in den Unternehmen Prozesse und Strukturen Ist in Ihrem Unternehmen ein Risikomanagementsystem eingerichtet? 88 % 6 % 93 % 90 % 3 6 % 7 % 7 % Sowohl die als auch die Unternehmensleitungen gaben in der Befragung an, dass in den betreffenden Unternehmen sowohl ein Risikomanagementsystem als auch interne Kontroll- und Revisionssysteme vorhanden seien. Dabei wurde die Frage zum Risikomanagementsystem und zum internen Kontrollsystem mit jeweils 88 % bei n und 93 % bei Vorständen und Geschäftsführern eindeutig positiv beantwortet. internes Kontrollsystem eingerichtet? 88 % 6 % 6 % 93 % 7 % 90 % 3 7 % internes Revisionssystem eingerichtet? 75 % 19 % 93 % 6 % 7 % 77 % 16 % 7 % Ja Nein oder unentschieden Keine Angaben Lediglich die Implementierung eines formalen internen Revisionssystems wurde nur mit 77 % bestätigt. Knapp die Hälfte aller Unternehmen richtet sich dabei an anerkannten Rahmengrundsätzen aus. Hierbei wurde überwiegend das COSO-Modell und SOX, aber auch die japanischen SOX-Grundsätze (J-SOX) und die Turnbull Guidance aus England sowie 91 Abs. 2 AktG für das Risikofrüherkennungssystem oder die ISO-Zertifizierung genannt. Bei SOX, J-SOX und Turnbull ist jedoch zu beachten, dass diese in den betreffenden Fällen aufgrund entsprechender Börsennotierungen verpflichtend anzuwenden waren. Sind diese Systeme an bestehenden und anerkannten Frameworks ausgerichtet? 38 % 50 % 12 % Es ist festzustellen, dass auch knapp die Hälfte der befragten Unternehmen ihr Risikomanagement und internes Kontrollsystem nicht oder nicht explizit und systematisch an anerkannten Rahmengrundsätzen ausrichten. Dies birgt ein mögliches Risiko von Lücken und Ineffizienzen in der Ausgestaltung der betreffenden Systeme. 53 % 40 % 7 % 45 % 45 % 10 % Ja Nein Keine Angaben Ernst & Young Neue Pflichten für? 25

26 Status quo der Überwachungstätigkeit von n und Prüfungsausschüssen Implementierungsstand in den Unternehmen Prozesse und Strukturen Unabhängig von der Ausrichtung und konkreten Ausgestaltung stellen die befragten Unternehmensleitungen den bestehenden Risikomanagementsystemen (80 % stark bis sehr stark), internen Kontrollsystemen (67 % stark bis sehr stark) und internen Revisionssystemen (60 % stark bis sehr stark) durchweg ein positives Zeugnis aus. Die sind bei ihrer Einschätzung teilweise etwas zurückhaltender. Wie beurteilen Sie für Ihr Unternehmen die Qualität des Risikomanagementsystems? 13 % 20 % 16 % 56 % 13 % 60 % 6 % 12 % 13 % 7 % 58 % 13 % 3 10 % Das Vertrauen in die im eigenen Unternehmen bestehenden Kontrollen und Verfahren ist demnach trotz der einzelfallbezogenen Schwächen bestehender interner Kontrollsysteme und Risikomanagementsysteme, die in jüngster Zeit in der Öffentlichkeit diskutiert wurden, weiterhin ausgeprägt. internen Kontrollsystems? 19 % 23 % 27 % 31 % 35 % 40 % 25 % 6 % 20 % 23 % 6 % 19 % 7 % 6 % 13 % Beim internen Revisionssystem zeigt sich jedoch unterhalb der Bewertungskategorie stark bis sehr stark ein heterogenes Bild. Während die Vorstände und Geschäftsführer das interne Revisionssystem mit 20 % als durchschnittlich bewerten, teilen nur 6 % der diese Einschätzung. Auch der Branchenvergleich zeigt in Bezug auf diese Einstufung der Qualität der internen Revision als durchschnittlich eine signifikante Abweichung der (19 %) von den Vorständen und Geschäftsführern (33 %). Insgesamt könnte die zurückhaltendere Beurteilung der ein Indiz dafür sein, dass sie über die Qualität der Systeme nicht hinreichend informiert sind. Eine umfangreichere Information, ggf. gestützt auf entsprechende Nachweise im Unternehmen, könnte somit für im Hinblick auf die Wirksamkeit des internen Kontrollsystems, zu der das interne Revisionssystem einen maßgeblichen Beitrag internen Revisionssystems? 19 % 38 % 6 % 12 % 6 % 19 % 13 % 16 % 47 % 42 % 13 % 20 % 13 % 13 % 3 7 % 13 % Sehr stark Stark Durchschnittlich Schwach Sehr schwach Keine Angaben 26 Ernst & Young Neue Pflichten für?

27 Implementierungsstand in den Unternehmen Prozesse und Strukturen Wie beurteilen Sie im Branchenvergleich die Qualität des Risikomanagementsystems? 19 % 31 % 19 % 6 % 25 % leisten kann, vor dem Hintergrund des BilMoG und des neuen 107 Abs. 3 Satz 2 AktG an Bedeutung gewinnen. Dies würde aus Sicht der jedoch auch eine Verbesserung der personellen und fachlichen Ressourcen der Internen Revision erfordern. internen Kontrollsystems? 27 % 23 % 19 % 27 % 23 % 19 % 35 % 29 % 40 % 31 % 40 % 20 % 19 % 3 6 % 20 % 26 % 3 13 % 20 % 25 % 13 % 19 % Bei nicht kapitalmarktorientierten Unternehmen wird teilweise der Formalisierungsgrad des Risikomanagementsystems als schwächer beurteilt. Allerdings wird gleichzeitig darauf hingewiesen, dass dies nicht gleichbedeutend sei mit dem materiellen Risikomanagementgebahren, das dem Unternehmen und seiner Risikosituation angemessen sei. Mit steigender Komplexität und Arbeitsteilung innerhalb des Managements steige der Formalisierungs- und Dokumentationsbedarf an. internen Revisionssystems? 13 % 25 % 19 % 12 % 6 % 25 % 20 % 27 % 33 % 7 % 13 % 16 % 26 % 26 % 10 % 3 19 % Sehr stark Stark Durchschnittlich Schwach Sehr schwach Keine Angaben Ernst & Young Neue Pflichten für? 27

28 Status quo der Überwachungstätigkeit von n und Prüfungsausschüssen Implementierungsstand in den Unternehmen Prozesse und Strukturen Die wenigsten der befragten und Unternehmensleitungen bewerten ihr Risikomanagement, internes Kontrollsystem und das interne Revisionssystem als unterdurchschnittlich gegenüber den Wettbewerbern ihrer Branche. Gleichwohl fällt die Einstufung zur Beurteilung des eigenen Unternehmens im Branchenvergleich aus Sicht der Studienteilnehmer ab; die Werte für die Beurteilung als stark bis sehr stark gehen beim Risikomanagement von 74 % auf 58 %, beim internen Kontrollsystem von 58 % auf 52 % und beim Internen Revisionssystem von 58 % auf 42 % zurück. Veränderung der Beurteilungsperspektive Risikomanagementsystem stark bis sehr stark Internes Kontrollsystem stark bis sehr stark Internes Revisionssystem stark bis sehr stark Stand-Alone 42 % 74 % 58 % 58 % 52 % 58 % Branchenvergleich