Dr. Helge Löffler Kitzbühel, 23. September 2016

Transkript

1 Fachvortrag Internes Kontrollsystem im Rahmen der Wirtschaftsprüfung Dr. Helge Löffler Kitzbühel, 23. September 2016

2 Einleitung Stetiger Anstieg der Bedeutung des Internen Kontrollsystems ( IKS ) im Rahmen der Abschlussprüfung in den letzten Jahren aufgrund zunehmender Komplexität der Geschäftsprozesse sowie Anstieg Transaktionsvolumen der Geschäftsfälle Der Abschlussprüfer plant Prüfungshandlungen auch auf Grundlage seiner Analyse des IKS: - Je ausgeprägter und funktionstüchtiger das IKS, desto stärker verlässt er sich auf dessen Wirkung. entwickelt Verständnis für das IKS des Unternehmens, - um Risiken wesentlicher Falschdarstellungen im Jahres-/Konzernabschluss zu identifizieren, - zu beurteilen und - zu reagieren. Er erteilt aber kein Urteil über die Wirksamkeit des IKS als solches, da im Rahmen der Jahresabschlussprüfung keine Vollprüfung des gesamten IKS erfolgt. 2

3 Gesetzliche Grundlagen, Fachgutachten 269 Abs. 1 UGB bestimmt Einbeziehung d. Buchführung in die Prüfung des JA Die Buchführung umfasst alle Regelungen und Anweisungen, die dafür sorgen, dass die Erfassung der Geschäftsfälle im RW nicht zufällig, sondern nach einer bestimmten Ordnung erfolgt; somit gehören auch das EDV System sowie Verfahrensanweisungen und Verarbeitungsprozesse zur Buchführung. Nicht nur der aufgestellte Jahresabschluss selbst, sondern auch dessen Zustandekommen und in der Folge die zugrunde liegenden Buchhaltungs- und Bilanzierungsprozesse sind in die Überlegungen miteinzubeziehen! 3

4 Gesetzliche Grundlagen, Fachgutachten Der Abschlussprüfer beurteilt Zuverlässigkeit des IKS gem. entsprechenden Vorgaben in den internationalen Prüfungsstandards ( ISA ), die in Österreich gemäß Fachgutachten KFS/PG 1 Durchführung von Abschlussprüfungen für alle gesetzlich vorgeschriebenen und freiwilligen Abschlussprüfungen anzuwenden sind. Der Abschlussprüfer muss gemäß ISA 256 Verständnis über das für die Abschlussprüfung relevante IKS gewinnen, jedoch erfolgt keine Vollprüfung des IKS. Nach Beurteilung der Zuverlässigkeit des IKS kann der Prüfer das Risiko besser abschätzen, ob der Jahresabschluss/Konzernabschluss fehlerhaft ist bzw. dass Fehler nicht von MA des Unternehmens aufgedeckt und korrigiert werden. 4

5 Gesetzliche Grundlagen, Fachgutachten Die Beurteilung des IKS erfolgt hauptsächlich im Rahmen der Vor- bzw. Systemprüfung. Damit wird der Prüfungsumfang für die Hauptprüfung festgelegt (ISA 330.6). Die Analyse des IKS durch den AP bezieht sich hauptsächlich auf Ordnungsmäßigkeit und Verlässlichkeit der Rechnungslegung. In diesem Sinne werden aus der Rechnungslegung Kontrollen, die sich auf das Prüfgebiet beziehen, ausgewählt. 5

6 Gesetzliche Grundlagen, Fachgutachten Prüfungshandlungen zielen daher insbesondere darauf ab, dass Geschäftsvorfälle in Übereinstimmung mit den gesetzlichen Vorschriften vollständig und zeitnah, mit dem richtigen Wert, in der richtigen Buchungsperiode und auf den richtigen Konten erfasst werden, Geschäftsvorfälle in Übereinstimmung mit der Satzung oder dem Gesellschaftsvertrag und den generellen oder besonderen Regelungen des Managements erfasst, verarbeitet und dokumentiert werden, Buchführungsunterlagen richtig und vollständig sind, Inventuren ordnungsgemäß durchgeführt und bei festgestellten Inventurdifferenzen geeignete Maßnahmen eingeleitet werden, die Vermögensgegenstände und Schulden im Abschluss zutreffend angesetzt, ausgewiesen und bewertet werden und dass verlässliche und relevante Informationen zeitnah und vollständig bereitgestellt werden. Details entnommen aus IDW PS 261 (2013): IDW Prüfungsstandard: Feststellung und Beurteilung von Fehlerrisiken und Reaktionen des Abschlussprüfers auf die beurteilten Fehlerrisiken (IDW PS 261 n.f.), Rz 22. 6

7 Gesetzliche Grundlagen, Fachgutachten Für die Analyse empfiehlt ISA 315.A58 die Einteilung des IKS in folgende fünf Komponenten: das Kontrollumfeld, der Risikobeurteilungsprozess des Unternehmens, das rechnungslegungsbezogene Informationssystem, einschließlich der damit verbundenen Geschäftsprozesse sowie der Kommunikation, Kontrollaktivitäten sowie die laufende Überwachung von Kontrollen. Je zuverlässiger das IKS ist, desto höher ist die Wahrscheinlichkeit, dass keine Fehler im Jahresabschluss/Konzernabschluss entstehen oder vom Unternehmen selbst nicht erkannt werden! 7

8 Berichterstattung des Abschlussprüfers Sowohl internationale wie auch nationale Prüfungsstandards sehen Kommunikationspflichten des Abschlussprüfers vor, wenn er im Zuge seiner Prüfung Mängel im IKS feststellt: a. Redepflicht b. Prüfungsbericht (Ergebnis der Prüfung) c. Bestätigungsvermerk d. Management Letter 8

9 Berichterstattung des Abschlussprüfers a. Redepflicht Gemäß 273 Abs. 2 letzter Satz UGB hat der Abschlussprüfer über wesentliche Schwächen bei der internen Kontrolle des Rechnungslegungsprozesses zu berichten. Damit zählen wesentliche Schwächen des IKS zu den Tatbeständen, die eine Redepflicht des Abschlussprüfers auslösen 1). Diese Redepflicht hat unverzüglich schriftlich an die Mitglieder von Vorstand und Aufsichtsrat zu erfolgen. Eine vergleichbare Regelung findet sich auch in ISA 265 2). 1) Siehe für einen Überblick zur Redepflicht des Abschlussprüfers z. B. Steckel in Torggler (Hrsg), UGB, 2. Aufl. 2016, 273, Rz 13ff. 2) Vgl ISA 265, Rz 9 und 12. 9

10 Berichterstattung des Abschlussprüfers a. Redepflicht Eine Schwäche im IKS liegt gemäß ISA 265 vor, wenn: - eine Kontrolle so ausgestaltet ist, eingerichtet ist oder angewendet wird, dass mit ihr falsche Darstellungen im Jahres-/Konzernabschluss in angemessener Zeit nicht verhindert oder aufgedeckt und korrigiert werden können, oder - eine Kontrolle fehlt, die notwendig ist, um falsche Darstellungen im Abschluss in angemessener Zeit zu verhindern oder aufzudecken und zu korrigieren. Eine Schwäche ist wesentlich und damit berichtspflichtig, wenn sie alleine oder in Kombination mit anderen Mängeln im IKS nach pflichtgemäßem Ermessen des Abschlussprüfers bedeutsam genug ist, um die Aufmerksamkeit der für die Überwachung Verantwortlichen zu verdienen 1). 1) Siehe hierzu ISA 265.6, Erläuterungen und Beispiele für bedeutsame Schwächen in 265.A5ff. 10

11 Berichterstattung des Abschlussprüfers a. Redepflicht Bei der Ausübung der Redepflicht gemäß 273 Abs. 2 UGB hat der Abschlussprüfer in sein Schreiben gemäß ISA Folgendes aufzunehmen: - eine Beschreibung der wesentlichen Schwächen und deren Auswirkung auf den Rechnungslegungsprozess und auf die Zuverlässigkeit der Finanzberichterstattung - ausreichende und angemessene Informationen, die es den Adressaten ermöglichen, den Bericht entsprechend zu verstehen. 11

12 Berichterstattung des Abschlussprüfers b. Prüfungsbericht (Ergebnis der Prüfung) Im Prüfungsbericht ist gemäß 273 Abs. 1 Satz 1 UGB insbesondere festzustellen, ob die Buchführung, der Jahres-/Konzernabschluss und der (Konzern)Lagebericht den gesetzlichen Vorschriften entsprechen. In diesem Zusammenhang ist auch über das IKS zu berichten. Dies könnte für den Fall, dass keine wesentlichen Schwächen festgestellt wurden, wie folgt erfolgen 1) : Im Rahmen unseres risiko- und kontrollorientierten Prüfungsansatzes haben wir - soweit wir dies für unsere Prüfungsaussage für notwendig erachteten - die internen Kontrollen in Teilbereichen des Rechnungslegungsprozesses in die Prüfung einbezogen; dabei sind uns keine wesentlichen Schwächen bei der internen Kontrolle des Rechnungslegungsprozesses zur Kenntnis gelangt. Wurde im Zusammenhang mit dem IKS Redepflicht ausgeübt, ist darüber im Prüfungsbericht jedenfalls zu berichten ( 273 Abs. 1 letzter Satz UGB) 2). 1) In Anlehnung an iwp, Musterberichte zur Prüfung eines Jahres-/Konzernabschlusses (April 2016), Jahresabschluss deutsch, S. 4 2) Vgl Casey (2012) in Hirschler Bilanzrecht, 273, Rz

13 Berichterstattung des Abschlussprüfers b. Prüfungsbericht (Ergebnis der Prüfung) Die wichtigsten Merkmale des Internen Kontrollsystems i. S. d. Rechnungslegungsprozesses sind von kapitalmarktorientierten Gesellschaften im (Konzern)lagebericht zu beschreiben: a. Einklangsprüfung - der Abschlussprüfer muss die Aussagen i.r. seiner Analyse des IKS würdigen 1). b. Die Prüfung der Angaben beschränkt sich darauf, ob die von der Unternehmensleitung gegebene Darstellung die wesentlichen Merkmale des IKS i. S. d. Rechnungslegungsprozesses und des Risikomanagementsystems enthält. Eine Prüfung der Wirksamkeit ist in diesem Zusammenhang nicht erforderlich. Bei ausreichender Darstellung könnte die Aussagen lauten: Die Beschreibung der wichtigsten Merkmale des internen Kontroll- und des Risikomanagementsystems im Hinblick auf den Rechnungslegungsprozess ist unseres Erachtens zutreffend. Enthält der Lagebericht keine ausreichende Darstellung, ist dies vom Abschlussprüfer ebenfalls im Prüfungsbericht anzuführen. 1) Vgl KFS/PG 10 (2016): Prüfung des Lageberichtes, Rz 30ff. 13

14 Berichterstattung des Abschlussprüfers c. Bestätigungsvermerk Der Bestätigungsvermerk ist das Gesamturteil des Abschlussprüfers auf Grund seiner Prüfung, das gegenüber den Gesellschaftern, der Geschäftsführung sowie mit Wirkung nach außen abgegeben wird. Beurteilt wird, ob der Jahres-/ Konzernabschluss mit den für die geprüfte Gesellschaft geltenden Normen für die Rechnungslegung übereinstimmt und ein möglichst getreues Bild der Vermögens-, Finanz- und Ertragslage in Übereinstimmung mit den anzuwendenden Rechnungslegungsgrundsätzen vermittelt und ob der (Konzern)Lageberichts mit dem Jahresabschluss in Einklang steht. 1) Die Formulierung zur Verantwortung der gesetzlichen Vertreter wird gemäß den Mustervorlagen des Berufsstandes der Wirtschaftsprüfer folgendermaßen lauten: 2) Die gesetzlichen Vertreter der Gesellschaft sind verantwortlich für die internen Kontrollen, die die gesetzlichen Vertreter als notwendig erachten, um die Aufstellung eines Konzern-/Jahresabschlusses zu ermöglichen, der frei von wesentlichen beabsichtigten oder unbeabsichtigten falschen Darstellungen ist. 1) Vgl Steckel (2016) in Torggler UGB, 274, Rz 1ff. 2) Siehe iwp, Musterberichte zur Prüfung eines Jahres-/Konzernabschlusses (April 2016), Jahresabschluss deutsch, S. 5 14

15 Berichterstattung des Abschlussprüfers c. Bestätigungsvermerk Im Bestätigungsvermerk ist weiters die Verantwortung des Abschlussprüfers für die risikoorientierte Auswahl der Prüfungshandlungen unter Berücksichtigung des relevanten IKS zu beschreiben 1). In den Vorlagen des Berufsstandes der Wirtschaftsprüfer ist diese Beschreibung in folgender Form vorgesehen 2) : Bei der Beurteilung der Risiken wesentlicher beabsichtigter oder unbeabsichtigter falscher Darstellungen berücksichtigt der Abschlussprüfer das für die Aufstellung und die sachgerechte Gesamtdarstellung des Konzern-/Jahresabschlusses durch den Konzern/die Gesellschaft relevante interne Kontrollsystem, um Prüfungshandlungen zu planen, die unter den gegebenen Umständen angemessen sind, jedoch nicht mit dem Ziel, ein Prüfungsurteil zur Wirksamkeit des internen Kontrollsystems abzugeben. Die Ergebnisse der Prüfung des rechnungslegungsbezogenen IKS sind auch bei der Bildung des Prüfungsurteils zu berücksichtigen: Führen Schwächen des internen Kontrollsystems zu wesentlichen falschen Angaben in der Rechnungslegung, ist der Bestätigungsvermerk einzuschränken oder zu versagen. 1) Siehe dazu ISA 700 (2015): Forming an Opinion and Reporting on Financial Statements, Rz 31 (a). 2) Siehe iwp, Musterberichte zur Prüfung eines Jahres-/Konzernabschlusses (April 2016), Jahresabschluss deutsch, S. 5 15

16 Berichterstattung des Abschlussprüfers d. Management Letter Bedeutsame Mängel im IKS lösen Redepflicht aus. Während der Abschlussprüfung festgestellte, jedoch nicht als bedeutsam einzustufende Schwachstellen im IKS, teilt der Abschlussprüfer dem Vorstand bzw. der Geschäftsführung im Regelfall ebenfalls mit, um das Unternehmen mit dem Hinweis auf Schwachstellen im IKS bei der Verbesserung der internen Kontrollen zu unterstützen. Diese Information erfolgt normalerweise im Management Letter 1). Beispiele für Sachverhalte, die in diesem Zusammenhang berichtet werden könnten, sind: - Möglichkeiten zur Standardisierung der Vorgehensweise z. B. bei der Durchführung von Impairments - Möglichkeit zur Verbesserung von Inventuren - Verbesserungspotentiale im Bereich der IT-Sicherheit, z. B. i. Z. m. Berechtigungskonzepten. 1) Siehe dazu ISA b sowie die Erläuterungen in ISA 265.A22ff. 16

17 Kontakt Dr. Helge Löffler Steuerberater, Wirtschaftsprüfer Partner, Audit KPMG Austria GmbH Kudlichstraße Linz T M hloeffler@kpmg.at Dr. Helge Löffler ist beeideter Wirtschaftsprüfer und Steuerberater; Partner und Betriebsstättenleiter der KPMG Österreich sowie stellvertretender Vorsitzender des Geschäftsleitungsausschusses der KPMG Österreich. Er ist seit 1990 tätig in der Prüfung von nationalen und internationalen Jahres- und Konzernabschlüssen. Er berät Industrieunternehmen und mittelständische Unternehmen in den Bereichen internationale und nationale Rechnungslegung, Internes Kontrollsystem und Risikomanagement sowie Compliance und Corporate Governance. Weiters ist er Vortragender bei diversen internen und externen Ausbildungsveranstaltungen, Fachbuchautor und Mitherausgeber des Handbuch zum Internen Kontrollsystem sowie des Buches Compliance in der Unternehmenspraxis. 17

18 kpmg.at 2016 KPMG Austria GmbH, österreichisches Mitglied des KPMG-Netzwerks unabhängiger Mitgliedsfirmen, die KPMG International Cooperative ( KPMG International ), einer juristischen Person schweizerischen Rechts, angeschlossen sind. Alle Rechte vorbehalten. Printed in Austria. KPMG und das KPMG-Logo sind eingetragene